[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:de:der-dsgvo-vertreter-nach-artikel-27-fuer-ein-softwareunternehmen-ausserhalb-der-eu-wer-einen-benennen-muss-die-drei-bedingungen-der-ausnahme-und-wohin-der-name-gehoert":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"de","der-dsgvo-vertreter-nach-artikel-27-fuer-ein-softwareunternehmen-ausserhalb-der-eu-wer-einen-benennen-muss-die-drei-bedingungen-der-ausnahme-und-wohin-der-name-gehoert","Der DSGVO-Vertreter nach Artikel 27 für ein Softwareunternehmen außerhalb der EU: wer einen benennen muss, die drei Bedingungen der Ausnahme und wohin der Name gehört","Ein Softwareunternehmen ohne Niederlassung in der Union, dessen Produkt von Menschen in ihr genutzt wird, unterliegt der Verordnung nach Artikel 3 Absatz 2 und muss schriftlich einen Vertreter in der Union benennen (Artikel 27 Absatz 1), niedergelassen in einem Mitgliedstaat, in dem seine Nutzer sind (27 Absatz 3), beauftragt, von Aufsichtsbehörden und betroffenen Personen angesprochen zu werden (27 Absatz 4), und kein Schutz gegen Maßnahmen gegen das Unternehmen selbst (27 Absatz 5). Die Ausnahme in Artikel 27 Absatz 2 Buchstabe a hat drei Bedingungen, die alle gelten müssen, und ein Produkt in Nutzung scheitert an der ersten. Wohin der Name des Vertreters gehört: die Datenschutzerklärung (Artikel 13 Absatz 1 Buchstabe a), das Verzeichnis der Verarbeitungstätigkeiten (Artikel 30 Absatz 1 Buchstabe a) und das Verzeichnis, das der Vertreter selbst führt. Die Bußgeldstufe ist Artikel 83 Absatz 4. Eine kostenlose Seite entscheidet es aus zwei Fragen.","2026-09-12",{"who":10,"when":11,"do":12},"Ein Softwareunternehmen ohne Niederlassung in der Union, ein Unternehmen aus den USA, dem Vereinigten Königreich, der Schweiz, Indien oder anderswo, dessen Produkt Menschen in der Union angeboten wird oder ihr Verhalten dort beobachtet; und die EU-Kunden, die es im Auftragsverarbeitungsvertrag fragen, wer sein Vertreter ist.","Vom ersten Tag an, an dem das Produkt Menschen in der Union angeboten wird: Artikel 3 Absatz 2 knüpft die Verordnung an die Verarbeitung, Artikel 27 Absatz 1 knüpft den Vertreter an das Unternehmen, und die Pflicht ist nicht gestaffelt, nicht nach Größe abgestuft und nicht aufgeschoben; die Ausnahme in Artikel 27 Absatz 2 Buchstabe a wird im selben Moment gelesen.","Benennen Sie schriftlich einen Vertreter, niedergelassen in einem Mitgliedstaat, in dem Ihre Nutzer sind, beauftragt, Behörden und betroffenen Personen zu antworten; setzen Sie seinen Namen und seine Kontaktdaten in die Datenschutzerklärung und in das Verzeichnis der Verarbeitungstätigkeiten, und übergeben Sie ihm das Verzeichnis; die kostenlose Bestimmung sagt aus zwei Fragen, ob Artikel 27 Absatz 2 Buchstabe a Sie befreit.","\nEin Softwareunternehmen ohne Büro, Tochtergesellschaft oder Personal in der Union steht nicht außerhalb der Verordnung. Artikel 3 Absatz 2 wendet sie auf die Verarbeitung personenbezogener Daten von betroffenen Personen an, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Verarbeitung damit zusammenhängt, ihnen Waren oder Dienstleistungen anzubieten, ob sie zahlen oder nicht, oder ihr Verhalten zu beobachten, soweit es in der Union stattfindet. Ein SaaS-Produkt, das an europäische Unternehmen verkauft wird, eine kostenlose Stufe, die europäische Einzelpersonen nutzen, ein Analyseskript, das europäische Besucher verfolgt: jedes ist eines von beiden. Und wo Artikel 3 Absatz 2 gilt, folgt Artikel 27 Absatz 1 in einem Satz: der Verantwortliche oder der Auftragsverarbeiter benennt schriftlich einen Vertreter in der Union. Dieser Artikel liest Artikel 27 Absatz für Absatz gegen den [Katalog](\u002Fgdpr\u002Fduties), den StandardOS über die Verordnung führt, für das Unternehmen, das einen benennen muss, und für den europäischen Kunden, der fragen wird, wer es ist.