Ein Unternehmen außerhalb der EU kann einen Vertreter nach Artikel 27 DSGVO benötigen, obwohl es keine europäische Tochtergesellschaft unterhält. Entscheidend ist die konkrete Verarbeitung im Anwendungsbereich von Artikel 3 Absatz 2 und die Prüfung der gesetzlichen Ausnahmen. Eine geringe Mitarbeiterzahl oder ein europäischer Hostingstandort beantwortet diese Frage nicht.
Der Vertreter stellt eine erreichbare Anlaufstelle für betroffene Personen und Aufsichtsbehörden dar. Damit das praktisch funktioniert, braucht er ein schriftliches Mandat, aktuelle Informationen und eine belastbare Verbindung zu den Entscheidern des vertretenen Unternehmens. Dieser Leitfaden führt von der Pflichtprüfung zu einer ausgefüllten Auswahl- und Übergabeakte.
Die Pflicht anhand der Verarbeitung prüfen
Artikel 27 DSGVO knüpft an Artikel 3 Absatz 2 an. Dieser betrifft bestimmte Verarbeitungen eines nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiters: den Zusammenhang mit einem Angebot von Waren oder Dienstleistungen an Personen in der Union oder mit der Beobachtung ihres dortigen Verhaltens. Die Staatsangehörigkeit einer Person ist nicht der maßgebliche Anknüpfungspunkt.
Eine weltweit erreichbare Website bedeutet nicht automatisch, dass ihr Betreiber den EU-Markt adressiert. Angebot, Werbung, Bestellmöglichkeiten und tatsächlicher Zusammenhang müssen betrachtet werden. Umgekehrt kann ein dauerhaft auf Deutschland ausgerichteter Dienst erfasst sein, ohne dass bereits eine große Kundenzahl erreicht wurde. Eine allgemeine Mindestgröße für die Verhaltensbeobachtung steht nicht in Artikel 3 Absatz 2.
Die EDSA-Leitlinien 3/2018, endgültige Fassung 2.1 erläutern diese Anwendungsprüfung. Sie wird für die tatsächliche Rolle und Verarbeitung durchgeführt. Ein außereuropäischer Dienstleister erhält nicht allein deshalb sämtliche Verantwortlichenpflichten, weil sein Kunde europäisch ist. Seine eigene Einordnung und die vertraglichen Pflichten werden getrennt dokumentiert.
Ein ausgefülltes Beispiel für die Entscheidung
Ein fiktiver Anbieter in Kanada betreibt einen digitalen Zeichenkurs. Er hat keine Niederlassung in der EU, bewirbt dauerhaft deutschsprachige Kurse für Personen in Deutschland und Österreich und führt fortlaufende Konten mit Lernfortschritten. Die Kurse richten sich im Beispiel an Erwachsene. Der Anbieter entscheidet selbst über Kursangebot, Kontodaten und Fortschrittsdarstellung.
Seine Prüfakte hält fest: fortlaufendes, gezielt adressiertes Angebot; Verarbeitung von Personen in den angesprochenen Mitgliedstaaten; Verantwortlichenrolle für den beschriebenen Kursbetrieb; keine EU-Niederlassung für diese Tätigkeit. Die Verarbeitung wird Artikel 3 Absatz 2 zugeordnet. Dass das Unternehmen erst wenige Angestellte beschäftigt, ist für sich genommen kein Ausnahmegrund.
| Entscheidungsfeld | Ergebnis im Kursbeispiel | Beleg für die Akte |
|---|---|---|
| Betroffene Rechtsperson | Kanadischer Kursanbieter | Unternehmensangaben und Rollenbeschreibung |
| EU-Bezug | Gezieltes dauerhaftes Angebot in Deutschland und Österreich | Angebotsseiten und freigegebener Vertriebsplan |
| Verarbeitung | Konten, Teilnahme, Lernfortschritt | Konkreter Datenfluss und Verfahrensbeschreibung |
| Ausnahme wegen gelegentlicher Tätigkeit | Nicht erfüllt | Fortlaufender regulärer Kursbetrieb |
| Vertreter | Schriftliche Benennung vorgesehen | Auswahlakte und Mandat vor Betriebsfreigabe |
Dieser Entschluss gilt für den beschriebenen Prozess. Ein späteres Angebot für Kinder oder eine zusätzliche Auswertung sensibler Angaben wird nicht ungeprüft unter derselben knappen Aktennotiz fortgeführt. Die Verantwortlichen hinterlegen einen Anlass für eine neue Prüfung, sobald Zielgruppe, Datenarten oder europäische Präsenz wesentlich verändert werden.
