En databehandleraftale er den skriftlige kontrakt, der skal indgås mellem en dataansvarlig og en databehandler, når en databehandler behandler personoplysninger på en dataansvarligs vegne. Kravet følger direkte af artikel 28, stk. 3, i databeskyttelsesforordningen (GDPR), og det gælder uden bagatelgrænse: det afgørende er, om leverandøren behandler personoplysninger på dine vegne, ikke blot om den kan komme i berøring med dem. En hostingtjeneste kan være databehandler; en revisor, som opfylder egne lovpligter, kan være selvstændig dataansvarlig. Fravær af aftalen — eller en mangelfuld aftale — er et selvstændigt brud, som kan sanktioneres uafhængigt af, om der er sket et sikkerhedsbrud.
Denne guide gennemgår, hvornår du skal indgå en aftale, de oplysninger og forpligtelser aftalen som minimum skal omfatte, hvordan ansvaret for underdatabehandlere fordeles, og de fejl Datatilsynet oftest finder. Vil du gå direkte til en færdig kontrakt, så se vores skabelon til databehandleraftale.
Hvornår er en databehandleraftale obligatorisk?
En databehandleraftale er obligatorisk, når tre betingelser er opfyldt: der behandles personoplysninger, behandlingen sker på vegne af en anden, og de to parter er henholdsvis dataansvarlig og databehandler. Den dataansvarlige bestemmer formål og midler; databehandleren behandler kun efter dokumenteret instruks.
Leverandører, der ofte kan være databehandlere for en konkret ydelse, er:
- hostingudbydere og cloud-leverandører,
- SaaS-værktøjer (CRM, HR-systemer, supportværktøjer, e-mailplatforme),
- løn- og bogføringsleverandører, når de udfører behandlingen efter kundens instruks,
- marketing- og analysebureauer.
Afgørende er rollefordelingen. Bestemmer leverandøren selv formålene med behandlingen, er vedkommende ikke databehandler, men selvstændig dataansvarlig eller fælles dataansvarlig (art. 26) — og så gælder en anden kontraktmodel. Kvalificér derfor altid rollerne først. Databehandleraftalen bør fremgå af din fortegnelse over behandlingsaktiviteter, så du har overblik over, hvilke leverandører der mangler en aftale.
Hvad artikel 28, stk. 3, kræver af aftalen
Artikel 28, stk. 3, kræver først en beskrivelse af behandlingen og dernæst bindende forpligtelser. Følgende grupper er en praktisk læseorden, ikke otte selvstændige lovpunkter:
- Genstand, varighed, karakter og formål med behandlingen samt typen af personoplysninger og kategorierne af registrerede.
- At databehandleren kun behandler oplysninger efter dokumenteret instruks fra den dataansvarlige, herunder ved overførsel til tredjelande.
- At de personer, der behandler oplysningerne, har påtaget sig fortrolighed.
- At databehandleren træffer de sikkerhedsforanstaltninger, der kræves efter artikel 32.
- Vilkårene for underdatabehandlere (forudgående generel eller specifik skriftlig tilladelse).
- At databehandleren bistår den dataansvarlige med at besvare anmodninger om udøvelse af de registreredes rettigheder.
- At databehandleren bistår med sikkerhed, anmeldelse af brud og konsekvensanalyser (art. 32-36).
- At databehandleren efter aftalens ophør efter den dataansvarliges valg sletter eller tilbageleverer oplysningerne, medmindre loven kræver opbevaring; stiller nødvendige oplysninger til rådighed for at påvise overholdelse, muliggør og bidrager til revision, og straks gør opmærksom på en instruks, som efter databehandlerens opfattelse strider mod databeskyttelsesreglerne.
EU-Kommissionen har vedtaget standardkontraktbestemmelser specifikt til artikel 28 (gennemførelsesafgørelse (EU) 2021/915), som kan bruges direkte. Vær opmærksom på, at disse ikke er de samme som overførselsklausulerne 2021/914, der dækker overførsler til tredjelande — de to sæt kan kombineres. Ordlyden af kravene findes i artikel 28 i databeskyttelsesforordningen, suppleret i dansk ret af databeskyttelsesloven (lov nr. 502 af 23. maj 2018).
Ansvar for underdatabehandlere
Databehandleren må ikke antage en underdatabehandler uden den dataansvarliges forudgående skriftlige tilladelse. Tilladelsen kan være:
- specifik — tilladelse til en konkret navngiven underdatabehandler, eller
- generel — tilladelse til at anvende underdatabehandlere, men med pligt til at underrette den dataansvarlige om planlagte ændringer, så denne kan gøre indsigelse.
