Kurz beantwortet: Schalten Sie als SaaS-Anbieter einen weiteren Dienstleister ein, der personenbezogene Daten verarbeitet, ist dieser Ihr Subprozessor. Sie brauchen die vorherige Genehmigung Ihres Kunden (Art. 28 Abs. 2 DSGVO) und haften gegenüber Ihrem Kunden, wenn der Subprozessor seine Pflichten verletzt.
Das Wichtigste in Kürze
- Schalten Sie einen weiteren Dienstleister ein, der personenbezogene Daten verarbeitet, ist dieser Ihr Subprozessor innerhalb der Verarbeitungskette.
- Sie brauchen die vorherige Genehmigung Ihres Kunden (Art. 28 Abs. 2 DSGVO), gesondert oder allgemein mit Widerspruchsmöglichkeit.
- Dem Subprozessor müssen dieselben Datenschutzpflichten auferlegt werden (Art. 28 Abs. 4 DSGVO), und Sie haften gegenüber Ihrem Kunden für dessen Pflichtverletzungen.
- Sitzt der Subprozessor in einem Drittland wie den USA, ist zusätzlich der Transfer zu prüfen und zu dokumentieren.
Was ist ein Subprozessor genau?
Verarbeiten Sie Daten im Auftrag Ihrer Kunden als Auftragsverarbeiter und schalten dafür selbst einen weiteren Dienstleister ein, ist dieser ein weiterer Auftragsverarbeiter, umgangssprachlich Subprozessor. Damit entsteht eine Kette: Ihr Kunde als Verantwortlicher, Sie als Auftragsverarbeiter, Ihr Dienstleister als Subprozessor. Jedes Glied muss datenschutzrechtlich sauber gebunden sein, und genau diese Kette prüft der Datenschutz-Check eines Enterprise-Kunden besonders genau.
Brauchen Sie für jeden Subprozessor eine Genehmigung?
Ja. Sie dürfen einen Subprozessor nicht einfach einschalten. Nach Art. 28 Abs. 2 DSGVO brauchen Sie dafür die vorherige, gesonderte oder allgemeine Genehmigung des Verantwortlichen. Bei einer allgemeinen Genehmigung müssen Sie den Kunden über beabsichtigte Wechsel oder neue Subprozessoren informieren, sodass er widersprechen kann. In der Praxis wird das über eine gepflegte Subprozessor-Liste und einen Benachrichtigungsmechanismus gelöst.
Welche Pflichten gelten für den Subprozessor, und wer haftet?
Dem Subprozessor müssen dieselben Datenschutzpflichten auferlegt werden, die zwischen Ihnen und Ihrem Kunden gelten (Art. 28 Abs. 4 DSGVO). Entscheidend dabei ist, dass Sie als Anbieter gegenüber Ihrem Kunden haften, wenn der Subprozessor seinen Pflichten nicht nachkommt. Die Auslagerung entlässt Sie also nicht aus der Verantwortung, sie verlängert sie.
Was ändert sich, wenn der Subprozessor in den USA sitzt?
Viele Subprozessoren sitzen in den USA oder gehören zu US-Konzernen. Dann kommt zur AVV die Frage des Drittland-Transfers hinzu: Ist der Empfänger unter dem EU-US Data Privacy Framework zertifiziert, oder braucht es Standardvertragsklauseln und zusätzliche Maßnahmen? Diese Prüfung gehört für jeden Subprozessor dokumentiert.
Wie setzen Sie die Kette praktisch auf?
| Baustein | Was er leistet |
|---|---|
| Subprozessor-Liste | Aktuelle Übersicht mit Zweck, Standort und Rechtsgrundlage des Transfers je Dienstleister |
| AVV je Subprozessor | Sichert die weitergereichten Pflichten aus Art. 28 Abs. 4 DSGVO ab |
| Benachrichtigungsprozess | Informiert Ihren Kunden rechtzeitig über Wechsel, damit er widersprechen kann |
Diese Ordnung ist mehr als Pflichterfüllung: Im Enterprise-Sales beschleunigt sie den Abschluss, weil der Kunde die Kette sofort nachvollziehen kann. Wie die AVV mit Ihrem eigenen Kunden inhaltlich aussehen muss, ordnet die Übersicht der fünf kritischen SaaS-Klauseln ein, den vollständigen Vertragsrahmen zeigt die Vertragsarchitektur für SaaS-Anbieter. Wie Sie die AVV selbst richtig abschließen, mit Pflichtinhalt und den beiden häufigsten Fallstricken, zeigt der Beitrag zum AVV-Abschluss nach Art. 28 DSGVO.
Häufige Fragen
Was ist ein Subprozessor?
Verarbeiten Sie Daten im Auftrag Ihrer Kunden als Auftragsverarbeiter und schalten dafür selbst einen weiteren Dienstleister ein, ist dieser ein weiterer Auftragsverarbeiter, umgangssprachlich Subprozessor. Es entsteht eine Kette aus Verantwortlichem, Auftragsverarbeiter und Subprozessor, deren Glieder datenschutzrechtlich lückenlos gebunden sein müssen.
Brauchen Sie für jeden Subprozessor eine Genehmigung des Kunden?
Ja. Nach Art. 28 Abs. 2 DSGVO dürfen Sie einen Subprozessor nur mit vorheriger, gesonderter oder allgemeiner Genehmigung des Verantwortlichen einschalten. Bei einer allgemeinen Genehmigung müssen Sie den Kunden über beabsichtigte Wechsel oder neue Subprozessoren informieren, sodass er widersprechen kann.
Wer haftet, wenn der Subprozessor seine Pflichten verletzt?
Sie als Anbieter haften gegenüber Ihrem Kunden, wenn der Subprozessor seinen Datenschutzpflichten nicht nachkommt. Die Auslagerung entlässt Sie nicht aus der Verantwortung, sondern verlängert sie, weshalb dem Subprozessor dieselben Pflichten auferlegt werden müssen, die zwischen Ihnen und Ihrem Kunden gelten (Art. 28 Abs. 4 DSGVO).
Was gilt, wenn der Subprozessor in den USA sitzt?
Dann kommt zur Auftragsverarbeitung die Frage des Drittland-Transfers hinzu. Zu prüfen ist, ob der Empfänger unter dem EU-US Data Privacy Framework zertifiziert ist oder ob es Standardvertragsklauseln und zusätzliche Maßnahmen braucht. Diese Prüfung gehört für jeden Subprozessor dokumentiert.
Quellen & Rechtsgrundlagen
- Art. 28 Abs. 2 DSGVO – Genehmigung für den Einsatz von Subprozessoren
- Art. 28 Abs. 4 DSGVO – Weitergabe der Datenschutzpflichten an den Subprozessor
Sie wollen Ihre Subprozessor-Kette datenschutzsicher aufstellen? In einem 30-minütigen Erstgespräch bringen wir AVV, Liste und Transfer-Prüfung in Ordnung.
→ Vertiefung: Die 10-Punkte-Checkliste zur AVV-Prüfung · Die DPA-Verhandlung mit Enterprise-Kunden · Braucht man eine AVV mit dem Anwalt? · Der SaaS-Verträge-Leitfaden · Software- & Enterprise-Verträge (Leistung)
