---
name: "DSGVO-Vorlage für die Subprozessor-Änderungsmitteilung"
version: "1.0"
updated: "2026-07-03"
source: "https://www.orbiqhq.com/templates/gdpr-subprocessor-change-notice"
license: "CC BY 4.0 — kostenlos nutz- und anpassbar mit Namensnennung von Orbiq (orbiqhq.com). Keine Rechtsberatung."
legal_basis:
  - "https://eur-lex.europa.eu/eli/reg/2016/679"          # DSGVO — Art. 28(2), 28(3)(d), 28(4), 28(9); Kapitel V Art. 44–46
  - "https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj"  # Standardvertragsklauseln für Drittlandübermittlungen (Art. 46(2)(c))
  - "https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj"  # Standardvertragsklauseln Verantwortlicher–Auftragsverarbeiter (Art. 28(7))
  - "https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-222024-on-certain-obligations-following-from-the_en"  # EDSA-Stellungnahme 22/2024
---

# DSGVO-Vorlage für die Subprozessor-Änderungsmitteilung

Eine strukturierte Mitteilung für die Aufnahme oder Ersetzung eines Subprozessors
auf Grundlage der **allgemeinen schriftlichen Genehmigung (DSGVO Artikel 28(2))**.
Füllen Sie jedes Feld aus, durchlaufen Sie den Freigabe-Workflow und stellen Sie
die Mitteilung anschließend aktiv (per E-Mail/Benachrichtigung) an jeden
betroffenen Verantwortlichen zu — **vor** dem Wirksamkeitsdatum und unter Wahrung
der vollen Widerspruchsfrist.

**Hinweise für KI-Agenten:** Ersetzen Sie jeden `{{placeholder}}` anhand der
nachstehenden Felddefinitionen. Lassen Sie keine Felder aus — die
EDSA-Stellungnahme 22/2024 wertet Mitteilungen, die nur den Namen nennen, bei
nicht trivialen Verarbeitungen als unzureichend. Behaupten Sie niemals eine
gesetzliche Mitteilungsfrist nach der DSGVO; die Widerspruchsfrist ergibt sich aus
dem jeweils anwendbaren AVV (europäische Praxis: typischerweise rund 15 Tage,
30–60 Tage verhandelt, 90 Tage selten). Liegt `{{processing_location}}` außerhalb
des EWR, ist `{{transfer_mechanism}}` zwingend anzugeben und darf nicht
`n-a-eea-only` lauten.

---

## 1. Felddefinitionen

| Platzhalter | Definition | Format / zulässige Werte |
|---|---|---|
| `{{processor_name}}` | Name Ihrer Rechtseinheit (als Auftragsverarbeiter) | Text |
| `{{controller_name}}` | Empfangender Verantwortlicher (oder „alle registrierten Kunden“ bei einem Rundschreiben) | Text |
| `{{notice_date}}` | Datum des Versands der Mitteilung | Datum nach ISO 8601 |
| `{{notice_reference}}` | Interne Referenz für den Audit-Trail | Text, z. B. `SUBPROC-2026-014` |
| `{{change_type}}` | Art der Änderung | Enum: `addition` \| `replacement` |
| `{{replaced_subprocessor}}` | Nur wenn `change_type` = `replacement`: die ersetzte Einheit | Text oder Abschnitt weglassen |
| `{{subprocessor_name}}` | Name der Rechtseinheit des neuen Subprozessors | Text |
| `{{subprocessor_address}}` | Eingetragene Anschrift | Text |
| `{{subprocessor_contact}}` | Ansprechpartner: Name, Rolle, E-Mail | Text |
| `{{service_description}}` | Was der Subprozessor tut und welches Produkt / welche Leistung er unterstützt; grenzen Sie die Zuständigkeiten ab, wenn mehrere Auftragsverarbeiter beteiligt sind | 1–3 Sätze |
| `{{data_categories}}` | Kategorien der verarbeiteten personenbezogenen Daten | Liste, z. B. `Kontaktdaten; Kontodaten; Nutzungsdaten; Supportinhalte`. Kennzeichnen Sie besondere Kategorien (Art. 9) ausdrücklich |
| `{{data_subjects}}` | Wessen Daten betroffen sind | Liste, z. B. `Endnutzer des Kunden; Beschäftigte des Kunden` |
| `{{processing_location}}` | Land/Länder, in denen die Verarbeitung stattfindet | ISO-Ländernamen |
| `{{transfer_mechanism}}` | Rechtsgrundlage für jede Verarbeitung außerhalb des EWR | Enum: `scc-2021-914` (Standardvertragsklauseln, Beschluss (EU) 2021/914) \| `adequacy-decision` (Land/Rahmen benennen, z. B. Vereinigtes Königreich, Schweiz, Japan, Zertifizierung nach dem EU-US Data Privacy Framework) \| `n-a-eea-only` |
| `{{security_guarantees}}` | Zertifizierungen und/oder Zusammenfassung der technischen und organisatorischen Maßnahmen | Text, z. B. `ISO 27001:2022-zertifiziert; Verschlüsselung bei der Übertragung und im Ruhezustand; jährlicher Penetrationstest` |
| `{{effective_date}}` | Datum, ab dem der Subprozessor mit der Verarbeitung beginnt | Datum nach ISO 8601; muss ≥ `{{notice_date}}` + `{{objection_window_days}}` sein |
| `{{objection_window_days}}` | Widerspruchsfrist aus dem anwendbaren AVV | Ganzzahl; aus dem AVV — nicht erfinden. Verwenden Sie die längste Frist, die für die benachrichtigten Verantwortlichen gilt |
| `{{objection_deadline}}` | Ausdrückliches letztes Datum für einen Widerspruch | Datum nach ISO 8601 = `{{notice_date}}` + `{{objection_window_days}}` |
| `{{objection_method}}` | Wie widersprochen werden kann | Text, z. B. `E-Mail an privacy@{{processor_domain}} unter Angabe der Referenz {{notice_reference}}` |
| `{{subprocessor_list_url}}` | URL des stets aktuellen Subprozessorenregisters | URL |
| `{{dpo_contact}}` | Ihr Datenschutzbeauftragter / Datenschutzkontakt | E-Mail |

