Een subverwerker is diegene die namens de bewerker (een deel) van de persoonsgegevens verwerkt. Met andere woorden, als de bewerker (ook wel: verwerker) gebruik maakt van een derde om (een deel van de) persoonsgegevens te verwerken, wordt gesproken van een sub-bewerker (ook wel: sub-verwerker).
Als de verantwoordelijke gebruik maakt van een bewerker, en die bewerker wenst vervolgens gebruik te maken van een sub-bewerker, dient de verantwoordelijke daarvoor wel toestemming te hebben gegeven. Als de verantwoordelijke hiermee instemt, dient de bewerker met de sub-bewerker een overeenkomst te sluiten waarin de sub-bewerker aangeeft de instructies van de verantwoordelijke te zullen opvolgen. Ook heeft de sub-bewerker een geheimhoudingsplicht, en dient hij adequate beveiligingsmaatregelen te treffen ten aanzien van de verwerking van persoonsgegevens. Kort komt het erop neer dat de sub-bewerker dezelfde afspraken in acht neemt als de bewerker met de verantwoordelijke is overeengekomen.
Ten aanzien van de aansprakelijkheid van de sub-bewerker: als de sub-bewerker zijn verplichtingen niet nakomt, is hij ten aanzien van de bewerker volledig aansprakelijk. De bewerker kan dus zijn aansprakelijkheid niet afwenden op de sub-bewerker.