Welche EU-Rechtsakte verlangen einen Vertreter?
Fünf EU-Rechtsakte verlangen von Nicht-EU-Unternehmen einen Vertreter in der Union: Art. 27 DSGVO, Art. 13 DSA, Art. 54 KI-VO, Art. 26 Abs. 3 NIS2 und Art. 37 Abs. 11 Data Act. Alle fünf gelten bereits. Art. 22 KI-VO gilt noch nicht: Die Verordnung (EU) 2026/1744 verschiebt ihn auf 2. Dezember 2027 (Anhang III) und 2. August 2028 (Anhang I).
- Art. 27 DSGVO — Verantwortliche und Auftragsverarbeiter außerhalb der EU, seit 25. Mai 2018
- Art. 13 DSA — Vermittlungsdienste, die in der EU angeboten werden, seit 17. Februar 2024
- Art. 54 KI-VO — Bevollmächtigter für Drittstaats-Anbieter von GPAI-Modellen, seit 2. August 2025
- Art. 22 KI-VO — Hochrisiko-KI-Systeme; durch Verordnung (EU) 2026/1744 verschoben auf den 2. Dezember 2027 (Anhang III) und 2. August 2028 (Anhang I)
- Art. 26 Abs. 3 NIS2 — die dort genannten Einrichtungsarten; in Deutschland über das BSIG seit 6. Dezember 2025
- Art. 37 Abs. 11 Data Act — vernetzte Produkte, verbundene Dienste und Datenverarbeitungsdienste (Cloud) in der EU, seit 12. September 2025
Greift die Pflicht bei Ihrem Geschäftsmodell?
Entscheidend ist Ihr Angebot, nicht Ihr Sitz. Art. 3 Abs. 2 DSGVO greift, wenn Sie Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten; der DSA hat einen eigenen Maßstab, die „wesentliche Verbindung zur Union“ (Art. 3 lit. d, e DSA): Ausrichtung oder eine gemessen an der Bevölkerung erhebliche Nutzerzahl — seit 17. Februar 2024.
| Ihr Geschäftsmodell | Typische Pflichten |
|---|---|
| SaaS oder App mit EU-Nutzern | Art. 27 DSGVO; Art. 13 DSA, sobald Nutzerinhalte gehostet werden |
| Online-Marktplatz oder soziales Netzwerk | Art. 13 DSA (ohne Schwelle), Art. 27 DSGVO, Art. 26 Abs. 3 NIS2 meist ab mittlerer Größe |
| Cloud, Rechenzentrum, CDN, Managed Services; DNS, TLD-Registry, Domain-Namen-Registrierungsdienst (größenunabhängig) | Art. 26 Abs. 3 NIS2; Art. 37 Abs. 11 Data Act (Cloud) |
| KI-Modell mit allgemeinem Verwendungszweck | Art. 54 KI-VO, sofern Art. 54 Abs. 6 nicht greift |
| Vernetzte Produkte, verbundene Dienste | Art. 37 Abs. 11 Data Act |
Aufgaben, Haftung und Fristen nebeneinander: die fünf Vertreterpflichten im Vergleich.
Ab wann gilt welche Pflicht?
Alle fünf Pflichten gelten bereits: DSGVO seit 25. Mai 2018, DSA seit 17. Februar 2024, Art. 54 KI-VO seit 2. August 2025, Data Act seit 12. September 2025 und die NIS2-Vertreterpflicht über nationales Umsetzungsrecht (anzuwenden ab 18. Oktober 2024), in Deutschland über das BSIG seit 6. Dezember 2025.
Nur Art. 22 KI-VO (Hochrisiko-Systeme) steht aus; die verschiebende Verordnung (EU) 2026/1744 ist seit 27. Juli 2026 in Kraft.
Was macht der Vertreter tatsächlich?
Er ist Ihre Adresse in der Union: Behörden und — nach der DSGVO — betroffene Personen wenden sich an ihn, neben oder statt Ihnen. Nach Art. 30 DSGVO führt er das Verzeichnis der Verarbeitungstätigkeiten, nach Art. 13 Abs. 2 DSA braucht er Befugnisse und Mittel zur Zusammenarbeit.
Die Haftung ist abgestuft: Nach den Leitlinien 3/2018 (Fassung 2.1) des Europäischen Datenschutzausschusses haftet er nicht anstelle des Verantwortlichen; Abhilfemaßnahmen und Bußgelder können aber nach Art. 58 Abs. 2, 83 DSGVO an ihn gerichtet werden, für seine eigenen Pflichten aus Art. 30, 58 Abs. 1 lit. a DSGVO haftet er unmittelbar. Art. 13 Abs. 3 DSA geht weiter: Er kann selbst haftbar gemacht werden.
Was passiert ohne Benennung?
Sie verlieren die Bündelung der Zuständigkeit. Art. 37 Abs. 13 Data Act sagt es: Bis ein Vertreter benannt ist, ist jeder Mitgliedstaat zuständig. Die niederländische Aufsicht hat Locatefamily.com dafür nach Art. 27 DSGVO 525.000 € Bußgeld auferlegt, veröffentlicht am 12. Mai 2021.
Bußgeldrahmen je Rechtsakt: Bußgelder bei fehlendem EU-Vertreter (englisch).
Wie benennt man einen EU-Vertreter?