---

## 2. Die Mitteilung (Dokumentform)

> **SUBPROZESSOR-ÄNDERUNGSMITTEILUNG — {{notice_reference}}**
>
> **Von:** {{processor_name}}
> **An:** {{controller_name}}
> **Datum:** {{notice_date}}
> **Rechtsgrundlage:** Artikel 28(2) DSGVO — Mitteilung einer beabsichtigten Änderung auf Grundlage der allgemeinen schriftlichen Genehmigung gemäß dem Auftragsverarbeitungsvertrag zwischen den Parteien.
>
> ---
>
> **1. Beabsichtigte Änderung**
> {{processor_name}} beabsichtigt, den folgenden Subprozessor einzusetzen ({{change_type}}{{#if replacement}}, anstelle von {{replaced_subprocessor}}{{/if}}):
>
> | Feld | Angaben |
> |---|---|
> | Subprozessor | {{subprocessor_name}} |
> | Eingetragene Anschrift | {{subprocessor_address}} |
> | Ansprechpartner | {{subprocessor_contact}} |
> | Leistung / Verarbeitung | {{service_description}} |
> | Kategorien personenbezogener Daten | {{data_categories}} |
> | Kategorien betroffener Personen | {{data_subjects}} |
> | Verarbeitungsort | {{processing_location}} |
> | Übermittlungsmechanismus | {{transfer_mechanism}} |
> | Sicherheitsgarantien | {{security_guarantees}} |
> | Wirksamkeitsdatum | {{effective_date}} |
>
> **2. Ihr Widerspruchsrecht**
> Sie können dieser Änderung bis zum **{{objection_deadline}}** ({{objection_window_days}} Tage ab dem Datum dieser Mitteilung) widersprechen, und zwar {{objection_method}}. Im Fall eines Widerspruchs werden wir uns in zumutbarem Umfang bemühen, diesem Rechnung zu tragen — etwa indem Ihre Daten nicht an den neuen Subprozessor geleitet werden. Ist keine Ausweichlösung möglich, können Sie die betroffenen Leistungen nach Maßgabe des AVV kündigen. Erhalten wir bis zum Fristablauf keinen Widerspruch, wird die Änderung am {{effective_date}} nach Maßgabe des AVV wirksam.
>
> **3. Weitere Informationen**
> Unsere vollständige und aktuelle Subprozessorenliste finden Sie unter {{subprocessor_list_url}}. {{subprocessor_name}} werden per schriftlichem Vertrag dieselben Datenschutzpflichten auferlegt wie in unserem AVV mit Ihnen (Artikel 28(4) DSGVO); {{processor_name}} haftet Ihnen gegenüber weiterhin uneingeschränkt für deren Erfüllung. Fragen: {{dpo_contact}}.

