Hvor finder jeg mine leverandørers underdatabehandlere?

De fleste seriøse SaaS-leverandører offentliggør en liste over underdatabehandlere på deres hjemmeside, ofte under "subprocessors" eller som bilag til databehandleraftalen. Kan du ikke finde listen, så bed leverandøren om den. Er svaret undvigende, er det i sig selv et rødt flag.

Skal jeg godkende hver enkelt underdatabehandler?

Sjældent enkeltvis. De fleste databehandleraftaler bruger en generel godkendelse, hvor leverandøren må bruge underdatabehandlere fra sin offentliggjorte liste og skal varsle ændringer med en frist, så du kan gøre indsigelse. Din reelle opgave er at reagere på varslerne, ikke at godkende alt på forhånd.

Hvem har ansvaret, hvis en underdatabehandler laver et databrud?

Over for dig hæfter din direkte databehandler for sine underdatabehandlere, og over for de registrerede har du som dataansvarlig stadig det overordnede ansvar. Derfor er det relevant at vide, om dine kritiske leverandører bruger underdatabehandlere med ordentlige sikkerhedsniveauer.

Hvad skal jeg være særligt opmærksom på ved underdatabehandlere uden for EU?

Behandling uden for EU/EØS er en tredjelandsoverførsel og kræver et gyldigt overførselsgrundlag, typisk EU's standardkontraktbestemmelser eller en tilstrækkelighedsafgørelse. Mange amerikanske cloudtjenester indgår i kæden, så tjek at din leverandørs dokumentation adresserer det eksplicit.

Fagterm

Underdatabehandler

En underdatabehandler er en leverandør, som din databehandler selv bruger til at behandle dine personoplysninger, f.eks.…

Hvad er underdatabehandler?

En underdatabehandler er en leverandør, som din databehandler selv bruger til at behandle dine personoplysninger, f.eks. det cloudhostingfirma dit CRM-system kører hos. GDPR kræver, at databehandleren kun bruger underdatabehandlere med din godkendelse, og at de er underlagt de samme forpligtelser som databehandleren selv.

Underdatabehandlere er der, hvor dataansvaret bliver uoverskueligt for de fleste SMV'er. Du har måske fem direkte databehandlere, men bag dem kan der ligge 30-50 underdatabehandlere: hostingcentre, e-mailudbydere, supportværktøjer og analysetjenester. Hver af dem behandler i princippet dine kunders og medarbejderes oplysninger.

I praksis håndteres godkendelsen via databehandleraftalens bestemmelse om generel godkendelse: databehandleren må bruge underdatabehandlere fra en offentliggjort liste og skal varsle ændringer, så du kan gøre indsigelse. Din opgave er derfor ikke at godkende hver enkelt, men at vide, hvor listerne findes, og reagere når kritiske ændringer varsles, f.eks. et skifte til en leverandør uden for EU.

Ved en due diligence eller en henvendelse fra Datatilsynet er spørgsmålet konkret: Ved du, hvem der behandler jeres persondata, også i andet og tredje led? Med databehandlerne registreret som aktiver i Ejerblik, med link til deres underdatabehandlerlister, kan du svare uden at skulle grave.

I praksis

For ejerledere er kendskabet til underdatabehandler særligt relevant i forbindelse med digital due diligence. En klar dokumentation af alle aktiver inden for denne kategori giver en mere troværdig og komplet virksomhedsprofil og reducerer risikoen for uklarheder under et salg eller ejerskifte.

Ofte stillede spørgsmål

Relaterede opslag

FagtermDatabehandlerEn virksomhed der behandler personoplysninger på vegne af en anden virksomhed (den dataansvarlige). Eksempler: din e-mailmarketingplatform, dit CRM-system, din cloud-backup-løsning. Der kræves en databehandleraftale (DPA) med alle databehandlere.FagtermDatabehandleraftale (DPA)En juridisk bindende aftale mellem den dataansvarlige (virksomheden) og en databehandler (typisk en software-leverandør) der regulerer, hvad databehandleren må gøre med virksomhedens personoplysninger. Databehandleraftaler er et krav under GDPR og bør registreres for alle systemer der behandler personoplysninger.FagtermTredjelandsoverførsel (og SCC)En tredjelandsoverførsel er enhver overførsel af personoplysninger til lande uden for EU/EØS, f.eks. når en amerikansk cloudtjeneste behandler dine kundedata. Overførslen kræver et gyldigt grundlag: enten en tilstrækkelighedsafgørelse fra EU-Kommissionen eller passende garantier som EU's standardkontraktbestemmelser (SCC).FagtermLeverandørrisikoRisikoen forbundet med at et kritisk aktiv ejes eller administreres af en ekstern leverandør. Eksempler: IT-leverandøren der ejer domæner, bureauet der har admin-adgang til annoncekontoen. I Ejerblik bruges risikovurdering til at synliggøre og håndtere leverandørafhængigheder.FagtermGDPR (Databeskyttelsesforordningen)EU's databeskyttelsesforordning der regulerer indsamling og behandling af personoplysninger. Alle virksomheder der behandler personoplysninger om EU-borgere er underlagt GDPR. Digitale aktiver som CRM-systemer, e-mailplatforme og hjemmesider er centrale for GDPR-compliance.FagtermDigital suverænitetEvnen til selv at bestemme over virksomhedens digitale grundlag: hvilke systemer du bruger, hvor dine data ligger, hvem der kan tilgå dem, og om du reelt kan skifte leverandør, hvis du vil. Digital suverænitet er i praksis mindre et juridisk spørgsmål end et spørgsmål om at vide, hvad du har. Kender du ikke dine systemer og de leverandører, der ligger bag dem, forhandler du på modpartens betingelser.

← Tilbage til leksikon

Klar til at kortlægge din virksomheds digitale aktiver?

Ejerblik guider dig trin for trin med 205+ foruddefinerede aktivtyper og AI-funktionen Kontoscanner.

Få gratis adgang

Ingen binding · Data i EU · Dansk support