Wer wirklich einen DSGVO-Vertreter braucht — und warum manche Unternehmen sich öffentlich nennen lassen

 Es gibt in der DSGVO einen Satz, der still für Tausende Unternehmen gilt, die ihn nie gelesen haben. Er besagt: Wenn Sie außerhalb der Europäischen Union sitzen und Menschen innerhalb erreichen, muss jemand in der Union in Ihrem Namen erreichbar sein — eine benannte Kontaktstelle für Behörden und Betroffene. Man nennt sie den Vertreter nach Artikel 27. Das Vereinigte Königreich hat nach dem Brexit seine Spiegelversion unter der UK GDPR hinzugefügt. Und die meisten Unternehmen, die einen brauchen, ahnen es nicht.

Dies ist kein Verkaufstext. Es ist der Versuch, klar die Fragen zu beantworten, die Menschen wirklich stellen, wenn sie zum ersten Mal über diese Pflicht stolpern — und eine Sache zu erklären, die fast alle überrascht: warum manche Unternehmen, statt zu verbergen, dass sie vertreten werden, sich dafür öffentlich nennen lassen.

„Betrifft mich das überhaupt?"

Die Pflicht schaut nicht auf Ihre Größe oder Ihren Umsatz. Sie folgt einer Sache: der Reichweite. Sind Sie Verantwortlicher oder Auftragsverarbeiter außerhalb der EU und bieten Sie Personen in der Union Waren oder Dienstleistungen an oder beobachten deren Verhalten, bringt Sie Artikel 3(2) in den Anwendungsbereich. Es gibt keine Umsatzschwelle. In der Praxis trifft das viele Unternehmen, die sich gar nicht als „EU-gerichtet" sehen — die US-Software mit europäischen Anmeldungen, die App mit Nutzern in Frankreich oder Deutschland, der Auftragsverarbeiter, der europäische Daten für seine eigenen Kunden verarbeitet. Und es sind nicht mehr nur Unternehmen: Auch Einzelunternehmer und reine Marktplatz-Verkäufer, die einen Amazon- oder Etsy-Shop ohne eigene Website führen, fallen unter dieselbe Logik, sobald sie EU-Kunden erreichen.

„Ist das nicht dasselbe wie ein DSB?"

Nein, und das ist die häufigste Verwechslung. Der Vertreter ist Ihre externe Kontaktstelle innerhalb der Union nach Artikel 27. Der Datenschutzbeauftragte ist eine interne Beratungsrolle nach den Artikeln 37 bis 39. Das sind verschiedene Aufgaben, und eine Einheit kann für dasselbe Unternehmen nicht sauber beides sein.

„EU oder UK — was brauche ich?"

Das hängt davon ab, wo Ihre Personen sind. Erreichen Sie Personen in der EU, brauchen Sie einen EU-Vertreter. Erreichen Sie Personen im Vereinigten Königreich, brauchen Sie einen UK-Vertreter. Erreichen Sie beide — und viele Unternehmen tun das — brauchen Sie beide, denn es sind zwei getrennte Rechtspflichten, nicht eine. Die ehrliche Antwort: Sehr viele Unternehmen brauchen das Paar und entdecken die zweite Hälfte erst spät.

Warum „Sicherheit" hier „Überprüfbarkeit" heißt

Wenn jemand fragt, ob eine Vertretung „sicher" ist, meint er meist etwas Bestimmtes: Kann ich darauf vertrauen, dass sie echt, aktuell und beweisbar ist — kein PDF, das mir jemand einmal schickte und vergaß? Die Frage zählt, weil es bei Artikel 27 nicht mehr nur darum geht, eine Behörde zufriedenzustellen. Es geht darum, einen Käufer zufriedenzustellen. Wenn ein Unternehmen einen Lieferanten prüft, ist „Wer ist Ihr EU-Vertreter, und kann ich das überprüfen?" heute eine normale Position. Ein statisches Dokument, das alles behaupten könnte, übersteht dieses Gespräch nicht. Eine Benennung, die man gegen ein Live-Register prüfen kann, schon. Diese Überprüfbarkeit — ein Zertifikat mit einem Code, den jeder scannen kann, um zu bestätigen, dass es jetzt aktiv ist — ist es, was „Sicherheit" hier wirklich bedeutet.

Der überraschende Teil: sich zeigen wollen

Nach Artikel 27 vertreten zu sein, ist naturgemäß eine öffentliche Tatsache. Der Name Ihres Vertreters muss ohnehin in Ihrer Datenschutzerklärung stehen. Manche Unternehmen gehen einen Schritt weiter und stimmen zu, auch auf der Seite des Vertreters öffentlich genannt zu werden. Warum sollte sich jemand freiwillig dazu melden? Weil hier Sichtbarkeit und Vertrauen in dieselbe Richtung zeigen. Für das vertretene Unternehmen ist das öffentliche Erscheinen ein kleines, überprüfbares Signal an die eigenen Kunden und Partner — ja, wir haben das ordentlich gemacht, und hier können Sie es bestätigen. Es geschieht nur mit Einwilligung; niemand wird gelistet, der nicht zugestimmt hat. Aber wenn ein Unternehmen zustimmt, wird die ganze Sache transparenter — genau das, was Artikel 27 von Anfang an erreichen wollte.

Wo die Sieben-Tage-Testphase hineinpasst

Hier der praktische Teil, und der Grund, warum diese Pflicht weniger einschüchternd ist, als sie klingt. Sie müssen nicht blind entscheiden. Sie können mit einer kostenlosen Sieben-Tage-Testphase beginnen, ohne Kreditkarte, und tatsächlich sehen, wie Vertretensein aussieht — die unterschriebene Benennung, das Zertifikat, das Live-Prüfsiegel — bevor Sie sich zu irgendetwas verpflichten. Für eine Pflicht, die ganz auf Transparenz gebaut ist, wirkt das Prüfen vor dem Kauf wie der Kern der Sache, nicht wie ein Extra. Die Website lässt sich sogar wie eine App auf dem Handy installieren, sodass Ihr Status und Ihr Anfrage-Schalter mit Ihnen reisen statt in einer Schublade zu liegen.

Die ehrlichen Grenzen

Zwei Dinge sollte man klar sagen. Ein Vertreter ist eine Kontaktstelle, kein Schutzschild: Artikel 27(5) stellt ausdrücklich klar, dass Behörden weiterhin direkt gegen Sie vorgehen können, und die Benennung schafft weder eine EU-Niederlassung noch verlagert sie Ihren steuerlichen Sitz. Und es ist keine Rechtsberatung. Wer es als Immunität beschreibt, beschreibt etwas, das die Verordnung nicht enthält.

Das Fazit ist leiser als ein Verkaufstext. Artikel 27 ist eine breite, gewöhnliche Pflicht, die gewöhnliche Unternehmen trifft, sobald sie europäische Nutzer haben. Ihre ganze Logik ist Transparenz — eine erreichbare, überprüfbare Kontaktstelle, die jeder bestätigen kann. Unternehmen, die sie so behandeln, auch jene, die sich öffentlich nennen lassen, kaufen keinen Schutz. Sie machen etwas überprüfbar.

Also eine echte Frage an alle, die je mit der Compliance eines Lieferanten zu tun hatten: Als er sagte, er sei „DSGVO-konform" — haben Sie tatsächlich geprüft, ob er einen EU-Vertreter hat, oder reichte am Ende „wir sind konform"? Ich würde gern wissen, wie oft wirklich jemand nachschaut 👇