Nexvyra

DSGVO Art. 27 (VO 2016/679) – EU-Vertreter für Verantwortliche und Auftragsverarbeiter aus Drittländern In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-09-29 · letzte Prüfung: 2026-09-29 · Quellen-Autorität A Fehler melden ✉
Kurzantwort **Art. 27 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** verpflichtet Verantwortliche und Auftragsverarbeiter **ohne Niederlassung in der EU**, die nach dem Marktortprinzip **Art. 3 Abs. 2 DSGVO** unter die DSGVO fallen (Angebot von Waren/Dienstleistungen an Personen in der EU oder Beobachtung ihres Verhaltens), **schriftlich einen Vertreter in der Union zu benennen**. Der Vertreter ist Anlaufstelle für Aufsichtsbehörden und Betroffene. Ausnahmen gelten nur für **gelegentliche** Verarbeitung ohne umfangreiche sensible Daten und ohne Risiko sowie für Behörden (Abs. 2). Die DSGVO ist als **EU-Verordnung unmittelbar in Deutschland anwendbar** – ein nationales Umsetzungsgesetz ist nicht erforderlich. Der Verstoß gegen Art. 27 fällt in den **niedrigeren** Bußgeldrahmen des **Art. 83 Abs. 4 lit. a DSGVO**: bis zu **10 Mio. € oder 2 % des weltweiten Jahresumsatzes**. Die Benennung entlastet den Drittland-Verantwortlichen **nicht** von seiner eigenen Haftung (Abs. 5).

Kernfakten

PunktWert
RechtsaktVerordnung (EU) 2016/679 (DSGVO), Art. 27, Art. 4 Nr. 17, ErwG 80 [EUR-Lex, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)
Geltung ab25. Mai 2018
VerpflichteteVerantwortliche und Auftragsverarbeiter ohne EU-Niederlassung, die unter Art. 3 Abs. 2 fallen
Formschriftliche Benennung (Abs. 1)
Ausnahme (Abs. 2 lit. a)Verarbeitung gelegentlich, ohne umfangreiche Verarbeitung besonderer Kategorien (Art. 9 Abs. 1) oder Straftaten-Daten (Art. 10) und voraussichtlich kein Risiko für Rechte und Freiheiten
Ausnahme (Abs. 2 lit. b)Behörden und öffentliche Stellen
Sitz des Vertreters (Abs. 3)in einem Mitgliedstaat, in dem sich die betroffenen Personen befinden
Aufgabe (Abs. 4)Anlaufstelle zusätzlich oder anstelle des Verantwortlichen für Aufsichtsbehörden und Betroffene in allen Fragen der Verarbeitung
Haftung (Abs. 5)Benennung lässt rechtliche Schritte gegen den Verantwortlichen selbst unberührt
DurchsetzungErwG 80: Vertreter soll bei Verstößen des Auftraggebers Durchsetzungsverfahren unterliegen
TransparenzKontaktdaten des Vertreters in Informationspflichten (Art. 13 Abs. 1 lit. a, Art. 14 Abs. 1 lit. a) und im Verzeichnis (Art. 30 Abs. 1 lit. a, Abs. 2 lit. a)
Bußgeldrahmenbis 10 Mio. € oder 2 % weltweiter Jahresumsatz [Art. 83 Abs. 4 lit. a]
Zuständige Behörde in DELandesdatenschutzbehörde bzw. BfDI je nach Zuständigkeit (Prüfung im Einzelfall)

Geltungsbereich

Art. 27 greift nur, wenn kein Sitz und keine Niederlassung in der EU besteht und die DSGVO über Art. 3 Abs. 2 anwendbar ist: (a) Angebot von Waren oder Dienstleistungen an betroffene Personen in der Union (auch unentgeltlich), oder (b) Beobachtung des Verhaltens dieser Personen in der Union (z. B. Tracking, Profiling). Für Verantwortliche mit EU-Niederlassung gilt Art. 3 Abs. 1, dort ist kein Vertreter nötig.

Typische Fälle: Online-Shops, SaaS-Anbieter, Apps und Plattformen mit Sitz z. B. in den USA, Indien oder – nach dem Brexit – im Vereinigten Königreich, sofern sie sich an Nutzer in der EU richten. Ein Angemessenheitsbeschluss oder ein Datenübermittlungsinstrument (Kapitel V) ersetzt die Benennung nicht; das sind getrennte Regelungsbereiche.

Die Ausnahme nach Abs. 2 im Detail

Die Ausnahme ist eng. Sie erfordert, dass die Verarbeitung gelegentlich ist, nicht umfangreich besondere Datenkategorien oder Strafdaten umfasst und voraussichtlich nicht zu einem Risiko führt. Ein dauerhaft betriebener Shop, ein Newsletter-Dienst oder ein Tracking-Setup ist regelmäßig nicht „gelegentlich". Die Beweislast für das Vorliegen der Ausnahme trägt im Streitfall der Verantwortliche (Rechenschaftspflicht, Art. 5 Abs. 2). Hinweis: Die genaue Auslegung durch den EDPB (Leitlinien 3/2018 zum räumlichen Anwendungsbereich, Abschnitt 5) sollte vor Anwendung im Einzelfall gegen den Originaltext geprüft werden – daher factcheck_status = review_needed.

Anforderungen an den Vertreter

Beweislast und Nachweispflichten

Wer sich auf die Ausnahme beruft oder einen Vertreter benannt hat, muss dies dokumentieren: schriftliches Mandat, Nachweis der Kontaktdaten in Datenschutzerklärung (Art. 13/14) und im Verarbeitungsverzeichnis (Art. 30), Begründung der Ausnahme nach Abs. 2. Fehlt der Vertreter, drohen Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (höherer Wert) sowie aufsichtsbehördliche Anordnungen nach Art. 58.

Häufige Fehler

Änderungsverlauf

Stand

Quellen

Letzte Änderung:
2026-09-29
Letzte Prüfung:
2026-09-29
In Kraft seit:
2018-05-25
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.