Letzte Aktualisierung: August 2026

Fallstudie: AEPD verhängt Geldstrafe gegen Tiger Media wegen Verstoßes gegen Artikel 27 DSGVO-Vertretungspflichten

Im Jahr 2025 bestätigte die spanische Datenschutzbehörde (AEPD) Sanktionen gegen Tiger Media Inc. nach einer Untersuchung der Datenverarbeitung im Zusammenhang mit Werbung und der Einhaltung der Datenschutzbestimmungen durch das Unternehmen. DSGVO Artikel 27 Anforderung an einen EU-Vertreter. Diese Geldbuße der AEPD verdeutlicht einen Punkt, den viele Unternehmen außerhalb der EU unterschätzen: Die Benennung eines EU-Vertreters ist keine bloße Formalität in einer Datenschutzerklärung. Es handelt sich um eine einklagbare Verpflichtung, und die spanischen Datenschutzbehörden sind bereit, diese durchzusetzen.

Dieser Artikel behandelt die Entscheidung als Beispiel für die Rechtsdurchsetzung im Jahr 2025 (keine Eilmeldung) und erklärt, was schiefgelaufen ist, warum die AEPD die Vertretungsvereinbarung von Tiger Media abgelehnt hat und was die Anforderung an einen EU-Vertreter Dies bedeutet in der Praxis auch für andere Organisationen außerhalb der EU.

Was geschah im Fall Tiger Media?

Die AEPD untersuchte Tiger Media Inc., den Betreiber einer von Verlagen und Werbetreibenden genutzten Werbeplattform, nachdem sie potenzielle Datenschutzprobleme im Zusammenhang mit der Verarbeitung personenbezogener Daten über Werbetechnologien festgestellt hatte. In ihrer abschließenden Entscheidung (AEPD-Verfahren PS/00480/2025Die AEPD bestätigte zwei separate Sanktionen: 70.000 € wegen eines Verstoßes gegen Artikel 6 DSGVO und 50.000 € wegen eines Verstoßes gegen Artikel 27 DSGVO, was vor Abzügen eine Gesamtsumme von 120.000 € ergab. Tiger Media nutzte die verfügbaren Abzüge für die Anerkennung der Verantwortung und die freiwillige Zahlung, wodurch sich der endgültig gezahlte Betrag auf 72.000 € reduzierte.

Der Aspekt nach Artikel 6 betraf die Rechtsgrundlage für die über die Werbeplattform durchgeführte Datenverarbeitung. Der Aspekt nach Artikel 27 ist die wichtigste Erkenntnis für Datenschutzteams, die Organisationen außerhalb der EU betreuen, da er sich auf die Unternehmensführung und nicht auf die Details der Datenverarbeitung konzentriert: Hatte das Unternehmen tatsächlich einen ordnungsgemäß bestellten Vertreter in der EU?

Warum die AEPD den Vertreter für ungültig erklärte

Laut den Feststellungen der AEPD hatte Tiger Media einen Vertreter in Nordirland benannt und erklärt, dass man dabei sei, einen Ersatzvertreter in einem EU-Mitgliedstaat zu ernennen. Die AEPD kam zu dem Schluss, dass Tiger Media daher derzeit keinen gültigen EU-Vertreter im Sinne der DSGVO hat.

Diese Unterscheidung ist wichtig. Ein Vertreter “in Bearbeitung” ist nicht dasselbe wie ein ordnungsgemäß schriftlich bestellter Vertreter mit Sitz im entsprechenden Gebiet, der als Ansprechpartner für die EU zur Verfügung steht. Die AEPD-Resolution stellte außerdem fest, dass Tiger Media auf mindestens drei spanischen Websites Werbung für Erwachsene anbot, wodurch die Datenverarbeitung mit Personen in Spanien in Verbindung gebracht und die territoriale Geltungsbereichsanalyse gemäß Artikel 3 Absatz 2 DSGVO gestützt wird.

Die vom Unternehmen geäußerte Absicht, einen Vertreter in der EU zu benennen, verhinderte die Feststellung nicht. Aus Sicht der Aufsichtsbehörde ist dieses Ergebnis vorhersehbar: Die Verpflichtung gemäß Artikel 27 greift, sobald die Datenverarbeitung in den Anwendungsbereich fällt, nicht erst, wenn eine Untersuchung eingeleitet wurde.

