Kurz beantwortet: Schalten Sie als SaaS-Anbieter einen weiteren Dienstleister ein, der personenbezogene Daten verarbeitet, ist dieser Ihr Subprozessor. Sie brauchen die vorherige Genehmigung Ihres Kunden (Art. 28 Abs. 2 DSGVO) und haften gegenüber Ihrem Kunden, wenn der Subprozessor seine Pflichten verletzt.

Das Wichtigste in Kürze

  • Schalten Sie einen weiteren Dienstleister ein, der personenbezogene Daten verarbeitet, ist dieser Ihr Subprozessor innerhalb der Verarbeitungskette.
  • Sie brauchen die vorherige Genehmigung Ihres Kunden (Art. 28 Abs. 2 DSGVO), gesondert oder allgemein mit Widerspruchsmöglichkeit.
  • Dem Subprozessor müssen dieselben Datenschutzpflichten auferlegt werden (Art. 28 Abs. 4 DSGVO), und Sie haften gegenüber Ihrem Kunden für dessen Pflichtverletzungen.
  • Sitzt der Subprozessor in einem Drittland wie den USA, ist zusätzlich der Transfer zu prüfen und zu dokumentieren.

Was ist ein Subprozessor genau?

Verarbeiten Sie Daten im Auftrag Ihrer Kunden als Auftragsverarbeiter und schalten dafür selbst einen weiteren Dienstleister ein, ist dieser ein weiterer Auftragsverarbeiter, umgangssprachlich Subprozessor. Damit entsteht eine Kette: Ihr Kunde als Verantwortlicher, Sie als Auftragsverarbeiter, Ihr Dienstleister als Subprozessor. Jedes Glied muss datenschutzrechtlich sauber gebunden sein, und genau diese Kette prüft der Datenschutz-Check eines Enterprise-Kunden besonders genau.

Brauchen Sie für jeden Subprozessor eine Genehmigung?

Ja. Sie dürfen einen Subprozessor nicht einfach einschalten. Nach Art. 28 Abs. 2 DSGVO brauchen Sie dafür die vorherige, gesonderte oder allgemeine Genehmigung des Verantwortlichen. Bei einer allgemeinen Genehmigung müssen Sie den Kunden über beabsichtigte Wechsel oder neue Subprozessoren informieren, sodass er widersprechen kann. In der Praxis wird das über eine gepflegte Subprozessor-Liste und einen Benachrichtigungsmechanismus gelöst. Bestimmen Sie und der Subprozessor Zweck und Mittel gemeinsam, liegt keine Auftragsverarbeitung mehr vor, sondern gemeinsame Verantwortlichkeit mit eigenen Regeln, dazu der Beitrag zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO.

Welche Pflichten gelten für den Subprozessor, und wer haftet?

Dem Subprozessor müssen dieselben Datenschutzpflichten auferlegt werden, die zwischen Ihnen und Ihrem Kunden gelten (Art. 28 Abs. 4 DSGVO). Entscheidend dabei ist, dass Sie als Anbieter gegenüber Ihrem Kunden haften, wenn der Subprozessor seinen Pflichten nicht nachkommt. Die Auslagerung entlässt Sie also nicht aus der Verantwortung, sie verlängert sie.

Was ändert sich, wenn der Subprozessor in den USA sitzt?

Viele Subprozessoren sitzen in den USA oder gehören zu US-Konzernen. Dann kommt zur AVV die Frage des Drittland-Transfers hinzu: Ist der Empfänger unter dem EU-US Data Privacy Framework zertifiziert, das das EuG am 3. September 2025 bestätigt hat (T-553/23, Rechtsmittel C-703/25 P anhängig), oder braucht es Standardvertragsklauseln und zusätzliche Maßnahmen? Diese Prüfung gehört für jeden Subprozessor dokumentiert. Dieselbe Prüfung wird auch beim direkten Einsatz US-amerikanischer Tools fällig, dazu der Beitrag zum Datentransfer in die USA.

Wie setzen Sie die Kette praktisch auf?

