GDPR 第27条规定的欧盟代表
在欧盟境内没有设立机构的控制者和处理者，只要其处理活动属于(EU) 2016/679号条例（GDPR）第3条第2款的适用范围——即向位于欧盟境内的数据主体提供商品或服务，或对其在欧盟境内发生的行为进行监控——就必须以书面形式指定一名在欧盟的代表（GDPR 第27条第1款）。Regingada UG (haftungsbeschränkt) 根据其自身的代表合同承担这一指定角色：作为监管机构和数据主体的联络点，提供文档和记录支持——但不提供法律咨询。
面向在欧盟境内服务客户或追踪用户的非欧盟SaaS提供商、应用发行商及在线企业的GDPR欧盟代表服务。
软件及指定欧盟代表：Regingada UG (haftungsbeschränkt) · 法律咨询仅由：Kanzlei Theo Funk 提供——需单独委托
谁必须根据第27条指定欧盟代表
GDPR 第27条第1款将义务与 GDPR 第3条第2款挂钩：未在欧盟设立的控制器或处理器，若其对位于欧盟境内的数据主体个人数据的处理涉及(a)向欧盟境内的此类数据主体提供商品或服务——无论是否需要付款——或(b)监控其行为，且该行为发生在欧盟境内，则必须在欧盟指定一名代表。
两项触发条件均不要求存在欧盟实体或欧盟收入。就提供商品或服务这一条件而言，GDPR 序言第23条考察的是您是否计划向欧盟境内的数据主体提供商品或服务——仅网站可访问性并不足够，但诸如使用欧盟语言或货币且具备订购功能，或提及欧盟境内客户等因素，则表明该意图。就监控行为这一条件而言，GDPR 序言第24条指向对自然人在互联网上的追踪，包括后续使用画像技术分析或预测个人偏好、行为及态度。
若 GDPR 第3条第2款适用，且不存在 GDPR 第27条第2款规定的豁免情形，则必须以书面形式进行指定（GDPR 第27条第1款）——且该代表必须设立于相关数据主体所在的成员国之一（GDPR 第27条第3款）。
豁免情形——GDPR 第27条第2款
该义务不适用于以下处理：属于偶发性处理，未大规模处理 GDPR 第9条第1款所指的特殊类别数据或 GDPR 第10条所指的与刑事定罪和犯罪相关的个人数据，且考虑到处理的性质、范围、背景和目的，不太可能对自然人的权利和自由造成风险（GDPR 第27条第2款(a)项）。该义务也不适用于公共机构或团体（GDPR 第27条第2款(b)项）。
第一项豁免的三个条件是累积性的。对于持续向欧盟境内人员提供服务或进行追踪的在线实时服务，其处理很少属于“偶发性”——这就是为什么大多数受 GDPR 第3条第2款约束的非欧盟 SaaS 和应用程序企业最终都需要指定代表的原因。
欧盟指定代表的职能
指定代表由控制者或处理者授权，作为除控制者或处理者之外或替代其的联系对象——特别是供监管机构和数据主体就所有与处理相关的事宜进行联络，以确保符合GDPR的规定（GDPR第27条第4款）。与大多数其他欧盟代表制度不同，第27条使代表不仅成为当局的联系对象，也成为个人的联系对象。
- 在欧盟境内的指定联系地址——接收监管机构信函以及数据主体向代表提出的请求
- 有记录的转递流程——及时转发给您指定的人员，并设有明确的升级路径和审计追踪
- 记录保存——代表根据GDPR第30条第1款和第2款维护其自身的处理活动记录，并与您的记录保持同步
- 披露支持——代表的身份和联系方式应包含在您的隐私声明中（GDPR第13条第1款(a)项和第14条第1款(a)项）
GDPR序言第80条指出，如果控制者或处理者不合规，指定的代表应接受执法程序——而GDPR第27条第5条明确规定，指定代表不影响针对控制者或处理者本身的法律诉讼。正因如此，我们的代表合同精确界定了职责、信息流和升级路径。
根据GDPR，无需向监管机构通知代表的指定情况：该指定通过书面委托、您的隐私声明以及处理活动记录予以证明。
指定代表如何运作
从范围界定到公开且记录在案的代表职能，仅需三个步骤。
-
范围界定
一套引导式问题集——即您可在此页面启动的同一向导——用于记录您的设立情况、第3条第2款的触发条件以及第27条第2款的豁免条件。
交付物一份关于您第27条状态的结构化自我评估记录——此非法律裁定；如需法律裁定，律师事务所将根据单独委托提供咨询。
-
书面委托
我们准备GDPR第27条第1款要求的书面指定文件，以及明确任务、信息渠道和响应时间的代表合同。
交付物一份书面指定文件草案及代表合同，明确角色、职责和信息流——可应要求提供示范条款。
