Elf Fragen, die man uns stellt, bevor man einen EU-Vertreter beauftragt

 Die meisten Fragen, die uns erreichen, betreffen nicht den Gesetzestext. Sie betreffen das, was danach kommt: wer antwortet, wie schnell, was es kostet, wenn tatsächlich etwas passiert. Hier die elf häufigsten, so klar wie möglich beantwortet — einschließlich der beiden, bei denen die ehrliche Antwort uns den Auftrag kostet.

1. Betrifft uns das wirklich?

Artikel 3 Absatz 2 DSGVO erfasst ein außerhalb der Union niedergelassenes Unternehmen, sobald es Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet. Es gibt keine Umsatzschwelle und keine Mindestzahl an Kunden. Auch ein kostenloses Angebot zählt, denn ausgelöst wird die Pflicht durch die Verarbeitung personenbezogener Daten, nicht durch die Zahlung. Der Verkauf an Unternehmen ändert nichts, denn auf der anderen Seite stehen natürliche Personen.

Die Ausnahme des Artikels 27 Absatz 2 Buchstabe a existiert, ist aber eng: gelegentliche Verarbeitung, geringes Risiko, keine besonderen Kategorien. Auf eine gewerbliche Tätigkeit passt sie selten.

2. Macht das nicht unser Datenschutzbeauftragter?

Nein, und das ist das teuerste Missverständnis der Branche. Der Datenschutzbeauftragte arbeitet nach den Artikeln 37 bis 39, berät intern und darf überall auf der Welt sitzen. Der Vertreter arbeitet nach Artikel 27, empfängt statt zu beraten und muss in der Union niedergelassen sein. Nach den Leitlinien des EDSA kann ein und dieselbe Stelle nicht beide Rollen für dasselbe Unternehmen ausüben, weil sie in Konflikt geraten können.

3. Kann unser EU-Händler oder unsere Kanzlei das übernehmen?

Nur wenn diese Stelle in der Union niedergelassen ist und die Rolle förmlich schriftlich annimmt. Ein Händler, der nie eine Benennung unterschrieben hat, ist nicht Ihr Vertreter, und eine Kanzlei, die Sie verteidigt, ebenso wenig. Artikel 27 verlangt eine namentlich benannte Stelle, veröffentlicht in Ihrer Datenschutzerklärung, an die sich Behörden und Betroffene wenden können.

4. Was bekommen wir konkret?

Vier Dinge. Ein unterzeichnetes Benennungsschreiben nach Artikel 27 Absatz 1, mit einer elektronischen Signatur nach der Verordnung (EU) Nr. 910/2014 — kein eingescanntes Bild. Ein Zertifikat mit QR und Prüfcode, der ein öffentliches Register in Echtzeit abfragt. Den exakten Text zu den Artikeln 13 und 14 für Ihre Datenschutzerklärung, erzeugt in jeder Sprache, die Ihre Website veröffentlicht. Und eine eigene Adresse mit Postfach und Webformular, an der die Anfragen eingehen.

5. Was passiert an dem Tag, an dem eine Behörde schreibt?

Stunde null: Die Nachricht erreicht die eigene Adresse, wird mit Eingangsstempel und Aktenzeichen versehen und im Register abgelegt. Innerhalb von zwei Werktagen geht sie an Ihre benannte Kontaktperson, mit dem Original im Anhang und der Frist im Klartext. Tag dreißig: Die Frist für das Betroffenenrecht läuft ab, und die Anfragestelle zeigt das beiden Seiten, damit es niemand zu spät erfährt.

Was wir nie tun: in der Sache antworten, verhandeln oder in Ihrem Namen sprechen. Artikel 27 macht uns zum Kontaktpunkt, nicht zum Verteidiger, und der Vertrag sagt das ausdrücklich.

6. Warum trägt das Zertifikat einen Code, statt nur ein PDF zu sein?

Weil ein PDF beweist, was am Tag der Unterschrift wahr war. Über heute sagt es nichts, und jeder kann es mit einem Texteditor verändern.

