Wat is een subverwerker? Een partij die jouw verwerker inschakelt, zoals hosting of een AI-model. Waarom je wilt weten welke dat zijn en waar ze staan.
Een subverwerker is een partij die jouw verwerker inschakelt om het werk uit te voeren: het hostingbedrijf van je softwareleverancier of het AI-model achter een dienst. Je deelt geen gegevens met hen, maar je gegevens passeren ze wel. Daarom hoort hun naam in een lijst en hun taak onder afspraken. EIGHTY8 noemt zijn standaardpartijen openlijk op de eigen privacypagina.
Aan een gegevensverwerking zitten vaak drie schillen. Jij bent de verwerkingsverantwoordelijke: het doel is van jou. Je leverancier is de verwerker: hij verwerkt namens jou. En onder die verwerker zitten de partijen die het technische werk doen. Hosting, mailaflevering, betalingsverkeer, een taalmodel. Dat zijn de subverwerkers: zij raken jouw gegevens, zonder dat jij met hen rechtstreeks iets afspreekt.
De AVG pakt dat op met een ketenverplichting: jouw verwerker mag alleen subverwerkers inschakelen met jouw toestemming, en blijft zelf verantwoordelijk voor wat zij doen. Praktisch betekent dat: een lijst van de partijen onder je leveranciers, die bij wisselingen wordt bijgewerkt en waar jij bezwaar kan maken tegen een nieuwe schakel. Vraag je leverancier om die lijst. Het is een normale vraag, en de volwassen leveranciers publiceren hem zelf.
Waarom dit er wetenswaardig toe doet: bij een incident, een klantvraag of een audit is de eerste vraag altijd 'wie kwam er bij deze gegevens?' Zonder subverwerkers-lijst antwoordt niemand dat met zekerheid. Met de lijst weet je precies welke schillen er zijn, waar de gegevens kunnen staan en naar wie je bij vragen moet. Het is het verschil tussen een klachtenronde en een antwoord binnen een middag.
Aan de orde zijn ze zodra je externe diensten gebruikt die persoonsgegevens verwerken. Dus praktisch altijd: hosting, mail, een helpdesk, een AI-dienst. Bij het kiezen van een leverancier hoort de vraag 'welke partijen staan eronder?' bij de inkoop, net zo gewoon als de prijs. En als klant mag jij dezelfde vraag stellen aan EIGHTY8: onze standaardpartijen staan op de privacypagina, en wijzigingen melden we vooraf.
Niet aan de orde zijn ze bij verwerkingen zonder externe schillen: alles wat volledig op eigen hardware of in een afgesloten omgeving draait heeft geen subverwerkers, alleen eigen beheerders. En bij diensten zonder persoonsgegevens is de lijst een detail: technisch bestaat hij, maar het risico dat hij dekt zit in de persoonsgegevens. Waar die niet meegaan, verslapt de eis.
Wij houden het beperkt en bekend: de partijen die onze standaardoplossingen verwerken (hosting, mail, modellen, betalingen) staan met hun rol op de privacypagina, en een klant die een eigen overeenkomst sluit krijgt de lijst schriftelijk bij de scope. Nieuwe schakelen we alleen in na een melding, zodat niemand achteraf ontdekt dat er een deur was die hij niet kende.
De relatie bepaalt de naam. Jouw leverancier is jouw verwerker: hij verwerkt persoonsgegevens namens jou en legt daarover een verwerkersovereenkomst met jou vast. Schakelt die leverancier op zijn beurt een partij in (hosting, mail, een AI-model) dan is die partij een subverwerker: hij verwerkt niet namens jou maar namens jouw leverancier, en de verantwoordelijkheid voor hem blijft bij die leverancier. Jij hebt geen contract met de subverwerker, maar je mag zijn naam en taak wél kennen.
Volwassen leveranciers publiceren hem zelf: zoek in hun privacyverklaring of verwerkersdocumentatie naar subverwerkers of onderaannemers. Staat hij er niet, vraag er dan schriftelijk om. Het is een normale vraag die bij inkoop hoort. Bij EIGHTY8 staat de lijst van standaardpartijen op de privacypagina. Controleer bij het lezen vooral de rol van elke partij: waarvoor raken zij jouw gegevens en onder welke afspraak.
Niet zomaar: de AVG vraagt dat jouw verwerker subverwerkers alleen inschakelt met jouw toestemming, meestal georganiseerd als voorafgaande melding met een bezwaarmogelijkheid. In de praktijk staat die regeling in de verwerkersovereenkomst. Wat je wilt vastleggen: hoe lang vooraf gemeld wordt, hoe jij bezwaar maakt en wat er dan gebeurt. Zo blijft de keten zichtbaar in plaats van dat er stilletjes een nieuwe schil bij komt.
Een overzicht van de schillen in jouw keten: welke leveranciers persoonsgegevens verwerken namens jou, en (op hoofdlijnen) welke partijen zij eronder hebben, met per partij de rol. Dat overzicht haal je uit je verwerkersovereenkomsten en de publicaties van je leveranciers. Klanten stellen deze vraag steeds vaker bij AI-toepassingen; wie het antwoord binnen een middag kan geven, onderscheidt zich. Wij leveren onze kant van dat overzicht standaard mee.
EIGHTY8