Unterauftragsverarbeiter

Als Unterauftragsverarbeiter (auch Sub-Auftragsverarbeiter, Subprozessor oder Sub-Dienstleister) bezeichnet man ein Unternehmen, das im Auftrag eines Auftragsverarbeiters personenbezogene Daten verarbeitet, die dieser wiederum für einen Verantwortlichen verarbeitet. Typische Konstellationen sind das Rechenzentrum hinter einem SaaS-Anbieter, ein externer Second-Level-Support, ein Backup- oder Monitoring-Dienstleister oder ein Sub-Unternehmen für Wartung und Fernzugriff. Die DSGVO kennt keinen eigenen Legalbegriff für den Unterauftragsverarbeiter: Rechtlich ist er schlicht ein weiterer Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO, sodass die gesamte Kette denselben Regeln unterliegt – auch beim Einsatz weiterer Glieder unterhalb des ersten Unterauftragsverarbeiters.

Nach Art. 28 Abs. 2 DSGVO darf ein Auftragsverarbeiter keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen hinzuziehen. In der Praxis dominiert die allgemeine Genehmigung: Der Auftragsverarbeitungsvertrag enthält eine Liste der genehmigten Unterauftragsverarbeiter, und der Auftragsverarbeiter muss den Verantwortlichen über beabsichtigte Änderungen – also die Hinzuziehung oder Ersetzung weiterer Dienstleister – vorab informieren, damit dieser Einspruch erheben kann. Vorlauffristen, Informationswege und die Folgen eines Einspruchs (etwa ein Sonderkündigungsrecht) sind vertraglich zu regeln, da die DSGVO hierzu keine Fristen vorgibt. Die Genehmigung ist Wirksamkeitsvoraussetzung: Ein nicht genehmigter Sub-Dienstleister macht die Weitergabe der Daten rechtswidrig.

Art. 28 Abs. 4 DSGVO ordnet den Durchgriff der Pflichten an: Dem Unterauftragsverarbeiter sind per Vertrag oder anderem Rechtsinstrument dieselben Datenschutzpflichten aufzuerlegen, die im Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter gelten – insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Kommt der Unterauftragsverarbeiter diesen Pflichten nicht nach, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters in vollem Umfang. Gegenüber betroffenen Personen bleibt daneben die Haftung nach Art. 82 DSGVO bestehen, und Verstöße gegen Art. 28 sind nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrt. Der Verantwortliche wird dadurch nicht entlastet: Nach Art. 24 und Art. 28 Abs. 1 DSGVO muss er sich auch von der Zuverlässigkeit der gesamten Kette überzeugen. Sitzt ein Glied der Kette in einem Drittland, ist zusätzlich ein Transfermechanismus nach Kapitel V DSGVO erforderlich – regelmäßig die Standardvertragsklauseln (Modul 3, Verarbeiter an Verarbeiter) samt Transfer Impact Assessment.