Der Vertreter wird durch den Verantwortlichen oder den Auftragsverarbeiter beauftragt, zusätzlich zu diesem oder an seiner Stelle insbesondere für Aufsichtsbehörden und betroffene Personen bei sämtlichen Fragen im Zusammenhang mit der Verarbeitung von personenbezogenen Daten zur Gewährleistung der Einhaltung der DSGVO als Anlaufstelle zu dienen. Der Vertreter ist ein Bevollmächtigter für den Erhalt von Rechtsdokumenten (siehe unter anderem § 44 BDSG).

Der benannte Vertreter muss in einem der EU-Mitgliedstaaten niedergelassen sein, in dem die Verarbeitung stattfindet. Er muss eine natürliche oder juristische Person sein, die vom Verantwortlichen oder Verarbeiter gemäß Art. 27 DSGVO schriftlich benannt wird. Eine juristische Person ist eine Personenvereinigung oder Zweckvermögen. Sie ist Träger von Rechten und Pflichten und kann im eigenen Namen klagen und verklagt werden. Der Vertreter muss kein Rechtsanwalt oder Datenschützer sein.
Da der Vertreter jedoch verpflichtet ist, mit Behörden und betroffenen Personen in einer Vielzahl von Fragen zu kommunizieren, wäre es für den Vertreter von Vorteil, wenn er die DSGVO-Vorschriften gut kennt. Darüber hinaus sollte Ihr DSGVO-Vertreter idealerweise ein gutes Verständnis für die Datendienste Ihres Unternehmens haben – wie Ihr Unternehmen Daten verwendet bzw. verarbeitet. Der DSGVO-Vertreter verfügt idealerweise über Berufserfahrung in der Zusammenarbeit mit Behörden in den Bereichen Regulierung und Compliance.

Sie müssen den Vertreter schriftlich bevollmächtigen. Die Vollmacht sollte die Aufgaben des Vertreters enthalten. Derzeit müssen Sie Ihre Aufsichtsbehörde nicht informieren. Sie müssen den Vertreter jedoch in Ihrer Datenschutzerklärung (Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person gem. Art. 13, 14 DSGVO) und in Ihren Aufzeichnungen über die Verarbeitungstätigkeiten gem. Art. 30 DSGVO nennen.

Grundsätzlich wird nur ein Vertreter für die EU benötigt, auch wenn Ihr Unternehmen Niederlassungen in mehreren EU-Staaten hat. Je nach Größe Ihres Unternehmens und Umfang der Datenverarbeitung kann es jedoch sinnvoll sein, mehr als einen Vertreter zu beauftragen. Verschiedene Sprachen sowie kulturelle und rechtliche Besonderheiten der einzelnen EU-Mitgliedstaaten können für zusätzliche Schwierigkeiten sorgen.

Die Nichtbeachtung der Vorschrift kann mit hohen Bußgeldern bis zu 10 Millionen Euro gem. Art. 83 DSGVO belegt werden. Es kann auch als unlauterer Wettbewerb angesehen werden (dies ist streitig), wenn Sie sich nicht an die Vorschriften halten, was zu teuren Klagen in Deutschland oder anderen EU-Ländern führen kann.

LHR übernimmt für Unternehmen, die ihren Sitz nicht in der EU haben – insbesondere für US-amerikanische Unternehmen – die Vertretung nach Art. 27 DSGVO.