Schriftlich und bevor Sie den Dienst in der EU anbieten — nicht erst beim ersten Kunden: prüfen, welche Pflichten greifen; einen passenden Mitgliedstaat wählen; das schriftliche Mandat schließen, das Art. 27 Abs. 1 DSGVO und Art. 13 Abs. 1, 2 DSA verlangen; dem Vertreter die nötigen Unterlagen übergeben; die Angaben veröffentlichen, wo das Gesetz es verlangt.
Alle Schritte stehen in der Anleitung EU-Vertreter benennen: Schritt für Schritt (englisch). Wer die Funktion nicht selbst aufbaut, vergibt sie — an die Regingada UG (haftungsbeschränkt): EU-Vertreter nach Art. 27 DSGVO benennen.
Wann brauchen Sie keinen Vertreter?
Eine EU-Niederlassung, die die Tätigkeit ausübt, beendet die Pflicht nach Art. 27 DSGVO, Art. 13 DSA, Art. 26 Abs. 3 NIS2 und Art. 37 Abs. 11 Data Act. Art. 54 KI-VO knüpft dagegen an Anbieter aus Drittländern an; eine EU-Tochter allein genügt nicht. Art. 22 folgt ab 2. Dezember 2027 und 2. August 2028.
- Art. 27 Abs. 2 DSGVO, kumulativ: gelegentliche Verarbeitung, keine umfangreichen Daten nach Art. 9, 10, kein voraussichtliches Risiko; dazu Behörden.
- Art. 13 DSA: keine Ausnahme, keine Schwelle.
- Art. 54 Abs. 6 KI-VO: freie, quelloffene Modelle mit öffentlichen Gewichten, Architektur- und Nutzungsinformationen — außer bei systemischen Risiken.
- Art. 26 Abs. 3 NIS2: die in Art. 26 Abs. 1 lit. b genannten Einrichtungsarten, meist ab mittlerer Größe; DNS, TLD-Registries und Domain-Namen-Registrierungsdienste größenunabhängig (Art. 2 Abs. 2 lit. a Ziff. iii, Abs. 4 NIS2).
Unklarer Grenzfall? Erstgespräch mit dem Rechtsanwalt anfragen. Wer die Vertreterfunktion vergeben möchte: EU-Vertretung durch die Regingada UG →
Die Benennung selbst übernimmt die Regingada UG (haftungsbeschränkt), eine rechtlich getrennte, anwaltseigene Gesellschaft; die rechtliche Prüfung ist ein eigenes Mandat der Kanzlei. Zwei Verträge, getrennt abgerechnet; keine Beauftragung setzt die andere voraus, keine Vermittlungsentgelte.
Häufige Fragen
Wird man durch die Benennung in der EU niedergelassen?
Nein. Art. 13 Abs. 5 DSA stellt ausdrücklich klar, dass die Benennung keine Niederlassung in der Union begründet. Für die DSGVO vertritt der Europäische Datenschutzausschuss dieselbe Auffassung: Die Anwesenheit des Vertreters macht den Verantwortlichen nicht nach Art. 3 Abs. 1 DSGVO niedergelassen.
Darf man den Mitgliedstaat frei wählen?
Nicht überall. Nach Art. 27 Abs. 3 DSGVO muss der Vertreter in einem Mitgliedstaat sitzen, in dem betroffene Personen sind. DSA und NIS2 verlangen einen Staat, in dem Dienste angeboten werden. Der Data Act lässt die Wahl frei.
Ist der Datenschutzbeauftragte zugleich der Vertreter?
Das sind zwei verschiedene Rollen: der Vertreter nach Art. 27 DSGVO, der Datenschutzbeauftragte nach Art. 37 DSGVO. Nach Auffassung des Europäischen Datenschutzausschusses sind beide bei einem externen Datenschutzbeauftragten nicht miteinander vereinbar (Leitlinien 3/2018, Fassung 2.1) — eine Auslegung, kein gesetzliches Verbot. Beide Rollen nebeneinander: EU-Vertreter und Datenschutzbeauftragter im Vergleich (englisch).
Genügt eine EU-Tochtergesellschaft?
Wenn die Tochter eine Niederlassung im Sinne des jeweiligen Rechtsakts ist und die betreffende Tätigkeit ausübt, entfällt die Vertreterpflicht. Art. 54 KI-VO ist anders gebaut: Die Pflicht knüpft an Anbieter an, die in einem Drittland niedergelassen sind; Art. 22 KI-VO wird ab dem 2. Dezember 2027 und 2. August 2028 ebenso anknüpfen. Das wird je Rechtsakt eigenständig beurteilt.
Fundstellen: Verordnung (EU) 2016/679 (DSGVO) · Verordnung (EU) 2022/2065 (DSA) · Verordnung (EU) 2024/1689 (KI-VO) · Verordnung (EU) 2026/1744 · Verordnung (EU) 2023/2854 (Data Act) · Richtlinie (EU) 2022/2555 (NIS2) · BSIG · EDSA, Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO (Fassung 2.1) · Autoriteit Persoonsgegevens, Bußgeld gegen Locatefamily.com (12.05.2021) · Bußgeldbescheid vom 10. Dezember 2020 (PDF)
Theo Funk, Rechtsanwalt — zugelassen bei der Rechtsanwaltskammer Bamberg. Stand: 12.09.2026.