Een subverwerker is een derde partij die door een verwerker wordt ingeschakeld om specifieke verwerkingsactiviteiten uit te voeren namens de verwerkingsverantwoordelijke. Onder de AVG mogen verwerkers alleen subverwerkers inschakelen met voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Bij algemene toestemming moet de verwerker de verwerkingsverantwoordelijke informeren over voorgenomen wijzigingen, zodat deze de mogelijkheid heeft om bezwaar te maken.
Het beheren van subverwerkers is een cruciaal aspect van risicobeheer met derden. Organisaties moeten waarborgen dat subverwerkerovereenkomsten dezelfde gegevensbeschermingsverplichtingen bevatten als de primaire verwerkingsovereenkomst. Het bijhouden van een actueel register van alle subverwerkers, inclusief hun locaties en verwerkingsactiviteiten, is essentieel voor transparantie en voor het beantwoorden van vragen van betrokkenen of verzoeken van de toezichthouder.