Häufige Fragen

Eine in der EU niedergelassene Person oder Gesellschaft, die von einem Unternehmen ausserhalb der EU schriftlich benannt wird und in allen Fragen im Zusammenhang mit der Verarbeitung personenbezogener Daten als Anlaufstelle für die Aufsichtsbehörden in der EU und für betroffene Personen dient (Art. 27 Abs. 4). Der Vertreter handelt im Auftrag des Unternehmens. Die Verantwortung des Unternehmens für die Einhaltung der DSGVO übernimmt er nicht.

Verantwortliche und Auftragsverarbeiter ohne Niederlassung in der EU, deren Verarbeitung unter Art. 3 Abs. 2 DSGVO fällt: Sie bieten Personen in der EU Waren oder Dienstleistungen an – kostenpflichtig oder kostenlos – oder beobachten das Verhalten von Personen in der EU, etwa durch verhaltensbasierte Werbung oder Online-Tracking. Art. 27 Abs. 1 verpflichtet sie dann, schriftlich einen Vertreter in der EU zu benennen, sofern keine Ausnahme greift.

Die Grösse allein begründet keine Ausnahme. Art. 27 Abs. 2 nimmt eine Verarbeitung aus, die gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten einschliesst und voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt – wobei alle diese Voraussetzungen zusammen erfüllt sein müssen. Der EDSA sieht eine Verarbeitung nur dann als gelegentlich an, wenn sie nicht regelmässig erfolgt und ausserhalb der gewöhnlichen Geschäftstätigkeit liegt. Ausgenommen sind ausserdem Behörden und öffentliche Stellen.

Unter Umständen ja. Art. 27 gilt für Auftragsverarbeiter ebenso wie für Verantwortliche, und der Vertreter eines Auftragsverarbeiters führt dessen eigenes Verzeichnis nach Art. 30. Auch wer nur an Unternehmen verkauft, fällt nicht automatisch aus dem Anwendungsbereich: Die Mitarbeitenden und Nutzer Ihrer Geschäftskunden sind natürliche Personen, sodass Art. 3 Abs. 2 trotzdem gelten kann.

Ja, wenn Art. 3 Abs. 2 auf Sie anwendbar ist. Ein Angemessenheitsbeschluss erlaubt es, personenbezogene Daten ohne zusätzliche Garantien aus der EU in Ihr Land zu übermitteln. Er ändert nichts daran, ob die DSGVO für Ihre eigene Verarbeitung gilt, und hebt die Pflicht zur Benennung eines Vertreters nach Art. 27 nicht auf.

Nein. Eine einzige schriftliche Benennung deckt alle EU-Mitgliedstaaten und die EWR-Staaten ab, in denen die DSGVO gilt.

Ja. Nach Art. 27 Abs. 3 muss der Vertreter in einem der Mitgliedstaaten niedergelassen sein, in denen sich die Personen befinden, deren Daten Sie verarbeiten. rep4eu ist in Deutschland niedergelassen. Ihre EU-Aktivitäten sollten daher auch Personen in Deutschland betreffen, oder Sie sollten sich auf andere Weise vergewissert haben, dass ein Vertreter in Deutschland diese Anforderung erfüllt. Unsere AGB verlangen, dass Sie dies bei der Bestellung bestätigen.

Aufsichtsbehörden können Sie anweisen, einen Vertreter zu benennen, und nach Art. 83 Abs. 4 lit. a DSGVO Geldbussen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Im Jahr 2021 verhängte die niederländische Aufsichtsbehörde gegen LocateFamily.com eine Busse von 525’000 Euro, weil kein Vertreter benannt war.

Jeder Tarif umfasst ein schriftliches Benennungsschreiben, das die Cloudkasten GmbH als Ihren Vertreter nach Art. 27 DSGVO nennt; unsere Postanschrift in Deutschland und eine eigene E-Mail-Weiterleitungsadresse für Ihre Datenschutzerklärung, mit sofort verwendbaren Textbausteinen auf Englisch und Deutsch; die Weiterleitung und Protokollierung jeder Nachricht von Aufsichtsbehörden und betroffenen Personen; die Führung Ihres Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 auf Grundlage Ihrer Angaben; sowie E-Mail-Support auf Englisch oder Deutsch. Rechtsberatung und Antwortentwürfe sind nicht inbegriffen.

Rechtsberatung, rechtliche Risikobeurteilungen, Entwürfe von Antworten an Behörden oder Einzelpersonen, Vertretung in Verfahren, Leistungen als Datenschutzbeauftragter sowie die Erstellung von Datenschutzerklärungen oder Verzeichnissen. Ebenfalls nicht inbegriffen: die Vertretung nach der UK GDPR, dem Schweizer DSG, dem Digital Services Act oder dem AI Act; Rollen im Produktsicherheitsrecht wie die verantwortliche Person nach CE oder GPSR; Registered-Agent- und allgemeine Postdienste; sowie die Übersetzung weitergeleiteter Nachrichten. Die Kanzlei der beteiligten Rechtsanwälte bietet rechtliche Arbeit als separates Mandat an, mit vorab schriftlich vereinbartem Umfang und Honorar.

Wählen Sie einen Tarif, geben Sie die rechtlichen Angaben Ihres Unternehmens und eine Kontaktperson für DSGVO-Korrespondenz an und bezahlen Sie die Jahresgebühr über Stripe. Anschliessend gleichen wir Ihr Unternehmen mit öffentlichen Registern ab und stellen nach erfolgreicher Prüfung Ihr Benennungsschreiben aus. Die Vertreterangaben aus dem Schreiben übernehmen Sie in Ihre Datenschutzerklärung und Ihr Verzeichnis von Verarbeitungstätigkeiten.

