Art. 28 Abs. 2 Satz 2 DSGVO gibt dem Verantwortlichen ein Einspruchsrecht gegen jeden neuen Unterauftragsverarbeiter. Die Kommission hat in ihrem eigenen Mustertext ausbuchstabiert, was das kostet: Nach Klausel 7.7 Option 2 des Beschlusses (EU) 2021/915 muss der Auftragsverarbeiter jede beabsichtigte Änderung der vereinbarten Liste «mindestens [ZEITRAUM ANGEBEN] im Voraus ausdrücklich in schriftlicher Form» anzeigen. Ein Assistent, der sein Werkzeug während der Inferenz auswählt, hat keinen Vorlauf. Damit ist für diesen Vorgang der Weg über die allgemeine Genehmigung verschlossen, und in den Vertrag gehört ein geschlossenes Werkzeugregister: Regelungsgegenstand ist nicht das Modell, sondern der Auswahlraum des Agenten.

Was die Klausel verlangt

Art. 28 Abs. 2 Satz 1 DSGVO kennt zwei Wege: die vorherige gesonderte Genehmigung je Unterauftragsverarbeiter oder eine allgemeine schriftliche Genehmigung für eine im Vertrag vereinbarte Liste. Der Europäische Datenschutzausschuss hat beide in den Leitlinien 07/2020 durchgezeichnet. Die genehmigte Liste gehört in den Vertrag oder einen Anhang (Rn. 154). Bei gesonderter Genehmigung gilt Schweigen des Verantwortlichen als Ablehnung (Rn. 155), bei allgemeiner als Zustimmung (Rn. 157); der Unterschied zwischen den Wegen liegt allein in der Bedeutung dieses Schweigens. Die Einspruchsfrist muss angemessen sein, gemessen an Art und Komplexität der Verarbeitung (Rn. 158). Für einen Anbieter, der hunderte Werkzeuge im Katalog führt, ist die gesonderte Genehmigung praktisch ausgeschlossen — jede neue Integration würde eine neue Vertragsverhandlung auslösen. Es bleibt nur der zweite Weg, und der verlangt eine Liste, die zum Zeitpunkt der Genehmigung bereits feststeht.

Fussnote 54 derselben Leitlinien schliesst die Tür, die sich der Markt offengehalten hat. Es genügt nicht, dem Verantwortlichen «a generalized access to a list of the sub-processors which might be updated from time to time» einzuräumen; der Auftragsverarbeiter muss jede Änderung aktiv anzeigen. Die selbstaktualisierende Unterauftragsverarbeiter-Seite, auf die praktisch jeder Cloud- und KI-Vertrag verlinkt, erfüllt Art. 28 Abs. 2 Satz 2 DSGVO nach dieser Lesart schon beim statischen Dienst nicht.

Der Empfängerkreis ist ein wesentliches Mittel

Rn. 40 der Leitlinien 07/2020 trennt wesentliche von nicht wesentlichen Mitteln. Zu den wesentlichen, dem Verantwortlichen vorbehaltenen, zählt der Ausschuss ausdrücklich «the categories of recipients (“who shall have access to them?”)». Über den Empfängerkreis entscheiden nicht die Modellgewichte, sondern das Werkzeugregister. Wer den Auswahlraum konfiguriert, bestimmt ein wesentliches Mittel; wer ihn offen lässt, überlässt diese Bestimmung dem Auftragsverarbeiter.

Ein Beispiel macht die Mechanik konkret. Ein Support-Agent mit Zugriff auf vierzig verbundene Werkzeugserver wählt bei einer Kundenanfrage selbständig einen neuen Übersetzungsdienst, weil dessen Beschreibung am besten zur Aufgabe passt. Der Betreiber dieses Dienstes stand nicht auf der Liste, die der Verantwortliche genehmigt hat, und es gab keine Gelegenheit zum Einspruch, weil die Auswahl erst zur Laufzeit feststand. Genau diesen Fall adressiert Art. 28 Abs. 10 DSGVO: Wer unter Verstoss gegen die Verordnung Zwecke und Mittel der Verarbeitung eigenmächtig bestimmt, «gilt in Bezug auf diese Verarbeitung als Verantwortlicher» — mit eigener Rechenschaftspflicht, die der ursprüngliche Vertrag nicht vorgesehen hat.

