Welche EU-Vertreter braucht ein US-SaaS- oder App-Unternehmen?

• GDPR Artikel 27, NIS2, Data Act und AI Act können alle EU-Vertreter für US-SaaS/App-Firmen erfordern.
• REP27 bietet all diese Rollen in einem Vertrag mit verifizierbaren Zertifikaten.
• Wettbewerber decken oft nur GDPR oder einzelne Rahmenwerke ab; kombinierter Schutz ist selten.
• Jahrespreise variieren: REP27 ab 290 €/Jahr (GDPR), 1.190 €/Jahr (NIS2), AI Act ab 290 €/Jahr.
• Versteckte Gebühren, Kündigungsfristen und Leistungsumfang unterscheiden sich je Anbieter – siehe detaillierten Vergleich.
• Nicht alle Firmen benötigen jeden Vertreter; Anforderungen hängen von Tätigkeit und Kundenbasis ab.

Aktualisiert 1. November 2026 · 8 Quellen geprüft

Anbieter im Vergleich

Preise wie am 1. November 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: Artikelnummern und Umfang

US-SaaS- oder App-Unternehmen, die EU-Nutzer ansprechen, sehen sich einem komplexen regulatorischen Umfeld gegenüber. Mehrere EU-Gesetze verlangen von Nicht-EU-Unternehmen die Benennung eines lokalen Vertreters oder autorisierten Ansprechpartners. Jedes Gesetz zielt auf unterschiedliche Geschäftstätigkeiten ab und hat eigene Benennungsregeln:

• GDPR Artikel 27: Jedes Nicht-EU-Unternehmen, das Waren oder Dienstleistungen für Personen in der EU anbietet oder deren Verhalten überwacht, muss einen EU-Vertreter benennen. Dies gilt für die meisten SaaS- und App-Unternehmen mit EU-Nutzern, unabhängig davon, ob der Dienst kostenlos oder kostenpflichtig ist. Der Vertreter fungiert als Hauptkontakt für EU-Datenschutzbehörden und Betroffene (Art. 27 GDPR).
• NIS2-Richtlinie: Nicht-EU-Anbieter wesentlicher und wichtiger Dienste – wie Cloud-Computing, Online-Marktplätze, DNS und CDN – müssen einen Vertreter in einem EU-Mitgliedstaat benennen, in dem sie Dienste anbieten. Dies gilt für SaaS- und Plattformanbieter mit EU-Kunden, insbesondere wenn ihre Dienste als kritische Infrastruktur gelten (NIS2 Art. 26).
• AI Act: Nicht-EU-Anbieter, die Hochrisiko-KI-Systeme auf den EU-Markt bringen, müssen vor Bereitstellung einen bevollmächtigten Vertreter mit Sitz in der EU benennen. Dies betrifft SaaS- oder App-Unternehmen, die KI-gesteuerte Lösungen für EU-Nutzer anbieten (AI Act Art. 54).
• Data Act: Nicht-EU-Hersteller vernetzter Produkte und zugehöriger Dienste, die Nutzerdaten verarbeiten, müssen einen gesetzlichen Vertreter in der EU benennen. Dies betrifft SaaS/App-Unternehmen, deren Dienste mit IoT-Geräten interagieren oder Daten vernetzter Produkte verarbeiten (REP27 Data Act).

Jedes Rahmenwerk hat eigene Auslöser und Anwendungsbereiche. Beispielsweise gilt GDPR, wenn Sie personenbezogene Daten von EU-Nutzern erheben, auch über Cookies oder Analytics. NIS2 und Data Act sind spezifischer für Diensttypen und Datenverarbeitung. Der AI Act fokussiert auf Hochrisiko-KI-Systeme, die durch die Verordnung definiert sind. Nicht alle SaaS/App-Unternehmen benötigen jeden Vertreter, aber viele mindestens einen.

Die Nichtbenennung des korrekten Vertreters kann zu hohen Strafen und Marktausschlüssen in der EU führen. Die Kenntnis der anwendbaren Gesetze ist der erste Schritt zur Compliance.

Wie man einen EU-Vertreter-Anbieter auswählt

Die Wahl des richtigen EU-Vertreter-Anbieters ist entscheidend für Compliance, operative Effizienz und Risikomanagement. So gehen Sie vor:

• Abdeckung der erforderlichen Rahmenwerke: Nicht alle Anbieter decken alle relevanten Gesetze ab. REP27 bietet Vertretung für GDPR, NIS2, Data Act, AI Act und mehr in einem Vertrag, während die meisten Wettbewerber sich auf GDPR allein konzentrieren oder andere Rahmenwerke nur als Zusatzleistungen anbieten. Wenn Sie mehrere Rahmenwerke benötigen, reduziert ein Anbieter wie REP27 die Komplexität.
• Vertragliche Einfachheit: Mehrere Verträge für verschiedene Rahmenwerke erhöhen den Verwaltungsaufwand und das Risiko von Lücken. REP27s Ein-Vertrag-Ansatz vereinfacht die Compliance für Unternehmen mit mehreren Vertretern. Wettbewerber wie Lionheart Squared bieten ebenfalls Multi-Rahmenwerk-Support, Details und Preise sind aber oft nur auf Anfrage verfügbar.
• Nachweis der Benennung: Behörden und Marktplätze verlangen oft einen klaren, verifizierbaren Nachweis. REP27 stellt für jede Benennung ein Zertifikat mit QR- und Verifizierungscode aus, das online geprüft werden kann. EU Shield und rep4eu bieten unterschriebene Benennungen, eine öffentliche Verifikation ist aber nicht immer verfügbar.
• Preistransparenz: REP27, EU Shield und rep4eu veröffentlichen Preise für GDPR-Vertretung. Lionheart Squared und DataShield verlangen Preisanfragen, was die Budgetplanung erschweren kann.
• Support und Reaktionszeit: Schnelle Benennung ist wichtig bei Audits oder dringenden Compliance-Anforderungen. REP27 prüft Unterlagen und unterschreibt Benennungen innerhalb von 24 Werktagen. Andere Anbieter geben keine klaren Zeitangaben.

Praktischer Tipp: Erstellen Sie eine Liste aller EU-Gesetze, die für Ihr SaaS/App gelten könnten, und prüfen Sie, welcher Anbieter sie alle abdeckt. Wenn Sie mehr als GDPR brauchen, ist eine Komplettlösung von einem Anbieter meist effizienter und leichter zu verwalten.

Was der Preis wirklich beinhaltet (und versteckte Kosten)

Es ist wichtig zu verstehen, was Sie für Ihr Geld bekommen – und wofür Sie möglicherweise extra zahlen müssen. Hier eine Übersicht basierend auf veröffentlichten Informationen im Oktober 2026:

• REP27: Ab 290 €/Jahr für GDPR- oder AI Act-Vertretung, 1.190 €/Jahr für NIS2. Preise für Data Act auf Anfrage. Im Preis enthalten sind unterschriebene Benennung, verifizierbares Zertifikat, öffentliche Verifikation und gesamte Compliance-Korrespondenz. Rechtsberatung und Rechtsstreitigkeiten sind nicht enthalten.
• EU Shield: 490 €/Jahr für GDPR und GPSR. Enthält Benennung, Formulierung der Datenschutzerklärung, Art. 30 Aufbewahrung und Behördenkorrespondenz. Deckt NIS2, AI Act oder Data Act nicht ab. Zusätzliche Leistungen können extra kosten.
• rep4eu: 348 €/Jahr für GDPR. Add-ons für DSA, NIS2, Data Act und e-Evidence auf Anfrage, Preise nicht veröffentlicht. Beinhaltet Online-Buchung und unterschriebene Benennung für GDPR.
• Lionheart Squared: Preis auf Anfrage. Deckt GDPR, AI Act, DSA und NIS2 mit maßgeschneiderter Unterstützung ab. Details zu Leistungen und Zusatzkosten sind nicht öffentlich.
• DataShield: Preis auf Anfrage. Deckt nur AI Act-Vertretung, inklusive Dokumentation, Behördenkontakt und Registrierungsunterstützung. Andere Rahmenwerke sind nicht enthalten.

Versteckte Kosten können sein:

• Gebühren für zusätzliche Rahmenwerke oder Leistungen, die nicht im Grundpreis enthalten sind.
• Kosten für Dokumentenprüfung, Behördenkorrespondenz oder dringende Anfragen.
• Kündigungsfristen oder Mindestvertragslaufzeiten.
• Haftungsbeschränkungen oder Ausschlüsse, die Ihr Risiko beeinflussen können.

Fordern Sie immer eine vollständige Preisliste an und prüfen Sie den Vertrag auf Ausschlüsse und Bedingungen, bevor Sie unterschreiben. Wenn Sie mehrere Rahmenwerke benötigen, klären Sie, ob Sie eine Rechnung und ein Zertifikat oder mehrere erhalten – das wirkt sich auf Kosten und Compliance-Management aus.

