Zehn Tage bleiben bei Canva, um einem neuen Unterauftragsverarbeiter zu widersprechen. Angekündigt werden neue Namen 30 Tage vorher, so steht es im Steckbrief, den frag.hugo am 19. Oktober 2026 geprüft hat. Zehn Tage sind kurz, wenn die Mail im Urlaub ankommt oder an eine Adresse geht, die niemand mehr liest. Das Widerspruchsrecht selbst (Art. 28 Abs. 2 DSGVO) nützt dann wenig.
Wir haben kostenlose Werkzeuge im Oktober 2026 an einer solchen Änderung durchgespielt. Die acht Einträge folgen der Zeit, die nach einer Ankündigung vergeht, und enden bei der Frage, ob man den Anbieter notfalls verlassen kann.
Wenn die Änderung gemeldet wird
1. Am Morgen nach der Änderung
Im Feedreader der Datenschutzkoordinatorin steht am 8. Oktober 2026 eine neue Zeile: „Zoom: 1 neu, 1 entfallen“. Zoom läuft im Haus für Kundentermine. Sie will wissen, ob sie handeln muss, bevor eine Widerspruchsfrist verstreicht.
Die Zeile stammt aus dem Subprozessor-Monitor mit RSS-Feed und Mail-Alarm von frag.hugo. Er gleicht jeden Morgen 17 Anbieter ab und ordnet sie in fünf Gruppen, von Cloud und Infrastruktur bis HR und Finanzen. Ein Klick auf die Meldung zeigt, was passiert ist. Neu ist „MaestroQA d/b/a Rippit“, entfallen ist „MaestroQA“. Das Kürzel d/b/a steht für „doing business as“, die Firma tritt also unter einem weiteren Namen auf. In der AVV-Akte zu Zoom ändern Sie trotzdem den Namen.
Ähnlich las sich die Meldung zu Asana vom 12. September 2026. Dort fielen drei Einträge von OpenAI weg, darunter „OpenAI, Inc.“, und „OpenAI OpCo, LLC“ kam hinzu. Bei Google ersetzte die „Gemini Enterprise Agent Platform“ den Eintrag „Google Vertex“. Der Konzern bleibt derselbe, nur die Gesellschaft im Vertrag Ihres Anbieters wechselt.
Der Feed landet im Feedreader, wo ohnehin täglich gelesen wird. Wer Mails vorzieht, hinterlegt eine Adresse, und in Wochen ohne Änderung bleibt das Postfach still. Jede Meldung verlinkt die Originalliste des Anbieters.
Maßgeblich bleibt diese Originalliste. Auf die Frage, ob der Monitor die eigene Dokumentation ersetzt, antwortet die Seite selbst mit Nein. Für Anbieter außerhalb der 17 bleibt der Feed stumm, um deren Listen kümmern Sie sich weiter selbst.
2. Bevor jemand die KI-Funktion einschaltet
Der Vertrieb möchte in Zoom den AI Companion nutzen, der Besprechungen zusammenfasst. Zoom ist längst freigegeben, deshalb sieht niemand einen Grund für eine neue Prüfung.
Auf der Monitor-Seite zu Zoom mit den Hinweisen zum AI Companion steht ein Grund. Für KI-Funktionen kommen laut Seite zusätzliche Unterauftragsverarbeiter hinzu, und sie greifen erst, wenn die Funktion im Konto aktiviert ist. Bei unserem Besuch führte Zoom 47 Einträge. Aufzeichnungen und Transkripte machen Zoom nach Einschätzung der Seite heikler als eine reine Telefonanlage. Bei Asana steht ein ähnlicher Hinweis. Der Anbieter führt seine KI-Dienstleister dort in einer eigenen Tabelle, und wer die KI-Funktionen im Arbeitsbereich abschaltet, ist von Änderungen darin nicht betroffen.
Die Namen hinter dem AI Companion führt die Monitor-Seite nicht auf, sie stehen in der Originalliste bei Zoom. Den Stand des Schalters zeigt nur das Zoom-Konto selbst.
3. Sobald ein unbekannter Name aus den USA auftaucht
In einer Meldung steht eine US-Gesellschaft, von der im Haus noch nie jemand gehört hat. Der Datenschutzbeauftragte will wissen, ob sich europäische Aufsichtsbehörden oder Gerichte schon mit ihr befasst haben.
Im GDPRhub sammelt noyb Entscheidungen zur DSGVO in Kurzfassung, und eine Suche dort zeigt, ob Behörden oder Gerichte schon über die Gesellschaft geurteilt haben.
Jeder Treffer gilt einer bestimmten Verarbeitung bei einem bestimmten Unternehmen. Auf Ihre eigene Lage müssen Sie den Fall deshalb selbst übertragen, und eine leere Trefferliste ist noch keine Entwarnung.