-
披露与上线
GDPR下无需向监管机构进行通知——而是使您的公开披露和记录符合要求，并使运营联系渠道正式上线。
交付物一份披露包：用于您隐私声明（GDPR第13条第1款a项和第14条第1款a项）的代表联系信息模块、第30条记录条目，以及一个记录在案的联系渠道。
一个由注册公司担任的具名角色。
“第27条是一项运营性角色：监管机构及数据主体必须能够在欧盟内联系到某人，由其可靠地接收、转发并记录信息。Regingada 根据自身合同担任该具名角色。法律判断则由我的律师事务所根据单独委托负责。”
Regingada UG (haftungsbeschränkt)，HRB 12595，班贝格地方法院 (AG Bamberg)
指定欧盟代表及软件：Regingada UG (haftungsbeschränkt) — 由德国律师 Theo Funk 全资拥有，不提供法律咨询 · 法律咨询：独立律师事务所 Kanzlei Theo Funk（班贝格律师协会）— 单独委托。
欧盟数据规范 → 信任中心 · security.txt (RFC 9116)
同一监管体系为 Regingada 合规套件提供支持——该数字孪生软件可同时映射 GDPR、DSA、欧盟《人工智能法》、DMA 及 NIS2。
来自 Regingada Radar — 我们追踪我们所代表的内容
欧盟代表 vs. 数据保护官
GDPR 第27条和第37条创设了不同的职能。前者是根据您的委托在欧盟境内设立的外部联络地址；后者是独立的内部监督角色。两者应当保持分离。
| 欧盟代表 (GDPR 第27条) | 数据保护官 (GDPR 第37条) | |
|---|---|---|
| 法律依据 | GDPR 第27条 | GDPR 第37–39条 |
| 任命主体 | 受GDPR第3条第2款约束的非欧盟控制者和处理者 | 满足GDPR第37条第1款标准的控制者和处理者——无论其设立在何处 |
| 核心职能 | 作为公司在欧盟境内面向监管机构和数据主体的联络地址，可替代或补充公司自身（GDPR第27条第4款） | 提供信息与建议、监督合规情况、与监管机构合作（GDPR第39条第1款） |
| 地位 | 依据书面委托行事的服务提供方 | 独立——不得就职责履行接受指示（GDPR第38条第3款） |
| 可否由同一人或同一公司担任？ | 不可——详见下文。 | |
代表依据您的指示行事，且根据GDPR序言第80段，在您不遵守规定时可能成为执法程序的对象——而数据保护官必须独立履行职责。欧洲数据保护委员会在其《关于GDPR地域范围的3/2018号指南》中认为，代表的职能与数据保护官的角色不相容。如果您两者都需要，则应分别进行两项任命——Regingada仅承担GDPR第27条规定的代表角色。
切换您的欧盟代表
当服务商退出市场、合同到期或集团重组时，代表委托可能发生变更。有序的变更包含三个环节——只要记录保存得当，每个环节都不复杂。
- 重叠而非空白 — 确保旧委托的终止与新书面指定（GDPR 第27条第1款）相衔接，避免在欧盟境内出现无代表的空窗期
- 更新披露信息 — 隐私声明必须载明当前代表的身份和联系方式（GDPR 第13条第1款(a)项和第14条第1款(a)项）；同时更新第30条处理活动记录
- 移交记录 — 监管机构或数据主体的待处理事项、通信日志以及代表的第30条记录应移交至新代表，并注明明确的移交日期
我们通过结构化交接承接现有的第27条委托——如果您将来离开，我们也以同样方式移交。审计记录归您所有，而非我们持有。
触发GDPR第27条义务的三种非欧盟SaaS场景
该义务容易被忽视，因为它跟随您的欧盟用户，而非您的公司架构。以下是我们反复遇到的三种模式：
-
GDPR 第3条第2款(a)项
拥有欧盟客户的美国SaaS
一家在美国注册成立、无欧盟实体的SaaS公司，向欧盟境内的客户销售订阅服务。向欧盟境内的数据主体提供商品或服务，即触发GDPR 第3条第2款(a)项的适用——无论是否要求付款。免费层级同样适用。
-
GDPR 第3条第2款(a)项 · 序言第23条
拥有欧盟用户的应用
移动或网络应用覆盖欧盟境内的用户。仅可访问性本身并不足够（GDPR序言第23条）——但在欧盟应用商店上架、使用欧盟语言或货币并提供订购功能，或提及欧盟境内用户的营销行为，均使该提供行为显而易见。
-
GDPR 第3条第2款(b)项 · 序言第24条
分析与追踪
