EU-Vertreter nach DSGVO

Ein Unternehmen muss einen EU‑Vertreter nach Art. 27 Abs. 1 DSGVO (oder auch EU‑Representative) benennen, wenn dieses Unternehmen (d.h. der Vertretene) nach dem in Art. 3 Abs. 2 DSGVO verankerten Marktortprinzip Waren oder Dienstleistungen innerhalb der EU an betroffene natürliche Personen anbietet oder deren Verhalten in der EU beobachtet, jedoch keine Niederlassung in der EU, also im Geltungsbereich der DSGVO, hat, sondern vielmehr in einem Drittstaat seinen Sitz hat.

• Es muss demnach eine zielgerichtete Verarbeitung personenbezogener Daten betroffener Personen, die sich in der EU befinden, vorliegen, unabhängig von deren Staatsangehörigkeit/ Rechtsstatus (EG 14) und
• die konkrete Datenverarbeitung muss sich auf das Anbieten von Waren oder Dienstleistungen (auch unentgeltlich) oder Verhaltensbeobachtung in der EU beziehen.

Ausnahmen gelten ausschließlich bei einer nur gelegentlichen Verarbeitung wenig sensibler personenbezogener Daten, welche nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, oder wenn es sich bei dem Unternehmen um eine Behörde oder öffentliche Stelle handelt. Sofern diese Ausnahmen nicht greifen, ist die Benennung eines EU‑Vertreters gesetzlich zwingend vorgeschrieben und damit erforderlich. Erfolgt diese Benennung trotz Vorliegen der obengenannten Voraussetzungen nicht, kann die zuständige Aufsichtsbehörde eine Geldbuße gegen das entsprechende Unternehmen verhängen.

Die konkreten Aufgaben und Pflichten des Vertreters ergeben sich aus Art. 27 Abs. 4 DSGVO i.V.m. EG 80 S. 5 sowie aus dem Vertrag mit dem Vertretenen. Im Wesentlichen soll der EU‑Vertreter als konkrete Anlaufstelle für betroffene Personen sowie die Aufsichtsbehörden agieren. Die folgenden Aufgaben und Pflichten sind davon im Wesentlichen umfasst:

• Führen und Bereitstellen des Verzeichnisses von Verarbeitungstätigkeiten bei Anfragen der Aufsichtsbehörden, soweit diese Tätigkeiten der Zuständigkeit des Vertreters unterliegen. Hiervon erfasst sind diejenigen Verarbeitungstätigkeiten, aufgrund derer der räumliche Anwendungsbereich nach Art. 3 Abs. 2 DSGVO eröffnet ist (Art. 30 DSGVO).
• Zusammenarbeit mit der Aufsichtsbehörde im Rahmen der Erfüllung ihrer Aufgaben (Art. 31 DSGVO).
• Bereitstellung aller Informationen, die für die Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben erforderlich sind (Art. 58 Abs. 1 lit. a DSGVO). Die Aufsichtsbehörde kann den EU‑Vertreter dementsprechend verpflichten, die erforderlichen Informationen bereitzustellen.
• Zusätzlicher Ansprechpartner für die Aufsichtsbehörde, betroffene Personen, und ggf. sonstiger Stellen für Fragen, die die Verarbeitung personenbezogener Daten betreffen, Art. 27 Abs. 4 DSGVO.
• Der Vertreter ist gemäß § 44 Abs. 3 Satz 1 BDSG bevollmächtigt, Zustellungen in zivilgerichtlichen Verfahren anzunehmen (betrifft nur Klagen von betroffenen Personen gegen den Verantwortlichen oder Auftragsverarbeiter).

Die Person des EU‑Vertreters muss in einem der EU‑Mitgliedstaaten angesiedelt sein, in dem die Datenverarbeitung stattfindet bzw. wo sich die von der Datenverarbeitung betroffenen Personen befinden. Nach Art. 27 Abs. 1 DSGVO benennt der Verantwortliche oder der Auftragsverarbeiter, in den Fällen gem. Art. 3 Abs. 2, schriftlich einen Vertreter in der Union. Daneben ist vorgesehen, dass der Verantwortliche oder der Auftragsverarbeiter den Vertreter ausdrücklich bestellen und schriftlich beauftragen sollte. Weitere konkrete Vorgaben bezüglich der Dauer der Benennung, eines möglichen Widerrufs oder einer Kündigung macht die DSGVO nicht.

In der Praxis kann die Funktion eines Vertreters in der Union auf der Grundlage eines Dienstleistungsvertrags ausgeübt werden. Im Vertrag sollten insbesondere die Verantwortlichkeiten, Aufgaben und Befugnisse geregelt werden, die dem EU‑Vertreter nach Art. 27 DSGVO obliegen. Eine Information der Aufsichtsbehörden über die Person des EU‑Vertreters ist nicht erforderlich. Der EU-Vertreter sollte in den datenschutzrechtlichen Informationen (Art. 13, 14 DSGVO) sowie in dem Verzeichnis der Verarbeitungstätigkeiten benannt werden.