Was sind Sub-Prozessoren bei KI-Anbietern?

Wenn ihr ein KI-Tool wie einen Chatbot oder eine Textgenerierung für euer Unternehmen nutzt, verarbeitet meist nicht nur der Anbieter selbst eure Daten. Viele KI-Anbieter setzen für Hosting, Rechenleistung oder Feinabstimmung ihrer Modelle weitere Dienstleister ein — sogenannte Sub-Prozessoren. Für euch als Unternehmen ist relevant, wer diese Sub-Prozessoren sind, wo sie sitzen und wie sie datenschutzrechtlich in eure Verarbeitungskette eingebunden sein müssen.

Was bedeutet Sub-Prozessor?

Ein Sub-Prozessor (auch Unterauftragsverarbeiter genannt) ist ein Dienstleister, den ein Auftragsverarbeiter zusätzlich beauftragt, um personenbezogene Daten im Rahmen seiner Leistung zu verarbeiten. Bei KI-Anbietern ist das typischerweise ein mehrstufiges Konstrukt: Ihr als Unternehmen seid der Verantwortliche, der KI-Anbieter ist euer Auftragsverarbeiter — und der KI-Anbieter setzt seinerseits etwa einen Cloud-Hosting-Dienst, einen Rechenzentrumsbetreiber oder einen spezialisierten Infrastrukturanbieter ein, der die Daten technisch mitverarbeitet.

Ein Beispiel: Ein Anbieter für KI-gestützte Texterstellung nutzt für den Betrieb seiner Server einen externen Cloud-Dienst. Dieser Cloud-Dienst ist dann Sub-Prozessor des KI-Anbieters. In der Praxis reicht diese Kette bei komplexen KI-Diensten oft noch weiter: Ein KI-Anbieter, der euch eine eigene Oberfläche verkauft, greift häufig selbst auf ein fremdes Foundation-Modell zurück, dessen Betreiber wiederum eigene Hosting- und Infrastrukturpartner einsetzt. So entstehen Ketten mit drei, vier oder mehr Gliedern, bevor eure Daten überhaupt technisch verarbeitet sind. Für jedes einzelne Glied dieser Kette gilt grundsätzlich dieselbe datenschutzrechtliche Logik wie für den ersten Auftragsverarbeiter: Wer Daten im Auftrag verarbeitet, braucht dafür eine vertragliche Grundlage und muss dieselben Schutzpflichten einhalten, die auch am Anfang der Kette gelten.

Warum ist das für mein Unternehmen wichtig?

Wenn ihr personenbezogene Daten — etwa Kundendaten, Bewerberdaten oder Mitarbeiterdaten — über ein KI-Tool verarbeiten lasst, bleibt ihr als Verantwortliche im Sinne der DSGVO in der Pflicht, auch wenn die eigentliche technische Verarbeitung bei Dritten stattfindet. Das gilt über die gesamte Verarbeitungskette hinweg, nicht nur gegenüber eurem unmittelbaren Vertragspartner. Deshalb solltet ihr wissen, wer in dieser Kette mitwirkt, wo diese Anbieter ihren Sitz haben und ob die Datenübermittlung an sie durch einen Auftragsverarbeitungsvertrag (AVV) datenschutzrechtlich geregelt ist. Das ist besonders relevant, wenn Sub-Prozessoren außerhalb der EU/des EWR sitzen, weil dann zusätzlich zu regeln ist, auf welcher Rechtsgrundlage die Übermittlung in ein Drittland erfolgt — etwa über Standardvertragsklauseln oder einen Angemessenheitsbeschluss der EU-Kommission.