Der Bussgeldrahmen liegt dabei anders, als das Marktgespräch nahelegt. Verstösse gegen Art. 28 fallen nach Art. 83 Abs. 4 Bst. a DSGVO in den kleineren Rahmen von 10 Mio. EUR oder 2 Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs. Der doppelte Satz nach Art. 83 Abs. 5 Bst. a greift erst, wenn für die Offenlegung an das gewählte Werkzeug kein Rechtfertigungsgrund nach Art. 6 DSGVO mehr trägt.

Was in den Anhang gehört

Ein Anbieter, der Art. 28 Abs. 2 DSGVO ernst nimmt, schreibt die Klausel nicht ab — er baut sie um. Der Anhang zur Auftragsverarbeitung listet nicht Kategorien wie «Übersetzungsdienste» oder «Suchwerkzeuge», sondern einzelne Betreiber mit Name, Sitz und Zweck, wie es Rn. 31 der Stellungnahme 22/2024 für die gesamte Unterauftragsverarbeiter-Kette ohnehin verlangt. Jede Erweiterung dieser Liste löst die Frist nach Klausel 7.7 Option 2 aus, nicht eine stille Aktualisierung der Weboberfläche. Der technische Freigaberaum des Agenten — die Menge der Werkzeuge, die er zur Laufzeit überhaupt aufrufen darf — wird softwareseitig auf genau diese Liste begrenzt, deny-by-default statt allow-by-default. Der Unterschied zu einer üblichen Subprocessor-Seite ist keine Formsache: Er entscheidet, ob der Anbieter die Kontrolle über den Empfängerkreis behält oder sie an das Modell delegiert.

Das Protokoll kennt die Meldung, nicht den Adressaten

Die MCP-Spezifikation beschreibt Werkzeuge ausdrücklich als «model-controlled»: Das Sprachmodell entdeckt und ruft sie selbständig auf. Für den Fall, dass sich die Werkzeugliste ändert, kennt das Protokoll sogar eine eigene Meldung, notifications/tools/list_changed. Sie geht an den Client. Art. 28 Abs. 2 Satz 2 DSGVO verlangt, dass sie an den Verantwortlichen geht, mit Frist. Die am 28. Juli 2026 veröffentlichte finale Fassung der Spezifikation macht die Bewegung noch sichtbarer: tools/list-Antworten tragen neu ttlMs und cacheScope, modelliert nach dem HTTP-Cache-Control-Header, damit Clients wissen, «how long a tools/list response is fresh» — und ein dauerhafter SSE-Stream nicht mehr der einzige Weg ist, eine Listenänderung überhaupt zu erfahren. Das Protokoll ist auf laufende, unvorhersehbare Änderungen der Werkzeugliste ausgelegt. Art. 28 Abs. 2 DSGVO ist auf eine zum Vertragsschluss fixierte Liste ausgelegt. Beide Architekturen sind in sich konsistent; nur passen sie nicht zusammen.

Eine grosszügig formulierte allgemeine Genehmigung repariert das nicht, weil die Kette an anderer Stelle reisst. Art. 28 Abs. 4 DSGVO verlangt, dass dem weiteren Auftragsverarbeiter «im Wege eines Vertrags oder einer anderen Rechtshandlung» dieselben Datenschutzpflichten auferlegt werden; Rn. 160 der Leitlinien sagt es ohne Umschweife: «The whole chain of processing activities needs to be regulated by written agreements.» Ein Endpunkt, den der Agent mit einem OAuth-Token erreicht, hat Nutzungsbedingungen. Einen Vertrag nach Art. 28 Abs. 4 hat er nicht. Nach dem letzten Satz derselben Bestimmung haftet zudem der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Pflichtverletzung des weiteren — eine Haftung, die kein Anbieter für einen Endpunkt übernimmt, den nicht er ausgesucht hat.

