Unterauftragsverarbeiter prüfen: die Checkliste

Unterauftragsverarbeiter prüfen heißt: die Liste der Dienste finden, die Ihr SaaS-Anbieter selbst einsetzt, und für jeden Eintrag drei Dinge bewerten — Zweck, Verarbeitungsregion und Übermittlungsgarantie. Diese Prüfung ist keine Kür, sondern Teil Ihrer Pflicht als Verantwortlicher: Sie bleiben nach der DSGVO auch für die Glieder der Kette verantwortlich, die Sie nicht selbst ausgewählt haben. Dieser Beitrag liefert die Checkliste, mit der die Prüfung in einer halben Stunde erledigt ist.

Hinweis: Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Was ist ein Unterauftragsverarbeiter?

Ein Unterauftragsverarbeiter ist ein Dienstleister, den Ihr Auftragsverarbeiter seinerseits einsetzt und der dabei personenbezogene Daten verarbeiten kann. Nutzen Sie eine SaaS-Plattform, ist die Plattform Ihr Auftragsverarbeiter — und deren Hosting-Anbieter, E-Mail-Versanddienst oder KI-Modellanbieter sind Unterauftragsverarbeiter.

Die DSGVO regelt diese Kette in Art. 28: Der Auftragsverarbeiter darf weitere Verarbeiter nur mit Ihrer vorherigen Genehmigung einsetzen (Abs. 2) und muss ihnen dieselben Datenschutzpflichten auferlegen, die er Ihnen gegenüber übernommen hat (Abs. 4). Üblich ist bei SaaS die allgemeine Genehmigung: Sie stimmen der veröffentlichten Liste zu, und der Anbieter informiert Sie vor Änderungen, damit Sie widersprechen können.

Wichtig ist die Abgrenzung nach unten: Die Systeme, die Sie selbst in Ihren Abläufen verbinden — Ihr CRM, Ihr Buchhaltungstool —, sind keine Unterauftragsverarbeiter der Plattform. Sie wählen und steuern diese Dienste selbst und haben mit ihnen eigene Verträge.

Warum müssen Sie Unterauftragsverarbeiter prüfen?

Aus zwei Gründen. Rechtlich: Als Verantwortlicher müssen Sie nachweisen können, dass Ihre gesamte Verarbeitungskette den Anforderungen der DSGVO genügt — die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO endet nicht beim unmittelbaren Vertragspartner. Sitzt am Ende der Kette ein Dienst in einem Drittland, ist das eine Übermittlung, die eine Garantie nach Art. 44 ff. DSGVO braucht, auch wenn Sie mit diesem Dienst nie einen Vertrag geschlossen haben.

Praktisch: Die Unterauftragsverarbeiter-Liste ist das ehrlichste Dokument eines Anbieters. Marketingseiten formulieren, was gut klingt; die Liste muss aufzählen, was tatsächlich eingesetzt wird. Eine Plattform kann „EU-Hosting" bewerben und trotzdem Analyse-, Support- und KI-Dienste in den USA einsetzen — in der Liste steht es. Deshalb ist sie der schnellste Weg, Werbeaussagen zu überprüfen, etwa die Frage, ob hinter einem europäischen Anbieter doch eine US-Cloud steht.

Wie prüfen Sie Unterauftragsverarbeiter Schritt für Schritt?

Schritt 1: Die Liste finden

Suchen Sie nach „Unterauftragsverarbeiter", „Subprozessoren" oder „Subprocessors" — üblich ist eine eigene Seite, verlinkt aus Datenschutzerklärung oder AV-Vertrag. Finden Sie keine Liste, ist das bereits ein Ergebnis: Ein Anbieter, der seine Kette nicht offenlegt, nimmt Ihnen jede Möglichkeit, Ihrer eigenen Prüfpflicht nachzukommen. Fragen Sie nach — und werten Sie eine ausweichende Antwort als das Warnsignal, das sie ist.

Schritt 2: Zweck je Eintrag verstehen

Zu jedem Dienst gehört die Angabe, wofür er eingesetzt wird: Hosting, E-Mail-Versand, Zahlungsabwicklung, KI-Schritte. Einträge ohne Zweckangabe können Sie nicht bewerten. Achten Sie auch auf das Gegenteil — auffällig lange Listen mit Analyse-, Werbe- und Tracking-Diensten sagen etwas darüber, wohin Daten außerhalb des Kernprodukts fließen.

Fragen Sie beim Zweck auch, welche Datenkategorien der jeweilige Dienst sieht. Ein Hosting-Anbieter verarbeitet naturgemäß alles; ein Zahlungsdienst nur Rechnungsdaten; ein SSO-Anbieter nur das Anmeldeprofil. Diese Abstufung entscheidet, wie schwer ein einzelner Eintrag in Ihrer Risikobewertung wiegt.

Schritt 3: Verarbeitungsregion klären

Für jeden Eintrag sollte dastehen, wo verarbeitet wird. Entscheidend ist dabei nicht nur der Serverstandort, sondern die Jurisdiktion des Anbieters — ein US-Unternehmen mit EU-Rechenzentrum bleibt US-Recht unterworfen. Diese Unterscheidung behandelt der Beitrag zu Datenresidenz und Datensouveränität im Detail.