\n\n## Wen die Pflicht erreicht: die zwei Varianten des Artikels 3 Absatz 2\n\nDie erste Variante ist das Anbieten von Waren oder Dienstleistungen an betroffene Personen in der Union, unabhängig davon, ob eine Zahlung verlangt wird, sodass ein kostenloses Produkt zählt. Erwägungsgrund 23 liest das Anbieten aus der Absicht: die verwendete Sprache oder Währung, die Erwähnung von Kunden in der Union, die Lieferung dorthin; die bloße Zugänglichkeit einer Website reicht nicht. Die zweite Variante ist die Beobachtung des Verhaltens in der Union, die Erwägungsgrund 24 als das Nachverfolgen von Personen im Internet liest, Profiling eingeschlossen. Ein Produkt mit einer europäischen Preisseite, europäischen Kunden in seinen Fallstudien und einem Skript zur Sitzungsaufzeichnung auf seiner Marketingseite fällt unter beide. Die Vertreterpflicht trifft das Unternehmen dann in der Rolle, die es innehat: als Verantwortlicher für die eigenen Kunden- und Besucherdaten und als Auftragsverarbeiter für die Daten, die seine Kunden in das Produkt legen, denn Artikel 27 Absatz 1 nennt beide. Das Unternehmen, das der Verordnung nur unterliegt, weil es für einen europäischen Verantwortlichen verarbeitet, ohne eigenes Anbieten oder Beobachten, steht an einer engeren Stelle, die die Leitlinien des Ausschusses zum räumlichen Anwendungsbereich erörtern, und die sichere Lesart für ein Produktunternehmen ist, dass sein eigenes Anbieten es bereits in die erste Variante setzt.\n\n## Die Ausnahme: drei Bedingungen, alle zugleich\n\nArtikel 27 Absatz 2 Buchstabe a hebt die Pflicht auf, wenn die Verarbeitung gelegentlich erfolgt, nicht die umfangreiche Verarbeitung besonderer Datenkategorien nach Artikel 9 Absatz 1 oder von Daten über strafrechtliche Verurteilungen nach Artikel 10 einschließt und voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, unter Berücksichtigung ihrer Art, ihrer Umstände, ihres Umfangs und ihrer Zwecke. Die drei sind mit \"und\" verbunden: alle müssen gelten. Ein Produkt, das Kunden nutzen, ist keine gelegentliche Verarbeitung; es ist das Geschäft des Unternehmens, jeden Tag, und die erste Bedingung scheitert, bevor die anderen zwei erreicht werden. Das ist dieselbe Lesart, die die Schwelle für das Verzeichnis der Verarbeitungstätigkeiten in Artikel 30 Absatz 5 verwendet, wo \"gelegentlich\" das Wort ist, das die Ausnahme für 250 Personen für ein Softwareunternehmen nie greifen lässt, und die [kostenlose Bestimmung](\u002Fgdpr\u002Fduties) stellt hier dieselben zwei Fragen, ob die Verarbeitung gelegentlich erfolgt und ob sie besondere Kategorien in großem Umfang einschließt, und beantwortet daraus den Vertreter. Artikel 27 Absatz 2 Buchstabe b befreit Behörden oder öffentliche Stellen; ein Unternehmen ist keine.