Ausnahmen vollständig und kumulativ behandeln
Artikel 27 Absatz 2 enthält eine Ausnahme für Behörden oder öffentliche Stellen. Die weitere Ausnahme verlangt zusammen eine nur gelegentliche Verarbeitung, keine umfangreiche Verarbeitung der genannten besonderen Kategorien beziehungsweise Strafdaten und eine unter Berücksichtigung der Umstände voraussichtlich nicht risikobehaftete Verarbeitung. Es genügt nicht, eines dieser Elemente auszuwählen.
Im Kursbeispiel scheitert die Ausnahme bereits an der fortlaufenden regulären Tätigkeit. Die Dokumentation muss daher nicht künstlich einen niedrigen Risikowert erzeugen, um fehlende Gelegentlichkeit zu ersetzen. Bei einer tatsächlich vereinzelten Tätigkeit werden dagegen zusätzlich Datenarten, Umfang und Risiken bewertet. „Nur wenige Kunden“ wird nicht mit „nur gelegentlich“ gleichgesetzt.
Eine anderweitige Anerkennung des Datenschutzniveaus oder ein zulässiger Übermittlungsmechanismus beseitigt die Vertreterpflicht ebenfalls nicht. Die Fragen nach räumlicher Geltung, Vertreter und internationaler Datenübermittlung erhalten getrennte Ergebnisse. Für einen US-Anbieter gilt dieselbe Trennung, wie die Einordnung zu DSGVO-Pflichten von US-Unternehmen erläutert.
Den geeigneten Niederlassungsort bestimmen
Der Vertreter muss in einem Mitgliedstaat niedergelassen sein, in dem sich die vom Angebot oder der Beobachtung betroffenen Personen befinden. Im Beispiel kommen Deutschland und Österreich in Betracht. Der Anbieter wählt Deutschland, weil dort sein größerer Kommunikationsbedarf liegt und der ausgewählte Dienst die vorgesehenen Sprachen abdecken kann. Das ist eine praktische Auswahlbegründung, keine gesetzliche Mehrheitsregel.
Ein Vertreter kann die einschlägigen Verarbeitungen für mehrere Mitgliedstaaten betreuen. Der Anbieter braucht nicht automatisch einen separaten Vertrag pro Zielland. Er prüft aber, ob Anfragen aus Österreich tatsächlich verstanden, zugeordnet und bearbeitet werden können. Die Anschrift allein beweist noch keine funktionsfähige europäische Anlaufstelle.
Die Bestellung schafft auch keine Niederlassung des vertretenen Unternehmens im Sinne von Artikel 3 Absatz 1 und verschafft ihm nicht allein den One-Stop-Shop. Der Anbieter darf den Sitz des Vertreters daher nicht als frei wählbare federführende Aufsichtsbehörde behandeln. Er hält Zuständigkeitsfragen und Vertretungsmandat organisatorisch auseinander.
Anbieter anhand einer praktischen Probe vergleichen
Die Auswahl beginnt mit Aufgaben, die im Kursbetrieb tatsächlich anfallen können. Ein Teilnehmer verlangt Auskunft über gespeicherte Lernstände. Eine Behörde fragt nach dem Verzeichnis. Eine E-Mail beschreibt einen fremden Kontoauszug im persönlichen Bereich. Für jeden Fall zeigt der Kandidat, wie er Eingang, Zuordnung, sichere Weiterleitung und Eskalation organisiert.