Ved både specifik og generel tilladelse skal databehandleren pålægge sine underdatabehandlere de samme databeskyttelsesforpligtelser, som gælder i hovedaftalen, og databehandleren forbliver fuldt ansvarlig over for den dataansvarlige for underdatabehandlerens overholdelse (art. 28, stk. 4). I praksis betyder det, at du som dataansvarlig skal kunne se hele kæden — en aktuel liste over underdatabehandlere er et klassisk kontrolpunkt.
Databehandler, selvstændig eller fælles dataansvarlig?
Rollefordelingen afgør, hvilken kontrakt du skal bruge. Der er tre muligheder:
- Databehandler (art. 28): behandler kun efter din dokumenterede instruks og bestemmer ikke selv formålet. Kræver en databehandleraftale.
- Selvstændig dataansvarlig: bestemmer selv formål og midler for sin egen behandling. Her indgås ingen databehandleraftale — parterne er hver især ansvarlige for deres behandling. En revisor, der udfører lovpligtig revision, eller en bank, der modtager en betaling, er typisk selvstændig dataansvarlig.
- Fælles dataansvarlig (art. 26): to eller flere fastlægger i fællesskab formål og midler. Her kræves en aftale om fælles dataansvar, der fordeler ansvaret for oplysningspligt og de registreredes rettigheder.
Den samme leverandør kan skifte rolle afhængigt af behandlingen. En leverandør kan være databehandler for kundens lønkørsel og selvstændig dataansvarlig for sin egen fakturering. Den konkrete rolle følger af formål og faktisk beslutningskompetence, ikke af kontraktens overskrift. Notér rollen for hver leverandør i din fortegnelse over behandlingsaktiviteter, så du kan se, hvor der skal foreligge en databehandleraftale.
Audit, sikkerhed og tredjelandsoverførsler
Tre punkter fortjener særlig opmærksomhed, fordi de ofte er svage i standardaftaler:
Revision (audit). Artikel 28, stk. 3, litra h, giver dig ret til at kontrollere, at databehandleren overholder aftalen. I praksis kan tilsynet ske via en uafhængig revisorerklæring (fx ISAE 3000 eller 3402), et sikkerhedsspørgeskema eller en egentlig inspektion. En relevant rapport kan være tilstrækkelig ved en konkret risikobaseret kontrol, men aftalen skal bevare en effektiv ret til nødvendig revision og inspektion, hvis den dataansvarlige vurderer, at rapporten ikke er nok.
Sikkerhed (art. 32). Databehandleren skal gennemføre passende tekniske og organisatoriske foranstaltninger. Et sikkerhedsbilag med tomme fraser (“branchestandard”) opfylder ikke kravet — foranstaltningerne skal være konkrete og verificerbare. Dette hænger sammen med princippet om databeskyttelse gennem design.
Tredjelandsoverførsler. Giver databehandleren eller en underdatabehandler adgang til oplysninger fra et tredjeland, skal overførslen vurderes efter kapitel V. Grundlaget kan afhængigt af modtagerland og situation være en tilstrækkelighedsafgørelse eller passende garantier, fx relevante standardkontraktbestemmelser. En bestemt leverandør eller region afgør ikke spørgsmålet alene. Tjek den faktiske placering af data, ikke kun leverandørens hovedkontor.
Et eksempel på en konkret instruks
En kommune lægger en borgerservicefunktion hos en ekstern leverandør. En brugbar instruks beskriver, at leverandøren må modtage henvendelser, registrere svar og give navngivne medarbejdere adgang for at løse sagerne. Den beskriver ikke blot »behandling af persondata«. Hvis leverandøren senere vil bruge henvendelserne til at udvikle en generel analysemodel, er det et nyt formål, som ikke automatisk ligger inden for den oprindelige instruks. Parterne må først vurdere roller, hjemmel og eventuelle ændringer i aftalen.
I samme eksempel kan en underdatabehandler levere lagring. Spørg om dens adgang, placering, sikkerhed og slettevilkår, så kommunen kan vurdere kæden. Den dataansvarlige behøver ikke selv skrive hver teknisk kommando, men skal kunne forstå behandlingens ramme og kontrollere, at leverandøren holder sig inden for den.
Aftalen er begyndelsen på leverandørtilsynet
En underskrift viser, at parterne har aftalt en ramme; den viser ikke i sig selv, at sikkerhed og instrukser efterleves. Den dataansvarlige bør føre et tilsyn, der passer til behandlingens risiko og leverandørens rolle. Det kan bestå af dokumentation for adgangsstyring, relevante revisorerklæringer, opfølgning på hændelser og en samtale om åbne fund. Der findes ikke en universel lovpligtig årlig audit eller én bestemt erklæring, der automatisk opfylder artikel 28. Datatilsynets vejledning om tilsyn giver en risikobaseret tilgang.
Bruger du et værktøj til at samle aftaler og vurderinger, skal ansvar, datoer og de faktiske bilag stadig gennemgås af nogen, der kan tage stilling til risikoen. Det er især vigtigt, hvis ydelsen, datakategorierne eller underdatabehandlerne ændres.