Unser Badge ist eine Zeile HTML, die das Benennungsregister in Echtzeit liest: grün, solange die Benennung aktiv ist, rot an dem Tag, an dem sie ausläuft. Niemand kann einen Status anzeigen, den er nicht mehr hat — wir eingeschlossen. Genau diese Beschränkung ist der Wert: Ein Siegel, das nicht aufhören kann zu lügen, ist nichts wert.

7. Was kostet es wirklich?

290 Euro im Jahr für die Union, mit bis zu zehn weitergeleiteten Anfragen. 490 Euro mit unbegrenzten Anfragen, Verwahrung Ihres Verzeichnisses nach Artikel 30 für die Behörden und der Anfragestelle in acht Sprachen, mit der Dreißig-Tage-Frist für beide Seiten sichtbar. 890 Euro ergänzen die verantwortliche Person nach Artikel 16 GPSR, den Bevollmächtigten nach der Verordnung (EU) 2019/1020 und ein Postfach nur für Sie. Ab dem zweiten Jahr sinken die Verlängerungen auf 240, 390 und 690 Euro.

Die Preise verstehen sich zuzüglich Mehrwertsteuer, die Abrechnung erfolgt jährlich im Voraus, und die Kündigung vor der Verlängerung ist frei. Regulierte und risikoreiche Tätigkeiten — Gesundheitsdaten, Biometrie, Kredit, Dating, Minderjährige, Datenhandel — werden gesondert angeboten.

Die Zahl, die mehr zählt als alle anderen: Es wird in keinem Tarif etwas pro Anfrage berechnet. In diesem Markt sind fünfzig bis zweihundert Euro je Kontakt üblich, und man merkt es im elften Monat, wenn kein Spielraum mehr bleibt.

8. Deckt das auch das Vereinigte Königreich ab?

Nein. Seit dem Brexit ist das UK GDPR ein eigenes Regime mit eigener Aufsichtsbehörde. Ein in einem Mitgliedstaat niedergelassener Vertreter hat vor dem ICO keine Stellung, wer also beide Märkte erreicht, braucht zwei Benennungen. Wir stellen beide in einer Bestellung aus, ab 390 Euro im Jahr, mit zwei Zertifikaten, zwei Codes und zwei Textzeilen für die Datenschutzerklärung — denn eine einzige Zeile mit einer einzigen Stelle wäre vor der jeweils anderen Behörde falsch.

9. Macht uns Ihre Benennung in Europa für alles haftbar?

Nein. Sie begründet keine Niederlassung, verschiebt nicht Ihren steuerlichen Sitz und dehnt die DSGVO nicht auf Verarbeitungen aus, die ohnehin außerhalb lagen. Sie gibt Behörden und Betroffenen eine erreichbare Adresse.

Und Artikel 27 Absatz 5 ist ausdrücklich: Verfahren können weiterhin unmittelbar gegen Sie geführt werden. Jeder Anbieter, der andeutet, die Benennung sei ein Schutzschild, verkauft etwas, das die Verordnung nicht enthält.

10. Wir sind eine Einzelperson, kein Unternehmen. Geht das trotzdem?

Ja, und das ist neu, weil die Annahme dieses Marktes nicht mehr trägt. Ein erheblicher Teil der Waren, die europäische Käufer erreichen, stammt von Privatpersonen und Einzelunternehmern, die über Marktplätze ohne eigene Website verkaufen.

Das Formular nimmt Privatpersonen an: Steuernummer oder nationale Kennnummer statt Registernummer, der eigene Name statt der Firma, ein Verkaufskanal statt einer Website. Das Feld für die Gesellschaft wird gar nicht erst abgefragt.

11. Woher wissen wir, dass Sie echt sind?

Prüfen Sie uns so, wie wir es unseren Kunden für jeden Anbieter empfehlen. Europe Services SE ist IČO 03571785 im tschechischen Handelsregister; REP27 LTD ist 17385889 bei