Die EU-Vertreterpflicht nach Artikel 27 umfasst mehr als nur eine Kontaktadresse.

Artikel 27 der DSGVO findet grundsätzlich Anwendung, wenn ein Verantwortlicher oder Auftragsverarbeiter keine Niederlassung in der EU hat, aber dennoch gemäß Artikel 3 Absatz 2 DSGVO der DSGVO unterliegt – typischerweise, weil er Waren oder Dienstleistungen für Personen in der EU anbietet oder deren Verhalten dort überwacht. In diesen Fällen muss der Verantwortliche oder Auftragsverarbeiter schriftlich einen Vertreter in der Union benennen, sofern keine enge Ausnahme vorliegt.

Die AEPD stellte ausdrücklich klar, dass ein Vertreter eines Verantwortlichen oder Auftragsverarbeiters außerhalb der EU nicht lediglich als Ansprechpartner fungiert. Zu seinen Aufgaben gehören die Zusammenarbeit mit Aufsichtsbehörden und die Unterstützung von Rechenschaftspflichtmaßnahmen. Die AEPD wies darauf hin, dass das Fehlen eines ordnungsgemäß bestellten Vertreters das gesamte System zur Einhaltung der DSGVO beeinträchtigen kann.

Eine ausführlichere Erläuterung der Verpflichtung finden Sie unter Vertreter der EU gemäß Artikel 27 DSGVO. Für einen umfassenderen Hintergrund siehe EU-Datenschutzbeauftragter.

Wie der Werbe- und Cookie-Kontext die Lücke aufdeckte

Obwohl die Feststellung gemäß Artikel 27 die zentrale Lehre darstellt, begann die umfassendere Untersuchung mit der Datenverarbeitung im Zusammenhang mit Werbung. Die australische Datenschutzbehörde (AEPD) überprüfte die Rolle der Plattform bei der Auslieferung und Messung von Werbung und erfasste verschiedene Datenkategorien, darunter Gerätedetails, Betriebssystem, Browserinformationen, IP-Adresse, Website- und Referrer-URLs, Klicks, Impressionen, IP-basierter Standort und Cookie-IDs. Die AEPD stellte außerdem fest, dass auf Websites, die die Plattform nutzten, Cookies ohne Einwilligung installiert wurden.

Dieses Vorgehen ist bei der Durchsetzung der AEPD üblich: Eine Behörde eröffnet eine Überprüfung, die sich auf Cookies, Einwilligung oder Rechtsgrundlage konzentriert, und die Überprüfung weitet sich dann auf Governance-Pflichten aus – einschließlich der Frage, ob die Organisation über einen gültigen EU-Vertreter verfügt.

Wer sollte seine Position als EU-Vertreter überdenken?

Organisationen außerhalb der EU sollten ihre Position gemäß Artikel 27 neu bewerten, wenn sie keine Niederlassung in der EU haben, aber gezielt mit Personen in der EU über Websites, Apps, Abonnements, SaaS-Plattformen, Marktplätze, Werbung, Analysen oder Tracking-Technologien interagieren. Entscheidend ist nicht, ob das Unternehmen sich als “europäisch” positioniert, sondern ob seine Datenverarbeitung in den territorialen Anwendungsbereich der DSGVO fällt.

Eine Überprüfung ist besonders lohnenswert, wenn einer der folgenden Punkte zutrifft:

• Ihre Website, App oder Plattform steht Nutzern in Spanien oder anderen EU-Mitgliedstaaten zur Verfügung und ist nicht nur passiv zugänglich.
• Sie sprechen EU-Nutzer gezielt über Sprache, Währung, Marketingkampagnen, Versandoptionen, lokale Domains, EU-spezifisches Onboarding oder Vertriebsaktivitäten an.
• Sie überwachen das Verhalten in der EU mithilfe von Cookies, Pixeln, Geräte-IDs, Analysen, Werbemessung, Betrugserkennung, Frequenzbegrenzung oder ähnlichen Technologien.
• Sie verarbeiten personenbezogene Daten aus der EU als Auftragsverarbeiter für Kunden, Verlage, Werbetreibende oder Partner.
• In Ihrer Datenschutzerklärung wird ein Ansprechpartner aus Großbritannien, der Schweiz, den USA oder einem anderen Land außerhalb der EU so genannt, als wäre es ein Vertreter der EU gemäß Artikel 27.
• Ihre Organisation hat vor dem Brexit oder vor einer Unternehmensumstrukturierung einen Vertreter ernannt, und die Ernennung wurde seither nicht überprüft.
• Sie berufen sich auf die Ausnahme der “gelegentlichen Verarbeitung”, ohne zu dokumentieren, warum diese tatsächlich zutrifft.

