Was ist ein Unterauftragsverarbeiter?

Einfach erklärt

Ihr Dienstleister arbeitet selten allein. Der Anbieter Ihrer Cloud mietet zum Beispiel Server in einem fremden Rechenzentrum, Ihr Ticketsystem nutzt einen weiteren Dienst für den Mailversand. Diese Subunternehmer, die dabei ebenfalls an Ihre Daten kommen, heißen Unterauftragsverarbeiter. Es ist wie beim Handwerker, der für die Elektrik einen Kollegen mitbringt: Sie sollten wissen, wer in Ihrem Haus arbeitet.

Was das Gesetz verlangt

Ein Dienstleister darf Unterauftragsverarbeiter nur mit Ihrer schriftlichen Genehmigung einsetzen (Art. 28 Abs. 2 DSGVO). Üblich ist eine allgemeine Genehmigung im AVV mit einer Liste der Unterauftragsverarbeiter. Will der Dienstleister einen neuen hinzunehmen oder einen austauschen, muss er Sie vorher informieren. Sie können dann widersprechen.

Der Dienstleister muss seinen Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegen, die er Ihnen gegenüber hat. Hält einer sie nicht ein, haftet Ihr Dienstleister Ihnen gegenüber dafür (Art. 28 Abs. 4).

Worauf Sie achten sollten

• Lassen Sie sich die aktuelle Liste geben und legen Sie sie zum AVV.
• Sorgen Sie dafür, dass Mitteilungen über Änderungen in einem Postfach ankommen, das jemand liest.
• Achten Sie auf den Ort der Verarbeitung. Steht dort ein Land außerhalb der EU, geht es um einen Drittlandtransfer.

Einordnung: Ob Sie einem neuen Unterauftragsverarbeiter widersprechen sollten, ist eine Einzelfallfrage. Ihr Datenschutzbeauftragter oder ein Anwalt kann sie mit Ihnen klären.

Genehmigung und Weitergabe der Pflichten

Art. 28 Abs. 2 DSGVO: weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung. Bei allgemeiner Genehmigung informiert der Auftragsverarbeiter über jede beabsichtigte Hinzuziehung oder Ersetzung, der Verantwortliche kann Einspruch erheben. Nach Abs. 4 wird der Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten verpflichtet, insbesondere auf hinreichende Garantien für geeignete TOM. Erfüllt er sie nicht, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen. Abs. 3 lit. d macht beides zum Pflichtinhalt des AVV.

Die ganze Kette

Der Europäische Datenschutzausschuss (EDPB) hält in seiner Stellungnahme 22/2024 vom 7. Oktober 2024 fest:

• Der Verantwortliche soll Name, Anschrift und Ansprechpartner aller Auftragsverarbeiter und Unterauftragsverarbeiter jederzeit verfügbar haben, über alle Ebenen und unabhängig vom Risiko. Der Auftragsverarbeiter soll diese Angaben von sich aus liefern und aktuell halten.
• Die Prüfung hinreichender Garantien gilt für die ganze Kette. Wie tief sie geht, richtet sich nach dem Risiko.
• Die Unterverträge muss der Verantwortliche nicht systematisch anfordern. Ob er sie braucht, entscheidet er im Einzelfall.
• Fernzugriff aus einem Drittland kann eine Übermittlung nach Kapitel V sein, auch zwischen zwei Unterauftragsverarbeitern.

Beispiel einer Liste, wie sie zum AVV gehört:

Unterauftragsverarbeiter     Leistung           Ort          Grundlage Drittland
Beispiel Rechenzentrum GmbH  Serverbetrieb      Deutschland  –
Beispiel Mail Inc.           Versand von Mails  USA          DPF-Zertifizierung
Beispiel Support Ltd.        Fernsupport        Indien       Standardvertragsklauseln

Typische Fehler

• Nur die erste Ebene bekannt. Die Liste endet beim direkten Dienstleister, dessen Zulieferer fehlen.
• Mitteilungen ins Leere. Änderungen gehen an eine Adresse, die niemand liest. Die Frist für den Einspruch läuft trotzdem.
• Liste nur als Webseite. Der Anbieter ändert die Seite, ohne Kunden zu benachrichtigen. Nach Abs. 2 muss er über beabsichtigte Änderungen informieren.
• Konzerngesellschaften übersehen. Support aus einer Schwestergesellschaft außerhalb der EU mit Zugriff auf Daten ist ebenfalls Unterauftragsverarbeitung.

Prüfen

Wer die Listen als Textdatei ablegt, sieht Änderungen mit einem Vergleich:

diff unterauftrag-2025-10.txt unterauftrag-2026-10.txt

Jede neue Zeile braucht eine dokumentierte Entscheidung (zustimmen oder widersprechen). Bei einem Ort außerhalb des EWR gehört die Grundlage der Übermittlung dazu, siehe Drittlandtransfer.