EU-Vertreterpflichten im Vergleich: DSGVO, DSA, KI-VO, NIS2 und Data Act

§ I Wer muss einen EU-Vertreter benennen — und nach welchem der fünf Regime?

Fünf Unionsrechtsakte begründen je eine eigene Benennungspflicht: Art. 27 DSGVO, Art. 13 DSA, Art. 22 und 54 KI-VO (Art. 54 heute, Art. 22 ab 2027/2028), Art. 26 Abs. 3 NIS2 und Art. 37 Abs. 11 Data Act. Jede hat ihren eigenen Tatbestand, und ein einzelnes Unternehmen außerhalb der EU kann von mehreren zugleich erfasst sein.

Die fünf Pflichten knüpfen an fünf verschiedene Sachverhalte an; die Prüfung muss für jeden Anbieter alle fünf getrennt durchlaufen. Ob überhaupt eine der Pflichten Ihr Geschäftsmodell trifft, behandelt gesondert der Beitrag Wann Sie einen EU-Vertreter benennen müssen — und wann nicht.

Art. 27 DSGVO erfasst Verantwortliche und Auftragsverarbeiter ohne Niederlassung in der Union, deren Verarbeitung unter Art. 3 Abs. 2 DSGVO fällt — also Verarbeitungen im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Personen in der Union, unabhängig von einer Zahlung, oder mit der Beobachtung ihres Verhaltens, soweit dieses in der Union erfolgt.1 Die Pflicht steht unter einer ausdrücklichen Ausnahme: Kein Vertreter ist erforderlich, wenn die Verarbeitung nur gelegentlich erfolgt, nicht die umfangreiche Verarbeitung besonderer Kategorien von Daten nach Art. 9 oder von Daten über strafrechtliche Verurteilungen nach Art. 10 einschließt und voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt — drei kumulative Voraussetzungen — oder wenn es sich um eine Behörde oder öffentliche Stelle handelt.2

Art. 13 DSA erfasst Anbieter von Vermittlungsdiensten — reine Durchleitung, Caching und Hosting im Sinne von Art. 3 Buchst. g DSA —, die keine Niederlassung in der Union haben, dort aber Dienste anbieten. „Dienste in der Union anbieten“ setzt eine wesentliche Verbindung zur Union voraus, die Art. 3 Buchst. e DSA über eine Niederlassung, eine erhebliche Zahl von Nutzern in einem oder mehreren Mitgliedstaaten oder die Ausrichtung der Tätigkeit auf mindestens einen Mitgliedstaat definiert. Eine Bagatellausnahme wie in Art. 27 Abs. 2 DSGVO gibt es nicht: keine Nutzerschwelle, keine Umsatzgrenze, keine Gelegenheitsausnahme.3

Art. 22 und 54 KI-VO teilen die Pflicht auf zwei Anbieterklassen auf; der Rechtsakt spricht vom Bevollmächtigten (englisch: authorised representative, US-Schreibweise: authorized representative). Nach Art. 22 Abs. 1 wird ein in einem Drittland niedergelassener Anbieter durch schriftliches Mandat einen in der Union niedergelassenen Bevollmächtigten benennen müssen, bevor er ein Hochrisiko-KI-System auf dem Unionsmarkt bereitstellt — eine Pflicht, die noch nicht gilt (§ V). Nach Art. 54 Abs. 1 gilt dasselbe für Drittland-Anbieter von KI-Modellen mit allgemeinem Verwendungszweck vor dem Inverkehrbringen des Modells; diese Pflicht gilt seit dem 2. August 2025. Art. 54 Abs. 6 nimmt Anbieter solcher Modelle aus, die unter einer freien und quelloffenen Lizenz bereitgestellt werden und deren Parameter, Gewichte, Architektur- und Nutzungsinformationen öffentlich verfügbar sind — es sei denn, das Modell birgt systemische Risiken.4