Die Auswahlakte erfasst Niederlassung, Kontaktpersonen, Vertretung bei Abwesenheit, Sprachabdeckung, Vertraulichkeit, Zugangsschutz und Umgang mit Unterauftragnehmern. Für die Zusammenarbeit werden interne Reaktionsziele vereinbart. Diese Ziele dürfen gesetzliche Fristen nicht verlängern; sie müssen genügend Zeit für Untersuchung, Entscheidung und Antwort lassen.
Der Kursanbieter entscheidet sich im Beispiel für einen Dienst, der eine konkrete Fallübergabe demonstriert und einen benannten Stellvertreter einsetzt. Ein anderer Kandidat bietet lediglich eine Briefkastenadresse und eine monatliche Sammelweiterleitung. Diese Leistung wird für den vorgesehenen Betrieb verworfen, weil dringende Anfragen dadurch nicht zuverlässig bearbeitet würden.
Die Kostenprüfung unterscheidet Grundmandat, Fallbearbeitung, Übersetzungen, Unterstützung bei Behördenanfragen und Vertragsende. Das Unternehmen fragt mit seinem erwarteten Umfang an und dokumentiert reale Angebote. Eine allgemeine Marktpreiszahl würde nicht zeigen, ob dringende Fälle oder umfangreiche Auskünfte im angebotenen Paket enthalten sind.
Das schriftliche Mandat konkret fassen
Das Mandat bezeichnet die vertretene Rechtsperson und den Vertreter vollständig. Es benennt den räumlichen und sachlichen Umfang sowie die einschlägigen Verarbeitungen. Die Befugnis, sich in allen mit der Verarbeitung zusammenhängenden DSGVO-Fragen an den Vertreter zu wenden, darf nicht durch eine Beschränkung auf gewöhnliche Kundenpost praktisch ausgehöhlt werden.
Ein ausgefüllter Aufgabenabschnitt für den Kursanbieter könnte sinngemäß lauten: „Der Vertreter nimmt Anfragen betroffener Personen und zuständiger Aufsichtsbehörden zum europäischen Kursbetrieb entgegen, dokumentiert ihren Eingang und leitet sie unverzüglich an die benannte Datenschutzkoordination weiter. Bei ausbleibender Übernahme eskaliert er an deren Stellvertretung und anschließend an die Geschäftsleitung. Er erhält die zur Wahrnehmung des Mandats erforderlichen aktuellen Verfahrensinformationen.“
Weitere Vertragsabschnitte regeln Verfügbarkeit, sicheren Dokumentenaustausch, Zusammenarbeit bei behördlichen Verfahren und die geordnete Übergabe bei Beendigung. Die Vereinbarung legt auch fest, wer inhaltliche Antworten vorbereitet, wer sie freigibt und in welcher Rolle sie versandt werden. Die Benennung hebt die Verantwortung des außereuropäischen Unternehmens nicht auf.
Verzeichnis und Informationspflichten anschließen
Die Vertreterangaben müssen in die einschlägigen Datenschutzinformationen aufgenommen werden. Der Kursanbieter aktualisiert nicht nur eine allgemeine Website-Seite, sondern auch die Information bei Kontoeröffnung und dort, wo weitere relevante Daten erhoben werden. Name und Kontakt müssen zur tatsächlich benannten Stelle passen.
Für das Verzeichnis der Verarbeitungstätigkeiten werden die einschlägigen Pflichten aus Artikel 30 einschließlich der Vertreterrolle berücksichtigt. Der Anbieter stellt dem Vertreter die aktuelle erforderliche Fassung bereit. Eine alte PDF-Datei ohne Zugriff auf spätere Änderungen wird nicht als dauerhafte Lösung behandelt.
Im Beispiel erhält das Verzeichnis eine Verfahrenskennung für den Kursbetrieb. Bei Einführung eines neuen Analyseverfahrens muss die interne Koordination nicht nur die eigene Datei aktualisieren, sondern auch die für das Mandat erforderlichen Informationen weitergeben. Der Vertreter benötigt dafür keine pauschale Kopie aller Teilnehmerdaten. Sachliche Verfahrensinformationen und ein kontrollierter Abruf im Einzelfall können die Aufgabe wesentlich datensparsamer unterstützen.
