Har I ingen aftale med slutkunden, går slutkundens kontrol med jer som udgangspunkt gennem mellemleddet. Aftalekæden kan alligevel give slutkunden adgang til jer, og behandler I personoplysninger, bestemmer slutkundens instruks, hvad I må gøre med dem, uanset hvad I har aftalt med mellemleddet.
Artiklen er skrevet til jer, der leverer til en leverandør, som igen leverer til slutkunden. Den beskriver, hvad reglerne og standardaftalerne siger om jeres position. Det er ikke juridisk rådgivning.
Kæden ifølge databeskyttelsesreglerne
Behandler I personoplysninger for slutkunden via mellemleddet, er I underdatabehandler. Databeskyttelsesforordningens artikel 28, stk. 2, siger, at mellemleddet ikke må bruge jer uden slutkundens forudgående skriftlige godkendelse, enten specifik eller generel. Slutkunden har altså taget stilling til jer, også selv om I aldrig har talt sammen.
Efter artikel 28, stk. 4, pålægger mellemleddet jer de samme databeskyttelsesforpligtelser, som mellemleddet selv har over for slutkunden. En af dem står i stk. 3, litra h. Databehandleren medvirker til revision og inspektion, som udføres af den dataansvarlige selv eller af en revisor med den dataansvarliges bemyndigelse. Er jeres aftale med mellemleddet skrevet efter reglerne, indeholder den derfor en revisionsret, der rækker op til slutkunden. Det er en tolkning af samspillet mellem stk. 3 og stk. 4.
Ifølge Det Europæiske Databeskyttelsesråds udtalelse 22/2024 bør slutkunden kende navn, adresse og kontaktperson på hvert led i kæden, uanset risikoen. Gengivelsen er oversat fra engelsk. Regn derfor med, at slutkunden ved, hvem I er.
Hvordan kontrollen er tænkt at foregå
I Datatilsynets skabelon er det bilag C.8, der handler om jer. Mellemleddet skaffer dokumentation for jeres sikkerhed, enten som en rapport fra en uafhængig part eller ved selv at inspicere jer. Slutkunden får dokumentationen og kan anfægte, hvordan kontrollen er lagt an. Er slutkunden ikke tryg ved mellemleddets kontrol, kan slutkunden sætte et fysisk besøg hos jer i gang og selv deltage.
Modellen er altså, at mellemleddet kontrollerer jer, og at slutkunden kan komme med, når det ikke er nok. Hvad der gælder for jer, står i jeres egen aftale med mellemleddet. Læs den.
I statens driftskontrakt K04 forpligter punkt 10 hovedleverandøren til at formidle den direkte forbindelse til en underleverandør, når kunden ønsker det. Bruger slutkunden K04 over for mellemleddet, kan I derfor blive kontaktet direkte.
En afgørelse om en underdatabehandler, der henviste til sin aftale
Datatilsynet traf 7. februar 2022 afgørelse i en sag, hvor en tidligere underdatabehandler afviste at tilbagelevere en dataansvarligs kundedata. Underdatabehandleren henviste til, at den ikke havde en aftale med den dataansvarlige, og at aftalen med mellemleddet angav mellemleddet som dataansvarlig.
Datatilsynet udtalte, at det afgørende for, hvem der er dataansvarlig eller databehandler, er de faktiske omstændigheder og ikke, hvad to databehandlere har aftalt indbyrdes. To databehandlere kan ikke aftale sig ud af den instruks, den oprindelige dataansvarlige har givet. Ved at afvise blev underdatabehandleren selv dataansvarlig for den fortsatte opbevaring efter artikel 28, stk. 10. Datatilsynet udtalte alvorlig kritik, gav påbud om udlevering og forbød videre behandling uden instruks.
Sagen handler om tilbagelevering og ikke om audit. Den viser efter en tolkning, at en underleverandør ikke kan støtte sig på, at aftalen kun er med mellemleddet, når slutkundens instruks er klar. Den giver ikke slutkunden en direkte auditret over for jer. Den ret følger af aftalekæden.
Når slutkunden henvender sig
Svar høfligt, og orientér mellemleddet med det samme. Det er mellemleddet, der har aftalen med slutkunden, og det er mellemleddet, der står til ansvar for jer.
Find jeres aftale med mellemleddet frem, og se efter tre ting. Har den en revisionsret, og omfatter den mellemleddets kunder? Har den regler for varsel, fortrolighed og adgang? Har den en bestemmelse om direkte kontakt?
Foreslå en form, der passer alle tre parter. Jeres erklæring eller certifikat, sendt via mellemleddet, kan besvare meget. Ønsker slutkunden alligevel at deltage i en inspektion, så aftal den med mellemleddet som deltager, så alle tre kender omfanget.
Beskyt jeres andre kunder. Slutkunden må se det, der vedrører slutkundens data, og ikke mere. Se hvad må kunden se?.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at jeres aftaler med mellemled har en revisionsret, der er skrevet med slutkunderne for øje, og at I ved, hvilke slutkunder jeres ydelse indgår hos.
Afviser I en slutkunde med henvisning til, at I ikke har en aftale, risikerer I, at mellemleddet ikke kan opfylde sin aftale, og at I selv står i en sag, hvor de faktiske forhold vejer tungere end aftaleteksten.
Det skal I lade være med
- At afvise slutkunden med henvisning til, at aftalen er med mellemleddet · aftalekæden kan give slutkunden adgang.
- At aftale noget direkte med slutkunden uden om mellemleddet · mellemleddet står til ansvar for jer.
- At følge en instruks fra mellemleddet, der strider mod slutkundens · to databehandlere kan ikke aftale sig ud af den.
Det skal auditten kunne vise
- ☐ Aftalen med mellemleddet med revisionsret, der omfatter slutkunderne.
- ☐ Slutkundens godkendelse af jer, som mellemleddet har indhentet.
- ☐ Den dokumentation, I har sendt til mellemleddet om jeres egen sikkerhed.
- ☐ Korrespondance med mellemleddet om slutkundens henvendelse.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 2, 3, 4 og 10, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.8, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 10, læst 12. november 2026.
- Det Europæiske Databeskyttelsesråd, Opinion 22/2024, 7. oktober 2024, Executive summary, læst 12. november 2026.
- Datatilsynet, afgørelse af 7. februar 2022, j.nr. 2022-431-0167, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find aftalerne med jeres mellemled frem, og se, om revisionsretten omfatter deres kunder.
Læs også: Revisionsret over for underleverandører · Underleverandøren, kunden aldrig godkendte
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
