Unterauftragsverarbeiter DSGVO: Subprozessoren prüfen

Ein Unterauftragsverarbeiter, im Englischen Subprozessor, ist ein Dienstleister, den Ihr Auftragsverarbeiter selbst einschaltet, um Ihre Daten zu verarbeiten. Die DSGVO erlaubt das nach Art. 28 Abs. 2 und 4 nur mit Ihrer Genehmigung und nur zu denselben Datenschutzpflichten. Bei KI-Telefonassistenten sind an einem Anruf meist mehrere solcher Firmen beteiligt, fonio nennt im AVV zum Beispiel fünf.

Wer einen KI-Telefonassistenten bucht, schließt einen Vertrag mit einem Anbieter. Verarbeitet werden die Anrufe aber selten nur von diesem einen Unternehmen. Die Telefonnummer stellt ein Carrier bereit, die Sprache erkennt ein Speech-to-Text-Dienst, die Antwort formuliert ein Sprachmodell, die Stimme kommt von einem Text-to-Speech-Anbieter, und alles läuft in einem Rechenzentrum. Jede dieser Firmen ist ein Unterauftragsverarbeiter. Diese Seite erklärt, was die DSGVO dazu verlangt und worauf Sie als Geschäftsführer bei der Anbieterwahl achten sollten.

Begriffe: Unterauftragsverarbeiter, Subprozessor, Subunternehmer

Die DSGVO kennt drei Rollen. Ihr Unternehmen ist Verantwortlicher, weil es über Zweck und Mittel der Verarbeitung entscheidet. Ihr Vertragspartner ist Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. Holt sich dieser für Teile der Arbeit weitere Dienstleister dazu, spricht der Verordnungstext in Art. 28 Abs. 2 und 4 vom weiteren Auftragsverarbeiter.

In Verträgen und auf Anbieterseiten finden Sie dafür viele Namen: Unterauftragsverarbeiter, Subauftragsverarbeiter, Unterauftragnehmer, Subunternehmer oder, aus dem Englischen übernommen, Subprozessor (sub-processor). Rechtlich ist immer dasselbe gemeint. Die Grundlage für das Verhältnis zu Ihrem direkten Vertragspartner ist der Auftragsverarbeitungsvertrag (AVV).

Kein Unterauftragsverarbeiter ist, wer nur eine Nebenleistung ohne Zugriff auf Ihre Daten erbringt, etwa ein Reinigungsdienst im Rechenzentrum. Kein Unterauftragsverarbeiter ist auch, wer Daten zu eigenen Zwecken nutzt. Dann liegt eine eigene Verantwortlichkeit vor, und es braucht eine andere Rechtsgrundlage.

Was Art. 28 DSGVO vorschreibt

Die Regeln stehen an zwei Stellen in Art. 28 DSGVO.

Genehmigung (Abs. 2): Ihr Auftragsverarbeiter darf keinen weiteren Auftragsverarbeiter ohne Ihre vorherige schriftliche Genehmigung einsetzen. Möglich sind zwei Wege:

• Gesonderte Genehmigung: Sie stimmen jedem Subprozessor einzeln zu. Das ist strenger, in Standardverträgen von Cloud-Diensten aber selten.
• Allgemeine Genehmigung: Sie erlauben den Einsatz grundsätzlich. Der Anbieter muss Sie dann über jede beabsichtigte Hinzuziehung oder Ersetzung informieren, und Sie erhalten die Möglichkeit, Einspruch zu erheben.

„Schriftlich“ schließt nach Art. 28 Abs. 9 DSGVO ein elektronisches Format ein. Eine Zustimmung per Klick im Bestellprozess kann die Form deshalb wahren.

Weitergabe der Pflichten (Abs. 4): Der Anbieter muss seinem Subprozessor per Vertrag dieselben Datenschutzpflichten auferlegen, die in Ihrem AVV stehen, insbesondere hinreichende technische und organisatorische Maßnahmen. Kommt der Subprozessor seinen Pflichten nicht nach, haftet Ihr Vertragspartner Ihnen gegenüber in vollem Umfang.

Dokumentation im AVV (Abs. 3 lit. d): Der AVV muss festhalten, dass der Anbieter die Bedingungen aus Abs. 2 und 4 einhält. Praktisch bedeutet das eine Liste der Subprozessoren als Anlage oder als verlinkte Seite.

Der Europäische Datenschutzausschuss (EDSA) hat im Oktober 2024 mit der Stellungnahme 22/2024 präzisiert, dass Verantwortliche Informationen zur Identität aller Unterauftragsverarbeiter in der Kette jederzeit verfügbar haben sollten, nicht nur zur ersten Ebene. Für Sie heißt das: Eine Liste mit Firmennamen, Sitz, Verarbeitungsort und Zweck ist keine Kür, sondern die Grundlage Ihrer eigenen Prüfung.

Warum das bei KI-Telefonie besonders zählt

Ein KI-Telefonassistent setzt sich aus mehreren spezialisierten Diensten zusammen. Ein Beispiel aus unseren Anbieterdaten: Fonio nennt im AVV-Anhang 3 (Stand 16.09.2026) Hetzner (Nürnberg, Falkenstein, Helsinki) und ab 01.10.2026 zusätzlich OVH für das Hosting, Twilio Irland und Voxbone Belgien für die Telefonie sowie OpenAI Ireland für das Sprachmodell, laut Anbieter mit Verarbeitung in Europa.