Wie die Benennung funktioniert: Schritt für Schritt

Der Prozess zur Benennung eines EU-Vertreters ist einfach, erfordert aber sorgfältige Beachtung. Hier eine praktische Schritt-für-Schritt-Anleitung basierend auf dem REP27-Prozess und Branchenstandards:

1. Rechtliche Pflichten ermitteln: Bestimmen Sie, welche EU-Gesetze für Ihr Unternehmen gelten (GDPR, NIS2, AI Act, Data Act). Das hängt von Nutzerbasis, Diensttyp und Datenverarbeitung ab.
2. Anbieter wählen: Wählen Sie einen Anbieter, der alle erforderlichen Rahmenwerke abdeckt. Wenn Sie mehrere Gesetze abdecken müssen, vereinfacht ein Anbieter wie REP27 die Compliance.
3. Dokumentation vorbereiten: Sammeln Sie Informationen zu Ihrem Unternehmen, darunter Rechtsform, Adresse, Handelsregister, Dienstbeschreibung und Details zu Ihren EU-Aktivitäten.
4. Datei einreichen: Füllen Sie das Onboarding-Formular oder die Datei des Anbieters aus. REP27 prüft Ihre Einreichung in der Regel innerhalb von 24 Werktagen manuell.
5. Prüfung und Unterschrift: Der Anbieter überprüft Ihre Unterlagen auf Vollständigkeit und Richtigkeit. Bei fehlenden Angaben werden Sie kontaktiert. Nach Freigabe unterschreibt der Anbieter die Benennung.
6. Zertifikat erhalten: Sie erhalten ein unterschriebenes Schreiben, ein Zertifikat mit QR- und Verifizierungscode sowie den genauen Wortlaut für Ihre Datenschutzerklärung oder Dokumentation. REP27-Zertifikate sind online öffentlich verifizierbar.
7. Rechtliche Hinweise aktualisieren: Fügen Sie die Angaben des Vertreters in Ihre Datenschutzerklärung, Website oder Produktdokumentation ein, wie gesetzlich vorgeschrieben.
8. Verifikation: Behörden, Marktplätze oder Kunden können Ihre Benennung online mit dem Zertifikat oder Code prüfen.

Checkliste für heute:

1. Prüfen Sie, welche EU-Gesetze für Ihr SaaS/App gelten.
2. Sammeln Sie Unternehmens- und Dienstinformationen.
3. Vergleichen Sie Anbieter und fordern Sie Angebote an.
4. Reichen Sie Ihre Datei ein und schließen Sie das Onboarding ab.
5. Aktualisieren Sie alle relevanten Dokumente mit den Vertreterdaten.

Eine rechtzeitige Benennung ist entscheidend – Verzögerungen können zu Durchsetzungsmaßnahmen oder entgangenen Geschäftsmöglichkeiten führen, besonders wenn Marktplätze oder Partner Nachweise verlangen.

Risiken und Strafen bei Nicht-Compliance

Die Nicht-Einhaltung der EU-Vertreterpflichten kann für SaaS- und App-Unternehmen schwerwiegende Folgen haben:

• GDPR: Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 GDPR). Die Nichtbenennung eines Vertreters ist ein direkter Verstoß und kann Untersuchungen, Durchsetzungsmaßnahmen und Reputationsschäden auslösen.
• NIS2: Die NIS2-Richtlinie sieht Verwaltungsstrafen und wiederkehrende Bußgelder vor, deren Höhe von den Mitgliedstaaten festgelegt wird. Nicht-Compliance kann auch Betriebsverbote oder Dienstleistungsbeschränkungen in der EU nach sich ziehen (NIS2).
• AI Act: Bußgelder zwischen 40 Mio. € und 50 Mio. € oder 2 % bis 4 % des weltweiten Umsatzes, je nach Verstoß. Für Hochrisiko-KI-Systeme kann die Nichtbenennung eines Vertreters zu einem EU-Marktausschluss führen (AI Act).
• Data Act: Spezifische Bußgelder werden von den Mitgliedstaaten festgelegt; Durchsetzung kann Verwaltungsstrafen und Anordnungen zur Einstellung der Datenverarbeitung oder Dienstleistungserbringung in der EU umfassen.

Weitere Risiken sind:

• Marktplätze (wie Amazon oder Shopify) können Ihre Angebote sperren, wenn Sie keinen gültigen EU-Vertreter nachweisen können.
• Verlust von Geschäftsmöglichkeiten oder Partnerschaften aufgrund von Nicht-Compliance.
• Reputationsschäden und Vertrauensverlust bei Kunden.

Die Benennung des korrekten Vertreters ist keine bloße Formalität, sondern ein entscheidender Compliance-Schritt, der Ihr Unternehmen vor erheblichen finanziellen und operativen Risiken schützt.

Entscheidungsmatrix: Wer braucht was?

