Ein Subprocessor ist ein Dritter, den ein Processor nutzt, um einen Teil der vereinbarten Leistung zu erbringen und dabei weiterhin personenbezogene Daten aus der Umgebung des Controllers zu verarbeiten.
In der Praxis sind das oft Hosting-Anbieter, Support-Dienstleister, Infrastruktur-Tools oder spezialisierte Integrationen. Deshalb brauchen Teams ein aktuelles Subprocessor-Verzeichnis, Change-Notices und belastbare Nachweise, dass Vendor Oversight nicht nur auf dem Papier existiert.