En anden databehandler som databehandleren bruger. Det kræver forudgående godkendelse fra den dataansvarlige — specifik eller generel — og underdatabehandleren skal pålægges de samme forpligtelser.
En underleverandør uden adgang til data. Det er adgangen til personoplysningerne der afgør det — ikke hvor i kæden virksomheden sidder. Bemærk at den oprindelige databehandler forbliver fuldt ansvarlig, jf. stk. 4.