Ein EU-Vertreter, der der Aufsicht antworten kann — kein Briefkasten.

Vier EU-Regelwerke verlangen von einem Unternehmen ohne Niederlassung in der Union, vor dem Marktzugang einen Vertreter in der Union zu benennen: bevor es Ratings veröffentlicht, ein KI-System in Verkehr bringt, einen Vermittlungsdienst anbietet oder personenbezogene Daten von EU-Bürgern verarbeitet. Der Vertreter ist der Ansprechpartner der Aufsicht und trägt nach der ESG-Rating-Verordnung und dem Gesetz über digitale Dienste eine eigene Haftung. VieKey übernimmt diese Mandate über die luxemburgische Gesellschaft — eine juristische Person, wie Artikel 12 der ESG-Rating-Verordnung es verlangt — und führt sie als überwachte Compliance-Funktion: Nachweise in Luxemburg, ein Prüfkalender, eine einzige Eingangsadresse für Behördenkorrespondenz und eine schriftliche Position zur Compliance des Auftraggebers, die der Vertreter zu vertreten bereit ist.

Für wen

• ESG-Rating-Anbieter mit Sitz außerhalb der Union, die die Anerkennung durch die ESMA nach Artikel 12 der Verordnung (EU) 2024/3005 benötigen, weil kein Gleichwertigkeitsbeschluss ihr Herkunftsland abdeckt und der Übernahmeweg (Endorsement) für sie nicht offensteht.
• Anbieter von Hochrisiko-KI-Systemen und von KI-Modellen mit allgemeinem Verwendungszweck mit Sitz außerhalb der Union, die vor dem Inverkehrbringen einen Bevollmächtigten nach den Artikeln 22 und 54 der Verordnung (EU) 2024/1689 benennen müssen.
• Hosting-Anbieter, B2B-Plattformen und Marktplätze ohne EU-Niederlassung, die nach Artikel 13 der Verordnung (EU) 2022/2065 einen gesetzlichen Vertreter benennen müssen — selektiv angenommen; siehe Mandantenannahme unten.
• Verantwortliche und Auftragsverarbeiter außerhalb der Union, die einen Vertreter nach Artikel 27 DSGVO benötigen — nur als Ergänzung zu einem der oben genannten Mandate, nicht allein.
• Rechtsberater dieser Unternehmen, die einen Vertreter brauchen, der die vom Antrag verlangten Angemessenheits- und Überwachungserklärungen unterzeichnen kann — keine Weiterleitungsadresse.

Was Sie erhalten

• Mandat — schriftliche Bestellung nach luxemburgischem Recht mit den Befugnissen, Informationsrechten, Berichtspflichten, Eskalations- und Kündigungsmechanismen, die das jeweilige Regelwerk verlangt, sowie einem regelwerkspezifischen Anhang.
• Angemessenheitsbewertung — für die ESG-Rating-Verordnung die eigene Bewertung des Vertreters zu den Organisations- und Transparenzvorkehrungen des Anbieters nach den Artikeln 15 bis 27, mit Feststellungen und Abhilfeplan, in der Form, die die ESMA-Anerkennungsakte verlangt; für die KI-Verordnung die Prüfung, dass EU-Konformitätserklärung und technische Dokumentation vor dem Inverkehrbringen vorliegen und vollständig sind.
• Überwachungsprogramm — viertel- oder halbjährliche Durchsicht, ereignisgesteuerte Auslöser (Änderungen, Vorfälle, Behördenanfragen) und eine jährliche schriftliche Stellungnahme an den Auftraggeber zum Stand der Compliance.
• Nachweisarchiv in Luxemburg — die Unterlagen, die eine Behörde anfordern kann, für die gesetzliche Dauer aufbewahrt (zehn Jahre nach der KI-Verordnung), mit Zugriffsprotokoll und Übergabeprotokoll am Ende des Mandats.
• Behördenkontakt — Eingangsbestätigung aufsichtlicher Korrespondenz innerhalb eines Werktags; Koordination der Antwort des Auftraggebers innerhalb der Behördenfrist; Protokoll jedes Kontakts.

Ablauf

Richtwert: vier bis acht Wochen vom Erstgespräch bis zum unterzeichneten Mandat; länger, wenn die ESMA-Anerkennungsakte parallel erstellt wird.

1. Erstgespräch. Regelwerk, Herkunftsland, was in der Union in Verkehr gebracht wird, aufsichtliche Vorgeschichte, Drittlandsbeschränkungen beim Datenzugang.
2. Mandantenannahme. KYC nach luxemburgischem Geldwäschestandard für den Auftraggeber und seine Eigentümer; Branchen- und Verhaltensprüfung; Konfliktprüfung. Vor Abschluss dieses Schritts wird kein Mandat unterzeichnet.
3. Auftragsschreiben und Mandat. Umfang, beidseitige Berichtspflichten, zu liefernde Nachweise, Prüfkalender.
4. Einrichtung. Dokumentensammlung → Angemessenheitsbewertung oder Prüfung der Konformitätsakte → Meldung an die Behörde, wo das Regelwerk es verlangt (DSA, DSGVO), oder Aufnahme in den Antrag (ESG-Rating-Verordnung, Registrierung nach der KI-Verordnung) → erster Prüftermin.

