Datenstandort Schweiz

Subprozessoren: Wer ausser dem Anbieter noch mitliest

Für: Datenschutzverantwortliche und Entscheider, die einen AVV prüfen.

Kurz erklärt

Subprozessoren sind Dienstleister, die der Anbieter selbst einsetzt — Datenbank, E-Mail, Hosting, KI. Jeder SaaS-Anbieter hat welche; die Frage ist, ob sie offengelegt sind. Beim Lesen der Liste zählen drei Dinge: Land, Zweck und ob der Dienst abschaltbar ist.

Der Anbieter, dem man Daten anvertraut, vertraut sie weiter: dem Rechenzentrum, dem E-Mail-Dienst, dem Monitoring. Das ist normal und nicht zu verhindern. Problematisch wird es, wenn die Kette nicht sichtbar ist — dann weiss der Verantwortliche nicht, wem er eigentlich zugestimmt hat. Die Subprozessorliste ist das Dokument, an dem man Anbieter unterscheiden kann.

Eine Liste lesen — drei Spalten

Für jeden Eintrag beantworten:

Land: Schweiz oder EU sind unkritisch; Drittländer wie die USA brauchen Garantien (Standardvertragsklauseln, Data Privacy Framework) und eine Abwägung.
Zweck: Datenbank und Dateien sind der Kern; Analytics, Support-Tools und KI verarbeiten oft nur Ausschnitte — oder gar keine Personendaten.
Status: Immer aktiv, nur bei Nutzung einer Funktion, oder opt-in? Was abschaltbar ist, kann man für sensible Mandate abschalten.

Kritische Einträge

Genau hinschauen bei: KI-Diensten (welche Daten gehen hin, wird trainiert, wie lange gespeichert?), Support-Werkzeugen mit Bildschirmzugriff, Session-Replay-Analytics (die zeichnen Eingaben auf) und «Konzernmutter in den USA» bei EU-Tochtergesellschaften. Keiner dieser Punkte ist per se ein Ausschluss — aber jeder braucht eine bewusste Entscheidung.

Wie Flenio damit umgeht

Flenio veröffentlicht die vollständige Liste mit Land, Zweck, Garantie und Aktivierungsstatus — und unterscheidet Auftragsverarbeiter (die immer laufen) von Integrationen, die erst durch den Nutzer verbunden werden (Google Calendar, Microsoft 365, Slack, bexio). Die KI-Verarbeitung ist als «nur bei Nutzung» markiert und pro Workspace abschaltbar. Änderungen an der Liste werden angekündigt.

Häufige Fragen

Muss ich jedem Subprozessor zustimmen?

Im AVV genehmigt man in der Regel die Liste und ein Verfahren für Änderungen (Ankündigung mit Widerspruchsrecht). Einzelne Subprozessoren ablehnen kann man meist nur, indem man die Funktion nicht nutzt.

Was ist mit Integrationen wie Google Calendar?

Die verbindet der Nutzer selbst — der Anbieter ist dann nicht Auftragsverarbeiter für diesen Datenfluss, sondern Vermittler. Trotzdem gehört die Integration in eine Übersicht, damit klar ist, was wohin fliesst.

Wie oft ändern sich Subprozessorlisten?

Bei aktiven Produkten ein- bis dreimal pro Jahr. Ein Anbieter, dessen Liste seit Jahren unverändert ist, hat sie vermutlich nicht gepflegt.