Cloud-ERP-Anbieter betreiben ihre Systeme selten vollständig allein: Für Server-Infrastruktur, E-Mail-Versand, Zahlungsabwicklung oder Support greifen sie häufig auf externe Dienstleister zurück – sogenannte Unterauftragsverarbeiter oder Subunternehmer. Art. 28 Abs. 4 DSGVO schreibt vor, dass der ERP-Anbieter solche Subunternehmer nur mit vorheriger Genehmigung des Unternehmens einsetzen darf, ihnen vertraglich dieselben Datenschutzpflichten auferlegen muss wie im eigenen Auftragsverarbeitungsvertrag (AVV), und selbst für deren Verstöße gegenüber dem Unternehmen haftet. Wer ein Cloud-ERP-System einsetzt, übernimmt damit indirekt Verantwortung für eine ganze Kette von Dienstleistern – nicht nur für den Anbieter, der den Vertrag unterschrieben hat.
Was ist ein Unterauftragsverarbeiter im Cloud-ERP-Kontext?
Ein Unterauftragsverarbeiter ist jeder weitere Dienstleister, den der ERP-Anbieter zur Vertragserfüllung einsetzt und der dabei ebenfalls auf personenbezogene Daten zugreift. Bei Cloud-ERP-Lösungen betrifft das typischerweise: den Cloud-Infrastruktur-Anbieter im Hintergrund (etwa AWS, Microsoft Azure oder ein deutsches Rechenzentrum), E-Mail- und Benachrichtigungsdienste, Zahlungsdienstleister bei integrierten Zahlungsfunktionen, Support-Dienstleister mit Fernzugriff auf die Datenbank sowie Backup- und Monitoring-Anbieter. Jeder dieser Subunternehmer steht in einer eigenen vertraglichen Kette: Das Unternehmen schließt einen AVV mit dem ERP-Anbieter, der wiederum einen eigenen AVV mit jedem seiner Subunternehmer abschließen muss.
Die drei Pflichten aus Art. 28 Abs. 4 DSGVO
Der Gesetzestext verpflichtet den ERP-Anbieter als ersten Auftragsverarbeiter zu drei konkreten Punkten, sobald er Subunternehmer einsetzen will:
- Genehmigung: Der Anbieter braucht die vorherige Zustimmung des Unternehmens – entweder für jeden einzelnen Subunternehmer gesondert (Einzelfallgenehmigung) oder in Form einer allgemeinen Genehmigung mit Widerspruchsrecht.
- Pflichtenweitergabe: Der Subunternehmer muss vertraglich dieselben Datenschutzpflichten übernehmen wie der Anbieter selbst – also ein vergleichbares Schutzniveau, nicht zwingend einen wortgleichen Vertrag.
- Haftung: Verstößt der Subunternehmer gegen seine Pflichten, haftet dafür zunächst der ERP-Anbieter gegenüber dem Unternehmen – nicht der Subunternehmer direkt.
Genehmigungsmodelle in der Praxis: Einzelfall oder allgemein
In der Praxis setzen die meisten Cloud-ERP-Anbieter auf eine allgemeine Genehmigung, weil eine Einzelfallzustimmung bei jeder Änderung am Dienstleister-Netzwerk kaum praktikabel ist. Der Bitkom-Leitfaden zur Anlage Auftragsverarbeitung (Fassung Dezember 2025) beschreibt dafür ein Modell, nach dem der Anbieter neue Subunternehmer einsetzen darf, wenn er das Unternehmen mindestens 14 Kalendertage vorher informiert und dieses nicht widerspricht. Zusätzlich empfiehlt der Leitfaden, dass der Anbieter eine aktuelle Liste aller eingesetzten Subunternehmer mit Identität, Tätigkeitsumfang und Verantwortungsbereich bereitstellt und diese mindestens einmal jährlich oder nach jeder Änderung aktualisiert. Cloud-Anbieter mit Sitz oder Servern außerhalb der EU sollten laut Leitfaden ausdrücklich als genehmigungspflichtige Subunternehmer eingestuft werden, auch wenn sie nur Infrastruktur und keine eigenen ERP-Funktionen bereitstellen.