Art. 26 Abs. 3 NIS2 erfasst einen abschließenden Katalog von Einrichtungsarten aus Art. 26 Abs. 1 Buchst. b der Richtlinie: DNS-Diensteanbieter, TLD-Namenregister, Einrichtungen, die Domain-Namen-Registrierungsdienste erbringen, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke. Ist eine solche Einrichtung nicht in der Union niedergelassen, bietet dort aber Dienste an, muss sie einen Vertreter in der Union benennen, der in einem der Mitgliedstaaten niedergelassen ist, in denen die Dienste angeboten werden.5 Aus der Rechtsaktform folgen zwei strukturelle Unterschiede: NIS2 ist eine Richtlinie, die Pflicht erreicht die Einrichtung also über nationales Umsetzungsrecht; und der Tatbestand ist kategoriengebunden — wer nicht unter den Katalog des Art. 26 Abs. 1 Buchst. b fällt, ist nicht erfasst, wie groß sein Unionsgeschäft auch sein mag. Die Kategoriezugehörigkeit allein genügt allerdings nicht: Die Einrichtung muss einer der Kategorien des Art. 26 Abs. 1 Buchst. b angehören und in den Anwendungsbereich der Richtlinie nach Art. 2 fallen — im Regelfall erst ab der Schwelle des mittleren Unternehmens nach der Empfehlung 2003/361/EG. Größenunabhängig erfasst sind mehrere Gruppen: Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter (Art. 2 Abs. 2 Buchst. a NIS2); Einrichtungen, die Domain-Namen-Registrierungsdienste erbringen, also Registrare (Art. 2 Abs. 4 NIS2); dazu die weiteren Fälle des Art. 2 Abs. 2 Buchst. b bis f und des Art. 2 Abs. 3 NIS2. Ein kleiner Nicht-EU-Anbieter von Cloud-, CDN-, Managed- oder Marktplatzdiensten, der unterhalb der Schwelle und außerhalb dieser Fälle bleibt, ist nicht erfasst.5

Art. 37 Abs. 11 Data Act ist die jüngste und die am wenigsten beachtete der fünf Pflichten — nicht zuletzt, weil sie in einem Artikel mit der Überschrift „Zuständige Behörden und Datenkoordinatoren“ steht. Ihr Wortlaut ist weit: Jeder „in den Anwendungsbereich dieser Verordnung fallende Rechtsträger, der in der Union vernetzte Produkte bereitstellt oder Dienste anbietet und nicht in der Union niedergelassen ist, benennt einen Vertreter in einem der Mitgliedstaaten“ (amtliche deutsche Fassung). Die Vertreterpflicht selbst kennt weder einen Kategorienkatalog noch eine Größenschwelle noch eine Ausnahme; größenbezogene Ausnahmen enthält die Verordnung nur an anderer Stelle — Art. 7 Abs. 1 nimmt Kleinst- und kleine Unternehmen im Grundsatz von den Datenteilungspflichten des Kapitels II aus —, und keine davon schränkt Art. 37 Abs. 11 ein.16

§ II Wozu ist jeder Vertreter eigentlich mandatiert?

Die Mandate unterscheiden sich: Der DSGVO-Vertreter ist für Behörden und Betroffene ansprechbar (Art. 27 Abs. 4); der DSA-Vertreter muss Durchsetzungsentscheidungen entgegennehmen und umsetzen (Art. 13 Abs. 2); der KI-VO-Bevollmächtigte prüft und verwahrt Konformitätsunterlagen (Art. 54 Abs. 3; Art. 22 Abs. 3 ab 2027/2028); der NIS2-Vertreter verankert die Zuständigkeit; der Data-Act-Vertreter weist die Rechtstreue auf Verlangen nach (Art. 37 Abs. 12).

Der DSGVO-Vertreter ist mandatiert, zusätzlich zu dem oder anstelle des Verantwortlichen oder Auftragsverarbeiters von Aufsichtsbehörden und von betroffenen Personen in allen Fragen der Verarbeitung angesprochen zu werden (Art. 27 Abs. 4 DSGVO). Die Ansprechbarkeit für Private ist unter den fünf Regimen einzigartig: Eine betroffene Person in der Union kann sich unmittelbar an den Vertreter wenden. Der Vertreter führt außerdem das Verzeichnis von Verarbeitungstätigkeiten, soweit anwendbar (Art. 30 Abs. 1 DSGVO), und seine Identität gehört in die Transparenzinformationen nach Art. 13 Abs. 1 Buchst. a und Art. 14 Abs. 1 Buchst. a DSGVO. Einen Katalog von Mandatsinhalten enthält Art. 27 nicht; dass die Benennung durch ein ausdrückliches schriftliches Mandat zu erfolgen hat, ergibt sich aus Erwägungsgrund 80 DSGVO.6