Fra rollefordeling til en brugbar kontrakt
Begynd med at beskrive én behandling ad gangen: Hvem bestemmer, hvorfor oplysningerne bruges? Hvem beslutter de væsentlige midler, såsom hvilke datakategorier der indsamles, og hvor længe de bevares? En leverandør kan selv vælge praktiske tekniske metoder uden dermed at overtage formålet. Omvendt bliver en aktør ikke databehandler blot ved at acceptere denne betegnelse i en kontrakt. EDPB’s retningslinjer om roller beskriver denne funktionelle vurdering.
Forestil dig en virksomhed, der bruger et kundesupportsystem. Leverandøren lagrer og viser virksomhedens henvendelser efter aftalt instruks: her taler meget for et databehandlerforhold. Hvis samme leverandør bruger visse oplysninger til egne, selvstændigt fastsatte formål, skal den aktivitet vurderes særskilt. Bed om en oversigt, hvor hver aktivitet, rolle, instruks og eventuel underdatabehandler er angivet. Så kan kontrakten tage udgangspunkt i den faktiske behandling i stedet for en uprøvet standardliste.
Bilagene skal beskrive den virkelige behandling
Aftalens første del skal angive genstand og varighed, behandlingens karakter og formål, typer af personoplysninger, kategorier af registrerede og den dataansvarliges rettigheder og forpligtelser. Et bilag med kun »kundedata, løbende drift« giver ikke meget hjælp, når der opstår et brud eller en anmodning om indsigt. Beskriv fx om supportmedarbejdere kan se helbredsoplysninger, om data kopieres til testmiljøer, og hvornår arkivkopier udgår. Hvis risikobilledet ændrer sig, skal bilaget vurderes igen.
Instruksen bør gøre det muligt at afgøre, hvad leverandøren må gøre. Den omfatter også overførsler, medmindre EU- eller national ret pålægger anden behandling; i så fald skal databehandleren som udgangspunkt underrette den dataansvarlige om kravet, medmindre den relevante lov forbyder det af væsentlige samfundshensyn. Angiv, hvem der kan give instrukser, hvordan ændringer registreres, og hvem der afgør en uenighed. Databehandleren skal straks oplyse, hvis en instruks efter dens vurdering strider mod forordningen eller anden databeskyttelsesret.
Sikkerhed, hjælp og ophør skal kunne udføres
Artikel 28 henviser til artikel 32. Et sikkerhedsbilag bør derfor beskrive relevante foranstaltninger for den konkrete behandling: adgang efter arbejdsbehov, logning, beskyttelse af sikkerhedskopier, håndtering af sårbarheder og en kontaktvej ved hændelser. Lovteksten foreskriver ikke én teknisk opsætning til alle leverandører. Vurdér valget efter risiko og dokumentér, hvorfor det er tilstrækkeligt. En højrisikobehandling med følsomme data vil ofte kræve mere detaljeret dokumentation end en begrænset kontaktliste.
Bistand er en selvstændig forpligtelse. Ved en anmodning om sletning skal databehandleren kunne finde og håndtere oplysninger i sine systemer efter instruks. Ved et brud skal den dataansvarlige hurtigt have oplysninger til sin risikovurdering og eventuelle anmeldelse. Ved en konsekvensanalyse kan leverandøren skulle beskrive tekniske forhold. Aftalen kan specificere kontaktpunkter, formater og arbejdsdeling, så den lovpligtige bistand kan leveres i praksis.
Når ydelsen ophører, vælger den dataansvarlige som udgangspunkt mellem sletning og tilbagelevering. Artikel 28 tager forbehold for lovpligtig opbevaring. Aftal derfor eksportformat, behandling af restkopier, slettebekræftelse og adgang i overgangsperioden. Læg en plan for, hvad der sker, hvis data ligger hos en underdatabehandler eller i sikkerhedskopier. Det er lettere at få disse vilkår på plads før kontrakten indgås end efter leverandørskiftet.
Revision skal give adgang til reel dokumentation
Artikel 28, stk. 3, litra h, kræver, at databehandleren stiller alle oplysninger til rådighed, som er nødvendige for at påvise overholdelse af aftalens krav, og muliggør og bidrager til revision, herunder inspektioner. Det betyder ikke, at alle kunder altid skal besøge leverandørens datacenter. Det betyder heller ikke, at en generel rapport automatisk er nok. Se om en fremlagt erklæring dækker den ydelse, periode og de kontroller, der er relevante for jer, og hvordan eventuelle forbehold er fulgt op.
