Subverwerker
Een verwerker kan op hun beurt gebruik van een andere partij om de persoonsgegevens van zijn opdrachtgever te verwerken. Dit betreft in de rollenverdeling van de AVG, een subverwerker.
Subverwerkers mogen alleen maar worden ingeschakeld wanneer hier toestemming voor is verkregen door de Verwerkingsverantwoordelijke en deze subverwerker aan dezelfde (of strengere) verwerkingsovereenkomst onderhevig is als zijn bovenliggende Verwerker. Deze moet worden vastgelegd in een subverwerkersovereenkomst.
Het is mogelijk dat een verwerker een beroep wil of moet doen op een andere organisatie, ter assistentie van bepaalde diensten waarvoor de verwerker primair is aangesteld door de verwerkingsverantwoordelijke. De ingeschakelde organisatie is als het ware derde in de lijn en betreft dus de subverwerker.
Het inschakelen van een subverwerker mag niet zonder voorafgaande schriftelijke toestemming van de verantwoordelijke. De verwerker legt aan een subverwerker in een subverwerkersovereenkomst dezelfde verplichtingen op als de verwerker richting .
De verwerker is volledig aansprakelijk richting de verwerkingsverantwoordelijke voor het niet nakomen van verplichtingen door de sub-verwerker. Komt de subverwerker zijn verplichtingen niet na? Dan blijft de verwerker volledig aansprakelijk richting voor het nakomen van de verplichtingen van de subverwerker (zie artikel 28, lid 4 van de AVG).