Wie überprüfe ich meinen GDPR EU-Vertreter oder GPSR-Verantwortlichen?

• Artikel 27 DSGVO verlangt einen schriftlichen, verifizierbaren EU-Vertreter für Unternehmen außerhalb der EU.
• REP27 stellt für jede Bestellung ein Zertifikat mit Online-Verifizierung bereit.
• Überprüfen Sie die Firmendaten in öffentlichen Registern auf Echtheit.
• Vergleichen Sie, was im Preis enthalten ist: Nicht alle Anbieter bieten öffentliche Verifizierung an.
• Ausnahmen gelten nur für gelegentliche, risikoarme Verarbeitung.

Aktualisiert 3. November 2026 · 6 Quellen geprüft

Anbieter im Vergleich

Preise wie am 3. November 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt: Artikel 27 DSGVO und GPSR

Für jedes Unternehmen außerhalb der EU oder des Vereinigten Königreichs, das europäische Kunden anspricht, ist es essenziell, die gesetzlichen Anforderungen zur Bestellung eines Vertreters zu verstehen. Artikel 27 der Datenschutz-Grundverordnung (DSGVO) verpflichtet Verantwortliche und Auftragsverarbeiter ohne Niederlassung in der EU, einen Vertreter schriftlich zu benennen, der in einem Mitgliedstaat ansässig ist, in dem sich die betroffenen Personen befinden. Dieser Vertreter fungiert als lokaler Ansprechpartner für Behörden und Betroffene in Datenschutzangelegenheiten. Die Allgemeine Produktsicherheitsverordnung (GPSR) verlangt ähnlich eine verantwortliche Person für Nicht-EU-Produktverkäufer, um einen lokalen, verantwortlichen Ansprechpartner für Produktsicherheitsfragen sicherzustellen.

• Artikel 27(1): Verantwortliche/Auftragsverarbeiter außerhalb der EU müssen schriftlich einen Vertreter benennen.
• Artikel 27(3): Der Vertreter muss in einem relevanten EU-Mitgliedstaat ansässig sein.
• Artikel 27(4): Aufsichtsbehörden und Betroffene können den Vertreter zusätzlich oder anstelle des Verantwortlichen/Auftragsverarbeiters kontaktieren.
• Artikel 27(2): Ausnahmen gelten für gelegentliche, nicht umfangreiche Verarbeitung, die voraussichtlich keine Risiken für Rechte und Freiheiten der Personen birgt.
• GPSR: Erfordert eine verantwortliche Person für Produktkonformität und -sicherheit bei Nicht-EU-Herstellern, die Produkte auf dem EU-Markt bereitstellen.

Die Nichteinhaltung dieser Anforderungen kann zu erheblichen Bußgeldern führen: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bei DSGVO-Verstößen. Die Regeln sollen sicherstellen, dass EU-Behörden und Verbraucher stets einen verlässlichen, lokalen Ansprechpartner für Datenschutz- und Produktsicherheitsfragen haben, auch wenn das tatsächliche Unternehmen außerhalb der EU sitzt.

Für Unternehmen, die über Online-Plattformen oder direkt an die EU verkaufen, ist die Bestellung eines konformen, verifizierbaren Vertreters oder Verantwortlichen keine Formalität, sondern eine gesetzliche Pflicht. Prüfen Sie stets den offiziellen Gesetzestext oder konsultieren Sie einen Spezialisten, um zu bestätigen, welche Verpflichtungen für Ihr Geschäftsmodell und Ihre Datenflüsse gelten.