Was die Auskunft kostet

Der EuGH hat am 12. Januar 2023 in der Rechtssache C-154/21 (RW gegen Österreichische Post AG) entschieden, dass der Verantwortliche die Identität der Empfänger mitteilen muss. Auf Kategorien darf er sich nur zurückziehen, wenn «es nicht möglich ist, die Empfänger zu identifizieren», oder wenn das Begehren offenkundig unbegründet oder exzessiv im Sinn von Art. 12 Abs. 5 DSGVO ist. Diese Unmöglichkeit ist keine Eigenschaft der Technik, sondern eine Folge der Konfiguration. Der Ausschuss hat die Verbindung in Rn. 31 seiner Stellungnahme 22/2024 bereits gezogen: Die Identität aller Auftrags- und Unterauftragsverarbeiter muss dem Verantwortlichen «readily available at all times» sein, auch damit er Auskunftsbegehren nach Art. 15 DSGVO ohne unangemessene Verzögerung beantworten kann.

Die Aufgabe für nächste Woche liegt deshalb nicht beim Vertrag. Jeder Werkzeugaufruf wird mit Werkzeugkennung, Betreiber und Bezug zur betroffenen Person protokolliert, und die Aufbewahrungsdauer dieses Protokolls wird an die Frist des Art. 12 Abs. 3 DSGVO gekoppelt: ein Monat, um höchstens zwei Monate verlängerbar. Der Vertragsanhang folgt danach, mit Name, Adresse und Kontaktstelle je Betreiber (Rn. 31), und die technische Freigabeliste wird deny-by-default gesetzt und mit dem Anhang deckungsgleich gehalten. Wer diese drei Schritte in der falschen Reihenfolge angeht — erst der Vertragsanhang, dann die Protokollierung — merkt spätestens beim ersten Auskunftsbegehren, dass er die Empfänger zwar vertraglich zugesagt, aber technisch nicht rekonstruieren kann, welcher davon welche Anfrage tatsächlich verarbeitet hat.

Die Schweizer Ebene

Art. 9 Abs. 3 DSG erlaubt die Weiterübertragung nur mit vorgängiger Genehmigung des Verantwortlichen; der EDÖB lässt dafür auch eine allgemeine Genehmigung genügen, verbunden mit Informationspflicht und Einspruchsmöglichkeit. Der härtere Riegel steht zwei Absätze weiter oben. Art. 9 Abs. 1 Bst. b DSG lässt die Auftragsbearbeitung nur zu, wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet — für eine Bank unter Art. 47 BankG oder eine Kanzlei unter Art. 321 StGB keine Abwägung, sondern eine Zulässigkeitsvoraussetzung. Ein offener Werkzeugraum macht diese Prüfung unmöglich: Wer nicht weiss, wohin die Daten gehen, kann nicht feststellen, ob eine Geheimhaltungspflicht der Übertragung entgegensteht. Die Prüfung selbst lässt sich nicht nachholen — sie muss vor der Übertragung stehen, nicht danach, weil eine bereits erfolgte Verletzung von Art. 47 BankG oder Art. 321 StGB durch eine nachträgliche Vertragskorrektur nicht mehr geheilt wird.

Was feststeht, was offen ist

Fest steht, dass Art. 28 Abs. 2 und Abs. 4 DSGVO eine benannte Liste und eine durchgehend verschriftlichte Kette verlangen, und dass Rn. 154 bis 160 der Leitlinien 07/2020 sowie Rn. 27 der Stellungnahme 22/2024 beschreiben, wie beides aussieht: Freigabe vor der Aufnahme, nicht Mitteilung danach. Offen ist, ob eine Aufsichtsbehörde eine technisch konfigurierbare Freigabeliste als «vereinbarte Liste» im Sinn der Klausel 7.7 Option 2 gelten lässt und ob sie die Werkzeugwahl zur Laufzeit als Bestimmung eines wesentlichen Mittels nach Art. 28 Abs. 10 DSGVO liest. Die erste Frage kommt früher zur Antwort, als die Vertragsvorlagen vermuten lassen. Die am 19. März 2026 gestartete koordinierte Prüfaktion des Ausschusses, an der 25 Aufsichtsbehörden teilnehmen, betrifft die Transparenz- und Informationspflichten nach Art. 12, 13 und 14 DSGVO und damit die Empfängerangabe nach Art. 13 Abs. 1 Bst. e. Die Behörden tragen ihre Befunde im zweiten Halbjahr 2026 zusammen; der konsolidierte Bericht geht anschliessend an den Ausschuss zur Verabschiedung. Wer bis dahin «Kategorien von Empfängern» als Antwort führt, sollte wissen, dass genau diese Antwort derzeit in 25 Ländern geprüft wird.