Der Ausnahmepunkt bedarf besonderer Beachtung. Artikel 27 ist nicht in jedem Fall anwendbar – es gibt Ausnahmen, unter anderem für bestimmte gelegentliche Datenverarbeitungen, die die Rechte und Freiheiten von Einzelpersonen voraussichtlich nicht gefährden und keine umfangreichen Daten besonderer Kategorien oder Daten über Straftaten betreffen. Diese Ausnahme sollte jedoch bewusst angewendet und dokumentiert werden und nicht standardmäßig angenommen werden.

Eine praktische Checkliste zur Einhaltung der Vorschriften nach der Entscheidung von Tiger Media

Die richtige Reaktion auf diese AEPD-Strafe ist nicht überstürztes Handeln, sondern eine gezielte Überprüfung der Einhaltung der Vorschriften. Lücken in Artikel 27 lassen sich in der Regel unkompliziert beheben – und da repräsentative Details in den öffentlichen Datenschutzerklärungen enthalten sind, können sie von Aufsichtsbehörden, Nutzern, Partnern oder Beschwerdeführern schnell erkannt werden.

• Kartieren Sie die EU-bezogenen Verarbeitungstätigkeiten. Ermitteln Sie, wo Ihre Organisation Dienstleistungen für Personen in der EU anbietet oder das Verhalten in der EU überwacht.
• Bitte prüfen Sie, ob Sie eine Niederlassung in der EU haben. Ist dies nicht der Fall, ist zu prüfen, ob Artikel 3(2) die Verarbeitung in den territorialen Anwendungsbereich der DSGVO einordnet.
• Prüfen Sie jede Ausnahme sorgfältig. Wenn Sie der Meinung sind, dass Artikel 27 nicht anwendbar ist, notieren Sie sich die Gründe und überprüfen Sie dies erneut, wenn sich das Geschäftsmodell ändert.
• Prüfen Sie den Standort des Vertreters. Der Vertreter muss in der EU ansässig sein.
• Bitte vereinbaren Sie den Termin schriftlich. Definieren Sie den Geltungsbereich, die Kooperationspflichten und die Reaktionsabläufe explizit.
• Aktualisieren Sie die öffentlichen Bekanntmachungen. Datenschutzhinweise sollten korrekte und aktuelle Kontaktdaten enthalten und veraltete Angaben vermeiden.
• Interne Arbeitsabläufe aufeinander abstimmen. Die Support-, Rechts-, Sicherheits- und Datenschutzteams sollten wissen, wie sie die Kommunikation von EU-Betroffenen oder Aufsichtsbehörden weiterleiten.
• Halten Sie Ihre Unterlagen auf dem neuesten Stand. Aufzeichnungen über die Datenverarbeitung, Cookie-Dokumentation, Rechtmäßigkeitsprüfungen und Anbieterdateien sollten mit den Angaben in der Datenschutzerklärung übereinstimmen.
• Überprüfung nach größeren Änderungen. Überprüfen Sie den Termin nach Brexit-bedingten Änderungen, Fusionen, Produkteinführungen, Markterweiterungen oder neuen Tracking-Technologien.

Sind Sie sich nicht sicher, ob Ihre derzeitige Anstellung dieser Analyse standhalten würde? DilicheckRep prüft die Vertretungsregelungen der EU anhand von Artikel 27, kontrolliert den Sitz und das Mandat des Vertreters und weist auf etwaige Lücken hin, bevor dies eine Aufsichtsbehörde tut.

Lassen Sie sich von DilicheckRep eine Vertretungsprüfung gemäß Artikel 27 geben →

Was diese AEPD-Strafe über die Erwartungen der Regulierungsbehörden in Spanien aussagt

Die Entscheidung im Fall Tiger Media bestätigt, dass die Durchsetzung des Datenschutzes in Spanien sowohl inhaltliche Fragen der Datenverarbeitung als auch Governance-Pflichten umfasst. Die AEPD behandelte die Anforderung eines EU-Vertreters nicht als bloße Formalität: Sie verhängte eine Geldbuße von 50.000 € gemäß Artikel 27 und ordnete Korrekturmaßnahmen an, darunter die Benennung eines gültigen EU-Vertreters durch Tiger Media.