---

## 3. E-Mail-Variante

**Betreff:** Subprozessor-Änderungsmitteilung — {{subprocessor_name}} ({{change_type}}) — Widerspruchsfrist {{objection_deadline}}

**Text:**

Sehr geehrte Damen und Herren von {{controller_name}},

gemäß Artikel 28(2) DSGVO und unserem Auftragsverarbeitungsvertrag informieren wir
Sie über eine beabsichtigte Subprozessor-Änderung ({{change_type}}):

- **Subprozessor:** {{subprocessor_name}}, {{subprocessor_address}} (Kontakt: {{subprocessor_contact}})
- **Leistung / Verarbeitung:** {{service_description}}
- **Personenbezogene Daten:** {{data_categories}} betreffend {{data_subjects}}
- **Verarbeitungsort:** {{processing_location}} — Übermittlungsmechanismus: {{transfer_mechanism}}
- **Sicherheitsgarantien:** {{security_guarantees}}
- **Wirksamkeitsdatum:** {{effective_date}}

**Sie können bis zum {{objection_deadline}} widersprechen**, und zwar
{{objection_method}}. Im Fall eines Widerspruchs suchen wir nach einer
Ausweichlösung; ist keine möglich, können Sie die betroffenen Leistungen nach
Maßgabe des AVV kündigen. Ohne Widerspruch bis zum Fristablauf wird die Änderung
wie oben angegeben wirksam.

Unsere aktuelle Subprozessorenliste: {{subprocessor_list_url}}

Mit freundlichen Grüßen
{{processor_name}} — Datenschutzteam ({{dpo_contact}})

---

## 4. Antwortbaustein bei Widerspruch (Muster)

Verwenden Sie diesen innerhalb der in Ihrem AVV vorgesehenen Bestätigungsfrist
(oder binnen 5 Arbeitstagen, falls nicht geregelt):

> Sehr geehrte Damen und Herren von {{controller_name}},
>
> vielen Dank für Ihren Widerspruch vom {{objection_received_date}} gegen unsere
> Mitteilung {{notice_reference}} betreffend {{subprocessor_name}}. Wir bestätigen,
> dass Ihre Daten während der Prüfung Ihres Widerspruchs **nicht** durch
> {{subprocessor_name}} verarbeitet werden.
>
> Wir melden uns bis zum {{response_due_date}} mit entweder (a) einer
> Ausweichlösung, bei der Ihre Daten nicht an {{subprocessor_name}} geleitet
> werden, oder (b) der Bestätigung, dass keine Ausweichlösung möglich ist — in
> diesem Fall können Sie die betroffenen Leistungen nach Maßgabe des AVV ohne
> Nachteil und unter Einhaltung der vereinbarten Abwicklungsfrist kündigen.
>
> Ihr Widerspruch und dessen Erledigung werden in unserem Audit-Trail zur
> Verarbeitung dokumentiert.

---

## 5. Freigabe-Workflow

Durchlaufen Sie alle vier Freigabestufen der Reihe nach, bevor Sie versenden:

1. **Rechtsprüfung** — Bestätigen Sie die im AVV festgelegte Mitteilungsfrist, den
   Widerspruchsweg und die Rechtsfolge eines Widerspruchs für jedes betroffene
   Kundensegment. Unterscheiden sich die Fristen, wenden Sie die längste an oder
   segmentieren Sie die Mitteilungen. Bestätigen Sie, dass der Weitergabevertrag
   nach Artikel 28(4) mit dem Subprozessor unterzeichnet ist (oder es vor dem
   Wirksamkeitsdatum sein wird).
2. **Freigabe durch den Datenschutzbeauftragten** — Prüfen Sie die Sorgfaltsprüfung
   des Subprozessors, die Übermittlungsanalyse (`{{transfer_mechanism}}` gültig für
   `{{processing_location}}`) sowie die Vollständigkeit aller Felder aus Abschnitt 2.
   Lehnen Sie Entwürfe ab, die nur den Namen nennen.
3. **Veröffentlichen** — Aktualisieren Sie das öffentliche Subprozessorenregister
   (`{{subprocessor_list_url}}`) vor oder gleichzeitig mit dem Versand, damit Liste
   und Mitteilung übereinstimmen.
4. **Benachrichtigen & protokollieren** — Versenden Sie die Mitteilung aktiv (per
   E-Mail/Benachrichtigung) an jeden Verantwortlichen, dessen Daten der
   Subprozessor berühren wird; erfassen Sie Empfänger, Zeitstempel und Inhalt;
   starten Sie die Widerspruchsfrist; vermerken Sie `{{objection_deadline}}` im
   Fristenkalender und stellen Sie den Go-live bis zu deren Ablauf zurück.