Vertreter und Datenschutzbeauftragten unterscheiden
Die Pflicht zur Benennung eines Datenschutzbeauftragten wird gesondert geprüft. Der Datenschutzbeauftragte berät und überwacht in einer gesetzlich geschützten unabhängigen Rolle; der Vertreter handelt aufgrund seines Mandats als Anlaufstelle. Die EDSA-Leitlinien halten die Vertretungsfunktion für unvereinbar mit der gleichzeitigen Tätigkeit als externer Datenschutzbeauftragter für denselben Verantwortlichen oder Auftragsverarbeiter.
Im Kursbeispiel gibt der Vertreter deshalb keine Bestellungserklärung ab, die beide Funktionen unbesehen zusammenfasst. Eine externe Datenschutzberatung kann zusätzlich unterstützen, ihre konkrete Rolle muss aber eindeutig bleiben. Auch die Person, die über Lernanalysen und Aufbewahrung entscheidet, wird durch ihre Kontaktfunktion nicht automatisch zum unabhängigen Datenschutzbeauftragten.
Ein Rollenplan nennt Geschäftsleitung für Entscheidungen und Ressourcen, Datenschutzkoordination für Bearbeitung, IT für Datensuche und technische Maßnahmen sowie den Vertreter für das Mandat. Besteht eine DSB-Pflicht oder eine entsprechende Bestellung, wird dessen unabhängige Beratungs- und Überwachungsfunktion ergänzt. Damit weiß jede Stelle, welche Frage sie beantworten und welche sie weiterreichen muss.
Eingang und Übergabe an einem Antrag üben
Im Beispiel geht am Mittwoch um 16:20 Uhr beim Vertreter ein Auskunftsantrag ein. Er wird am selben Tag der richtigen Rechtsperson und dem Kursverfahren zugeordnet. Die interne Koordination bestätigt die Übernahme und prüft, ob die zur Identifizierung vorhandenen Angaben ausreichen. Eine Kopie eines Ausweises wird nicht routinemäßig allein wegen des grenzüberschreitenden Kontakts angefordert.
Die Bearbeitung folgt dem Auskunftsprozess; eine mögliche Datenübertragbarkeit nach Artikel 20 wird als eigenständiger Anspruch bewertet. Das Team setzt den Eingang beim Vertreter nicht auf das Datum zurück, an dem die Geschäftsleitung nach ihrem Urlaub die Nachricht öffnet. In der Übung wird der tatsächliche Beginn der maßgeblichen Frist festgehalten und fachlich geprüft.
Bei einem Hinweis auf einen möglichen Fremdzugriff wird sofort das Verfahren für Datenpannen und Benachrichtigung aktiviert. Die Weiterleitung des Vertreters ist dabei ein Informationsweg, kein Ersatz für die eigene Untersuchung des Verantwortlichen. Die Akte hält fest, wann welcher Sachverhalt tatsächlich bekannt war.
Wechsel ohne Erreichbarkeitslücke organisieren
Vor Vertragsende benennt der Kursanbieter eine übernehmende Stelle, aktualisiert Kontakte und übergibt offene Vorgänge samt Fristständen. Er prüft, wo die bisherige Anschrift noch veröffentlicht ist und wie fehlgeleitete Post für eine begrenzte Übergangsphase sicher behandelt wird. Die Vereinbarung regelt Rückgabe oder Löschung von Unterlagen nach dem tatsächlichen weiteren Zweck.
Abgeschlossen ist die Bestellung, wenn Mandat, veröffentlichte Angaben, Verzeichniszugang und Fallübergabe zusammen funktionieren. Der Anbieter kann dann anhand einer konkreten Probe zeigen, dass eine Person in der EU eine Anfrage stellen kann und dass daraus rechtzeitig eine verantwortete Bearbeitung wird.