En databehandleravtale skal beskrive og regulere den faktiske behandlingen leverandøren utfører på kundens vegne. Malen nedenfor gir avtaletekst og forklaring til tre vedlegg. Den er et utgangspunkt for tilpasning, ikke en godkjent standardavtale eller garanti for etterlevelse. Felter i hakeparenteser og valgmuligheter må avklares før avtalen inngås.
Artikkelen er laget for arbeidet med selve dokumentet. For vurderingen av når en avtale kreves og partenes juridiske roller, se guiden til databehandleravtale etter artikkel 28. Rettsgrunnlaget er GDPR artikkel 28, som gjelder i Norge gjennom personopplysningsloven. Datatilsynets avtaleveiledning gir supplerende forklaring.
Før du fyller ut malen
Avklar om leverandøren faktisk er databehandler for de aktuelle aktivitetene. En leverandør kan være databehandler for kundens saksbehandling og selvstendig behandlingsansvarlig for egne lovpålagte administrative oppgaver. Beskriv dette per aktivitet. Avtalens overskrift endrer ikke de reelle rollene som behandlingsansvarlig og databehandler.
Be også om informasjon som gjør det mulig å vurdere leverandørens garantier etter artikkel 28 nr. 1. En velformulert kontrakt kompenserer ikke alene for manglende kapasitet eller uegnede sikkerhetstiltak. Kontroller tjenestens omfang, dataflyt, tilgangssteder og underleverandører. Dersom vesentlige opplysninger mangler, bør de stå som åpne beslutningspunkter før tjenesten tas i bruk.
Mal for databehandleravtale
1. Parter, hovedavtale og rang
Avtaletekst: Denne avtalen inngås mellom [navn, organisasjonsnummer og adresse], heretter behandlingsansvarlig, og [navn, organisasjonsnummer og adresse], heretter databehandler. Avtalen gjelder behandlingen som er nødvendig for å levere [tjeneste] etter hovedavtalen av [dato]. Ved motstrid om personopplysningsbehandlingen går denne avtalen foran hovedavtalen, med forbehold for ufravikelige regler og eventuelle bindende standardbestemmelser med egen rangordning.
Utfylling: Identifiser de juridiske enhetene som er bundet. Et produktnavn eller en konsernlogo er ikke nok. Dersom flere behandlingsansvarlige deltar, må hver parts behandling, instruksjonsrett og tilslutning fremgå. Artikkel 28 krever ikke nødvendigvis ett separat fysisk dokument per leverandør, men alle relevante forhold må være rettslig dekket og tilstrekkelig beskrevet.
2. Beskrivelse og varighet
Avtaletekst: Behandlingens gjenstand, varighet, art og formål, kategorier av registrerte og typer personopplysninger fremgår av vedlegg 1. Databehandleren skal ikke bruke opplysningene til egne formål. Avtalen gjelder så lenge databehandleren behandler opplysninger på vegne av behandlingsansvarlig, herunder under tilbakelevering, sletting og eventuell lovpålagt fortsatt oppbevaring som beskrevet nedenfor.
Utfylling: Beskriv operasjonene leverandøren utfører, for eksempel lagring, søk, support og eksport. «Alle personopplysninger for alle formål» er ikke en nyttig avgrensning. Hvis tjenesten ikke er beregnet for helseopplysninger eller opplysninger om straffbare forhold, avklar hvordan dette begrenses og hva leverandøren skal gjøre dersom slike opplysninger likevel mottas.
3. Behandlingsansvarliges plikter og rettigheter
Avtaletekst: Behandlingsansvarlig bestemmer formål og relevante midler, sørger for lovlig behandlingsgrunnlag og nødvendig informasjon til de registrerte, og gir dokumenterte instrukser. Behandlingsansvarlig kan kreve nødvendig informasjon, følge opp etterlevelsen og gi instrukser om retting, begrensning, tilbakelevering og sletting innenfor avtalen. Ved manglende lovlig behandling kan behandlingsansvarlig kreve stans og, dersom forholdet ikke kan avhjelpes, avslutte databehandleroppdraget.
Utfylling: Angi hvilke personer eller roller som kan gi ordinære og akutte instrukser. Avtal hvordan endringer dokumenteres, og hvordan partene håndterer en instruks som krever endret tjeneste. En kommersiell endringsprosess må ikke brukes til å utsette nødvendig lovoppfyllelse. Knytt godkjente instrukser til versjonen av vedleggene som gjelder for behandlingen.