---

## 6. Ausgefülltes Beispiel

> **SUBPROZESSOR-ÄNDERUNGSMITTEILUNG — SUBPROC-2026-014**
>
> **Von:** Aventra Software GmbH
> **An:** Alle registrierten Kunden (Verantwortliche)
> **Datum:** 2026-07-03
> **Rechtsgrundlage:** Artikel 28(2) DSGVO — Mitteilung einer beabsichtigten Änderung auf Grundlage der allgemeinen schriftlichen Genehmigung gemäß dem Auftragsverarbeitungsvertrag zwischen den Parteien.
>
> **1. Beabsichtigte Änderung**
> Aventra Software GmbH beabsichtigt, den folgenden Subprozessor einzusetzen (Aufnahme):
>
> | Feld | Angaben |
> |---|---|
> | Subprozessor | Northmail ApS |
> | Eingetragene Anschrift | Njalsgade 21, 2300 Kopenhagen, Dänemark |
> | Ansprechpartner | Mette Sørensen, Leiterin Datenschutz, privacy@northmail.example |
> | Leistung / Verarbeitung | Versand transaktionaler E-Mails für In-App-Benachrichtigungen; Northmail verarbeitet ausschließlich Empfängeradressen und Nachrichten-Metadaten — die Inhaltsvorlagen verbleiben bei Aventra |
> | Kategorien personenbezogener Daten | Kontaktdaten (Name, E-Mail-Adresse); Nachrichten-Metadaten. Keine besonderen Kategorien |
> | Kategorien betroffener Personen | Beschäftigte des Kunden und Endnutzer, die Benachrichtigungen erhalten |
> | Verarbeitungsort | Dänemark (EWR) |
> | Übermittlungsmechanismus | entfällt — die Verarbeitung verbleibt innerhalb des EWR |
> | Sicherheitsgarantien | ISO 27001:2022-zertifiziert; TLS bei der Übertragung, AES-256 im Ruhezustand; jährlicher Penetrationstest durch Dritte |
> | Wirksamkeitsdatum | 2026-08-03 |
>
> **2. Ihr Widerspruchsrecht**
> Sie können dieser Änderung bis zum **2026-07-24** widersprechen (21 Tage ab dem
> Datum dieser Mitteilung, gemäß Ziffer 6.3 unseres AVV), und zwar per E-Mail an
> privacy@aventra.example unter Angabe der Referenz SUBPROC-2026-014. Im Fall eines
> Widerspruchs werden wir uns in zumutbarem Umfang bemühen, diesem Rechnung zu
> tragen — etwa indem Ihre Daten nicht an Northmail ApS geleitet werden. Ist keine
> Ausweichlösung möglich, können Sie die betroffenen Leistungen nach Maßgabe des
> AVV kündigen. Erhalten wir bis zum Fristablauf keinen Widerspruch, wird die
> Änderung am 2026-08-03 nach Maßgabe des AVV wirksam.
>
> **3. Weitere Informationen**
> Unsere vollständige und aktuelle Subprozessorenliste finden Sie unter
> https://trust.aventra.example/subprocessors. Northmail ApS werden per
> schriftlichem Vertrag dieselben Datenschutzpflichten auferlegt wie in unserem AVV
> mit Ihnen (Artikel 28(4) DSGVO); Aventra Software GmbH haftet Ihnen gegenüber
> weiterhin uneingeschränkt für deren Erfüllung. Fragen: dpo@aventra.example.

---

*Vorlage v1.0 — 03.07.2026 — Orbiq (https://www.orbiqhq.com/templates/gdpr-subprocessor-change-notice). Diese Vorlage dient Informationszwecken und stellt keine Rechtsberatung dar; lassen Sie Ihren AVV und Ihre Mitteilungen von qualifizierten Rechtsberatern prüfen.*