Der DSA-Rechtsvertreter trägt das weiteste Mandat: Er muss ermächtigt sein, von den zuständigen Behörden der Mitgliedstaaten, der Kommission und dem Europäischen Gremium für digitale Dienste in allen Fragen angesprochen zu werden, die für den Empfang, die Einhaltung und die Durchsetzung von Entscheidungen nach der Verordnung erforderlich sind (Art. 13 Abs. 2 DSA). Der Anbieter muss dem Vertreter die erforderlichen Befugnisse und ausreichende Ressourcen verschaffen, um eine effiziente und rechtzeitige Zusammenarbeit zu gewährleisten — eine gesetzliche Ausstattungspflicht, die die übrigen Regime in dieser Form nicht kennen.7

Der KI-VO-Bevollmächtigte trägt einen dokumentationszentrierten Katalog in produktsicherheitsrechtlicher Präzision — als einziger der fünf ist er abschließend im Gesetz ausformuliert. Für Hochrisiko-Systeme gilt der Katalog des Art. 22 Abs. 3 erst ab Dezember 2027 bzw. August 2028 (§ V); er lautet: Prüfung, ob EU-Konformitätserklärung und technische Dokumentation erstellt und das Konformitätsbewertungsverfahren durchgeführt wurden; zehnjährige Bereithaltung der Unterlagen für die zuständigen Behörden; Auskunft auf begründetes Verlangen; Zusammenarbeit mit den Behörden; Erfüllung der Registrierungspflichten nach Art. 49. Für GPAI-Modelle (Art. 54 Abs. 3) steht die technische Dokumentation nach Anhang XI im Mittelpunkt sowie die Anbieterpflichten aus Art. 53 und, bei systemischen Risiken, Art. 55, mit dem Büro für Künstliche Intelligenz als zentralem Gegenüber. Beide Varianten kennen eine Pflicht, die sonst nirgends im Vergleich auftaucht: Der Bevollmächtigte muss das Mandat niederlegen und die zuständige Behörde — bei GPAI-Modellen das Büro für Künstliche Intelligenz — unterrichten, wenn er der Auffassung ist oder Grund zu der Annahme hat, dass der Anbieter seinen Pflichten zuwiderhandelt (Art. 22 Abs. 4, Art. 54 Abs. 5).8

Der NIS2-Vertreter hat das dünnste gesetzliche Profil der fünf. Art. 26 Abs. 3 beschreibt die Rolle über ihre Zuständigkeitsfolge — die Einrichtung gilt als der Gerichtsbarkeit des Mitgliedstaats unterfallend, in dem der Vertreter niedergelassen ist — und nicht über einen Aufgabenkatalog. Der operative Gehalt der Rolle ergibt sich deshalb aus dem nationalen Umsetzungsrecht und aus den umliegenden Pflichten der Richtlinie: den Registrierungsangaben nach Art. 27, der Zusammenarbeit mit den zuständigen Behörden und CSIRTs sowie den Meldepflichten der Einrichtung nach Art. 23, für die der Vertreter als adressierbare Unionspräsenz fungiert.9

Der Data-Act-Vertreter — die amtliche deutsche Fassung spricht vom „Vertreter“ eines „Rechtsträgers“ — ist mandatiert, zusätzlich zu dem oder anstelle des Rechtsträgers von den zuständigen Behörden in allen Fragen angesprochen zu werden, die diesen Rechtsträger betreffen. Art. 37 Abs. 12 fügt eine Pflicht hinzu, die unter den fünf hier verglichenen Regimen kein unmittelbares Gegenstück hat: Der Vertreter arbeitet mit den zuständigen Behörden zusammen und erbringt ihnen auf Anfrage „den umfassenden Nachweis für die Maßnahmen und die Bestimmungen“, die der Rechtsträger zur Gewährleistung der Einhaltung der Verordnung ergriffen bzw. aufgestellt hat. Das ist eine aktive Nachweispflicht, keine Zustelladresse — und sie setzt voraus, dass der Vertreter tatsächlich Zugriff auf die Compliance-Unterlagen des Rechtsträgers hat.16

§ III Wer haftet, wenn der Anbieter seine Pflichten verletzt — Anbieter, Vertreter oder beide?

Von den fünf Regimen lässt nur Art. 13 Abs. 3 DSA zu, den Vertreter selbst für Verstöße des Anbieters haftbar zu machen. Die DSGVO kennt keine stellvertretende Haftung; Bußgelder können an ihn adressiert werden. Die KI-VO wird den Bevollmächtigten für eigene Art.-22-Verstöße ab 2. Dezember 2027 (Anhang III) und 2. August 2028 (Anhang I) mit Bußgeldern belegen, VO (EU) 2026/1744.