4. Dokumenterte instrukser og lovkrav
Avtaletekst: Databehandleren skal bare behandle personopplysninger etter dokumenterte instrukser fra behandlingsansvarlig, også ved overføring utenfor EØS, med mindre unionsrett eller nasjonal rett som databehandleren er underlagt krever behandlingen. I så fall skal databehandleren informere behandlingsansvarlig om lovkravet før behandlingen, med mindre loven forbyr slik informasjon av viktige samfunnsmessige hensyn. Databehandleren skal straks informere dersom en instruks etter deres vurdering er i strid med relevant personvernregelverk.
Utfylling: Et utenlandsk myndighetskrav er ikke automatisk en gyldig instruks fra kunden eller en tillatelse etter GDPR. Avklar hvordan slike forespørsler vurderes, dokumenteres og kommuniseres. Hvis tjenesten omfatter fjernsupport, må denne tilgangen inngå i instruksene og vurderingen av dataflyt, ikke behandles som et usynlig unntak fra avtalen.
5. Taushet, tilgang og sikkerhet
Avtaletekst: Databehandleren skal sikre at personer med autorisert tilgang har forpliktet seg til fortrolighet eller er underlagt passende lovbestemt taushetsplikt. Databehandleren skal gjennomføre egnede tekniske og organisatoriske tiltak etter artikkel 32, som konkretisert i vedlegg 2. Tilgang skal begrenses til tjenstlig behov. Vesentlige endringer som kan påvirke beskyttelsen skal meddeles behandlingsansvarlig og vurderes opp mot avtalte krav.
Utfylling: Ikke lov bestemte tiltak uten å kontrollere at de finnes i den bestilte løsningen. Sikkerhetsvedlegget etter artikkel 32 kan dekke tilgangsstyring, kryptering, logging, gjenoppretting og kontroll av tiltak. Flerfaktorautentisering kan være nødvendig for aktuelle tilganger, men avtalen bør beskrive omfang og ansvar fremfor bare å nevne en teknologibetegnelse.
6. Underdatabehandlere
Avtaletekst: Databehandleren kan bare benytte underdatabehandlere etter forutgående [spesifikk eller generell] skriftlig godkjenning. Ved generell godkjenning skal planlagte tillegg og utskiftninger varsles gjennom [kanal] før de gjennomføres, med en avtalt periode på [periode] for innsigelse. Vedlegg 3 angir godkjente underdatabehandlere, oppgaver og behandlingssteder. Partene skal avklare innsigelser før den aktuelle underdatabehandleren gis tilgang til opplysningene.
Avtaletekst: Underdatabehandleren skal gjennom avtale eller annet bindende rettslig grunnlag pålegges de samme personvernforpliktelsene som gjelder oppdraget etter denne avtalen, særlig tilstrekkelige garantier for egnede tiltak. Databehandleren er fullt ansvarlig overfor behandlingsansvarlig for underdatabehandlerens oppfyllelse av disse forpliktelsene. Databehandleren skal kunne dokumentere at kravene er videreført.
Utfylling: Bestem hva en innsigelse fører til: alternativ leveranse, justering eller opphør av den berørte tjenesten dersom ingen akseptabel løsning finnes. Et varsel etter at opplysningene allerede er flyttet gir ikke en reell mulighet til å reagere. En kontraktsperiode for innsigelser er et avtalevalg, ikke en universell frist fastsatt av GDPR.
7. Bistand med de registrertes rettigheter
Avtaletekst: Databehandleren skal, under hensyn til behandlingens art, bistå gjennom egnede tekniske og organisatoriske tiltak så langt det er mulig, slik at behandlingsansvarlig kan oppfylle pliktene ved rettighetsforespørsler etter kapittel III. Mottatte forespørsler skal videresendes uten ugrunnet opphold til [kontaktpunkt]. Databehandleren svarer bare på behandlingsansvarliges vegne etter avtalt instruks eller når en selvstendig rettslig plikt krever det.
Utfylling: Beskriv hvordan opplysninger finnes, eksporteres, rettes, begrenses eller slettes. Avklar hvilke identifikatorer kunden må oppgi og hvordan opplysninger om andre kunder beskyttes. Et generelt løfte om bistand er lite anvendelig hvis leverandøren bare kan søke med en intern nøkkel kunden ikke har. Prøv prosessen med et avgrenset eksempel før oppstart.
8. Brudd på personopplysningssikkerheten
Avtaletekst: Databehandleren skal varsle behandlingsansvarlig uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten. Første varsel sendes til [døgnbemannet kontakt eller avtalt beredskapskanal], med tilgjengelig informasjon om art, berørte kategorier og omfang, konsekvenser, kontaktpunkt og tiltak. Manglende fullstendig informasjon skal ikke forsinke første varsel. Oppdateringer gis uten ytterligere ugrunnet opphold når nye relevante opplysninger foreligger.
