Zwei Pflichten, eine häufige Verwechslung
Man hat Ihnen gesagt, Sie brauchen einen EU-Vertreter. Welchen?
Zwei europäische Regeln verlangen von einem Unternehmen außerhalb der Union, jemanden innerhalb zu benennen. In der E-Mail eines Marktplatzes oder eines Kunden klingen sie gleich, austauschbar sind sie nicht. Die eine betrifft personenbezogene Daten, die andere die Waren, die Sie versenden. Viele Unternehmen brauchen beide und kaufen nur eine.
Die Grenze zwischen beiden
Der einfachste Test ist, was die Grenze überquert. Erreichen Europa Informationen über Menschen — eine E-Mail-Adresse, eine Bestellhistorie, eine IP-Adresse — sind Sie im Bereich von Artikel 27. Erreicht Europa ein Karton, sind Sie im Bereich von Artikel 16. Ein Onlineshop, der Wasserkocher nach Deutschland liefert, tut beides zugleich: Er erhebt die Adresse des Käufers und bringt einen Wasserkocher in Verkehr.
| Artikel 27 DSGVO | Artikel 16 GPSR | |
|---|---|---|
| Was geschützt wird | Personenbezogene Daten von Menschen in der EU | Sicherheit von Verbraucherprodukten, die in der EU verkauft werden |
| Wer benennen muss | Verantwortliche und Auftragsverarbeiter außerhalb der EU, die sich an Menschen hier richten oder sie beobachten | Hersteller, Importeure und Händler, die Non-Food-Verbraucherprodukte in der EU in Verkehr bringen |
| Wo der Name erscheint | In der Datenschutzerklärung und auf Anfrage bei Behörden | Auf dem Produkt, der Verpackung, dem Paket oder in der Anleitung |
| Wer sich meldet | Datenschutzbehörden und einzelne Personen | Marktüberwachungsbehörden, Zoll, Marktplätze |
| Was für Sie aufbewahrt wird | Das Verzeichnis von Verarbeitungstätigkeiten | Konformitätserklärung und technische Unterlagen |
| Typischer Auslöser | Ein Auskunftsersuchen oder eine Beschwerde | Ein gesperrtes Angebot oder Ware, die am Zoll steht |
| So scheitert es in der Praxis | Ein Bußgeld, meist nach einer Beschwerde | Das Angebot verschwindet, bevor Ihnen jemand schreibt |
| Unser Preis | Ab 290 € pro Jahr | Ab 190 € pro Jahr |
Welche gilt für Sie
Vier Fragen klären das in unter einer Minute. Beantworten Sie sie für Ihr eigenes Unternehmen, nicht für das Ihres Lieferanten.
Nur bei den Daten ja geantwortet
Software, Apps, Agenturen, Marktplätze, alles, was als Download oder Zugang verkauft wird. Sie brauchen Artikel 27 und sonst nichts — bis Sie anfangen, etwas im Karton zu versenden.
Nur bei den Waren ja geantwortet
Selten, aber real: ein Hersteller, der an EU-Großhändler verkauft, die jeden Kunden selbst betreuen. Sie brauchen Artikel 16. Sobald Sie selbst an Verbraucher verkaufen, wird auch die erste Frage zu ja.
Was jede Rolle tatsächlich tut, wenn etwas passiert
Ein Vertreter wird an dem Tag beurteilt, an dem ein Schreiben eintrifft, nicht am Tag der Unterschrift. Die beiden Rollen verhalten sich unter Druck unterschiedlich, und das zu wissen zeigt Ihnen, ob ein Anbieter echt ist.
Artikel 27, Tag eins
Eine Person verlangt eine Kopie ihrer Daten, oder eine Aufsichtsbehörde leitet eine Beschwerde weiter. Der Vertreter nimmt an, benachrichtigt Sie und hält das Verarbeitungsverzeichnis bereit. Die Frist beträgt einen Monat, und es zählt Ihre Antwort — der Vertreter trägt sie.
Artikel 16, Tag eins
Eine Behörde fordert die Konformitätserklärung, oder ein Marktplatz sperrt ein Angebot. Die verantwortliche Person übergibt die Unterlagen, informiert die Behörde über Risiken und wirkt an Korrekturmaßnahmen mit. Die Frist setzt die Behörde, und sie ist kurz.
Der teuerste Fehler
Eine kaufen und annehmen, sie decke die andere ab. Es passiert auf eine bestimmte Weise: Ein Unternehmen benennt einen Artikel-27-Vertreter für seinen Shop, veröffentlicht den Namen in der Datenschutzerklärung und hält Europa für erledigt. Zwei Jahre später fragt ein Marktplatz nach der verantwortlichen Person nach den Produktsicherheitsregeln, der Datenschutzname passt nicht in das Feld, und binnen einer Woche gehen sämtliche Angebote offline.
Auch der umgekehrte Fall kommt vor. Ein Hersteller kauft eine verantwortliche Person, weil Amazon es verlangt hat, und erhält dann eine Datenanfrage von einem europäischen Kunden, für die niemand benannt ist.
Fragen, die uns vor dem Kauf erreichen
Kann dieselbe Gesellschaft beide Rollen übernehmen?
Ja, und meist ist es günstiger. Wir übernehmen beide mit getrennten schriftlichen Mandaten, weil die Pflichten getrennt sind: die eine benennt uns gegenüber Aufsichtsbehörden, die andere auf Ihrer Verpackung. Unser Multi-Tarif deckt Artikel 27 und Artikel 16 zusammen ab.
Deckt ein UK-Vertreter die EU ab?
Nein. Der UK-GDPR-Vertreter antwortet der ICO für das Vereinigte Königreich, der EU-Vertreter den europäischen Behörden. Wer in beide verkauft, braucht zwei, und keiner ersetzt die Rolle zur Produktsicherheit.
Wir haben bereits einen Anwalt in Europa. Genügt das?
Nur wenn er das Mandat schriftlich annimmt und Name und Anschrift dort veröffentlicht werden, wo die Regel es verlangt. Ein Mandatsvertrag ist keine Benennung. Nach Artikel 16 muss der Name auf dem Produkt selbst stehen, worauf sich die meisten Kanzleien nicht einlassen.
Haftet der Vertreter für uns?
Nach Artikel 27 ist der Vertreter eine Anlaufstelle, und die Pflichten der DSGVO bleiben Ihre. Nach Artikel 16 hat die verantwortliche Person eigene Pflichten — Unterlagen halten, mitwirken, Risiken melden — die Sicherheit des Produkts bleibt jedoch beim Hersteller.
Was beweist, dass die Benennung echt ist?
Ein Code, der vor den Augen des Fragenden in einem öffentlichen Register auflöst. Unserer wird grün, solange das Mandat läuft, und rot in dem Moment, in dem es endet — für beide Rollen. Ein PDF beweist nur, dass ein PDF existiert.
Finden Sie in einer Minute heraus, welche Sie brauchen
Senden Sie uns ein Produktangebot oder eine Datenschutzerklärung. Wir sagen Ihnen klar, welche Pflicht gilt — kostenlos und ohne Kaufverpflichtung.
Artikel 16 — Produktsicherheit Artikel 27 — personenbezogene Daten