Die DSA-Besonderheit: Eigenhaftung des Vertreters, Art. 13 Abs. 3

Art. 13 Abs. 3 DSA ist die Ausnahmevorschrift des Vergleichs: Er erlaubt es ausdrücklich, den Rechtsvertreter in eigener Person für die Nichteinhaltung der Verordnung durch den Anbieter haftbar zu machen — zusätzlich zur, nicht anstelle der Haftung des Anbieters. Keines der vier übrigen Regime enthält eine vergleichbare Klausel.10 Hinzu kommt ein Zuständigkeitshebel: Nach Art. 56 Abs. 6 DSA stellt der Mitgliedstaat, in dem der Rechtsvertreter ansässig oder niedergelassen ist, den zuständigen Koordinator für digitale Dienste — bei sehr großen Online-Plattformen und Online-Suchmaschinen daneben die Kommission; ist kein Vertreter benannt, sind nach Art. 56 Abs. 7 DSA alle Koordinatoren zuständig, bei diesen Anbietern zusätzlich die Kommission, und das Unterlassen der Benennung ist selbst ein Verstoß, der nach den gemäß Art. 52 DSA erlassenen nationalen Vorschriften sanktioniert wird.

Die DSGVO-Lage ist enger — und besser belegt, als sie üblicherweise wiedergegeben wird. Nach dem Europäischen Datenschutzausschuss begründet die DSGVO „keine stellvertretende Haftung des Vertreters anstelle des von ihm vertretenen Verantwortlichen oder Auftragsverarbeiters“. Zugleich wurde das Institut gerade geschaffen, um Durchsetzung zu ermöglichen: Aufsichtsbehörden können Durchsetzungsverfahren über den Vertreter einleiten, und dazu gehört die Möglichkeit, Abhilfemaßnahmen oder gegen den Nicht-EU-Verantwortlichen verhängte Geldbußen an den Vertreter zu adressieren (Art. 58 Abs. 2, Art. 83 DSGVO). Die eigene unmittelbare Haftung des Vertreters ist demgegenüber auf seine eigenen Pflichten aus Art. 30 und Art. 58 Abs. 1 Buchst. a DSGVO beschränkt. Erwägungsgrund 80 ergänzt, dass der benannte Vertreter Durchsetzungsverfahren im Fall der Nichteinhaltung durch den Verantwortlichen oder Auftragsverarbeiter unterliegen sollte.11

Der KI-VO-Bevollmächtigte haftet nicht für die materiellen Verstöße des Anbieters, sein eigener Aufgabenkatalog ist aber bußgeldbewehrt — mit einem Datum davor. Art. 99 Abs. 4 Buchst. b KI-VO knüpft Geldbußen an die Nichteinhaltung der Pflichten des Bevollmächtigten aus Art. 22. Die Pflichten des Bevollmächtigten nach Art. 54 (GPAI-Modelle) sind in Art. 99 Abs. 4 nicht genannt, und Art. 101 richtet sich gegen die Anbieter dieser Modelle, nicht gegen ihre Bevollmächtigten. Weil Art. 22 selbst erst ab dem 2. Dezember 2027 (Anhang III) und dem 2. August 2028 (Anhang I) gilt, trifft den Bevollmächtigten bislang kein unionsrechtlicher Bußgeldtatbestand, der an seinen eigenen Aufgabenkatalog anknüpft. Sanktionsfrei ist er deshalb nicht. Art. 99 Abs. 5 KI-VO erfasst jeden, der auf ein Auskunftsverlangen notifizierten Stellen oder nationalen Behörden — und über den neuen Art. 75c Abs. 4 UAbs. 3 auch dem Büro für Künstliche Intelligenz — unrichtige, unvollständige oder irreführende Auskünfte erteilt, mit Geldbußen bis zu 7,5 Mio. EUR oder 1 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Art. 99 Abs. 1 KI-VO in der Fassung der Verordnung (EU) 2026/1744 verpflichtet die Mitgliedstaaten, Sanktionen für jeden Verstoß eines Akteurs gegen die Verordnung vorzusehen — und der Bevollmächtigte ist Akteur, ausdrücklich nach Art. 3 Nr. 8 i. V. m. Nr. 5 KI-VO, auch der eines GPAI-Modells — allerdings vorbehaltlich des Art. 88 Abs. 1 KI-VO, nach dem allein die Kommission Kapitel V überwacht und durchsetzt, in dem die Pflicht des Art. 54 steht. Art. 75c Abs. 4 UAbs. 2 Buchst. a KI-VO eröffnet dem KI-Büro Geldbußen für den Verstoß gegen jede anwendbare Bestimmung der Verordnung, einschließlich der nicht in Art. 99 Abs. 4 genannten — allerdings nur im Rahmen seiner eigenen Zuständigkeit nach Art. 75 Abs. 1, die bestimmte KI-Systeme erfasst und nicht GPAI-Modelle als solche. Zusammen mit der Niederlegungs- und Meldepflicht macht die KI-VO ihren Bevollmächtigten damit zu einem aktiv beaufsichtigten Compliance-Knoten und nicht zu einer passiven Kontaktstelle.