Schritt 4: Übermittlungsgarantie bei Drittländern prüfen

Bei jedem Dienst außerhalb der EU/des EWR muss eine Garantie nach Art. 44 ff. DSGVO benannt sein: Standardvertragsklauseln (SCC), ein Angemessenheitsbeschluss wie das EU-US Data Privacy Framework oder verbindliche interne Datenschutzvorschriften. Gute Listen nennen zusätzlich ergänzende Maßnahmen — etwa clientseitige Verschlüsselung bei einem Backup-Dienst, sodass der Anbieter nur Chiffrat sieht.

Achten Sie auch auf die Rollenangabe: Manche Dienste in einer Kette handeln nicht als Auftragsverarbeiter, sondern als eigenständige Verantwortliche — Zahlungsdienstleister sind das typische Beispiel. Eine Liste, die diese Unterscheidung sauber trifft, erspart Ihnen später Verwirrung darüber, wessen Datenschutzerklärung für welchen Verarbeitungsschritt gilt.

Schritt 5: Immer aktiv oder nur optional?

Nicht jeder Eintrag betrifft jeden Kunden. Ein KI-Anbieter, der nur bei Nutzung von KI-Schritten zum Zug kommt, oder ein SSO-Anbieter, der nur bei gewählter Google-/Microsoft-Anmeldung Daten erhält, ist anders zu bewerten als ein Dienst, durch den alle Daten laufen. Gute Listen kennzeichnen das; für Ihre Risikobewertung ist es der Unterschied zwischen „betrifft uns" und „betrifft uns nur, wenn wir es aktivieren".

Schritt 6: Änderungsprozess festhalten

Prüfen Sie, was der AV-Vertrag für Änderungen zusagt: Wie werden Sie informiert, mit welchem Vorlauf, und welches Widerspruchsrecht haben Sie? Eine Liste ist eine Momentaufnahme — der Prozess entscheidet, ob sie es bleibt. Was sonst noch in den Vertrag gehört, zeigt der Beitrag zum AV-Vertrag bei SaaS-Tools.

Die Checkliste im Überblick

Woran erkennen Sie eine ehrliche Liste?

Am verlässlichsten an einem Merkmal, das zunächst paradox wirkt: Eine glaubwürdige Liste enthält unbequeme Einträge. Kaum ein SaaS-Produkt kommt vollständig ohne Dienste außerhalb der EU aus — Zahlungsabwicklung ist das klassische Beispiel. Eine Liste, die solche Einträge transparent macht und mit Garantie dokumentiert, wurde offensichtlich ernsthaft gepflegt. Eine Liste ganz ohne solche Einträge kann stimmen, verdient aber eine Nachfrage.

Zauberflow legt seine Kette entsprechend offen: Das Hosting liegt bei der netcup GmbH in Nürnberg, KI-Schritte laufen standardmäßig bei Mistral AI in Frankreich — und daneben stehen ehrlich die US-Dienste mit Zweck und Garantie: Lemon Squeezy für die Zahlungsabwicklung, Google und Microsoft nur bei gewählter SSO-Anmeldung, US-KI-Modelle nur auf ausdrückliche, gekennzeichnete Wahl. Sie finden die vollständige Aufstellung in der Liste der Unterauftragsverarbeiter, den zugehörigen Vertrag unter AVV und die Einzelheiten der Verarbeitung in der Datenschutzerklärung.

Häufige Fragen

Muss ich mit jedem Unterauftragsverarbeiter einen eigenen Vertrag schließen?

Nein. Den Vertrag mit dem Unterauftragsverarbeiter schließt Ihr Auftragsverarbeiter, und zwar mit denselben Pflichten, die er Ihnen gegenüber übernommen hat (Art. 28 Abs. 4 DSGVO). Ihre Aufgabe ist die Genehmigung und Bewertung der Kette, nicht der eigene Vertragsschluss auf jeder Stufe.

Wie oft sollte ich die Liste eines laufenden Anbieters kontrollieren?

Verlassen Sie sich nicht auf eigene Stichproben, sondern auf den vertraglich zugesagten Änderungsprozess: Der Anbieter muss Sie vor neuen Unterauftragsverarbeitern informieren. Eine jährliche Kontrolle im Rahmen Ihrer allgemeinen Dienstleisterprüfung ist als zweite Sicherung trotzdem sinnvoll.

Was tun, wenn ein neuer Unterauftragsverarbeiter nicht akzeptabel ist?

Der AV-Vertrag räumt Ihnen bei allgemeiner Genehmigung ein Widerspruchsrecht ein. Führt der Widerspruch nicht zu einer Lösung — etwa einer Opt-out-Möglichkeit —, läuft es praktisch auf die Beendigung des Vertrags hinaus. Genau deshalb lohnt es sich, den Änderungsprozess und die Kündigungsfolgen vor der Einführung zu prüfen.

Sind die Integrationen meiner Workflows Unterauftragsverarbeiter der Plattform?

Nein. Dienste, die Sie selbst in Ihren Abläufen verbinden, wählen und steuern Sie eigenverantwortlich — sie sind Ihre eigenen Auftragsverarbeiter oder eigenständige Verantwortliche, je nach Dienst. Die Unterauftragsverarbeiter-Liste der Plattform umfasst nur die Dienste, die die Plattform selbst für ihren Betrieb einsetzt.