Volstaat je distributeur als EU-vertegenwoordiger?

Het gesprek verloopt bijna altijd hetzelfde.

We vragen of er een EU-vertegenwoordiger is aangesteld. Het antwoord is: ja hoor, we werken al zeven jaar met een distributeur in Nederland. Of: ons advocatenkantoor in Frankfurt regelt onze Europese zaken. Of, het vaakst: onze moedermaatschappij zit in Ierland, dus dat is geregeld.

Alle drie klinken redelijk. Geen van de drie beantwoordt de vraag.

Dit is het meest voorkomende misverstand dat we tegenkomen rond artikel 27 van de GDPR, en het is een duur misverstand — niet omdat het zwaar beboet wordt, maar omdat bedrijven jarenlang denken dat ze in orde zijn terwijl er niets is aangesteld. Ze komen erachter op het slechtst mogelijke moment: wanneer een Europese koper ernaar vraagt.

Weet je nog niet of artikel 27 op jou van toepassing is, begin dan bij de beslisboom in zeven vragen. Dit artikel gaat over de stap daarna: je hebt er een nodig, en je denkt dat je er al een hebt.

Wat een vertegenwoordiger wél is

Artikel 27 vraagt vier dingen tegelijk. Alle vier moeten kloppen.

Een schriftelijke aanstelling. Een mandaat op papier waarin de rol expliciet wordt toegekend en aanvaard. Niet impliciet, niet afgeleid uit een bestaande overeenkomst.
Gevestigd in de juiste lidstaat. In een lidstaat waar zich betrokkenen bevinden aan wie je goederen of diensten aanbiedt, of van wie je gedrag monitort.
Aanspreekpunt voor betrokkenen én toezichthouders. Voor alle vraagstukken over de verwerking, naast of in plaats van jou.
Kenbaar gemaakt. De gegevens moeten vindbaar zijn voor de mensen die er gebruik van moeten maken. In de praktijk: in je privacyverklaring.

Daarbovenop houdt de vertegenwoordiger het register van verwerkingsactiviteiten bij dat in die hoedanigheid moet kunnen worden voorgelegd aan een toezichthouder.

Let op wat er níét in die lijst staat: een commerciële relatie, kennis van je product, of jarenlange samenwerking. Dat zijn allemaal goede dingen. Ze zijn geen van alle een aanstelling.

Geval 1: de distributeur

Je distributeur verkoopt jouw producten in Europa. Hij heeft een Europees adres, hij spreekt de taal, hij kent je klanten. Waarom zou hij niet je vertegenwoordiger zijn?

Twee redenen, en de tweede is de belangrijkste.

Er is geen aanstelling. Je distributieovereenkomst gaat over verkoop, voorraad, marges en gebied. Ze zegt niets over gegevensbescherming, en de rol van vertegenwoordiger ontstaat niet vanzelf uit een commerciële relatie. Er is geen mandaat, dus er is geen vertegenwoordiger.

Belangenverstrengeling. Dit is het deel dat mensen missen. De vertegenwoordiger is aanspreekpunt voor betrokkenen — dus ook voor een Europese klant die klaagt, zijn gegevens opvraagt of wissing eist. Je distributeur is de partij die aan die klant verkoopt en er commercieel belang bij heeft dat er niets misgaat. Je legt de klachtenafhandeling bij de partij die het meest te verliezen heeft bij een klacht.

Daar komt bij: een distributeur is meestal zelf verwerkingsverantwoordelijke voor de gegevens die híj verwerkt. Twee rollen door elkaar halen die uiteenlopende belangen dienen, is precies wat een toezichthouder niet wil zien.

Kan het wel? In theorie kan een distributeur formeel worden aangesteld, als het schriftelijk gebeurt en hij de rol werkelijk kan invullen. We raden het af, en we hebben het in de praktijk zelden goed zien gaan. Zodra de commerciële relatie wringt — en dat gebeurt — zit je Europese aanspreekpunt bij een partij waarmee je onderhandelt.

Geval 2: het advocatenkantoor

Je hebt een kantoor op abonnement in Parijs of Frankfurt dat je Europese zaken behartigt. Dan is dat toch je vertegenwoordiging?

Hier zit het onderscheid tussen iemand inhuren en iemand aanstellen.

Een advocatenkantoor dat je adviseert, is je adviseur. Een advocatenkantoor dat schriftelijk is aangesteld als vertegenwoordiger onder artikel 27, met de gegevens in je privacyverklaring, is je vertegenwoordiger. Dat zijn twee verschillende opdrachten, met verschillende verplichtingen, en het ene volgt niet uit het andere.