\n\n## Wo und wie: Artikel 27 Absatz 3 bis Artikel 27 Absatz 5\n\nDer Vertreter muss in einem der Mitgliedstaaten niedergelassen sein, in denen die betroffenen Personen sind, deren Daten im Zusammenhang mit dem Anbieten oder dem Beobachten verarbeitet werden (Artikel 27 Absatz 3); bei Kunden in sechs Staaten genügt jeder der sechs, und der gewählte Staat begründet keine federführende Aufsichtsbehörde, denn der One-Stop-Shop nach Artikel 56 braucht eine Hauptniederlassung, und ein Vertreter ist keine. Der Vertreter muss vom Verantwortlichen oder Auftragsverarbeiter beauftragt sein, zusätzlich zu oder anstelle des Unternehmens von Aufsichtsbehörden und betroffenen Personen in allen Fragen im Zusammenhang mit der Verarbeitung angesprochen zu werden (27 Absatz 4); Erwägungsgrund 80 nennt das einen schriftlichen Auftrag und lässt den Vertreter bei jeder Maßnahme zur Sicherstellung der Einhaltung mit den Behörden zusammenarbeiten, und Artikel 58 Absatz 1 Buchstabe a gibt jeder Aufsichtsbehörde die Befugnis, den Vertreter anzuweisen, alle Informationen bereitzustellen, die sie benötigt. Die Benennung erfolgt unbeschadet rechtlicher Schritte gegen den Verantwortlichen oder Auftragsverarbeiter selbst (27 Absatz 5): der Vertreter ist eine Anschrift, kein Schutzschild, und Erwägungsgrund 80 sagt, dass die Benennung die eigene Verantwortung oder Haftung des Unternehmens nicht berührt. Die Leitlinien des Ausschusses zum räumlichen Anwendungsbereich fügen eine praktische Zeile hinzu: die Rolle des Vertreters ist mit der eines externen Datenschutzbeauftragten nicht vereinbar, dieselbe Kanzlei kann also nicht beides sein.\n\n## Wohin der Name gehört\n\nEinmal benannt, erscheint der Vertreter an drei Stellen, die die Verordnung nennt. Die Datenschutzerklärung: Artikel 13 Absatz 1 Buchstabe a und Artikel 14 Absatz 1 Buchstabe a verpflichten den Verantwortlichen, den Namen und die Kontaktdaten des Verantwortlichen und gegebenenfalls seines Vertreters mitzuteilen, sodass der Name zum Zeitpunkt der Erhebung in die Erklärung kommt. Das Verzeichnis der Verarbeitungstätigkeiten: Artikel 30 Absatz 1 Buchstabe a setzt Namen und Kontaktdaten des Vertreters in das Verzeichnis des Verantwortlichen, Artikel 30 Absatz 2 Buchstabe a in das des Auftragsverarbeiters, und beide Absätze beginnen gleich, jeder Verantwortliche oder Auftragsverarbeiter \"und gegebenenfalls sein Vertreter\" führt ein Verzeichnis, sodass der Vertreter selbst eine Kopie des [Verzeichnisses](\u002Fgdpr\u002Frecord-of-processing) führt und es einer Behörde auf Anfrage nach Artikel 30 Absatz 4 vorlegt. Der Auftragsverarbeitungsvertrag: der Zusatz eines europäischen Kunden wird neben den [Bedingungen nach Artikel 28 Absatz 3](\u002Fgdpr\u002Fprocessor-terms) nach dem Vertreter fragen, weil sein eigenes Verzeichnis ihn tragen muss. Verstöße gegen Artikel 27 fallen unter Artikel 83 Absatz 4 Buchstabe a, die Stufe von 10 000 000 EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.\n\n## Was damit zu tun ist\n\nBeantworten Sie die [Bestimmung](\u002Fgdpr\u002Fduties): keine Niederlassung in der Union, Anbieten oder Beobachten, nicht gelegentlich, und der Vertreter ist erforderlich, mit Artikel 27 Absatz 1 und Artikel 3 Absatz 2 als Grundlage. Benennen Sie schriftlich einen in einem Staat, in dem Ihre Nutzer sind, mit dem Auftrag nach Artikel 27 Absatz 4 ausformuliert; setzen Sie seinen Namen und seine Kontaktdaten in die Datenschutzerklärung und in das Verzeichnis, und geben Sie dem Vertreter das Verzeichnis. Lesen Sie dann die [Meldefrist-Seite](\u002Fgdpr\u002Fbreach-clock) mit dem Vertreter im Blick: ein Unternehmen ohne Niederlassung in der Union hat keine federführende Behörde, und seine Meldung nach Artikel 33 geht an die Behörde jedes Staates, dessen Einwohner betroffen sind, und das ist die Behörde, der der Vertreter antworten wird.\n",1789383972232]