Die Resolution stellt außerdem klar, dass die Zahlung und die Anerkennung der Verantwortung die grundsätzliche Verpflichtung zur Behebung des Problems nicht aufheben. Die AEPD hat Tiger Media angewiesen, die Behörde innerhalb von drei Monaten nach Rechtskraft der Resolution über die Umsetzung der darin beschriebenen Korrekturmaßnahmen zu informieren.

Die wichtigste Erkenntnis für Unternehmen außerhalb der EU

Die Entscheidung von Tiger Media formuliert Artikel 27 als eine praktische Frage der Unternehmensführung um: Wenn Ihr Unternehmen außerhalb der EU ansässig ist, aber Personen in der EU erreicht oder überwacht, wer ist dann heute Ihr gültiger EU-Vertreter – nicht derjenige, den Sie ernennen wollen, nicht derjenige, der vor Jahren auf der Liste stand, und nicht ein Kontakt außerhalb der Union, sondern der ordnungsgemäß ernannte und jetzt handlungsfähige Vertreter.

Häufig gestellte Fragen

Welche Anforderungen stellt Artikel 27 der DSGVO an einen EU-Vertreter? Artikel 27 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter ohne Niederlassung in der EU, die aber nach Artikel 3 Absatz 2 DSGVO der DSGVO unterliegen, schriftlich einen Vertreter in der Union zu benennen, es sei denn, es findet eine enge Ausnahme Anwendung.

Wie hoch war die Geldstrafe, die Tiger Media von der AEPD verhängt wurde? Die AEPD bestätigte Sanktionen in Höhe von insgesamt 120.000 € vor Abzügen: 70.000 € wegen eines Verstoßes gegen Artikel 6 DSGVO und 50.000 € wegen eines Verstoßes gegen Artikel 27 DSGVO. Nach Abzügen aufgrund der Anerkennung der Verantwortung und der freiwilligen Zahlung zahlte Tiger Media 72.000 €.

Warum erklärte die AEPD den EU-Vertreter von Tiger Media für ungültig? Der eingetragene Vertreter von Tiger Media befand sich in Nordirland, und das Unternehmen gab an, dabei zu sein, einen Vertreter in einem EU-Mitgliedstaat zu ernennen. Die AEPD kam zu dem Schluss, dass dies bedeutete, dass derzeit kein gültiger EU-Vertreter vorhanden war.

Welche Unternehmen außerhalb der EU müssen gemäß DSGVO einen EU-Vertreter benennen? Unternehmen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort überwachen, fallen grundsätzlich unter den territorialen Anwendungsbereich der DSGVO gemäß Artikel 3 Absatz 2 und müssen einen EU-Vertreter benennen, es sei denn, es liegt eine dokumentierte Ausnahme vor.

DilicheckRep bietet formelle Vertretung vor EU- und britischen Regulierungsbehörden. — einschließlich Artikel 27 der DSGVO, des EU-Gesetzes über künstliche Intelligenz, des Gesetzes über digitale Dienste, des Datenschutzgesetzes und der NIS2-Kontaktstellendienste — mit Mandatsdokumentation und strukturierter Bearbeitung der Kommunikation zwischen Behörden und betroffenen Personen.

Überprüfen Sie Ihren EU-Vertretungsbereich mit DilicheckRep

Haftungsausschluss: Dieser Leitfaden dient ausschließlich allgemeinen Informationszwecken und stellt keine Rechtsberatung dar. Die Anwendung der EU-Datenschutzbestimmungen und anderer regulatorischer Anforderungen hängt von den spezifischen Gegebenheiten der jeweiligen Organisation ab. Sie sollten sich gegebenenfalls rechtlich beraten lassen, bevor Sie sich auf diese Informationen verlassen oder Entscheidungen zur Einhaltung der Vorschriften treffen.

Hinweis zur KI: Dieser Artikel wurde von einem Datenschutzexperten mit Unterstützung von KI erstellt.