Typische Stationen eines Anrufs und die Daten, die dabei anfallen:

Gerade Speech-to-Text und das Sprachmodell sehen den vollständigen Inhalt jedes Gesprächs. Ruft ein Patient wegen eines Befunds an oder eine Mandantin wegen einer Kündigung, landen besondere Kategorien personenbezogener Daten oder Berufsgeheimnisse bei diesen Diensten. Dazu mehr im Ratgeber Berufsgeheimnis und KI-Telefonie.

Ketten und Reseller: der Anbieter ist nicht immer der Betreiber

Bei manchen Produkten steckt hinter der Marke ein anderer Betreiber. Laut den Sonder-AGB tritt IONOS beim KI-Telefonassistenten als Reseller auf, technisch erbringt den Dienst laut Subunternehmerliste die Voiceable GmbH aus Berlin. STRATO nennt in der AVV-Anlage IONOS SE und Voiceable als Unterauftragnehmer. Callioo nennt in den AGB Fonio als technische Grundlage der KI-Telefonie, legt aber nicht offen, welche Subprozessoren dabei beteiligt sind.

Solche Konstruktionen sind zulässig. Sie verlängern aber die Kette, die Sie bewerten müssen. Wenn der Betreiber des eigentlichen Dienstes seine eigenen Subprozessoren nicht veröffentlicht, fragen Sie danach, bevor Sie unterschreiben.

US-Subprozessoren und Drittlandübermittlung

Sitzt ein Subprozessor außerhalb der EU oder des EWR, gelten zusätzlich die Art. 44 ff. DSGVO. Für die USA kommen vor allem zwei Grundlagen in Betracht:

• EU-US Data Privacy Framework: Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795). Er deckt nur US-Unternehmen ab, die sich unter dem Framework zertifiziert haben.
• Standardvertragsklauseln: Durchführungsbeschluss (EU) 2021/914 der EU-Kommission, in der Regel ergänzt um eine Bewertung der Rechtslage im Zielland.

Häufig setzen Anbieter die europäische Gesellschaft eines US-Konzerns ein, etwa Microsoft Ireland, Google Ireland oder OpenAI Ireland. Das verlagert den Vertragspartner in die EU. Ob Daten trotzdem in die USA fließen oder von dort zugänglich sind, steht in den Verträgen dieser Dienste und sollte von Ihrem Datenschutzbeauftragten bewertet werden. Im Datenblatt von fonio steht unter „US-Dienstleister“ deshalb „ja“, obwohl die Vertragspartner für Telefonie und Sprachmodell irische Gesellschaften sind.

Wie unterschiedlich das gelöst wird, zeigen die öffentlichen Angaben einiger Anbieter:

Stand der Angaben: Oktober 2026, Quellen in den jeweiligen Datenblättern. Unsere Bewertung im Kriterium Datenschutz berücksichtigt, ob US-Subprozessoren offengelegt oder vermieden werden, siehe Methodik.

Checkliste: Subprozessoren vor Vertragsschluss prüfen

1. Liste vorhanden? Gibt es eine vollständige Liste mit Firma, Sitz, Verarbeitungsort und Zweck? Fehlt sie, ist das ein Warnsignal.
2. Verarbeitungsort je Station: Wo laufen Telefonie, Spracherkennung, Sprachmodell und Speicherung? „EU-Hosting“ auf der Startseite sagt oft nur etwas über die Datenbank.
3. Drittland: Welche Dienste haben Sitz oder Mutterkonzern außerhalb der EU, und auf welcher Grundlage nach Kapitel V wird übermittelt?
4. Änderungsverfahren: Wie werden Sie über neue Subprozessoren informiert (E-Mail, Newsletter, nur Webseite)? Welche Frist haben Sie für einen Einspruch, und was passiert danach, etwa ein Sonderkündigungsrecht?
5. Training: Dürfen Sprachmodell-Anbieter Gesprächsdaten zum Training nutzen? Das sollte vertraglich ausgeschlossen sein.
6. Speicherfristen: Wie lange halten Subprozessoren Audio und Transkripte vor?
7. Eigene Dokumentation: Übernehmen Sie die Liste in Ihr Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) und legen Sie eine Wiedervorlage an, um Änderungsmitteilungen zu prüfen.

Weitere Vertragspunkte wie Laufzeit, Haftung und Datenexport finden Sie im Ratgeber Vertrag eines KI-Telefonassistenten prüfen, den Gesamtüberblick in Datenschutz bei KI-Telefonie.

Anbieter mit nachvollziehbarer Subprozessor-Kette

Wenn Ihnen kurze Ketten und Verarbeitung in Deutschland wichtig sind, lohnt der Blick auf Anbieter, die ihre Dienstleister offenlegen. Die folgende Tabelle zeigt Wertung, Preis, Testphase, Hosting und AVV aus unseren Datenblättern:

Fonio erreicht nach unserer Methodik die höchste Gesamtwertung dieser Auswahl und legt die Subprozessoren im AVV mit Stand und Verarbeitungsort offen. Telefonie und Sprachmodell laufen dort über irische Gesellschaften von US-Konzernen.

Wer US-Bezug in der Kette ganz vermeiden möchte, findet bei smao und VITAS laut eigenen Angaben Lösungen ohne US-Dienstleister. VITAS richtet sich laut Zielbranchen vor allem an Arztpraxen.

smao ansehen →

Eine Auswahl nach DSGVO-Kriterien bietet der Vergleich KI-Telefonassistent DSGVO-konform aus Deutschland, alle Anbieter mit Datenblatt finden Sie in der Anbieterübersicht.

Häufige Fragen