Wie lang ist die Subunternehmerkette in der Praxis wirklich?
Wie umfangreich eine solche Kette werden kann, zeigt der Blick auf einen der großen Hyperscaler, die viele Cloud-ERP-Anbieter im Hintergrund nutzen: Amazon Web Services (AWS) veröffentlicht eine eigene Sub-Prozessoren-Übersicht, in der allein die Kategorie der konzerneigenen AWS-Infrastrukturgesellschaften weltweit mehr als 80 einzelne Einheiten umfasst, ergänzt um separat aufgeführte externe Drittanbieter für einzelne Zusatzdienste. AWS verpflichtet sich zudem, diese Liste mindestens 30 Tage vor dem erstmaligen Einsatz eines neuen externen Sub-Prozessors zu aktualisieren. Für ein Unternehmen, das ein Cloud-ERP auf Basis eines solchen Hyperscalers nutzt, bedeutet das: Die eigene Subunternehmerkette reicht in der Praxis oft deutlich über den direkten ERP-Anbieter hinaus, auch wenn im AVV meist nur die Infrastruktur-Ebene als ein Subunternehmer benannt wird, nicht jede einzelne dahinterliegende Konzerngesellschaft.
Checkliste: Worauf beim Thema Subunternehmer im AVV achten
- Liegt eine aktuelle, benannte oder zumindest kategorisierte Subunternehmerliste vor, nicht nur ein allgemeiner Verweis auf „Cloud-Partner“?
- Welches Genehmigungsmodell gilt – Einzelfall oder allgemein mit Widerspruchsfrist, und wie lange ist diese Frist?
- Werden dieselben Pflichten (TOM nach Art. 32 DSGVO, Vertraulichkeit, Löschung) vertraglich an jeden Subunternehmer weitergegeben?
- Haftet der ERP-Anbieter im Vertrag ausdrücklich für Verstöße seiner Subunternehmer, oder verweist er nur pauschal auf deren eigene AVB?
- Werden Datentransfers in Drittländer innerhalb der Kette gesondert ausgewiesen, etwa über Standardvertragsklauseln oder einen Angemessenheitsbeschluss?
Viele Anbieter im Anbieter-Verzeichnis benennen zumindest die wichtigsten Infrastruktur-Partner in ihren Datenschutzhinweisen oder im AVV-Anhang – ein genauer Blick vor Vertragsunterschrift bleibt trotzdem Aufgabe des Unternehmens als datenschutzrechtlich Verantwortlichem.
Was droht bei fehlender oder unzureichender Subunternehmer-Regelung?
Gesonderte, öffentlich dokumentierte Bußgelder ausschließlich wegen fehlerhafter Subunternehmer-Klauseln sind kaum auffindbar – keine Angabe an dieser Stelle, da sich die bekannten Entscheidungen auf das vollständige Fehlen eines AVV beziehen. Wie der Beitrag zum AVV bei ERP-Software zeigt, haben deutsche Aufsichtsbehörden bereits Bußgelder zwischen 5.000 und 50.000 Euro für fehlende oder unvollständige Auftragsverarbeitungsverträge verhängt – eine fehlende oder lückenhafte Subunternehmer-Regelung ist nach Art. 28 Abs. 3 DSGVO ein Pflichtbestandteil des AVV und fällt damit unter dasselbe Risiko.
Das Wichtigste in Kürze
- Art. 28 Abs. 4 DSGVO verlangt für den Einsatz von Subunternehmern durch den ERP-Anbieter eine vorherige Genehmigung, die Weitergabe gleicher Datenschutzpflichten und die Haftung des Anbieters für deren Verstöße.