Unter NIS2 trifft den Vertreter keine ausdrückliche Haftungsvorschrift. Die Durchsetzungsinstrumente der Richtlinie — Aufsichtsmaßnahmen und Geldbußen nach Art. 32 bis 34, angewandt über nationales Recht — richten sich an die wesentliche oder wichtige Einrichtung, und die Bußgeldrahmen des Art. 34 sind an Verstöße gegen Art. 21 und 23 geknüpft, nicht an Art. 26 Abs. 3. Art. 26 Abs. 4 stellt klar, dass die Benennung rechtliche Schritte gegen die Einrichtung unberührt lässt; die Sanktion für das Unterlassen steht im letzten Satz des Art. 26 Abs. 3: Ohne benannten Vertreter kann jeder Mitgliedstaat, in dem die Einrichtung Dienste erbringt, rechtliche Schritte wegen Verstößen gegen die Richtlinie einleiten — eine dezentrale Exposition, die dem Szenario des Art. 56 Abs. 7 DSA funktional entspricht.12

Der Data Act folgt dem NIS2-Muster und verschärft es. Art. 37 Abs. 13 bestimmt, dass der Rechtsträger der Zuständigkeit des Mitgliedstaats unterliegt, in dem sein Vertreter ansässig ist, dass die Benennung Haftung und rechtliche Schritte gegen ihn unberührt lässt — und dass er, bis er einen Vertreter benennt, „gegebenenfalls in die Zuständigkeit aller Mitgliedstaaten“ fällt. Der Preis des Nichtstuns ist hier also nicht in erster Linie ein Bußgeld, sondern der Verlust eines einzigen, berechenbaren Aufsichtsgegenübers.16

§ IV Wo muss die Benennung gemeldet, registriert oder veröffentlicht werden?

Nur der DSA verlangt eine eigenständige Behördenmeldung: Nach Art. 13 Abs. 4 meldet der Anbieter die Kontaktdaten des gesetzlichen Vertreters dem Koordinator für digitale Dienste und macht sie öffentlich zugänglich. Unter NIS2 reisen sie in der Registrierung nach Art. 27 NIS2 mit, unter der DSGVO in Datenschutzerklärung und Verzeichnis nach Art. 30; der Data Act kennt kein Register.