En praktisk kontrakt kan beskrive varsel, fortrolighed under audit og mulighed for at bruge en uafhængig revisor. Vilkårene må ikke gøre lovens revisionsadgang illusorisk. Hvis leverandøren afviser et spørgsmål om en væsentlig kontrol, skal I afklare, hvordan den dataansvarlige ellers kan påvise passende valg og tilsyn. Det kan føre til en afhjælpningsplan, mere dokumentation eller et andet leverandørvalg; svaret afhænger af risikoen.
Underdatabehandlere og internationale kæder
En generel skriftlig tilladelse er ikke et blankt ja til enhver senere leverandør. Databehandleren skal informere om planlagte tilføjelser eller udskiftninger, så den dataansvarlige kan gøre indsigelse. Fastlæg en praktisk varselsmåde og en kanal til indsigelser. Underdatabehandleren skal være bundet af de samme databeskyttelsesforpligtelser, navnlig passende garantier, og hoveddatabehandleren forbliver ansvarlig over for den dataansvarlige for dens opfyldelse.
Skeln mellem artikel 28-klausuler og reglerne om tredjelandsoverførsel. Datatilsynet forklarer, at både tilsynets danske standardbestemmelser og EU-Kommissionens artikel 28-bestemmelser kan bruges til databehandleraftaler. Kapitel V skal vurderes særskilt ved en faktisk overførsel. De relevante 2021/914-overførselsklausuler kan i bestemte moduler også indeholde artikel 28-indhold; en ren artikel 28-aftale er derimod ikke i sig selv et overførselsgrundlag. Undersøg faktisk adgang, modtager, land og gyldigt grundlag, før du konkluderer.
Når standardklausulerne ikke passer til ydelsen
En skabelon kan sikre, at de lovpligtige emner ikke glemmes, men bilagene skal stadig udfyldes med den faktiske ydelse. Hvis en leverandør både hoster data, yder support og udvikler funktioner, kan adgangen til personoplysninger være forskellig i de tre aktiviteter. Beskriv hvem der har adgang i drift, hvad support kan se, og om testdata er reelle eller anonymiserede. En upræcis beskrivelse gør det svært at afgøre, om en senere instruktion eller underdatabehandler ligger inden for aftalen.
Hvis behandlingens karakter ændres, bør parterne opdatere bilag og instrukser, før den nye aktivitet begynder. Det gælder fx, når en supportleverandør får adgang til helbredsoplysninger, som aftalen tidligere kun dækkede for almindelige kontaktoplysninger. Den dataansvarlige må revurdere sikkerhed og eventuelt behovet for en konsekvensanalyse. Databehandleren må ikke blot henvise til, at den gamle kontrakt stadig er underskrevet. Spørg også, hvordan en ændring kommunikeres til underdatabehandlere, og om deres aftaler faktisk afspejler de nye krav.
Ved konflikt mellem hovedaftale og databehandlerbilag bør parterne afklare rangorden og konkrete forpligtelser. En generel ansvarsbegrænsning ændrer ikke de pligter, som GDPR pålægger hver part. Prisen for en ydelse og den retlige rolle er forskellige spørgsmål; en billig standardpakke kan kun vælges, hvis de nødvendige garantier og den faktiske behandling stadig er dækket.
Ofte stillede spørgsmål
Skal der en databehandleraftale til, selv om leverandøren er lille?
Ja. Artikel 28, stk. 3, indeholder ingen bagatelgrænse. Så snart en tredjepart behandler personoplysninger på dine vegne, skal der foreligge en skriftlig aftale — også i elektronisk form. Størrelsen på leverandøren eller mængden af oplysninger ændrer ikke pligten.
Hvem har ansvaret for at aftalen findes — kunden eller leverandøren?
Begge parter. I praksis fremlægger leverandøren ofte sin standardaftale, men både den dataansvarlige og databehandleren er retligt ansvarlige for, at der findes en gyldig aftale. Hver part skal opfylde de pligter, der gælder for dens rolle; den dataansvarlige kan ikke flytte sit ansvar for valg og kontrol af databehandleren over på leverandøren.
Er det nok at underskrive leverandørens standardaftale?
Ikke nødvendigvis. En standardaftale skal vurderes konkret, især hvis den begrænser dokumentation eller revision. Læs aftalen, og kontrollér særligt instruks, sikkerhed, underdatabehandlere, bistand ved brud og rettigheder, ophør og faktisk adgang til den dokumentation, du behøver. Husk, at pligten til at føre tilsyn ligger hos dig som dataansvarlig — uanset hvad aftalen siger.
Konklusion
En artikel 28-aftale er nødvendig, når en databehandler behandler personoplysninger på dine vegne. Den skal beskrive den konkrete behandling, binde databehandleren til lovens forpligtelser og give grundlag for relevant tilsyn. Kortlæg roller og behandlinger via fortegnelsen, indgå aftale med de faktiske databehandlere, og følg op efter risiko og ændringer. Gå videre med vores skabelon til databehandleraftale.