Was vor der nächsten Änderung geregelt sein muss
4. Während Website und Kundenportal gleichzeitig ausfallen
An einem Vormittag sind die Website und das Kundenportal zur selben Zeit nicht erreichbar. Die Agentur hat beide hinter denselben Dienst gehängt, der Seiten schneller ausliefert und Angriffe abfängt. Erst jetzt fällt im Haus der Name Cloudflare.
Auf der Live-Tafel von hagel IT mit dem Zustand von Cloudflare steht Cloudflare als einer von 14 Diensten, abgefragt ausschließlich über die offiziellen Quellen der Hersteller. Meldet Cloudflare eine Störung, wissen Sie, warum zwei Systeme auf einmal stehen. Der Subprozessor-Monitor kennt Cloudflare ebenfalls. Laut seiner Seite zum Anbieter sitzt Cloudflare als CDN, also als Auslieferungsnetz, und als Web Application Firewall vor sehr vielen Firmenwebsites, häufig von der Agentur eingerichtet, ohne dass jemand einen AVV geschlossen hat. Auf der Liste für die Dienste selbst stehen 28 Unterauftragsverarbeiter. Eine zweite Liste für Professional Services beobachtet der Monitor nicht.
Hetzner und IONOS lässt die Tafel weg, statt sie dauerhaft ohne Daten zu zeigen. Liegt Ihr Portal dort, bleibt die Statusseite des Hosters. Einen AVV mit Cloudflare finden Sie nur in den Unterlagen der Agentur, und fehlt er dort, ist er die erste Aufgabe nach der Störung.
5. Schon beim Kauf des Tarifs
Die Personalabteilung gestaltet Stellenanzeigen mit Fotos aus dem Team, im privaten Canva-Pro-Konto einer Kollegin. Dass Canva für seine KI-Funktionen neue Dienstleister aufnehmen kann, hat dabei niemand im Blick.
Die Prüfung der Canva-Tarife auf Vertrag und Drittland im DSGVO-Prüfstand von frag.hugo klärt zuerst eine Vorfrage. In Free und Pro gibt es keinen Vertrag zur Auftragsverarbeitung, Canva ist dort selbst Verantwortlicher. Ein Widerspruchsrecht gegenüber neuen Unterauftragsverarbeitern hängt an diesem Vertrag, und den gibt es bei Canva nur in Business und Enterprise. Der Vertragspartner sitzt außerhalb der EU, als Vertreter in der Union nach Art. 27 DSGVO ist das European Data Protection Office in Dublin benannt. Für die KI-Funktionen arbeiten laut Steckbrief mehrere US-Anbieter mit, darunter OpenAI und Anthropic. Als ersten Schritt rät die Seite, Pro-Konten in ein Team-Konto zu überführen oder zu untersagen. Außerdem sollen Sie die Freigabe-Links der Designs prüfen, denn ein Link mit Zugriff für jeden ist öffentlich erreichbar.
Täglich liest der Subprozessor-Monitor die Canva-Liste nicht, weil sie dafür nicht passend veröffentlicht ist. frag.hugo sieht sie bei jeder Nachprüfung von Hand an. Dazwischen bleibt die Benachrichtigung bei Canva selbst der einzige Weg.
6. Vor der Unterschrift unter den AVV
Ein kleiner Anbieter für Zeiterfassung aus der Cloud steht in keinem dieser Werkzeuge. Sein AVV liegt zur Unterschrift auf dem Tisch.
Die interaktive AVV-Prüfung in 15 Minuten von frag.hugo hat für diesen Fall den Block „Unterauftragnehmer“. Er fragt, ob eine aktuelle Liste vorliegt, ob ein Genehmigungsverfahren für neue Unterauftragsverarbeiter festgelegt ist und ob diese gleichwertige Datenschutzpflichten tragen. Fehlt das Verfahren, erfahren Sie von einem Wechsel bei diesem Anbieter nur durch Zufall.
Eine Mindestfrist für den Widerspruch nennt die Checkliste nicht. Bei bekannten Anbietern reicht die Spanne von zehn bis 60 Tagen, die Tabelle unten zeigt sie. Welche Frist Sie verlangen, legen Sie vor der Unterschrift fest.
Wenn Sie nicht mitgehen wollen
7. Vor dem ersten Widerspruch
Der Datenschutzbeauftragte hält einen neuen Unterauftragsverarbeiter für nicht tragbar. Der Anbieter antwortet, ein Widerspruch sei möglich, der Vertrag ende dann eben. Wer widerspricht, braucht also einen Plan für den Umzug, bevor er die Mail abschickt.
Zu diesem Plan gehören Kündigungsfrist, Exportweg und ein neuer Anbieter. Für die Kosten des Exports lohnt ein Blick in die Zeitleiste von frag.hugo, in der auch die Wechselpflichten für Cloud-Verträge stehen. Fällt das Vertragsende vor den 12. Januar 2027, darf der Anbieter für den Export noch etwas berechnen, danach nach Art. 29 des Data Act nicht mehr.
