Vertreter in der EU (Art. 27 DSGVO)

Die Benennungspflicht knüpft an das Marktortprinzip des Art. 3 Abs. 2 DSGVO an: Wer ohne Niederlassung in der Union Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet, unterliegt der DSGVO – und muss nach Art. 27 Abs. 1 DSGVO zusätzlich einen Vertreter in der Union benennen. Der Vertreter ist in einem der Mitgliedstaaten niederzulassen, in denen sich die betroffenen Personen befinden, deren Daten verarbeitet werden (Art. 27 Abs. 3 DSGVO). Die Benennung erfolgt schriftlich (Art. 27 Abs. 4 DSGVO), üblicherweise über einen Mandatsvertrag, der Aufgaben, Weisungswege, Erreichbarkeit und Haftungsfragen regelt. Ausnahmen sieht Art. 27 Abs. 2 DSGVO vor: für nur gelegentliche Verarbeitungen, die keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen umfassen und voraussichtlich kein Risiko für Rechte und Freiheiten bergen, sowie generell für Behörden und öffentliche Stellen. Der Europäische Datenschutzausschuss hat die Reichweite dieser Ausnahme in den Leitlinien 3/2018 zum räumlichen Anwendungsbereich eng ausgelegt – die drei Voraussetzungen müssen kumulativ vorliegen.

Aufgabe des Vertreters ist es, als Anlaufstelle zusätzlich zu dem oder anstelle des Verantwortlichen bzw. Auftragsverarbeiters zu fungieren – für Aufsichtsbehörden und für betroffene Personen, die ihre Rechte nach Art. 15 ff. DSGVO geltend machen wollen (Art. 27 Abs. 4 DSGVO). Er muss praktisch erreichbar sein, in der Regel in der Sprache des jeweiligen Mitgliedstaats, und Anfragen an den Verantwortlichen weiterleiten bzw. mit ihm zusammenarbeiten. Hinzu kommt eine eigene dokumentarische Pflicht: Nach Art. 30 Abs. 1 und 2 DSGVO führt auch der Vertreter ein Verzeichnis von Verarbeitungstätigkeiten und legt es der Aufsichtsbehörde auf Anfrage vor. Der Vertreter ist außerdem in den Informationspflichten nach Art. 13 Abs. 1 lit. a und Art. 14 Abs. 1 lit. a DSGVO – also in der Datenschutzerklärung – mit Identität und Kontaktdaten zu nennen. Er ist kein Datenschutzbeauftragter: Die Rollen unterscheiden sich in Aufgaben, Unabhängigkeit und Interessenkonfliktregeln und sollten nicht in derselben Person zusammenfallen.

Haftungsseitig gilt zunächst Art. 27 Abs. 5 DSGVO: Die Benennung eines Vertreters lässt rechtliche Schritte gegen den Verantwortlichen oder Auftragsverarbeiter selbst unberührt – der Vertreter enthaftet also niemanden. Umgekehrt legt Erwägungsgrund 80 nahe, dass der Vertreter Durchsetzungsmaßnahmen unterworfen werden kann, wenn der Verantwortliche die Verordnung nicht einhält; der EDSA vertritt in den Leitlinien 3/2018 die Auffassung, dass hierzu auch Bußgeldverfahren gehören können. Ob und wie weit eine eigene Bußgeld- oder Schadensersatzhaftung des Vertreters tatsächlich reicht, ist in Literatur und Praxis weiterhin umstritten und höchstrichterlich nicht abschließend geklärt – seriöse Vertreterverträge regeln deshalb Freistellung und Versicherung ausdrücklich. Klar ist dagegen die Sanktionierbarkeit der Pflicht selbst: Ein Verstoß gegen Art. 27 DSGVO fällt unter Art. 83 Abs. 4 lit. a DSGVO mit Bußgeldern bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Praktisch relevant ist zudem, dass parallele Vertreterpflichten in anderen Regelwerken bestehen – etwa der UK-Vertreter nach Art. 27 UK GDPR seit dem Brexit sowie Vertreterpflichten für Anbieter ohne Unionsniederlassung nach NIS-2- und Digital-Services-Act-Recht.