Subverwerker

Een subverwerker wordt ingeschakeld door een verwerker, niet rechtstreeks door de verwerkingsverantwoordelijke. Cloudhosting, databasediensten, e-mailproviders, betaalverwerkers, chatplatformen en AI-extractiediensten zijn typische voorbeelden voor een softwareproduct. Volgens de AVG heeft de verwerker voorafgaande toestemming van de verwerkingsverantwoordelijke nodig, die meestal in algemene bewoordingen wordt gegeven in de verwerkersovereenkomst samen met een recht om bezwaar te maken tegen wijzigingen.

De verwerker moet dezelfde verplichtingen inzake gegevensbescherming contractueel opleggen aan elke subverwerker en blijft volledig aansprakelijk tegenover de verwerkingsverantwoordelijke voor hun prestaties. Wanneer een subverwerker buiten de EER is gevestigd, is een doorgiftemechanisme zoals het EU-VS Data Privacy Framework of standaardcontractbepalingen vereist. Het publiceren van een actuele lijst van subverwerkers met het doel en de locatie van elke leverancier, en het vooraf melden van wijzigingen, is de gangbare manier om aan de transparantieverplichting te voldoen. Kontevia publiceert een dergelijke lijst en meldt gebruikers voordat een leverancier wordt toegevoegd.