Baustein Was er leistet
Subprozessor-Liste Aktuelle Übersicht mit Zweck, Standort und Rechtsgrundlage des Transfers je Dienstleister
AVV je Subprozessor Sichert die weitergereichten Pflichten aus Art. 28 Abs. 4 DSGVO ab
Benachrichtigungsprozess Informiert Ihren Kunden rechtzeitig über Wechsel, damit er widersprechen kann

Diese Ordnung ist mehr als Pflichterfüllung: Im Enterprise-Sales beschleunigt sie den Abschluss, weil der Kunde die Kette sofort nachvollziehen kann. Wie die AVV mit Ihrem eigenen Kunden inhaltlich aussehen muss, ordnet die Übersicht der fünf kritischen SaaS-Klauseln ein, den vollständigen Vertragsrahmen zeigt die Vertragsarchitektur für SaaS-Anbieter. Wie Sie die AVV selbst richtig abschließen, mit Pflichtinhalt und den beiden häufigsten Fallstricken, zeigt der Beitrag zum AVV-Abschluss nach Art. 28 DSGVO.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter von Verwaltungssoftware für Musikschulen mit rund 25 Mitarbeitenden will vom eigenen Server zu einem Cloud-Anbieter mit US-Mutter wechseln und einen Versanddienst für Zahlungserinnerungen einbinden. Die Musikschulen haben unterschiedliche AVVs unterschrieben. Zu klären ist, was jede AVV für neue Subprozessoren vorsieht. Ohne vorherige Genehmigung des Kunden geht es nicht, sie kann gesondert oder allgemein erteilt sein. Bei einer allgemeinen Genehmigung ist der Kunde über den Wechsel zu informieren, damit er widersprechen kann.

Danach trennen sich die Wege. Wo eine allgemeine Genehmigung vorliegt, genügt die rechtzeitige Information, und der Zeitplan berücksichtigt mögliche Widersprüche. Wo die AVV eine gesonderte Genehmigung verlangt, muss die Zustimmung vor dem Umzug vorliegen. In beiden Fällen erhalten die neuen Dienstleister dieselben Datenschutzpflichten, und wegen der US-Mutter wird dokumentiert, ob der Empfänger unter dem Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln mit zusätzlichen Maßnahmen nötig sind. Gegenüber den Schulen haftet der Anbieter auch für Pflichtverletzungen seiner Subprozessoren. Am Ende stehen eine aktuelle Subprozessor-Liste und ein Benachrichtigungsweg. Den Freigabeweg für neue Dienstleister regelt das Rechtssystem.

Häufige Fragen

Was ist ein Subprozessor?

Verarbeiten Sie Daten im Auftrag Ihrer Kunden als Auftragsverarbeiter und schalten dafür selbst einen weiteren Dienstleister ein, ist dieser ein weiterer Auftragsverarbeiter, umgangssprachlich Subprozessor. Es entsteht eine Kette aus Verantwortlichem, Auftragsverarbeiter und Subprozessor, deren Glieder datenschutzrechtlich lückenlos gebunden sein müssen.

Brauchen Sie für jeden Subprozessor eine Genehmigung des Kunden?

Ja. Nach Art. 28 Abs. 2 DSGVO dürfen Sie einen Subprozessor nur mit vorheriger, gesonderter oder allgemeiner Genehmigung des Verantwortlichen einschalten. Bei einer allgemeinen Genehmigung müssen Sie den Kunden über beabsichtigte Wechsel oder neue Subprozessoren informieren, sodass er widersprechen kann.

Wer haftet, wenn der Subprozessor seine Pflichten verletzt?

Sie als Anbieter haften gegenüber Ihrem Kunden, wenn der Subprozessor seinen Datenschutzpflichten nicht nachkommt. Die Auslagerung entlässt Sie nicht aus der Verantwortung, sondern verlängert sie, weshalb dem Subprozessor dieselben Pflichten auferlegt werden müssen, die zwischen Ihnen und Ihrem Kunden gelten (Art. 28 Abs. 4 DSGVO).

Was gilt, wenn der Subprozessor in den USA sitzt?

Dann kommt zur Auftragsverarbeitung die Frage des Drittland-Transfers hinzu. Zu prüfen ist, ob der Empfänger unter dem EU-US Data Privacy Framework zertifiziert ist oder ob es Standardvertragsklauseln und zusätzliche Maßnahmen braucht. Diese Prüfung gehört für jeden Subprozessor dokumentiert.

Quellen & Rechtsgrundlagen

Wenn ein neuer Dienstleister eingebunden wird, erfährt die Geschäftsführung oft erst später, dass Kunden vorher hätten informiert werden müssen. Im Rechtssystem entsteht eine Datenschutzorganisation mit Freigabeweg für neue Dienstleister, die Ihr Team selbst anwendet. Rechtssystem: Freigabeweg für neue Dienstleister

Sie wollen Ihre Subprozessor-Kette geordnet aufstellen? In einem 60-minütigen Strategiegespräch bringen wir AVV, Liste und Transfer-Prüfung in Ordnung.

Vertiefung: Die 10-Punkte-Checkliste zur AVV-Prüfung · Die DPA-Verhandlung mit Enterprise-Kunden · Braucht man eine AVV mit dem Anwalt? · Der SaaS-Verträge-Leitfaden · Software- & Enterprise-Verträge (Leistung)