• DSGVO: kein Register und keine Meldung an eine Aufsichtsbehörde. Die Benennung muss schriftlich erfolgen und wird über die Dokumentation sichtbar: Identität und Kontaktdaten des Vertreters gehören in die Transparenzinformationen nach Art. 13/14 an die betroffenen Personen und in das Verarbeitungsverzeichnis nach Art. 30.
• DSA: Art. 13 Abs. 4 verlangt, Name, Postanschrift, E-Mail-Adresse und Telefonnummer des Rechtsvertreters dem Koordinator für digitale Dienste desjenigen Mitgliedstaats zu melden, in dem der Vertreter ansässig oder niedergelassen ist, und diese Angaben öffentlich zugänglich, leicht auffindbar, richtig und aktuell zu halten — in der Praxis auf der Website des Anbieters. In Deutschland ist Adressat die Koordinierungsstelle für digitale Dienste in der Bundesnetzagentur mit Sitz in Bonn (§§ 12, 14 DDG).
• KI-VO: Für Hochrisiko-Systeme nach Anhang III — mit Ausnahme der Nummer 2 dieses Anhangs, die nach Art. 49 Abs. 5 national registriert wird — führt die Registrierungspflicht des Art. 49 in die EU-Datenbank nach Art. 71, und Art. 49 Abs. 1 nennt neben dem Anbieter auch den Bevollmächtigten als Registrierungspflichtigen; ab dem 2. Dezember 2027 (Anhang III) und dem 2. August 2028 (Anhang I) wird die Einhaltung dieser Pflichten zudem zum geprüften Katalog des Bevollmächtigten nach Art. 22 Abs. 3 gehören. Für GPAI-Modelle gibt es keine Datenbankregistrierung; der Bevollmächtigte ist die dokumentierte Kontaktstelle gegenüber dem Büro für Künstliche Intelligenz.
• NIS2: Art. 27 verlangt von den dort genannten Einrichtungsarten — deckungsgleich mit dem Katalog des Art. 26 Abs. 1 Buchst. b — die Übermittlung von Name, Anschrift, Kontaktdaten, der Mitgliedstaaten mit Diensterbringung und der IP-Adressbereiche an die zuständige Behörde. Ist die Einrichtung nicht in der Union niedergelassen, verlangen Art. 27 Abs. 2 Buchst. c und d ausdrücklich Anschrift und Kontaktdaten des nach Art. 26 Abs. 3 benannten Vertreters: Auch die Benennung wird damit gemeldet, nur als Teil der Registrierung und nicht in einem eigenen Verfahren. Die zentrale Anlaufstelle des Mitgliedstaats leitet diese Angaben — ausgenommen die IP-Adressbereiche — für ein unionsweites Register an die ENISA weiter (Art. 27 Abs. 4); die Erstmeldungen waren bis zum 17. Januar 2025 fällig und sind aktuell zu halten. In Deutschland verlangen §§ 33, 34 BSIG die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik binnen drei Monaten, und § 34 Abs. 1 Nr. 3 und 4 BSIG verlangt ausdrücklich Anschrift und Kontaktdaten des nach § 60 Abs. 3 BSIG benannten Vertreters.13 Die deutsche Umsetzung im Einzelnen: NIS2 in Germany: What Non-EU Tech Companies Must Do (englisch).
• Data Act: kein Register und keine Meldepflicht. Die Benennung wird über Art. 37 Abs. 13 relevant: Sie bestimmt, welcher Mitgliedstaat zuständig ist — und solange sie fehlt, sind es alle.

Die Benennung begründet keine Niederlassung — Art. 13 Abs. 5 DSA

Unter keinem der fünf Regime begründet die Benennung eines Vertreters für sich genommen eine Niederlassung des Anbieters in der Union. Der DSA sagt das ausdrücklich in Art. 13 Abs. 5: „Die Benennung eines gesetzlichen Vertreters in der Union gemäß Absatz 1 gilt nicht als Niederlassung in der Union.“ Für die DSGVO kommt der Europäische Datenschutzausschuss zum selben Ergebnis: Die Präsenz des Vertreters in der Union begründet keine Niederlassung des Verantwortlichen oder Auftragsverarbeiters im Sinne des Art. 3 Abs. 1 DSGVO. KI-VO, NIS2 und Data Act enthalten keine vergleichbare ausdrückliche Klarstellung in die eine oder andere Richtung; was sie an die Benennung knüpfen, ist die Aufsichtszuständigkeit, nicht die Niederlassung.14

§ V Ab wann gilt welche Pflicht — und welche Uhren laufen bereits?

Jeder der fünf Rechtsakte bindet bereits: die DSGVO-Pflicht seit 25. Mai 2018, die DSA-Pflicht seit 17. Februar 2024, die NIS2-Pflicht seit 18. Oktober 2024 (Deutschland: 6. Dezember 2025), Art. 54 KI-VO seit 2. August 2025 und die Data-Act-Pflicht seit 12. September 2025. Nur Art. 22 KI-VO steht noch aus: 2. Dezember 2027 und 2. August 2028.