- Der Bitkom-Leitfaden (Dezember 2025) nennt für die allgemeine Genehmigung eine Informationsfrist von mindestens 14 Kalendertagen vor Einsatz eines neuen Subunternehmers.
- Schon ein einzelner Hyperscaler wie AWS bringt laut eigener Sub-Prozessoren-Liste mehr als 80 konzerneigene Infrastrukturgesellschaften mit, zusätzlich zu externen Drittanbietern.
- Unternehmen sollten die Subunternehmerliste, das Genehmigungsmodell und die Haftungsklausel vor Vertragsabschluss aktiv prüfen, nicht erst im Schadensfall.
- Gesonderte Bußgelder nur wegen Subunternehmer-Klauseln sind öffentlich kaum dokumentiert – das Risiko läuft über das allgemeine AVV-Bußgeldrisiko.
Häufige Fragen zu Subunternehmern im Cloud-ERP
Muss ich als Unternehmen jedem einzelnen Subunternehmer meines ERP-Anbieters zustimmen?
Nur bei einer Einzelfallgenehmigung. Bei der in der Praxis üblicheren allgemeinen Genehmigung reicht es, dass der Anbieter neue Subunternehmer rechtzeitig ankündigt – nach gängiger Praxisempfehlung mindestens 14 Kalendertage vorher – und das Unternehmen nicht widerspricht.
Wer haftet, wenn ein Subunternehmer des ERP-Anbieters eine Datenpanne verursacht?
Gegenüber dem Unternehmen haftet zunächst der ERP-Anbieter selbst, da er nach Art. 28 Abs. 4 DSGVO für die Einhaltung der Pflichten durch seine Subunternehmer einsteht. Interne Regressansprüche zwischen Anbieter und Subunternehmer regelt deren eigener Vertrag.
Was passiert, wenn der ERP-Anbieter einen neuen Subunternehmer einsetzt, ohne mich zu informieren?
Das verstößt gegen die vertraglich vereinbarte Genehmigungspflicht aus Art. 28 Abs. 4 DSGVO und kann einen Vertragsverstoß darstellen. Unternehmen sollten in diesem Fall schriftlich widersprechen und auf Nachbesserung oder Offenlegung der vollständigen Subunternehmerliste bestehen.
Gilt die Subunternehmerkette auch bei deutschen Rechenzentren oder nur bei US-Hyperscalern?
Die Pflicht gilt unabhängig vom Serverstandort. Auch ein deutsches Rechenzentrum ist ein Subunternehmer im Sinne von Art. 28 Abs. 4 DSGVO, sobald es personenbezogene Daten im Auftrag verarbeitet – bei Anbietern außerhalb der EU kommt zusätzlich die Frage der Drittlandübermittlung hinzu.
Wie erkenne ich im Anbieter-Vergleich, wie viele Subunternehmer im Spiel sind?
Ein verlässlicher Hinweis ist der Blick auf die Infrastruktur-Angaben des Anbieters: Wird explizit ein Hyperscaler wie AWS, Azure oder Google Cloud genannt, ist automatisch dessen komplette Sub-Prozessoren-Kette relevant. Bei Private-Cloud-Modellen ist die Kette in der Regel kürzer und überschaubarer als bei Public-Cloud-Setups.
Meine Einschätzung: Subunternehmer im Cloud-ERP sind kein Randthema, sondern stecken in praktisch jedem AVV mit drin – schon weil kaum ein Anbieter seine komplette Infrastruktur selbst betreibt. Der 14-Tage-Hinweis aus dem Bitkom-Leitfaden klingt nach einer Formalie, ist aber genau der Hebel, mit dem ein Unternehmen im Ernstfall widersprechen oder zumindest nachfragen kann, bevor ein neuer Dienstleister live geht. Wer die Subunternehmerliste nie anfordert, verzichtet auf dieses Widerspruchsrecht, ohne es zu merken.
