Styrelsen for It og Læring har generel godkendelse til at anvende underdatabehandlere til udførelse af de i § 3, stk. 1 nævnte opgaver eller dele heraf. Det er dog en forudsætning, at styrelsen har pålagt underdatabehandleren tilstrækkelige databeskyttelsesforpligtelser gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret.
Stk. 2 Styrelsen for It og Læring fører tilsyn med underdatabehandlerens overholdelse af sine databeskyttelsesforpligtelser som fastsat i kontrakten eller det andet retligt bindende dokument i henhold til EU-retten eller medlemsstaternes nationale ret som nævnt i stk. 1. Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser over for styrelsen, er den dataansvarlige kommunalbestyrelse ikke ansvarlig herfor.
Stk. 3 Styrelsen for It og Læring underretter den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af styrelsens underdatabehandlere og giver derved den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.