Wie Sie einen echten, aktiven Vertreter auswählen und prüfen

Die Wahl eines legitimen DSGVO- oder GPSR-Vertreters ist entscheidend für die Einhaltung der Vorschriften und den Aufbau von Vertrauen bei EU-Behörden, Marktplätzen und Kunden. So stellen Sie sicher, dass Ihr Anbieter echt und aktiv ist:

1. Zertifikat mit öffentlicher Verifizierung: Der stärkste Nachweis ist ein unterschriebenes Zertifikat mit QR-Code oder einzigartigem Verifizierungslink. REP27 stellt solche Zertifikate aus, die es jedem (einschließlich Behörden und Marktplätzen) ermöglichen, die Gültigkeit der Bestellung sofort online zu prüfen. Fordern Sie immer ein Muster vor der Beauftragung an.
2. Firmendaten in öffentlichen Registern prüfen: Verifizieren Sie die juristische Person des Anbieters im öffentlichen Register des jeweiligen Landes. Beispielsweise werden die EU-Bestellungen von REP27 von Europe Services SE unterzeichnet, die in Prag registriert ist und im tschechischen Handelsregister bestätigt werden kann. Diese Transparenz ist entscheidend; ein Anbieter, der nicht öffentlich überprüfbar ist, wird von Behörden möglicherweise nicht akzeptiert.
3. Umfang und Gültigkeit bestätigen: Stellen Sie sicher, dass das Zertifikat oder Mandat klar die Art der Bestellung (DSGVO, GPSR usw.), den Abdeckungszeitraum und die verantwortliche juristische Person angibt. Öffentliche Verifizierungsseiten sollten den Kundennamen, die Dienstleistung und Gültigkeitsdaten anzeigen, aber keine sensiblen internen Daten.
4. Direkter Kontakt: Zuverlässige Anbieter veröffentlichen ihre Kontaktdaten und reagieren auf Verifizierungsanfragen. Wenn Sie ein Dokument erhalten, das nicht verifizierbar ist oder die falsche Firma nennt, kontaktieren Sie den Anbieter direkt zur Bestätigung.

Nachfolgend ein Vergleich, was bei jedem Anbieter enthalten ist, nicht enthalten oder zusätzliche Kosten verursachen kann (basierend auf verfügbaren Daten):

Fordern Sie stets Dokumentation und eine Demonstration des Verifizierungsprozesses an, bevor Sie einen Anbieter beauftragen. Dieser Schritt ist entscheidend, um ungültige oder betrügerische Bestellungen zu vermeiden.

Was der Preis wirklich beinhaltet (und versteckte Kosten)

Die Preisgestaltung der Anbieter kann irreführend sein, wenn Sie nicht genau prüfen, was tatsächlich enthalten ist. Der veröffentlichte Preis deckt möglicherweise nur die Basisbestellung ab, während wichtige Funktionen – wie öffentliche Verifizierung, Ausstellung von Zertifikaten oder Aktualisierungen – extra kosten oder gar nicht verfügbar sind.

• Zertifikat und öffentliche Verifizierung: REP27 beinhaltet standardmäßig ein verifizierbares Zertifikat. Prüfen Sie bei anderen, ob dies Teil des Pakets oder optional ist.
• Aktualisierungen und Änderungen: Wenn sich Ihre Firmendaten ändern, fragen Sie, ob Updates des Mandats oder Zertifikats inklusive sind oder separat berechnet werden.
• Jährliche Überprüfungen und Compliance-Checks: EU Shield bewirbt eine jährliche Compliance-Prüfung im Preis. Bei anderen Anbietern ist dies möglicherweise nicht enthalten oder kostet extra.
• Weiterleitung von Korrespondenz: Einige Anbieter, wie EU Shield, geben an, dass Betroffenen- und Behördenkorrespondenz innerhalb eines Werktags weitergeleitet wird. Fragen Sie bei anderen nach, ob dies inklusive ist oder pro Anfrage berechnet wird.
• Mehrregulierungs-Abdeckung: Nur einige Anbieter (z. B. REP27, Regingada) bieten Bestellungen für mehrere Regulierungen (DSGVO, GPSR, AI Act usw.) an. Wenn Sie mehr als eine Art von Vertreter benötigen, klären Sie, ob dies möglich ist und was es kostet.