De praktische toets is simpel. Staat de naam en het adres van het kantoor in je privacyverklaring, onder het kopje vertegenwoordiger? Zo niet, dan is er geen kenbaar gemaakte vertegenwoordiger, en dan is er in de zin van artikel 27 geen vertegenwoordiger.

Een tweede punt, minder juridisch en meer praktisch: de rol is grotendeels operationeel. Post opvangen, identiteit van verzoekers verifiëren, termijnen bewaken, een register bijhouden, antwoorden versturen. Dat is werk dat een advocatenkantoor kán doen, maar tegen advocatentarieven — waarover meer in wat een EU-vertegenwoordiger kost in 2026.

Geval 3: de handelsagent of het verkoopkantoor

Een handelsagent die op jouw naam in Europa verkoopt zit dichter bij een oplossing dan een distributeur, maar de kern blijft: zonder schriftelijke aanstelling is er niets.

Er is bij een verkoopkantoor bovendien een tweede vraag die eerst beantwoord moet worden, en die belangrijker is dan de vertegenwoordigersvraag: is dat kantoor een vestiging in de zin van de GDPR?

Een vestiging is een stabiele regeling met werkelijke en daadwerkelijke activiteiten. Heb je in Europa personeel, een kantoor en een duurzame structuur, dan heb je mogelijk een vestiging — en dan valt de verplichting uit artikel 27 weg, omdat die alleen geldt voor organisaties zónder vestiging in de Unie.

Dat klinkt als goed nieuws en het is het meestal niet. Val je onder artikel 3, lid 1, in plaats van artikel 3, lid 2, dan verandert er van alles: welke toezichthouder bevoegd is, hoe het éénloketmechanisme werkt, en welke verplichtingen op welke entiteit rusten. Je bent niet minder gereguleerd. Je bent anders gereguleerd, en dat vraagt een eigen analyse.

Geval 4: de Europese groepsvennootschap

Het interessantste geval, en het enige waarbij het antwoord “ja, mits” kan zijn.

Je hebt een zusteronderneming in Ierland, Nederland of Duitsland. Kan die je vertegenwoordiger zijn?

Ja, mits het uitdrukkelijk en schriftelijk gebeurt. Er is geen regel die groepsvennootschappen uitsluit. Wat er wel is, is de vaststelling dat de aanstelling formeel moet plaatsvinden — en dat gebeurt bijna nooit, omdat iedereen aanneemt dat het binnen een groep vanzelf geregeld is.

Drie voorwaarden waar het in de praktijk op stukloopt:

De juiste lidstaat. Een Ierse entiteit is een prima vertegenwoordiger als je Ierse betrokkenen hebt. Verkoop je vooral in Duitsland, Frankrijk en Spanje en zit je vertegenwoordiger in Ierland, dan is dat verdedigbaar maar niet vanzelfsprekend — leg vast waarom.
Werkelijke bereikbaarheid. De entiteit moet bereikbaar zijn voor betrokkenen in de talen van de betrokken markten. Een houdstermaatschappij zonder personeel voldoet daar niet aan.
Een intern proces dat werkt. Komt er een inzageverzoek binnen bij de Ierse entiteit, wie pakt het op, hoe komt het bij de juiste systemen, en wie bewaakt de termijn van 30 dagen? Zonder dat proces heb je een postbus met een logo erop.

En nogmaals de vraag die op elke groepsstructuur van toepassing is: als er een Europese entiteit met personeel is, heb je dan niet gewoon een vestiging? Beantwoord die vraag eerst. Ze bepaalt of artikel 27 überhaupt speelt.

De toets in dertig seconden

Vier vragen. Beantwoord je er één met nee, dan heb je geen aangestelde vertegenwoordiger.

Vraag	Waar je het bewijs vindt
Bestaat er een schriftelijk document waarin deze partij als vertegenwoordiger onder artikel 27 wordt aangesteld?	Een aanstellingsbrief of een addendum bij het contract. Niet de distributieovereenkomst zelf.
Staat de naam en het adres in je privacyverklaring?	Open je eigen privacyverklaring en zoek op “vertegenwoordiger”. Dertig seconden werk.
Weet die partij dat ze de rol heeft, en weet ze wat de rol inhoudt?	Bel ze. Het antwoord is verrassend vaak nee.
Kan die partij het register van verwerkingsactiviteiten voorleggen?	Vraag het op. Krijg je het niet binnen een werkdag, dan bestaat het niet.

Wat er in de aanstellingsbrief hoort

Wil je het zelf regelen met een bestaande partij, dan zijn dit de elementen die erin moeten. Kort document, meestal één tot twee pagina’s.