Kündigungsfrist und Laufzeit stehen allein in Ihrem Vertrag. Ohne diese beiden Angaben lässt sich aus dem Kalendereintrag kein Umzugstermin ableiten.
8. Bei der nächsten Vertragsverlängerung
Der Vertrag mit dem Cloud-Anbieter steht zur Verlängerung an. Diesmal soll die Regel für neue Unterauftragsverarbeiter vorher verhandelt werden.
„Die Cloud-Diensteanbietenden SOLLTEN alle Subunternehmen offenlegen, die sie für den Cloud-Dienst benötigen.“ So steht es in A9, einer der Anforderungen A4, A9 und A11 im Grundschutz-Baustein zur Cloud-Nutzung des BSI. Im selben Absatz verlangt das BSI, Kündigungsregelungen schriftlich zu fixieren. A4 gehört zu den Basis-Anforderungen, die vorrangig erfüllt werden müssen. Verantwortungsbereiche und Schnittstellen zwischen Ihnen und dem Anbieter sind danach zu dokumentieren. A9 und A11 sind Standard-Anforderungen. A11 verlangt für jeden Cloud-Dienst ein Notfallkonzept mit Zuständigkeiten, Kontaktpersonen und detaillierten Regelungen zur Datensicherung.
Die Datensicherung wird bei Microsoft 365 oft dem Anbieter zugetraut. In einem Beitrag darüber, warum Microsoft 365 kein Backup ersetzt, zitiert hagel IT aus dem Microsoft Services Agreement. Darin empfiehlt Microsoft seinen Kunden, die eigenen Daten regelmäßig zu sichern. Gelöschte Dateien hält der Papierkorb in OneDrive 30 Tage und in SharePoint 93 Tage.
Fristen und Musterklauseln stehen nicht im Baustein. Was dort SOLLTE heißt, muss im Vertrag eine Zahl und einen Ansprechpartner bekommen.
Wie viel Zeit Anbieter für einen Widerspruch lassen
| Anbieter | Ankündigung und Frist | Wo die Liste steht | Was der Monitor sieht |
|---|---|---|---|
| Canva | 30 Tage Vorlauf, Widerspruch binnen 10 Tagen | öffentlich, Stand 17.04.2026, nicht automatisch lesbar | nicht überwacht, Prüfstand sieht von Hand nach |
| Claude (Anthropic) | Widerspruch binnen 15 Tagen | öffentlich im Trust Center | nicht überwacht |
| DeepL | zwei Wochen vorab | im AVV, seit April 2026 mit AWS | nicht überwacht |
| Miro | auf Wunsch 10 Tage vorab, Einspruch binnen 30 Tagen | 12 Unterauftragsverarbeiter, Stand 08.07.2026 | nicht überwacht |
| Dropbox | 60 Tage für einen Einspruch | öffentlich, Stand 29.04.2026, mit Abo-Funktion | nicht überwacht |
| Zoom | keine Angabe in den Werkzeugen | öffentlich, 47 Einträge | jeden Namen einzeln |
| Asana | keine Angabe in den Werkzeugen | öffentlich, 34 Einträge, KI-Dienstleister in eigener Tabelle | jeden Namen einzeln |
Wo Sie anfangen, je nachdem, wo Ihr Anbieter steht
Nehmen Sie die drei Cloud-Dienste mit den meisten Kundendaten und folgen Sie für jeden dem passenden Zweig.
- Der Anbieter gehört zu den 17 im Monitor.
- Liest der Monitor die Namen einzeln aus, kommt der Feed dorthin, wo ohnehin jemand täglich liest. Umbenennungen wandern noch in derselben Woche in die AVV-Akte.
- Meldet er nur eine Textänderung, liest jemand mit Zugang zur Originalliste nach, am besten noch am selben Tag.
- Der Anbieter steht im Prüfstand, aber nicht im Monitor. Dann übernehmen Sie die Frist aus dem Steckbrief und abonnieren die Benachrichtigung beim Anbieter. Bei kurzen Fristen wie bei Canva geht sie an eine Adresse, die auch im Urlaub gelesen wird.
- Der Anbieter steht nirgends. Dann prüfen Sie im AVV den Block zu den Unterauftragsverarbeitern und lassen sich schriftlich geben, an welche Adresse Ankündigungen gehen.
- Sie denken schon über einen Wechsel nach. Dann klären Sie Kündigungsfrist und Exportkosten, legen eine eigene Datensicherung an und nehmen A9 in die Verhandlung mit dem nächsten Anbieter mit.
Für Datenschutzfragen, die mit Cloud-Verträgen nichts zu tun haben, sammelt frag.hugo seine übrigen Prüfhilfen jenseits von Cloud-Verträgen an einer Stelle.