即使未向欧盟销售任何产品，追踪欧盟境内用户也可能触发该义务：GDPR 第3条第2款(b)项涵盖对欧盟境内行为的监控——GDPR序言第24条指出，通过互联网追踪并进行后续画像分析或预测偏好、行为和态度。分析、会话回放和广告个性化均属此范畴。
费用由什么决定
委托费用取决于该角色实际需要承担的工作量：指定涵盖的集团公司数量、预计的监管机构和数据主体联系量、文档和记录需求（GDPR 第30条）、该角色是否与 DSA 第13条、欧盟《人工智能法》或 NIS2 的代表职责合并（多制度设置可降低协调成本），以及我们承诺的响应时间。
按公司规模划分的固定年费：€490（微型）· €990（小型）· €2,290（中型）· €5,200（大型）。
不含增值税，年付预付，需经过入职审核。第27条代表职责通常与 DSA 或欧盟《人工智能法》的代表职责合并——多制度设置：每增加一个制度，合并年费减免10%，最高减免30%。查看完整价格表 →
常见问题解答
我们的欧盟代表能否同时担任数据保护官？
不能——这两个角色应当保持分离。代表的职责是作为贵方的补充或替代联系方（GDPR 第27条第4款），而数据保护官必须独立行事，不得在执行任务时接受指示（GDPR 第38条第3款）。欧洲数据保护委员会在其《关于GDPR地域范围的3/2018号指南》中认为，代表职能与数据保护官角色不相容。
GDPR 第27条第2款规定了哪些豁免情形？
两种。第一，处理活动属于偶发性，且不涉及大规模处理GDPR第9条第1款所指的特殊类别数据或GDPR第10条所指的刑事定罪与犯罪相关个人数据，并且考虑到处理的性质、背景、范围与目的，不太可能对自然人的权利与自由造成风险。第二，由公共机构或机关进行的处理。第一种豁免的条件是累积性的——对于在线实时服务而言，处理活动很少是偶发性的。
我们是否必须在隐私政策中指明代表？
是的。若已指定代表，则代表的身份与联系方式是您必须向数据主体提供的信息的一部分（GDPR 第13条第1款(a)项和第14条第1款(a)项）。我们会在入职审核过程中为您提供隐私声明中使用的代表联系信息模块。
代表是否会成为执法对象？
GDPR 序言第80条指出，在控制者或处理者不遵守规定的情况下，指定的代表应接受执法程序。同时，GDPR 第27条第5款明确规定，指定代表不影响可能针对控制者或处理者本身提起的法律诉讼。我们的代表合同通过精确界定职责、信息流与升级路径来反映这一点。
如何更换现有的欧盟代表？
通过将旧委托的终止与新的书面指定（GDPR 第27条第1款）相衔接，更新您的隐私声明（GDPR 第13条第1款(a)项和第14条第1款(a)项）以及处理活动记录（GDPR 第30条），并移交未结的监管机构或数据主体事务以及通信记录。我们支持双向的结构化交接。
代表是否必须在监管机构注册？
不需要。GDPR 未规定代表需在监管机构注册——指定体现在书面委托、您的隐私声明以及处理活动记录中。这与NIS2不同，NIS2要求某些实体提交注册信息，其中包含根据第26条第3款指定的代表的详细信息（指令(EU) 2022/2555 第27条）。
一个代表能否为多个集团公司行事？
可以。GDPR 第27条将义务附加于每个控制者或处理者，但该条款并未阻止同一集团的多家公司指定同一代表——每个实体需作出自己的书面指定，且代表必须设立在相关数据主体所在的成员国之一（GDPR 第27条第3款）。以一个委托覆盖整个集团是常见设置，也是本页面上成本因素之一。
这是法律咨询吗？
Regingada UG (haftungsbeschränkt) 是软件与欧盟代表公司，由律师 Theo Funk 全资拥有。该公司不提供法律咨询。如需通过单独委托获得法律咨询，请联系独立的律师事务所 Kanzlei Theo Funk。
费用是多少？
聘用费用取决于指定所涵盖的集团公司数量、预期的监管机构与数据主体联系量、文件与记录需求、该角色是否与DSA第13条、AI Act或NIS2代表职能合并（多制度设置可降低协调成本），以及约定的响应时间。按公司规模划分的固定年费：€490（微型）、€990（小型）、€2,290（中型）、€5,200（大型）。不含增值税，年付预付，需经过入职审核。 查看完整价目表。
任命您的第27条欧盟代表。
从范围界定检查开始——它将记录您的第3条第2款触发条件及第27条状态，并直接引导您进入代表委托请求。
关于代表义务的法律咨询——Theo Funk 律师事务所（单独委托）