Die Regelwerke

ESG-Rating-Verordnung — gesetzlicher Vertreter (Artikel 12)

Die Verordnung (EU) 2024/3005 gilt seit dem 2. Juli 2026. Ein Drittlandsanbieter, dessen Umsatz in jedem der letzten drei Jahre unter der Kleinunternehmensschwelle der Bilanzrichtlinie lag, kann bei der ESMA die Anerkennung beantragen, statt eine EU-Einheit zu gründen; er muss einen gesetzlichen Vertreter benennen, der eine in der Union niedergelassene juristische Person ist und ausdrücklich bevollmächtigt wurde, in seinem Namen zu handeln. Der Vertreter muss der ESMA fortlaufend nachweisen können, dass der Anbieter die Verordnung einhält, und ist ihr gegenüber dafür verantwortlich. Die Anerkennungsakte der ESMA verlangt die eigene Bewertung des Vertreters zu den Compliance-Maßnahmen des Anbieters und eine Beschreibung seiner Überwachung. Die Bußgeldbefugnis der ESMA nach Artikel 36 ist so gefasst, dass sie den Anbieter oder gegebenenfalls seinen gesetzlichen Vertreter erreicht. Für dieses Mandat ist VieKey gebaut: eine Compliance-Rolle gegenüber der Aufsicht mit definierter Nachweisbasis.

KI-Verordnung — Bevollmächtigter (Artikel 22 und 54)

Ein Anbieter mit Sitz außerhalb der Union muss vor dem Inverkehrbringen oder der Inbetriebnahme eines Hochrisiko-KI-Systems in der Union durch schriftliches Mandat einen Bevollmächtigten in der Union benennen; Anbieter von KI-Modellen mit allgemeinem Verwendungszweck unterliegen dieser Pflicht seit dem 2. August 2025. Der Bevollmächtigte prüft, dass EU-Konformitätserklärung und technische Dokumentation erstellt und das Konformitätsbewertungsverfahren durchgeführt wurden; hält sie zehn Jahre für die Behörden bereit; erteilt auf Anfrage Auskunft; wirkt an Risikominderungsmaßnahmen mit; erfüllt die Registrierungspflichten; und muss das Mandat beenden und die Marktüberwachungsbehörde informieren, wenn der Anbieter gegen die Verordnung handelt. Nach der Verordnung (EU) 2026/1744 gelten die Hochrisikopflichten ab dem 2. Dezember 2027 für Systeme des Anhangs III und ab dem 2. August 2028 für Produkte des Anhangs I — der Bevollmächtigte wird vor dem ersten Inverkehrbringen benannt, was für die meisten Anbieter das Jahr 2027 bedeutet.

Gesetz über digitale Dienste — gesetzlicher Vertreter (Artikel 13)

Ein Anbieter von Vermittlungsdiensten ohne EU-Niederlassung muss eine natürliche oder juristische Person in einem Mitgliedstaat benennen, in dem er seine Dienste anbietet, dies dem Koordinator für digitale Dienste mitteilen und die Angaben zum Vertreter veröffentlichen. Der Vertreter nimmt Anordnungen zum Vorgehen gegen rechtswidrige Inhalte und Auskunftsanordnungen entgegen und kann für Verstöße des Anbieters haftbar gemacht werden, unbeschadet der eigenen Haftung des Anbieters (Artikel 13 Absatz 3). VieKey nimmt diese Mandate für Hosting-Anbieter, B2B-Plattformen und Marktplätze mit unauffälligem Inhaltsprofil und einem auftraggeberseitigen Kontakt für eilige Anordnungen an. Plattformen mit Verbraucherinhalten werden abgelehnt.

DSGVO — Vertreter in der Union (Artikel 27)

Verantwortliche und Auftragsverarbeiter außerhalb der Union, die Personen in der Union Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten, müssen schriftlich einen Vertreter benennen, ihn in der Datenschutzerklärung nennen und ihn bevollmächtigen, von Aufsichtsbehörden und betroffenen Personen angesprochen zu werden. Der Vertreter führt zudem das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30. VieKey übernimmt Mandate nach Artikel 27 nur zusammen mit einem Mandat nach der ESG-Rating-Verordnung, der KI-Verordnung oder dem DSA für denselben Auftraggeber; die Durchsicht des Verarbeitungsverzeichnisses ist Teil des Überwachungskalenders.

CBAM

VieKey tritt weder als zugelassener CBAM-Anmelder noch als indirekter Zollvertreter auf; diese Rollen tragen die Zertifikats- und Zollschuldhaftung und gehören zu lizenzierten Zollagenten. Exposure-Bewertung, Anmelder-Bereitschaft, Lieferantendaten und Erklärungsvorbereitung sind unter CBAM und Energie beschrieben.