Rechtlich verlangt Art. 28 DSGVO, dass personenbezogene Daten grundsätzlich nur verarbeitet werden dürfen, wenn die datenschutzrechtlichen Voraussetzungen erfüllt sind. Dazu gehört — sofern eine Auftragsverarbeitung vorliegt — insbesondere ein AVV nach Art. 28 DSGVO. Setzt euer KI-Anbieter als Auftragsverarbeiter weitere Sub-Prozessoren ein, gelten dafür eigene Anforderungen: Nach Art. 28 Abs. 2 DSGVO braucht der Auftragsverarbeiter eure vorherige Zustimmung, bevor er weitere Auftragsverarbeiter einbezieht. Diese Zustimmung kann konkret für einen bestimmten Sub-Prozessor erfolgen oder allgemein erteilt werden — im Fall einer allgemeinen Genehmigung muss der Auftragsverarbeiter euch aber über jede beabsichtigte Änderung bei der Hinzuziehung oder Ersetzung von Sub-Prozessoren informieren und euch die Möglichkeit geben, dagegen Einspruch zu erheben. Nach Art. 28 Abs. 4 DSGVO müssen Sub-Prozessoren vertraglich dieselben Datenschutzpflichten übernehmen, die auch für den ursprünglichen Auftragsverarbeiter gelten. Dazu zählen unter anderem angemessene technische und organisatorische Maßnahmen sowie Mitwirkungs- und Nachweispflichten gegenüber Kontrollen. Wichtig für euch: Der KI-Anbieter als euer direkter Vertragspartner haftet euch gegenüber weiterhin dafür, dass seine Sub-Prozessoren diese Pflichten tatsächlich einhalten — ihr müsst also nicht mit jedem Glied der Kette selbst einen eigenen Vertrag schließen, solltet die Kette aber im Rahmen eurer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO dokumentieren können.

Sub-Prozessoren in der Praxis

Stellt euch vor, ein kleines Unternehmen nutzt ein KI-Tool zur automatisierten Beantwortung von Kundenanfragen, in denen auch personenbezogene Daten wie Namen oder Kontaktdaten enthalten sind. Bevor ihr das Tool einsetzt, solltet ihr folgende Punkte prüfen:

1. AVV mit dem KI-Anbieter abschließen. Prüft, ob der Vertrag die Anforderungen aus Art. 28 DSGVO abdeckt — inklusive klarer Regelungen zu Sub-Prozessoren, etwa zur Zustimmungspflicht und zu Informationswegen bei Änderungen.
2. Sub-Prozessoren-Liste einsehen. Viele Anbieter veröffentlichen eine Liste ihrer aktuell eingesetzten Sub-Prozessoren, oft im Hilfebereich oder in den Datenschutzhinweisen. Fragt aktiv danach, falls ihr sie nicht findet, und lasst euch nach Möglichkeit auch mitteilen, welche Rolle der jeweilige Sub-Prozessor übernimmt (etwa Hosting, Modell-Betrieb oder Support).
3. Sitz der Sub-Prozessoren klären. Befinden sich Sub-Prozessoren außerhalb der EU/des EWR, braucht es eine zusätzliche Rechtsgrundlage für die Datenübermittlung, etwa Standardvertragsklauseln oder einen Angemessenheitsbeschluss.
4. Änderungsbenachrichtigungen im Blick behalten. Wenn ihr eine allgemeine Genehmigung für Sub-Prozessoren erteilt habt, solltet ihr Mitteilungen über neue oder ausgetauschte Sub-Prozessoren tatsächlich prüfen und bei Bedenken widersprechen, statt sie ungelesen abzuheften.
5. Dokumentation führen. Haltet fest, welche Sub-Prozessoren zum Zeitpunkt eurer Prüfung eingesetzt wurden — das erleichtert die Nachweispflicht gegenüber Aufsichtsbehörden und macht spätere Änderungen leichter nachvollziehbar.
6. Regelmäßig nachprüfen. Sub-Prozessoren-Listen sind kein einmaliger Prüfpunkt: Plant eine wiederkehrende Kontrolle ein, etwa einmal jährlich oder bei größeren Vertragsänderungen, damit eure Dokumentation nicht veraltet.

Da sich Sub-Prozessoren-Listen und Vertragsdetails bei Anbietern ändern können, solltet ihr aktuelle Angaben immer direkt beim jeweiligen Anbieter prüfen (Stand: August 2026).

Hinweis: Diese Orientierung ersetzt keine Rechtsberatung. Im Zweifelsfall empfehlen wir, euren Datenschutzbeauftragten oder einen Anwalt hinzuzuziehen.

Weiterführendes

Mehr zu den vertraglichen Grundlagen findet ihr in unserem Artikel Was ist ein AVV?. Für Datenübermittlungen an Sub-Prozessoren außerhalb der EU lohnt sich ein Blick auf Was sind Standardvertragsklauseln (SCCs)?. Einen Überblick über unsere Bewertungsmethodik bietet die Methodik-Seite.