Was ist ein Unterauftragsverarbeiter?

Die Kette hinter einem Online-Dienst

Kaum ein Software-Anbieter betreibt alles selbst. Ein Transkriptionsdienst mietet Rechenzentren, nutzt eine externe Spracherkennung, speichert in einer Cloud-Datenbank und lässt Texte von einem Sprachmodell zusammenfassen. Jeder dieser Anbieter verarbeitet die Daten deiner Gesprächspartner mit – nicht in deinem direkten Auftrag, sondern im Auftrag deines Dienstleisters.

Aus Sicht der DSGVO bleibt dabei die Rollenverteilung klar: Du bist Verantwortlicher, dein Vertragspartner ist Auftragsverarbeiter, und alle, die er einbindet, sind Unterauftragsverarbeiter. Der Gesetzestext spricht in Art. 28 Abs. 2 und 4 von „weiteren Auftragsverarbeitern“, die EU-Standardvertragsklauseln von 2021 von „Unterauftragsverarbeitern“.

Für dich hat diese Kette eine praktische Folge: Wer Gesprächsaufnahmen oder Transkripte in einen Dienst lädt, gibt sie im Ergebnis an mehrere Unternehmen. In deiner Datenschutzinformation nennst du deshalb die Empfänger oder zumindest ihre Kategorien, und in deinem Verarbeitungsverzeichnis gehört der Hinweis auf Drittlandübermittlungen dazu, falls einer der Beteiligten außerhalb von EU und EWR sitzt.

Genehmigung: einzeln oder allgemein

Art. 28 Abs. 2 DSGVO verbietet dem Auftragsverarbeiter, ohne „vorherige gesonderte oder allgemeine schriftliche Genehmigung“ des Verantwortlichen weitere Auftragsverarbeiter in Anspruch zu nehmen. Daraus ergeben sich zwei Modelle:

• Gesonderte Genehmigung: Für jeden neuen Unterauftragsverarbeiter fragt der Dienstleister vorher einzeln an. Das gibt maximale Kontrolle, ist aber bei Standardsoftware mit vielen Kunden kaum üblich.
• Allgemeine Genehmigung: Du genehmigst eine Liste. Will der Dienstleister jemanden hinzufügen oder ersetzen, muss er dich nach Art. 28 Abs. 2 Satz 2 vorher informieren, damit du Einspruch erheben kannst.

Die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/915, Klausel 7.7) bilden genau diese beiden Optionen ab und sehen vor, dass vorab eine Frist für die Mitteilung vereinbart wird. Was nach einem Einspruch passiert – etwa ein Kündigungsrecht –, regelt der jeweilige Vertrag.

Dieselben Pflichten, durchgereicht

Der Auftragsverarbeiter muss seinem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auferlegen, die er selbst gegenüber dir übernommen hat (Art. 28 Abs. 4). Die Kette darf also nicht schwächer werden, je weiter sie reicht.

Erfüllt der Unterauftragsverarbeiter seine Pflichten nicht, haftet der erste Auftragsverarbeiter dir gegenüber dafür (Art. 28 Abs. 4 letzter Satz). Das entlastet dich nicht von deiner eigenen Verantwortung gegenüber den Betroffenen, gibt dir aber einen klaren Ansprechpartner.

Liegt ein Unterauftragsverarbeiter außerhalb von EU und EWR, kommt eine Drittlandübermittlung hinzu. Dann braucht es zusätzlich einen Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln – auch für die weitere Übermittlung entlang der Kette.

So liest du eine Unterauftragnehmer-Liste

Seriöse Anbieter veröffentlichen ihre Liste oder hängen sie dem AVV an. Achte auf diese Angaben je Eintrag:

• Name und Sitz des Unternehmens
• Leistung: Hosting, Spracherkennung, Zusammenfassung, E-Mail-Versand, Support-Werkzeug
• Ort der Verarbeitung: Rechenzentrum in der EU oder Zugriff aus einem Drittland
• Grundlage bei Drittländern: Angemessenheitsbeschluss, Standardvertragsklauseln oder anderes Instrument

Fehlt eine solche Liste ganz oder bleibt sie bei „ausgewählte Partner“, ist das ein Grund nachzufragen. Du kannst deinen Informationspflichten gegenüber Gesprächspartnern nur nachkommen, wenn du weißt, wer die Daten erhält.