Nutzen Sie diese Matrix, um zu bestimmen, welche Vertreter Ihr Unternehmen benötigt, basierend auf Geschäftsmodell und Aktivitäten:

Praktische Hinweise:

• Überprüfen Sie Ihre Nutzerbasis und Ihr Produkt-/Dienstleistungsangebot, um die anwendbaren Pflichten zu ermitteln.
• Wenn Sie personenbezogene Daten von EU-Bürgern verarbeiten, gilt GDPR Artikel 27.
• Bei Cloud-, Marktplatz- oder kritischen digitalen Diensten prüfen Sie die NIS2-Anwendbarkeit.
• Bei Hochrisiko-KI-Systemen ist ein AI Act-Vertreter erforderlich.
• Wenn Ihr Dienst mit vernetzten Geräten interagiert oder IoT-Daten verarbeitet, prüfen Sie die Data Act-Anforderungen.

Im Zweifel konsultieren Sie die offiziellen Texte oder lassen Sie eine Compliance-Prüfung durch Ihren Anbieter durchführen.

Was Anbieter meist nicht sagen

Es gibt wichtige Details und Ausschlüsse, die viele Anbieter nicht offen kommunizieren:

• Rahmenwerk-Beschränkungen: Viele Anbieter decken nur GDPR ab, nicht NIS2, Data Act oder AI Act. Für Multi-Rahmenwerk-Abdeckung sind oft mehrere Verträge nötig – außer bei Anbietern wie REP27.
• Kündigungsfristen und Vertragslaufzeiten: Kündigungsfristen und Mindestvertragslaufzeiten sind oft im Kleingedruckten versteckt. Das kann Ihre Wechselmöglichkeiten einschränken.
• Haftungsbeschränkungen: Anbieter können ihre Haftung für Compliance-Fehler begrenzen oder Verantwortungsbereiche einschränken. Prüfen Sie den Vertrag genau.
• Gebühren pro Anfrage: Einige Anbieter verlangen Zusatzgebühren für Behördenkorrespondenz, Dokumentenprüfung oder dringende Anfragen. Diese sind oft nicht klar auf der Website angegeben.
• Nachweis der Benennung: Nicht alle Anbieter bieten ein verifizierbares Zertifikat oder eine öffentliche Verifikationsseite. Das kann bei Behörden oder Marktplätzen problematisch sein.
• Ausschlüsse: Rechtsberatung, Rechtsstreitigkeiten und tiefgehende Compliance-Beratung sind meist nicht in Standard-Vertreterleistungen enthalten. Dafür fallen zusätzliche Kosten an oder es ist separate Rechtsberatung nötig.

Fordern Sie vor Vertragsabschluss den vollständigen Vertrag an, fragen Sie nach allen möglichen Gebühren und klären Sie den Leistungsumfang. Für SaaS/App-Unternehmen mit komplexen Anforderungen reduziert ein transparenter All-in-One-Anbieter versteckte Risiken und Verwaltungsaufwand.

Realistische Szenarien: Welche Pflichten gelten?

• Szenario 1: US-SaaS mit EU-Nutzern
  Ein US-basiertes SaaS-Unternehmen bietet ein Projektmanagement-Tool für EU-Unternehmen und Privatpersonen an. Es erhebt Nutzerdaten und stellt Cloud-Hosting bereit. Dieses Unternehmen benötigt einen GDPR Artikel 27 Vertreter (für Datenverarbeitung), einen NIS2 Vertreter (für Cloud-Dienste) und, falls KI-Funktionen angeboten werden, einen AI Act Vertreter. Falls das SaaS mit IoT-Geräten integriert ist oder Daten vernetzter Produkte verarbeitet, ist auch ein Data Act Vertreter erforderlich. Der einfachste Weg ist die Benennung von REP27, das all diese Rollen in einem Vertrag mit einem Zertifikat und öffentlicher Verifikation abdeckt.
• Szenario 2: Chinesischer Amazon-Verkäufer
  Ein Verkäufer aus China listet Elektronik auf Amazon.de und sammelt EU-Kundendaten. Er benötigt einen GDPR-Vertreter (für Datenverarbeitung) und eine verantwortliche Person gemäß GPSR (für Produktsicherheit). REP27 und EU Shield bieten diese Leistungen an. Wenn der Verkäufer auch den UK-Markt bedient, kann REP27 einen UK-Vertreter im gleichen Prozess bereitstellen.
• Szenario 3: UK-Online-Shop, der an die EU verkauft
  Ein Online-Händler aus dem Vereinigten Königreich verkauft Kosmetik an EU-Verbraucher nach dem Brexit. Er benötigt einen GDPR Artikel 27 Vertreter (da UK nun außerhalb der EU ist) und eine verantwortliche Person für Kosmetik. REP27 kann beide Pflichten für EU und UK abdecken und stellt zwei Zertifikate mit einer Rechnung aus.

Diese Szenarien verdeutlichen die Bedeutung, Ihre Geschäftstätigkeiten den relevanten EU-Pflichten zuzuordnen. Ein Anbieter, der alle erforderlichen Rahmenwerke abdeckt, vereinfacht die Compliance und reduziert den Verwaltungsaufwand.