Het is de vraag die we het vaakst krijgen, en het is bijna nooit de vraag die mensen denken te stellen. Ze vragen: moeten wij een EU-vertegenwoordiger aanstellen? Wat ze eigenlijk vragen is: hoe erg is het als we het niet doen?
Beide vragen hebben een antwoord, en het eerste is korter dan je denkt. Artikel 27 van de GDPR is een van de weinige bepalingen in de verordening die zich laat terugbrengen tot een reeks ja/nee-vragen. Geen afweging, geen redelijkheidstoets, geen ruimte voor interpretatie in de meeste gevallen. Je valt eronder of je valt er niet onder.
Wat de vraag lastig maakt, is dat bedrijven op de verkeerde plek beginnen. Ze beginnen bij artikel 27, terwijl artikel 27 pas relevant wordt nadat artikel 3 heeft bepaald dat de GDPR überhaupt op je van toepassing is. Wie die volgorde omdraait, komt uit bij een antwoord dat toevallig klopt of toevallig niet.
Hieronder staan zeven vragen in de juiste volgorde. Reken op een kwartier, en houd bij welke tools je gebruikt terwijl je leest — dat is waar de verrassingen zitten.
Vraag 1: Verwerk je persoonsgegevens van mensen die zich in de EU bevinden?
Let op de formulering, want elk woord doet werk.
“Mensen die zich in de EU bevinden” — niet EU-burgers. Nationaliteit speelt geen rol. Een Amerikaan op zakenreis in Amsterdam die op je site iets invult, valt eronder. Een Belg die in Ho Chi Minhstad woont en daar je site bezoekt, valt er niet onder. Het criterium is fysieke aanwezigheid op het moment van de verwerking, niet paspoort of woonplaats.
“Persoonsgegevens” is ruimer dan de meeste bedrijven aannemen. Een e-mailadres is een persoonsgegeven. Een IP-adres is dat in de regel ook. Een cookie-ID dat aan een apparaat hangt, doorgaans eveneens. Een zakelijk contact bij een klant — naam, functie, telefoonnummer — is een persoonsgegeven, ook al is het B2B. De GDPR kent geen B2B-uitzondering. Die aanname kost bedrijven regelmatig een halve dag herwerk.
Antwoord “nee” en je bent klaar. Antwoord “ik denk het niet, maar we hebben wel Google Analytics draaien” en het antwoord is ja.
Vraag 2: Heb je een vestiging in de Europese Unie?
Artikel 27 geldt alleen voor organisaties zonder vestiging in de Unie. Heb je er een, dan valt de verplichting weg — al val je dan hoogstwaarschijnlijk onder artikel 3(1) en gelden er andere verplichtingen. Je bent dan niet minder gereguleerd, je bent anders gereguleerd.
“Vestiging” is een feitelijk begrip, geen juridisch etiket. Het gaat om een stabiele regeling met werkelijke en daadwerkelijke activiteiten — een kantoor, personeel, een structuur die er duurzaam is. Een postbus is geen vestiging. Een dochteronderneming die alleen op papier bestaat, evenmin.
Twee gevallen die vaak fout gaan:
- Eén thuiswerkende medewerker in Spanje. Dat kan al een vestiging zijn, afhankelijk van wat die persoon doet en hoe duurzaam de regeling is. Dit is geen theoretische discussie: het bepaalt welk artikel op je van toepassing is.
- Een Europese zusteronderneming binnen dezelfde groep. Die is geen vestiging van jóúw entiteit. Concernverbanden lossen dit niet vanzelf op — daarover meer bij vraag of je distributeur of groepsvennootschap volstaat.
Vraag 3: Bied je goederen of diensten aan aan mensen in de EU?
Hier begint het echte werk, want dit is de vraag waar bedrijven zichzelf het vaakst voor de gek houden.