• DSGVO: Art. 27 gilt seit dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO).
• DSA: Die Verordnung gilt vollständig seit dem 17. Februar 2024 (Art. 93 Abs. 2 DSA); für benannte sehr große Online-Plattformen und -Suchmaschinen begannen die Pflichten bereits vier Monate nach ihrer Benennung im Jahr 2023.
• NIS2: Die Mitgliedstaaten mussten die Richtlinie bis zum 17. Oktober 2024 umsetzen und die Umsetzungsvorschriften ab dem 18. Oktober 2024 anwenden (Art. 41 NIS2); mehrere Mitgliedstaaten haben die Umsetzung erst nach diesem Termin abgeschlossen, sodass im Einzelfall das jeweils geltende nationale Recht zu prüfen ist. Das deutsche BSI-Gesetz in der Umsetzungsfassung ist am 6. Dezember 2025 in Kraft getreten.
• KI-VO: Der Zeitplan ist durch Art. 113 gestuft. Die Verordnung ist am 1. August 2024 in Kraft getreten. Die Kapitel I und II gelten seit dem 2. Februar 2025, ausgenommen die durch die Verordnung (EU) 2026/1744 eingefügten Verbote (Art. 5 Abs. 1 UAbs. 1 Buchst. ba und bb sowie Art. 5 Abs. 1a und 1b), die erst ab dem 2. Dezember 2026 gelten. Die GPAI-Vorschriften des Kapitels V — einschließlich der Bevollmächtigten-Pflicht des Art. 54 — gelten seit dem 2. August 2025. Seit dem 2. August 2026 gilt Art. 101 KI-VO (Kommissionsbußgelder gegen Anbieter von GPAI-Modellen). Kapitel III Abschnitte 1 bis 3 — darin die Bevollmächtigten-Pflicht des Art. 22 — sind durch die Verordnung (EU) 2026/1744 (ABl. 24. Juli 2026, in Kraft 27. Juli 2026) verschoben worden, die Art. 113 neu gefasst hat: Sie gelten ab dem 2. Dezember 2027 für Systeme, die nach Art. 6 Abs. 2 und Anhang III als Hochrisiko eingestuft sind, und ab dem 2. August 2028 für Systeme nach Art. 6 Abs. 1 und Anhang I (Produktvorschriften).15
• Data Act: Die Verordnung (EU) 2023/2854 gilt seit dem 12. September 2025 (Art. 50 UAbs. 2). Die Vertreterpflicht des Art. 37 Abs. 11 läuft damit seit einem Jahr — und sie ist diejenige der fünf, die in bestehenden Compliance-Unterlagen am seltensten abgebildet ist.16

Für die KI-VO-Planung ist die Reihenfolge praktisch bedeutsam: Ein Drittland-Anbieter von GPAI-Modellen unterliegt der Pflicht des Art. 54 bereits seit August 2025, während die Pflicht des Art. 22 für Hochrisiko-Systeme noch nicht gilt: Sie wird am 2. Dezember 2027 (Anhang III) und am 2. August 2028 (Anhang I) wirksam und ist dann Voraussetzung des rechtmäßigen Marktzugangs, da die Benennung der Bereitstellung des Systems vorausgehen muss.

§ VI Kann eine Einheit mehrere dieser Rollen zugleich halten?

Ja. Keiner der fünf Rechtsakte verbietet es, und gebündelte Vertretung ist verbreitet. Drei Bedingungen sind einzuhalten: Die Sitzregeln müssen gleichzeitig erfüllt sein, jede Rolle braucht ein eigenes schriftliches Mandat mit eigenem Aufgabenkatalog, und wer die DSA-Rolle übernimmt, übernimmt die Eigenhaftung aus Art. 13 Abs. 3.

Die fünf Tatbestände überschneiden sich leicht. Ein Drittland-Anbieter, der einen Online-Marktplatz betreibt, verarbeitet personenbezogene Daten von Unionsnutzern in großem Umfang (Art. 27 DSGVO), erbringt einen Hosting-Vermittlungsdienst (Art. 13 DSA) und fällt unter die Kategorie „Online-Marktplätze“ des Art. 26 Abs. 1 Buchst. b NIS2 — weil Online-Marktplätze in Anhang II und nicht unter den größenunabhängigen Fällen stehen, greift Art. 26 Abs. 3 NIS2 allerdings nur, wenn er zusätzlich den Anwendungsbereich des Art. 2 NIS2 erfüllt; bietet er zusätzlich vernetzte Produkte oder erfasste Dienste im Sinne des Data Act an, tritt Art. 37 Abs. 11 hinzu, und bringt er ein GPAI-Modell in Verkehr oder stellt er ein Hochrisiko-KI-System bereit, kommen Art. 54 oder Art. 22 KI-VO dazu. Jede Pflicht ist gesondert zu prüfen und zu erfüllen; keine absorbiert eine andere, und die Regime kennen keine wechselseitige Anerkennung.