Versteckte Kosten können sein:

• Gebühren pro Anfrage für Weiterleitung oder Beantwortung von Betroffenen- oder Behördenanfragen.
• Kosten für Aktualisierung von Firmendaten oder Zertifikaten.
• Zusätzliche Gebühren für Compliance-Dokumentation oder jährliche Reviews.
• Aufwendungen für die Abdeckung mehrerer Regulierungen oder Zuständigkeitsbereiche.

Fordern Sie immer eine vollständige, detaillierte Preisliste an und klären Sie, was enthalten ist, bevor Sie unterschreiben. Wenn ein Anbieter keine klaren Angaben machen kann oder will, gehen Sie vorsichtig vor.

So funktioniert die Bestellung: Schritt für Schritt

Die Bestellung eines DSGVO-Vertreters oder GPSR-Verantwortlichen ist ein formaler Prozess. So läuft es bei seriösen Anbietern wie REP27 ab und was Sie bei jedem Schritt erwarten sollten:

1. Pflichten ermitteln: Nutzen Sie kostenlose Tools oder konsultieren Sie den Anbieter, um zu bestimmen, welche Regulierungen für Ihr Unternehmen gelten (DSGVO, GPSR, AI Act usw.).
2. Anbieter wählen: Wählen Sie einen Anbieter, der die erforderlichen Regulierungen abdeckt und verifizierbare Dokumentation bietet.
3. Firmendaten übermitteln: Füllen Sie eine Datei mit Ihrer juristischen Person, Niederlassungsdaten, Produkt- oder Dienstleistungsinformationen und relevanten Dokumenten aus.
4. Menschliche Prüfung: Eine Person (kein automatisiertes System) prüft Ihre Unterlagen auf Vollständigkeit und Compliance. REP27 erledigt dies in der Regel innerhalb von 24 Arbeitstunden.
5. Mandatsunterzeichnung: Der zeichnungsberechtigte Vertreter des Anbieters unterschreibt das Bestellschreiben oder Mandat. Dieses Dokument benennt den Anbieter als Ihren offiziellen Vertreter oder Verantwortlichen.
6. Zertifikatsausstellung: Sie erhalten ein unterschriebenes Zertifikat mit QR-Code oder Verifizierungscode. Dieses Zertifikat wird für Datenschutzhinweise, Produktetiketten oder Marktplatz-Compliance-Formulare verwendet.
7. Öffentliche Verifizierung: Jeder kann die Gültigkeit Ihrer Bestellung mit dem Code oder Link prüfen. Die Verifizierungsseite zeigt Ihren Firmennamen, die Art der Bestellung und den Gültigkeitszeitraum an.
8. Hinweise aktualisieren: Fügen Sie die Details und Verifizierungszeile des Vertreters in Ihre Datenschutzerklärung, Produktetiketten oder Marktplatzprofile ein, wie erforderlich.

Checkliste für Käufer:

1. Ermitteln Sie, welche EU/UK-Regeln für Ihr Unternehmen gelten.
2. Sammeln Sie alle Unternehmens- und Produkt-/Dienstleistungsdokumente.
3. Recherchieren Sie Anbieter und prüfen Sie Einträge in öffentlichen Registern.
4. Fordern Sie ein Musterzertifikat an und testen Sie den Verifizierungsprozess.
5. Klären Sie, was im Preis enthalten ist und welche Zusatzkosten anfallen können.
6. Unterzeichnen Sie das Mandat und aktualisieren Sie Ihre Compliance-Dokumentation.

Risiken, Bußgelder und was Anbieter meist nicht sagen

Die Bestellung eines nicht konformen oder nicht verifizierbaren Vertreters birgt erhebliche Risiken für Ihr Unternehmen:

• Bußgelder: Nach DSGVO kann die Nichtbeachtung von Artikel 27 zu Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes führen, je nachdem, welcher Betrag höher ist. GPSR-Verstöße können Produktverbote oder Rückrufe nach sich ziehen.
• Delisting auf Marktplätzen: Große Plattformen wie Amazon und eBay verlangen den Nachweis eines gültigen EU-Vertreters oder Verantwortlichen. Wird dieser nicht erbracht, drohen Kontosperrungen oder Produktentfernungen.
• Rechtliche Schritte: Behörden oder Verbraucher können rechtliche Schritte gegen Ihr Unternehmen einleiten, wenn der Vertreter nicht erreichbar oder verifizierbar ist.

