Een subverwerker is een derde partij die door een verwerker wordt ingeschakeld om persoonsgegevens te verwerken namens de verwerkingsverantwoordelijke. Een voorbeeld van een subverwerker is een serveraanbieder: de verwerkingsverantwoordelijke schakelt een verwerker in die een leverancier gebruikt om servers aan te bieden.
De verwerker mag niet zonder jouw uitdrukkelijke schriftelijke toestemming, subverwerkers inschakelen. Wanneer je toestemming hebt gegeven, zal de verwerker een subverwerkingsovereenkomst opstellen en overeenkomen met dezelfde voorwaarden en waarborgen als in de verwerkersovereenkomst.
Om het gemakkelijker te maken voor beide partijen, kan je ook de voorwaarden voor het inschakelen van een subverwerker al opnemen in je verwerkersovereenkomst. Zo hoeft de verwerker niet keer op keer om je toestemming te vragen maar heb je wel de garantie dat de subverwerkers aan je voorwaarden voldoen. Bij zo een afspraak heb je wel het recht van bezwaar: je kan bezwaar maken tegen de ingeschakelde subverwerker.