En underdatabehandler er en leverandør, som jeres databehandler selv bruger til at behandle jeres oplysninger. Det må kun ske med jeres godkendelse, enten specifikt for hver enkelt eller generelt med varsel og mulighed for indsigelse (art. 28, stk. 2). Listen over dem er derfor et styringsværktøj. Alligevel kan den ende på en webside, som ingen hos kunden har åbnet, og varslerne kan havne i en postkasse, ingen følger med i. Ansvaret bliver hos jer hele vejen ned gennem kæden, så nogen skal eje listen.
Specifik eller generel godkendelse
Specifik godkendelse betyder, at I siger ja til hver enkelt underdatabehandler. Får leverandøren ikke svar inden for fristen, skal det efter EDPB’s udtalelse 22/2024 forstås som et nej (punkt 26). Modellen giver størst kontrol og kræver mest af begge parter.
Generel godkendelse betyder, at leverandøren må tilføje eller skifte underdatabehandlere, når den varsler det, og I kan gøre indsigelse. Standardprodukter bruger næsten altid den model. Art. 28, stk. 2, kræver, at I reelt får muligheden for at sige fra, og EDPB siger, at varslingen skal ske aktivt fra leverandørens side (punkt 27). Den ansvarlige for listen skal altså have en besked at handle på.
I Datatilsynets skabelon vælges modellen i bestemmelse 7, mens listen står i bilag B.
Hvad listen skal indeholde
EDPB svarede i oktober 2024 på et spørgsmål fra det danske tilsyn. Svaret er, at kunden til enhver tid bør kunne finde frem til hvert led, også længere nede end det første. Identitet betyder her navn, adresse og kontaktperson sammen med en beskrivelse af behandlingen og en tydelig opdeling, når der er flere (punkt 22).
Datatilsynet fulgte op 23. januar 2026 i et svar, vi læste 5. november 2026. Uden kendskab til kæden kan kunden ifølge tilsynet ikke føre kontrol med den. Oversigten er en del af retsgrundlaget, og den må stå i et tillæg, så længe den er korrekt, kan findes og vedligeholdes.
Tilsynet advarer samtidig mod lister, der flyder, altså ændres, uden at kunden bliver spurgt. Det vil normalt stride mod art. 28, stk. 2. En webside, der skifter indhold uden varsel, er altså ingen proces. EDPB har sagt noget tilsvarende om ændringer i standardvilkår (retningslinjer 07/2020, punkt 110).
Sekretariatet bag forespørgslen spurgte også, om der skal gives besked ved ændringer længere nede i kæden. Svaret går ikke ind på det punkt med et direkte ja eller nej, så det er et spørgsmål, I bør afklare i aftalen med leverandøren.
Pligten til at kontrollere
Art. 28, stk. 1, siger, at I kun må bruge databehandlere med de fornødne garantier. Datatilsynets cloudvejledning skriver, at pligten ikke stopper ved den første databehandler. I praksis har leverandøren ofte screenet sine underdatabehandlere, men resultatet skal være tilgængeligt for jer eller kunne udleveres.
EDPB’s udtalelse tager den praktiske brod af det. Pligten til at kontrollere gælder hele kæden, men omfanget følger risikoen. Ved høj risiko øges kontrollen. Valget af underdatabehandler kan være leverandørens opgave at forberede, men det er jer, der står inde for det.
Tilsynsvejledningen fra oktober 2021 lægger arbejdet samme sted. Databehandleren fører tilsyn med underdatabehandleren, og I sikrer jer, at det sker, fx ved at bede om dokumentation for gennemførte tilsyn. Underdatabehandleren ligger ikke nødvendigvis samme sted på pointskalaen, for dens del af behandlingen kan være mindre. Metoden står i tilsyn med databehandlere.
Leverandøren skal pålægge underdatabehandleren de samme pligter (art. 28, stk. 4), og den forbliver fuldt ansvarlig over for jer. Skabelonen giver jer ret til at få en kopi af underdatabehandleraftalen, når I beder om det, og den har en valgfri bestemmelse om, at I kan træde ind som begunstiget tredjemand, hvis leverandøren går konkurs.
Det gør I, når listen ændrer sig
Et varsel er en lille beslutning, der skal have en fast gang. Følgende arbejdsgang er vores forslag.
- Modtag. Varsler skal lande i en fælles postkasse eller et sagsværktøj, og ikke hos en navngiven person, der kan stoppe. Tilmeld jer leverandørens besked, hvis den findes.
- Vurder. Hvad skal den nye gøre? Hvilke oplysninger ser den? I hvilket land sker det, og hvorfra kan den komme til data? Cloudvejledningen beder netop om lande og adgang.
- Tjek overførsel. Er det uden for EU og EØS, skal overførselsgrundlaget på plads, se support fra tredjeland.
- Beslut. Accepter, gør indsigelse, eller slå funktionen fra, hvis det kan lade sig gøre. Ledelsen eller systemejeren tager beslutningen.
- Opdater. Ret jeres fortegnelse og eventuelt oplysningsteksten. EDPB minder om, at databehandlere er modtagere af oplysninger, og at det påvirker art. 13, 14, 15 og 30.
- Gem. Gem varslet, vurderingen og beslutningen sammen.
Sæt en frist, der er kortere end leverandørens indsigelsesfrist, så der er tid til en reel stillingtagen. Hvad sker der, hvis I gør indsigelse? En standardaftale kan i praksis give valget mellem at acceptere og at stoppe. Det skal I vide, inden I står med varslet. Se leverandørens standardaftale.
Med IT-øjne
Listen fortæller, hvem der må behandle, og sjældent, hvad de faktisk gør. Spørg derfor til det, en liste ikke viser. Har supportleverandøren adgang til produktionsdata, eller kun til logs? Sender tjenesten data til et analyse- eller overvågningsværktøj? Bruges en AI-leverandør bag en ny funktion? Sidste punkt er særlig vigtigt, for nye funktioner kan bringe nye modtagere ind, uden at det ligner et skift af leverandør. Nye funktioner kan have egne regler for varsel, så læs også det afsnit i aftalen.
Det skal I lade være med
- At lade varsler gå til en personlig postkasse · ejeren skifter, og beskeden forsvinder.
- At nøjes med første led · I skal have identiteten på alle i kæden.
- At lade en webside stå i stedet for en proces · en flydende liste uden inddragelse er normalt ikke nok.
Det skal I kræve af den eksterne
- ☐ Kontrol af, at I har overblik over hele kæden hos de vigtigste leverandører.
- ☐ En enkel arbejdsgang for varsler med ejer og frist.
- ☐ Stikprøver på, at varsler er vurderet, og at beslutningen er gemt.
- ☐ Rådgivning om nye modtagere bag nye funktioner.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 28, stk. 1, 2 og 4.
- EDPB: Udtalelse 22/2024: sammenfatningen og punkt 21 til 30.
- Datatilsynet: Vilkår i databehandleraftalen om overførsler af personoplysninger til tredjelande, 23. januar 2026: liste og flydende lister.
- Datatilsynet: Vejledning om cloud, marts 2022: afsnit om underdatabehandlere.
- Datatilsynet: Vejledning om tilsyn med databehandlere, oktober 2021: afsnit 6.
- EDPB: Retningslinjer 07/2020, version 2.1: punkt 110.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Datatilsynets skabelon til databehandleraftale · Overførsel til tredjelande
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