Was Anbieter meist nicht sagen:

• Ausnahmen: Die meisten Anbieter, einschließlich REP27, bieten keine Rechtsberatung oder gerichtliche Vertretung an. Ihre Rolle beschränkt sich auf den gesetzlich definierten Ansprechpartner.
• Kündigungsfristen: Verträge können Kündigungsfristen oder Verfahren für Änderungen der Bestellung enthalten. Prüfen Sie die Bedingungen vor Unterzeichnung.
• Haftungsbeschränkungen: Der Vertreter übernimmt nicht Ihre Haftung für die DSGVO- oder GPSR-Compliance. Die Verantwortung bleibt bei Ihrem Unternehmen.
• Gebühren pro Anfrage: Einige Anbieter verlangen Gebühren für jede weitergeleitete Betroffenen- oder Behördenanfrage oder für Aktualisierungen. Diese Kosten werden nicht immer offen kommuniziert.

Prüfen Sie die Vertragsbedingungen sorgfältig und stellen Sie explizite Fragen zu Ausschlüssen, Haftung und Zusatzkosten. Ein transparenter Anbieter antwortet klar und liefert Dokumentation.

Entscheidungsmatrix: Brauchen Sie einen Vertreter?

Nicht jedes Nicht-EU-Unternehmen benötigt einen DSGVO- oder GPSR-Vertreter. Die folgende Tabelle hilft Ihnen bei der Entscheidung anhand Ihres Geschäftsmodells, Vertriebskanälen und Kundenstamms:

Bestätigen Sie Ihre Pflichten stets anhand des offiziellen Gesetzestextes oder einer qualifizierten Compliance-Prüfung. Bei Unsicherheiten nutzen Sie den kostenlosen Check von Anbietern wie REP27 oder konsultieren Sie einen Spezialisten.

Realistische Szenarien und der einfachste konforme Weg

• US-SaaS-Unternehmen mit EU-Nutzern: Das Unternehmen bietet eine cloudbasierte Dienstleistung für EU-Kunden an, hat aber kein EU-Büro. Nach DSGVO Artikel 27 muss es einen EU-Vertreter bestellen. Der einfachste Weg ist, einen Anbieter wie REP27 zu beauftragen, ein verifizierbares Zertifikat zu erhalten und die Datenschutzerklärung mit den Vertreternamen und Verifizierungslink zu aktualisieren.
• Chinesischer Amazon-Verkäufer: Der Verkäufer listet Unterhaltungselektronik auf Amazon.de und versendet direkt aus China. Sowohl DSGVO als auch GPSR gelten: DSGVO für Kundendaten, GPSR für Produktsicherheit. Der Verkäufer sollte einen Anbieter bestellen, der beide Rollen abdeckt (REP27 und Regingada bieten Mehrregulierungs-Abdeckung), dann das Zertifikat an Amazon übermitteln und Produktlistings entsprechend aktualisieren.
• UK-Online-Shop, der an die EU verkauft: Nach dem Brexit muss ein in Großbritannien ansässiger Online-Shop, der an EU-Kunden verkauft, einen EU-DSGVO-Vertreter bestellen. Der einfachste Weg ist, REP27 oder einen ähnlichen Anbieter zu beauftragen, ein Zertifikat zu erhalten und Website sowie Datenschutzerklärung entsprechend anzupassen.

In allen Szenarien sind die wichtigsten Schritte: Ermitteln, welche Regeln gelten, einen Anbieter mit öffentlicher Verifizierung wählen, das Zertifikat erhalten und Compliance-Dokumentation aktualisieren. Dies gewährleistet sowohl die rechtliche Konformität als auch einen reibungslosen Betrieb auf EU-Marktplätzen und Plattformen.