Was ist Subprozessor?
Zuletzt aktualisiert am · Aidan Faes
Kurz gesagt
Ein Subprozessor ist ein weiterer Dienstleister, den Ihr Anbieter einschaltet, um seine Leistung zu erbringen, etwa ein Rechenzentrum, einen Modellanbieter oder einen Sprachdienst. Er verarbeitet Ihre Daten mit, ohne dass Sie einen eigenen Vertrag mit ihm schließen. Im Deutschen heißt er auch Unterauftragsverarbeiter.
Bei KI-Anwendungen ist die Kette fast immer länger als bei klassischer Software. Zu einer Chat-Plattform gehören typischerweise ein Cloud-Betreiber, ein oder mehrere Modellanbieter und oft Zusatzdienste für Suche, Transkription oder Sprachausgabe. Fonio.ai etwa nennt Stand 08/2026 in der Datenschutzerklärung Server in Nürnberg und führt OpenAI, ElevenLabs, Deepgram und LiveKit als KI-Dienstleister auf. Erst diese Liste zeigt, wer tatsächlich beteiligt ist.
Im Betrieb ist die Subprozessorenliste deshalb das ehrlichste Dokument, das ein Anbieter veröffentlicht. Sie steht meist als eigene Seite neben dem Auftragsverarbeitungsvertrag und wird bei Änderungen aktualisiert. Gute Anbieter kündigen neue Dienstleister mit Frist an und räumen ein Widerspruchsrecht ein. Lassen Sie sich sagen, wo diese Liste liegt, und tragen Sie eine halbjährliche Sichtung in Ihren Kalender ein.
Der klassische Fehler ist, den Firmensitz des Anbieters mit der Verarbeitungskette zu verwechseln. Ein Betrieb aus Deutschland kann seine Modellaufrufe an einen Dienstleister außerhalb Europas geben, und ein Anbieter aus den USA kann eine europäische Verarbeitungsregion anbieten. Der Sitz sagt über den Weg der Daten wenig aus, die Liste der weiteren Dienstleister sagt alles.
Sie brauchen dieses Thema, sobald personenbezogene Daten in das Werkzeug gelangen, und ganz besonders, wenn Beschäftigten- oder Gesundheitsdaten betroffen sind. Für die Bewertung von Übermittlungen in Drittländer gelten die Bedingungen des Kapitels V der DSGVO (Art. 44 ff.). Welche Konstellation für Ihren Fall tragfähig ist, sollten Sie mit fachlicher Beratung klären, bevor der erste Datensatz fließt.
Fragen an den Anbieter zur Dienstleisterkette
- Wo ist die aktuelle Liste der weiteren Dienstleister abrufbar?
- Welcher Dienstleister übernimmt welchen Schritt, insbesondere die Modellaufrufe?
- In welchem Land findet der jeweilige Schritt statt?
- Wie werden Sie über neue Dienstleister informiert, und mit welcher Frist?
- Können Sie einzelne Dienstleister abwählen, etwa über eine Modellauswahl?
Welche Begriffe hängen damit zusammen?
- Auftragsverarbeitungsvertrag: Der Vertrag nach Art. 28 DSGVO, der regelt, wie ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet.
- Modellanbieter: Das Unternehmen hinter dem Sprachmodell. Auch bei deutschem Anbieter kann die Verarbeitung dorthin gehen.
- Verarbeitungsort: Der Ort, an dem Daten tatsächlich verarbeitet werden. Er kann vom Firmensitz des Anbieters abweichen.
Wo wird Subprozessor in der Auswahl konkret?
Begriffe helfen erst, wenn sie an einer Entscheidung hängen. Subprozessor spielt vor allem in KI-Assistenten & LLM-Plattformen eine Rolle. Dort sehen Sie, wie die geprüften Lösungen mit dem Punkt umgehen, jeweils mit Quelle und Stand-Datum.
Weiter im Glossar
Recht und Sicherheit
Kategorien
Häufige Fragen
Wie viele Subprozessoren sind normal?
Eine belastbare Zahl gibt es nicht, weil sie vom Funktionsumfang abhängt. Ein reiner Chat kommt mit wenigen aus, eine Telefonielösung mit Spracherkennung und Sprachausgabe hat naturgemäß mehr. Entscheidend ist nicht die Anzahl, sondern ob jeder Beteiligte benannt und begründet ist.
Kann ich einen Subprozessor ablehnen?
Viele Verträge sehen ein Widerspruchsrecht mit Kündigungsmöglichkeit vor, wenn ein neuer Dienstleister hinzukommt. Ob Sie davon praktisch Gebrauch machen können, hängt vom Wortlaut ab. Prüfen Sie diese Klausel, bevor Sie unterschreiben, nicht erst im Konfliktfall.