Het criterium is niet of Europeanen bij je kunnen kopen. Het is of je je richt op de Europese markt. Een bereikbare website is niet genoeg; gerichtheid wel. De European Data Protection Board somt in haar richtsnoeren over de territoriale werkingssfeer een reeks aanwijzingen op, ontleend aan rechtspraak van het Hof van Justitie:
- Je noemt een of meer EU-lidstaten bij naam, of je verwijst naar Europese klanten of gebruikers.
- Je site is beschikbaar in een taal die in je eigen land niet gangbaar is maar in de EU wel.
- Je toont prijzen in euro of accepteert betaling in euro.
- Je gebruikt een landdomein van een lidstaat — .de, .fr, .nl, .be.
- Je levert naar EU-adressen, of noemt Europese leveringsvoorwaarden.
- Je adverteert of koopt zoekwoorden gericht op Europese gebruikers.
- Je vermeldt Europese referentieklanten of een Europees telefoonnummer.
Geen van deze punten is op zichzelf beslissend, en ze worden in samenhang bekeken. Maar drie of vier ervan aankruisen en dan volhouden dat je je niet op Europa richt, is een positie die je niet gaat winnen.
Het antwoord hoeft ook niet betaald te zijn. Bied je een gratis proefversie, een gratis nieuwsbrief of een gratis tool aan Europese gebruikers aan, dan is dat een dienst.
Vraag 4: Monitor je het gedrag van mensen in de EU?
Dit is de vraag die de meeste bedrijven overslaat, en het is de vraag die het vaakst met ja beantwoord wordt zonder dat iemand het doorhad.
Monitoring betekent het volgen van gedrag dat plaatsvindt binnen de Unie. Concreet:
- Analytics die individuele bezoekers over pagina’s heen volgt.
- Advertentiepixels van sociale netwerken of advertentienetwerken.
- Retargeting of remarketing.
- Sessieopnames en heatmaps.
- Gedragsprofilering voor aanbevelingen of prijszetting.
- Apps die locatie of gebruik van functies bijhouden.
Draai je een van deze en heb je Europese bezoekers, dan monitor je gedrag in de Unie. Dat is voldoende om onder artikel 3(2) te vallen, ook als je geen enkel product aan een Europeaan verkoopt.
Dit is het meest voorkomende scenario dat we tegenkomen: een bedrijf dat overtuigd is niets met Europa te doen, met een marketingstack die al vier jaar Europese bezoekers volgt.
Vraag 5: Val je onder de uitzondering van artikel 27, lid 2?
Er is een uitzondering. Ze is smaller dan hij oogt, en de EDPB legt hem consequent eng uit.
De verplichting geldt niet wanneer aan alle drie de volgende voorwaarden tegelijk is voldaan:
- De verwerking is incidenteel. Niet regelmatig, niet structureel, niet onderdeel van je gewone bedrijfsvoering. Een webshop die het hele jaar door bestellingen aanneemt, verwerkt niet incidenteel. Een bedrijf dat één keer per jaar een handelsbeurs in Duitsland bezoekt en daar visitekaartjes verzamelt, mogelijk wel.
- Er is geen grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, of van strafrechtelijke gegevens als bedoeld in artikel 10. Bijzondere categorieën zijn onder meer gezondheidsgegevens, biometrische gegevens, en gegevens over religieuze of politieke overtuiging.
- De verwerking levert waarschijnlijk geen risico op voor de rechten en vrijheden van natuurlijke personen, rekening houdend met aard, context, omvang en doeleinden.
De voorwaarden zijn cumulatief. Zak je op één ervan, dan is de uitzondering weg.
In de praktijk struikelt vrijwel elk exporterend of online verkopend bedrijf al op de eerste voorwaarde. Als je Europese klanten hebt en die het hele jaar bedient, is je verwerking niet incidenteel — hoe klein je ook bent. De uitzondering is niet bedoeld voor kleine bedrijven; ze is bedoeld voor zeldzame verwerking.