Darf dieselbe Unionseinheit mehrere Rollen halten? Keiner der fünf Rechtsakte verbietet es, und die Praxis gebündelter Vertretung ist etabliert — der Europäische Datenschutzausschuss weist ausdrücklich darauf hin, dass die Vertreterfunktion auf der Grundlage eines Dienstleistungsvertrags ausgeübt und von einem breiten Kreis von Einrichtungen übernommen werden kann, darunter Rechtsanwaltskanzleien und Beratungsunternehmen, und dass ein Vertreter für mehrere Nicht-EU-Verantwortliche und -Auftragsverarbeiter tätig sein kann. Drei Bedingungen prägen die Gestaltung:

• Sitzkompatibilität. Der DSGVO-Vertreter muss in einem Mitgliedstaat niedergelassen sein, in dem sich die betroffenen Personen befinden (Art. 27 Abs. 3); der DSA-Vertreter in einem Mitgliedstaat, in dem der Anbieter seine Dienste anbietet; der NIS2-Vertreter in einem Mitgliedstaat, in dem die Dienste angeboten werden. KI-VO-Bevollmächtigter und Data-Act-Vertreter können überall in der Union sitzen. Für einen in Deutschland tätigen Anbieter kann eine deutsche Vertretereinheit alle fünf Sitzregeln zugleich erfüllen — und weil DSA, NIS2 und Data Act die Aufsichtszuständigkeit an den Sitz des Vertreters knüpfen, bündelt die Wahl die Aufsicht in einem Mitgliedstaat.
• Getrennte Mandate. Jede Rolle beruht auf einer eigenen schriftlichen Benennung mit eigenem gesetzlichem Aufgabenkatalog: Das DSGVO-Mandat umfasst die Ansprechbarkeit für betroffene Personen; das DSA-Mandat deckt Empfang, Einhaltung und Durchsetzung von Entscheidungen und verlangt Befugnisse und Ressourcen; das KI-VO-Mandat ist dokumentations- und prüfungszentriert und enthält die Niederlegungspflicht; die NIS2-Rolle verankert Zuständigkeit und Registrierung; das Data-Act-Mandat trägt die Pflicht, die Rechtstreue auf Verlangen umfassend nachzuweisen. Ein einziges undifferenziertes Instrument „EU-Vertretung“ würde die Rechtslage unter jedem der Regime verfehlen.
• Divergierende Risikopositionen. Wer die DSA-Rolle übernimmt, übernimmt die mögliche Eigenhaftung nach Art. 13 Abs. 3; wer die KI-VO-Rolle übernimmt, übernimmt eigene bußgeldbewehrte Pflichten samt der Pflicht, sich zu lösen und die Behörden zu unterrichten; die DSGVO-Rolle bringt mögliche Durchsetzungsverfahren und die Eigenhaftung für die eigenen Pflichten aus Art. 30 und Art. 58 Abs. 1 Buchst. a mit sich. Umsichtige Parteien bilden diese Asymmetrien in der Vertragsarchitektur ab — Leistungsumfang, Informationsflüsse, Freistellungen — statt die fünf Rollen als eine zu behandeln.

Soll die Vertreterfunktion ausgelagert statt intern besetzt werden, lassen sich die Vertreterleistungen für die einzelnen Regime der Regingada UG (haftungsbeschränkt) vergleichen.

§ VII Wie unterscheiden sich die fünf Regime im direkten Vergleich?

Alle fünf Regime begründen eine Benennungspflicht — die jüngste, Art. 37 Abs. 11 Data Act, seit 12. September 2025; allein Art. 22 KI-VO steht noch aus (2. Dezember 2027, 2. August 2028). Sie unterscheiden sich in vier Punkten: wer erfasst ist, wo der Vertreter sitzt, ob er selbst haftet (nur Art. 13 Abs. 3 DSA) und was das Unterlassen kostet.

Die folgende Tabelle stellt diese vier Punkte und sieben weitere Kriterien nebeneinander — mit den deutschen und unionsrechtlichen Bußgeldvorschriften dahinter.17

Die Tabelle verdichtet; sie entscheidet nicht. Ob ein konkreter Anbieter von einer, mehreren oder keiner der fünf Pflichten erfasst ist, hängt von der Diensteinordnung nach dem DSA, der Verarbeitungsanalyse nach Art. 3 Abs. 2 DSGVO, der Risikoeinstufung eines KI-Systems oder -Modells, der Kategorienprüfung nach NIS2 und der Anwendungsbereichsprüfung nach dem Data Act ab — fünf Prüfungen, die sich lohnen, wenn man sie gemeinsam und an einem Sachverhalt durchführt.