Ständiger Vertreter in der Union, Art. 27 DSGVO

When must an organization appoint an EU representative under Art. 27 GDPR?
Organizations without an establishment in the EU or EEA that process personal data in the EU must appoint a representative in the EU pursuant to Art. 27 GDPR. This representative is, in particular, the point of contact for supervisory authorities and data subjects in all matters relating to the GDPR. According to the requirements of the GDPR, an organization is obliged to appoint a representative in the EU if the following conditions are met:

• The organization does not have an establishment within the EU This is the case if the organization does not have a subsidiary within the EU; does not have an office or a production or sales facility or other branch in a Member State of the EU; and does not have other fixed facilities in the EU.
• The organization processes data of individuals within the EU The organization processes the personal data of citizens of the EU either in connection with the offer of goods or services or to monitor the behavior of these individuals.

In doing so, the representative performs representative duties of the organization within the EU and assists the organization in complying with the requirements of the GDPR.

Tasks of an EU representative
The representative in the Union serves as the point of contact for supervisory authorities. He or she is also the contact for individuals whose personal data is processed to enable the exercise of data subject rights under the GDPR. These can be customers and employees of a company.

Likewise, the documentation and provision of an inventory of processing activities at the request of supervisory authorities is part of the tasks of the EU representative.

Furthermore, according to the accountability principle of the GDPR, an organization is obliged to demonstrably document data protection requests from data subjects as well as authorities. An EU representative supports the organization in this documentation of incoming requests.

Wann muss eine Organisation einen EU-Vertreter nach Art. 27 DSGVO benennen?
Organisationen ohne Niederlassung in der EU bzw. im EWR, die personenbezogene Daten in der EU verarbeiten, müssen gemäß Art. 27 DSGVO einen Vertreter in der EU benennen. Dieser ist insbesondere Anlaufstelle für Aufsichtsbehörden und Betroffene in allen Fragen hinsichtlich der DSGVO.
Gemäß den Vorgaben der DSGVO ist eine Organisation verpflichtet einen Vertreter in der EU zu benennen, wenn folgende Voraussetzungen vorliegen:

• Die Organisation verfügt über keine Niederlassung innerhalb der EU. Dies ist der Fall, wenn die Organisation keine Tochtergesellschaft innerhalb der EU hat; weder ein Büro noch eine Produktions- oder Verkaufsstätte oder sonstige Zweigstelle in einem Mitgliedstaat der EU besitzt und keine sonstigen festen Einrichtungen in der EU besitzt.
• Die Organisation verarbeitet Daten von Personen innerhalb der EU Die Organisation verarbeitet die personenbezogenen Daten von Bürgern der EU entweder im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen oder zur Beobachtung des Verhaltens dieser Personen.
  Der Vertreter nimmt dabei repräsentative Aufgaben der Organisation innerhalb der EU wahr und unterstützt diese bei der Einhaltung der Anforderungen der DSGVO.

Aufgaben eines EU-Vertreters
Der Vertreter in der Union dient als Anlaufstelle für die Aufsichtsbehörden. Er ist zudem der Kontakt für Personen, deren personenbezogene Daten verarbeitet werden, um die Ausübung von Betroffenenrechten nach der DSGVO zu ermöglichen. Dies können Kunden und Mitarbeitende eines Unternehmens sein.
Ebenso gehört die Dokumentation und das Bereitstellen eines Verzeichnisses von Verarbeitungstätigkeiten auf Anforderung von Aufsichtsbehörden zu den Aufgaben des EU-Vertreters.
Des Weiteren ist eine Organisation nach dem Rechenschaftsprinzip der DSGVO dazu verpflichtet, Datenschutzanfragen von betroffenen Personen sowie Behörden nachweislich zu dokumentieren. Ein EU-Vertreter unterstützt die Organisation bei dieser Dokumentation von eingehenden Anfragen.