Am 9. Oktober 2024 verabschiedete der EDSA (Europäischer Datenschutzausschutz) eine Stellungnahme zu Auftragsverarbeitungsverhältnissen und sich daraus ergebenden bestimmten Verpflichtungen der Beteiligten, insbesondere bei Vorliegen auch von Unterauftragsverhältnissen. Im Kern laufen die Feststellungen des EDSA darauf hinaus, dass das das durch den Verantwortlichen nach der DSGVO einzuhaltende Schutzniveau nicht durch (Ketten-) auslagerungen absinken darf. So sollte er auch die Identität der Unterauftragnehmer stets kennen, um die Einhaltung der DSGVO kontrollieren zu können. Die Auftraggeber wiederum sind gehalten dafür zu sorgen, dass bei dem Unterauftragnehmer ausreichende Garantien vorliegen. Das gilt insbesondere bei Unterbeauftragung in ein Drittlland.