Mandantenannahme

Der Name des Vertreters ist nach DSA und DSGVO öffentlich und der Aufsicht nach den beiden anderen Regelwerken bekannt; das Verhalten eines Auftraggebers wirkt sich auf jedes Mandat aus. VieKey prüft jeden Auftraggeber und seine Eigentümerstruktur vor Unterzeichnung nach luxemburgischem Geldwäschestandard, gegen Sanktionslisten und auf nachteilige Medienberichte und wiederholt die Prüfung jährlich; Erwachseneninhalte, Glücksspiel, anonymes Hosting sowie Auftraggeber mit sanktionierter oder intransparenter Eigentümerstruktur liegen außerhalb des Umfangs. Wo Drittlandsrecht den Vertreter daran hindern könnte, die von einer EU-Behörde verlangten Unterlagen zu beschaffen, wird diese Frage mit Rechtsberatern vor der Unterzeichnung geklärt — nicht nach der ersten Anfrage.

Wo Text und Praxis auseinandergehen

• Artikel 12 Absatz 3 der ESG-Rating-Verordnung macht den Vertreter gegenüber der ESMA für den Nachweis der Compliance des Anbieters verantwortlich. Ein Vertreter, der Korrespondenz weiterleitet, kann das nicht leisten; die Anerkennungsakte verlangt eine Bewertung, die der Vertreter tatsächlich durchgeführt hat. Deshalb teilt sich der Markt in Rechtsberatungskanzleien, die die Rolle nach Stunden abrechnen und die Exposure scheuen, und Volumenanbieter, die die Bewertung nicht unterzeichnen können.
• Nach Artikel 22 der KI-Verordnung prüft der Bevollmächtigte, dass die Konformitätsakte vorliegt und vollständig ist; er wiederholt die Konformitätsbewertung nicht. Fehlt bei einem System des Anhangs III eine notifizierte Stelle oder eine klar dokumentierte Selbstbewertung, wird ein technischer Gutachter hinzugezogen, bevor VieKey die Akte annimmt.
• Am unteren Marktende sind Vertretungsmandate Standardprodukte — Eingang und Weiterleitung, keine Überwachung. Das genügt, wo die eigene Exposure des Vertreters null ist; es genügt nicht nach Artikel 13 Absatz 3 DSA oder Artikel 12 der ESG-Rating-Verordnung, wo der Vertreter mit eigenem Namen für die Compliance des Auftraggebers einsteht.
• Der Sitz des Vertreters muss nicht dort sein, wo die Aufsicht sitzt. Die ESMA beaufsichtigt ESG-Rating-Anbieter unmittelbar von Paris aus; für DSA und DSGVO genügt jeder Mitgliedstaat, in dem die Dienste oder die betroffenen Personen sind, und Luxemburg erfüllt die Bedingung, sobald das EU-Publikum es einschließt.

Häufige Fragen

Muss der Vertreter eine juristische Person sein?

Nach der ESG-Rating-Verordnung ja — Artikel 12 Absatz 3 verlangt eine in der Union niedergelassene juristische Person. KI-Verordnung, DSA und DSGVO lassen eine natürliche oder juristische Person zu. VieKey führt jedes Mandat über die Vie Key Consulting S.à r.l., damit die Kontinuität nicht an einer Einzelperson hängt.

Kann ein Vertreter mehrere Regelwerke abdecken?

Ja. Ein Softwareanbieter außerhalb der EU braucht oft zugleich einen Bevollmächtigten nach der KI-Verordnung, einen DSA-Vertreter und einen DSGVO-Vertreter. VieKey nutzt ein Rahmenmandat mit je einem regelwerkspezifischen Anhang, ein Nachweisarchiv und einen Prüfkalender.

Was muss der Auftraggeber beisteuern?

Einen benannten Ansprechpartner mit der Befugnis, innerhalb der Behördenfristen zu antworten; die im Mandatsanhang aufgeführten Unterlagen nach Zeitplan; die laufende Meldung von Änderungen, Vorfällen und Behördenkontakten; und Zugriff auf Unterlagen innerhalb weniger Tage nach einer Anfrage. Ein Auftraggeber, der sich dazu nicht verpflichten kann, sollte keinen Vertreter benennen, der für seine Compliance einsteht.

Was geschieht, wenn der Auftraggeber die Vorschriften nicht mehr einhält?

Das Mandat regelt Eskalation, eine Abhilfefrist und das Rücktrittsrecht des Vertreters. Nach der KI-Verordnung muss der Bevollmächtigte das Mandat beenden und die Marktüberwachungsbehörde informieren; nach der ESG-Rating-Verordnung folgt aus der Verantwortung gegenüber der ESMA, dass der Vertreter einen Anbieter nicht weiter vertritt, dessen Compliance er nicht mehr nachweisen kann.

Treten Sie als zugelassener CBAM-Anmelder oder indirekter Zollvertreter auf?

Nein. Siehe CBAM und Energie für die Beratungs- und Erklärungsvorbereitung, die VieKey leistet.

Nächster Schritt

20-minütiges Erstgespräch buchen oder die Dokumentenliste für ein Vertretungsmandat anfordern.