Sobald Ihr Unternehmen geprüft und Ihr Benennungsschreiben ausgestellt ist. Das Schreiben nennt das Beginndatum – das Datum, an dem Ihre erste Zahlung bestätigt wurde – und das Ablaufdatum Ihrer Laufzeit von 12 Monaten. Automatisierte Prüfungen sind in der Regel innert 24 Stunden abgeschlossen, manuelle innert 48 Stunden, gerechnet in Arbeitstagen. Nennen Sie rep4eu erst in Ihrer Datenschutzerklärung, wenn Sie das Schreiben haben.

Wir kontaktieren Sie, um das zu klären, etwa indem wir Gründungsunterlagen anfordern. Können wir Ihr Unternehmen nicht verifizieren oder lehnen wir die Benennung ab, endet der Vertrag, und wir erstatten die Gebühr für die laufende Laufzeit vollständig zurück – es sei denn, das Scheitern beruht auf falschen oder irreführenden Angaben Ihrerseits.

Nein. Ein Vertreter ist Ihre Anlaufstelle in der EU und handelt in Ihrem Auftrag. Ein Datenschutzbeauftragter nach Art. 37 bis 39 berät Sie unabhängig und überwacht die Einhaltung der DSGVO; er ist nur in den in Art. 37 genannten Fällen vorgeschrieben. Der EDSA hält die Rolle des Vertreters für unvereinbar mit der eines externen, in der EU niedergelassenen Datenschutzbeauftragten. Mit der Benennung von rep4eu erhalten Sie keinen Datenschutzbeauftragten.

Nein. Wir nehmen Nachrichten entgegen, protokollieren sie und leiten sie weiter. Wendet sich eine Aufsichtsbehörde an uns, bestätigen wir, dass wir Ihr Vertreter sind, und stimmen das weitere Vorgehen mit Ihnen ab. Sie antworten in der Sache und bleiben für die Einhaltung der DSGVO verantwortlich, wie Erwägungsgrund 80 und Art. 27 Abs. 5 klarstellen. Wünschen Sie rechtliche Unterstützung, kann die Kanzlei der beteiligten Rechtsanwälte die Angelegenheit als separates Mandat übernehmen, mit vorab schriftlich vereinbartem Umfang und Honorar.

Nein. Der Dienst umfasst ausschliesslich Art. 27 der EU-DSGVO. Ein Unternehmen ausserhalb des Vereinigten Königreichs, das Personen dort Waren oder Dienstleistungen anbietet oder deren Verhalten dort beobachtet, braucht unter Umständen einen separaten Vertreter nach der UK GDPR, und das Schweizer Bundesgesetz über den Datenschutz enthält eine eigene Vertreterregel (Art. 14 DSG). rep4eu handelt weder als Vertreter im Vereinigten Königreich noch als Vertreter in der Schweiz. Britische und Schweizer Unternehmen, die einen EU-Vertreter brauchen, können rep4eu nutzen.

rep4eu wird von der Cloudkasten GmbH betrieben, eingetragen beim Amtsgericht Köln unter HRB 92697, mit Sitz in Erftstadt (Deutschland) und geführt von Alexander Hagemann. Am Betrieb des Dienstes sind zwei in Deutschland zugelassene Rechtsanwälte beteiligt. Ihr Vertrag besteht mit der Cloudkasten GmbH und begründet kein Mandatsverhältnis.

Eine feste Gebühr pro Jahr, im Voraus zahlbar. Für Essential und Business sind die Preise veröffentlicht und werden auf der Preisseite in Ihrer Währung angezeigt; für Enterprise erhalten Sie eine individuelle Offerte. Es gibt keine Einrichtungsgebühren und keine Kosten pro weitergeleiteter Nachricht. Die Preise verstehen sich ohne MWST; eine allfällige MWST wird beim Bezahlen ausgewiesen. Rechtliche Arbeit wird, falls gewünscht, separat vereinbart und abgerechnet.

Nein. Die Preise verstehen sich ohne MWST. Fällt MWST an, wird sie beim Bezahlen und auf Ihrer Rechnung ausgewiesen. Unternehmen mit Niederlassung in einem anderen EU-Mitgliedstaat und gültiger Umsatzsteuer-Identifikationsnummer werden im Reverse-Charge-Verfahren abgerechnet.

Die Tarife werden jährlich im Voraus abgerechnet. Laufzeit 12 Monate mit automatischer Verlängerung. Wenn Sie bis 1 Monat vor dem Verlängerungsdatum kündigen, läuft Ihre Vertretung bis zum Ende der bereits bezahlten Laufzeit. Bereits bezahlte Zeiträume werden nicht rückerstattet. Sie können per E-Mail an [email protected] kündigen.

Benennen Sie zuerst den neuen Vertreter, aktualisieren Sie Ihre Datenschutzerklärung und Ihr Verzeichnis von Verarbeitungstätigkeiten und beenden Sie erst dann das bisherige Mandat, damit keine Lücke entsteht, in der kein Vertreter genannt ist. Bewahren Sie Ihre früheren Benennungsschreiben und die Korrespondenz bei Ihren Unterlagen zur Rechenschaftspflicht auf.

Diese Website ist in mehreren Sprachen verfügbar, Support erhalten Sie jedoch per E-Mail auf Englisch und Deutsch. Der Vertrag wird auf Englisch geschlossen: Die AGB und das Benennungsschreiben sind auf Englisch, und verbindlich ist der englische Text. Das Schreiben enthält Textbausteine für die Datenschutzerklärung auf Englisch und Deutsch. Korrespondenz deutscher Behörden wird auf Deutsch bearbeitet; andere Nachrichten werden so weitergeleitet, wie sie eingehen – in der Sprache, in der sie verfasst wurden.