What you do: beoordeel de drie voorwaarden apart, schrijf per voorwaarde je redenering op, en bewaar dat document. Kom je tot de conclusie dat de uitzondering geldt, dan is die schriftelijke onderbouwing precies wat je nodig hebt als iemand ernaar vraagt. Een niet-onderbouwde conclusie is geen conclusie.
Vraag 6: Ben je een overheidsinstantie of overheidsorgaan?
De tweede uitzondering in artikel 27, lid 2, geldt voor overheidsinstanties en overheidsorganen. Kort, en voor de meeste lezers van dit artikel niet van toepassing — maar het hoort in de beslisboom, want wie hem overslaat mist de enige andere grond waarop de verplichting vervalt.
Een staatsbedrijf dat commercieel opereert is geen overheidsorgaan in deze zin. Bij twijfel: het gaat om de aard van de taak, niet om wie de aandelen houdt.
Vraag 7: Wie stel je aan, waar, en hoe?
Ben je hier aanbeland met “ja” op vraag 1, “nee” op vraag 2, “ja” op vraag 3 of 4, en “nee” op vraag 5 en 6, dan moet je een vertegenwoordiger aanstellen. Dan resteren drie praktische beslissingen.
Waar. De vertegenwoordiger moet gevestigd zijn in een lidstaat waar zich betrokkenen bevinden aan wie je goederen of diensten aanbiedt, of van wie je gedrag monitort. Bedien je meerdere lidstaten — wat vrijwel altijd zo is — dan kies je er één. In de praktijk kies je op bereikbaarheid, taal en de toezichthouder waarmee je te maken krijgt.
Hoe. Schriftelijk. Artikel 27, lid 1, laat daar geen ruimte: een schriftelijk mandaat waarin de rol is vastgelegd. Een e-mailwisseling waarin iemand “prima” zegt, is geen mandaat.
Zichtbaar. De gegevens van je vertegenwoordiger moeten kenbaar zijn voor betrokkenen. In de praktijk betekent dat: in je privacyverklaring, met naam en adres, vindbaar zonder dat iemand ernaar hoeft te zoeken. Een aangestelde vertegenwoordiger die nergens vermeld staat, lost het probleem niet op — dat is precies het soort tekortkoming dat opvalt bij de leveranciersvragenlijst van een Europese koper.
De vertegenwoordiger houdt daarnaast het register van verwerkingsactiviteiten bij dat in die hoedanigheid moet kunnen worden voorgelegd, en fungeert als aanspreekpunt voor zowel betrokkenen als toezichthouders.
De drie uitkomsten
Uitkomst A — je hebt geen vertegenwoordiger nodig
Je verwerkt geen gegevens van mensen in de EU, of je hebt een vestiging in de Unie, of je valt aantoonbaar onder de uitzondering.
Wat je nu doet: schrijf op waarom, met de datum erbij, en zet er een herzieningsmoment op — jaarlijks, of eerder als je iets verandert aan je markt of je marketingstack. Deze conclusie veroudert. Eén Europese campagne, één nieuwe pixel, één Duitse distributeur en het antwoord kantelt.
Uitkomst B — je hebt er een nodig en je hebt er geen
Dit is de meest voorkomende uitkomst, en het goede nieuws is dat het de goedkoopste tekortkoming is die je op je lijst kunt hebben. Aanstellen kan binnen enkele werkdagen. De jaarkost ligt voor een standaarddienst ergens tussen enkele honderden en enkele duizenden euro’s — waar dat verschil vandaan komt, leggen we uit in wat een EU-vertegenwoordiger kost in 2026.
Het is precies daarom dat de tekortkoming zo slecht oogt wanneer ze openstaat. Ze is klein, zichtbaar, goedkoop op te lossen en volledig binnen je controle. Een complianceteam dat hem aantreft, trekt daar conclusies uit over de rest van je dossier.