Wie stelt aan en wie wordt aangesteld. Volledige rechtspersonen met adres en ondernemingsnummer, niet handelsnamen.
Uitdrukkelijke verwijzing naar artikel 27 van Verordening (EU) 2016/679. “Vertegenwoordiger in Europa” is te vaag; het gaat om deze specifieke rol.
Reikwijdte. Voor welke verwerkingsactiviteiten en welke entiteiten geldt de aanstelling.
Taken. Aanspreekpunt voor betrokkenen en toezichthouders, bijhouden van het register, doorgeleiden van verzoeken, en de afgesproken termijnen.
Contactgegevens zoals ze gepubliceerd worden. Precies zoals ze in je privacyverklaring komen te staan.
Ingangsdatum, duur en opzegging. Inclusief wat er met het dossier gebeurt bij beëindiging.
Aanvaarding door beide partijen. Getekend. Door beide.

Een punt om vooraf met de tegenpartij te bespreken: overweging 80 bij de verordening bepaalt dat de vertegenwoordiger onderworpen moet zijn aan handhavingsprocedures bij niet-naleving door de verwerkingsverantwoordelijke of verwerker. Over hoe ver dat reikt wordt nog gediscussieerd — de European Data Protection Board leest het als de mogelijkheid voor toezichthouders om via de vertegenwoordiger te handhaven, niet als volledige aansprakelijkheid in jouw plaats. Maar het is precies de reden waarom een distributeur die de rol krijgt uitgelegd, hem vaak alsnog liever niet aanvaardt. Beter dat je dat vooraf weet dan tijdens een incident.

Waarom dit vaker misgaat dan je denkt

De reden is bijna nooit onwil. Ze is structureel.

Artikel 27 is een van de weinige GDPR-verplichtingen die je moet vervullen door iemand anders iets te laten doen. Alle andere verplichtingen kan je intern oplossen: een register opstellen, een beleid schrijven, een proces bouwen. Deze vraagt een externe partij, een handtekening en een publicatie — drie stappen, verspreid over twee organisaties, zonder dat iemand er duidelijk eigenaar van is.

Zo blijft ze liggen. En omdat er in de tussentijd niets misgaat, ontstaat de overtuiging dat het geregeld is.

Tot de vragenlijst van een Europese koper op je bureau valt. Dan blijkt in één vraag dat de verplichting die je zeven jaar geleden dacht te hebben afgevinkt, nooit is ingevuld — en zit je met twee weken antwoordtijd. We hebben die vragenlijst vraag voor vraag uitgewerkt, inclusief hoe een goed antwoord op dit punt eruitziet.

Waar wij van pas komen

Chuyenso is gevestigd in België. Onze oprichter is gecertificeerd EADPP onder het Europese GDPR-kader, met vijftien jaar ondernemerschap en meer dan honderd klanten in strategie, development, hosting en data.

We treden op als aangestelde vertegenwoordiger in de Europese Unie. Met een mandaat op papier, een Belgisch adres dat je in je privacyverklaring zet, een aanspreekpunt dat bereikbaar is voor betrokkenen én voor toezichthouders, en het register van verwerkingsactiviteiten dat je in die hoedanigheid moet kunnen voorleggen. We zijn geen distributeur, geen agent en geen partij in je commerciële keten — precies daarom kunnen we de rol invullen zonder tegenstrijdig belang.

Strategiesessie — 60 minuten, €295. Breng je huidige constructie mee: je distributieovereenkomst, je privacyverklaring, je groepsstructuur. We zeggen je of er iets is aangesteld en wat er ontbreekt, met een schriftelijke samenvatting en drie acties binnen 48 uur.

EU-vertegenwoordiging — vanaf €1.850 per jaar. Aanstelling binnen enkele werkdagen, inclusief de aanstellingsbrief, de tekst voor je privacyverklaring en het register.

Wil je eerst gewoon weten of je constructie standhoudt: boek een gratis kennismaking van 25 minuten. Vaak is het antwoord in tien minuten duidelijk.

Boek een sessie →

Chuyenso — letterlijk: digitale transformatie. We helpen bedrijven buiten Europa om Europa-klaar te worden: juridisch, technisch en commercieel.

Bronnen: Artikel 27 GDPR — volledige tekst · EDPB Richtsnoeren 3/2018 over de territoriale werkingssfeer · Overweging 80 — aanwijzing van een vertegenwoordiger · Interpretation of Art. 27 Representative Liability (Bird & Bird)

Algemene informatie, geen juridisch advies.