Uitkomst C — je denkt dat je er een hebt, maar je hebt er geen
De onderschatte uitkomst. Je hebt een Europese distributeur, een advocatenkantoor op abonnement, een handelsagent of een groepsvennootschap in Ierland, en iemand heeft ooit gezegd dat dat volstaat.
Dat is meestal niet zo, en het onderscheid is scherper dan het lijkt. We hebben er een apart artikel over geschreven, inclusief de gevallen waarin een groepsentiteit het wél kan zijn.
Wat een vertegenwoordiger níét voor je oplost
Hier gaan bedrijven de mist in nadat ze het goed hebben gedaan.
Een vertegenwoordiger aanstellen maakt je niet GDPR-conform. Het is één verplichting van tientallen. Je hebt nog steeds een rechtsgrond nodig per verwerking, verwerkersovereenkomsten met je leveranciers, een register van verwerkingsactiviteiten, een werkend proces voor verzoeken van betrokkenen, een draaiboek voor datalekken, en een verdedigbare constructie voor doorgifte buiten Europa.
Een vertegenwoordiger neemt evenmin je aansprakelijkheid over. Overweging 80 bij de verordening bepaalt dat de vertegenwoordiger onderworpen moet zijn aan handhavingsprocedures bij niet-naleving door de verwerkingsverantwoordelijke of verwerker. Over de precieze reikwijdte daarvan wordt nog gediscussieerd — de EDPB houdt het bij de mogelijkheid voor toezichthouders om via de vertegenwoordiger te handhaven, niet bij volledige aansprakelijkheid in jouw plaats. Wat in elk geval vaststaat: jij blijft verwerkingsverantwoordelijke, en de verplichtingen blijven de jouwe.
Wat het wél oplost: het opent de deur. Zonder aangestelde vertegenwoordiger is elk gesprek met een Europese koper er een dat begint met een tekortkoming. Met vertegenwoordiger begint het gesprek over je product.
Where we come in handy
Chuyenso is gevestigd in België — binnen de Europese markt, onder Europese regels. Onze oprichter is gecertificeerd EADPP onder het Europese GDPR-kader, met vijftien jaar ondernemerschap en meer dan honderd klanten in strategie, development, hosting en data. We begeleiden bedrijven buiten Europa die naar Europa willen verkopen zonder dat het compliancedossier de deal vertraagt.
We treden op als aangestelde vertegenwoordiger in de Europese Unie: een Belgisch adres in je privacyverklaring, een mandaat op papier, een aanspreekpunt dat bereikbaar is voor betrokkenen én voor toezichthouders, en het register dat je in die hoedanigheid moet kunnen voorleggen.
Strategy Session - 60 minutes, €295. Eén vraag, grondig doorgenomen, met een schriftelijke samenvatting en drie concrete acties binnen 48 uur. Ideaal als je na deze zeven vragen wil dat iemand je redenering natrekt voor je iets vastlegt.
Europe Scan - three sessions over three weeks, €1,950. Je volledige Europese blootstelling in kaart, hiaten gerangschikt naar risico en naar omzet die op het spel staat, een 90-dagenplan, en een compliance-samenvatting die je meteen naar een Europese koper kan sturen. Kies je binnen 30 dagen voor een abonnement, dan verrekenen we dit bedrag.
Of boek een gratis kennismaking van 25 minuten. We lopen de zeven vragen samen door en zeggen je eerlijk of dit een probleem is dat je hebt, of niet. Soms is het antwoord “minder dan je dacht”. Dat zeggen we dan ook.
Chuyenso — literally: digital transformation. We help companies outside of Europe to become Europe-ready: legally, technically, and commercially.
Sources: Artikel 27 GDPR — volledige tekst · EDPB Richtsnoeren 3/2018 over de territoriale werkingssfeer · Overweging 80 — aanwijzing van een vertegenwoordiger · Representatives under Art. 27 of the GDPR (IAPP)
General information, not legal advice.