Utfylling: Partene kan avtale en konkret yttergrense som støtter den lovbestemte plikten, men må ikke gjøre den til en rett til å vente. Kundens 72-timersfrist etter artikkel 33 må vurderes fra kundens kjennskap, ikke bare regnes som leverandørens klokke minus et antall timer. Avtal også hvem som bevarer bevis og følger den tekniske undersøkelsen.
9. Bistand med sikkerhet og risikovurderinger
Avtaletekst: Databehandleren skal bistå behandlingsansvarlig med å sikre overholdelse av artikkel 32–36, under hensyn til behandlingens art og informasjonen databehandleren har tilgjengelig. Dette omfatter nødvendige opplysninger og relevant bistand ved sikkerhetsvurdering, melding og kommunikasjon om brudd, personvernkonsekvensvurdering og forhåndsdrøfting. Praktisk kontaktpunkt og leveranseform fremgår av vedlegg 2.
Utfylling: Beskriv hvilke tekniske underlag som kan leveres ved en personvernkonsekvensvurdering, og hvordan akutte spørsmål håndteres. Databehandleren skal ikke overta kundens juridiske vurdering, men kunden trenger fakta om løsningen. Eventuelle kostnadsbestemmelser må ikke gjøre den lovpålagte bistanden illusorisk eller fungere som et generelt avslag på nødvendig hjelp.
10. Tilbakelevering og sletting
Avtaletekst: Ved opphør av tjenestene som gjelder behandling av personopplysninger skal databehandleren, etter behandlingsansvarliges valg, slette eller tilbakelevere alle personopplysninger og slette eksisterende kopier, med mindre relevant unionsrett eller nasjonal rett krever videre oppbevaring. Valgt alternativ, eksportformat og gjennomføringstid beskrives i vedlegg 1. Lovpålagt restlagring skal avgrenses, begrunnes og sikres mot annen bruk. Gjennomført tilbakelevering og sletting dokumenteres.
Utfylling: Ta med sikkerhetskopier, testmiljøer, vedlegg og kopier hos underdatabehandlere. En backupordning gir ingen automatisk adgang til ubestemt lagring. Beskriv rotasjon og hva som skjer ved gjenoppretting. Rutinen for avslutning av databehandler hjelper med å kontrollere at et avsluttet abonnement også fører til avsluttet behandling.
11. Informasjon, kontroll og revisjon
Avtaletekst: Databehandleren skal gjøre tilgjengelig all informasjon som er nødvendig for å påvise oppfyllelse av forpliktelsene etter artikkel 28, og muliggjøre og bidra til revisjoner, herunder inspeksjoner, gjennomført av behandlingsansvarlig eller bemyndiget revisor. Partene avtaler praktisk koordinering som ivaretar sikkerhet og andre kunders opplysninger. Ordinært forhåndsvarsel er [periode], men hindrer ikke nødvendig rask kontroll ved hendelser, begrunnet mistanke eller myndighetskrav.
Utfylling: Avklar hvilke rapporter som kan brukes ved ordinær oppfølging, og når mer direkte kontroll er nødvendig. En generell klausul om at kunden bare får et sertifikat bør vurderes kritisk hvis den stenger for nødvendig verifikasjon. Kontroller rapportens omfang, dato og unntak. En rapport om et annet selskap eller produkt gir ikke automatisk bevis for den avtalte behandlingen.
12. Overføring utenfor EØS
Avtaletekst: Databehandleren skal ikke overføre personopplysninger til mottakere utenfor EØS i strid med instruksene eller kapittel V GDPR. Vedlegg 3 skal identifisere relevante mottakere, tilgangssteder og overføringsgrunnlag. Nødvendige standardbestemmelser, vurderinger og supplerende tiltak skal være på plass før overføringen. Endringer som påvirker grunnlaget skal varsles slik at behandlingsansvarlig kan vurdere dem før gjennomføring.
Utfylling: Denne avtalen er ikke i seg selv et grunnlag for tredjelandsoverføring. EU-kommisjonens klausuler for overføring og en ordinær artikkel 28-avtale har forskjellige funksjoner. Hvis SCC brukes, må riktig modul og bilag velges. En overføringsvurdering må ta utgangspunkt i den faktiske dataflyten, også supporttilgang der den innebærer en overføring.
Slik tilpasser du malen
Vedlegg 1: gjør behandlingen konkret
Et hypotetisk kundestøttesystem kan beskrives slik: Leverandøren lagrer henvendelser, vedlegg og svar, gir autoriserte kundeservicemedarbeidere tilgang og utfører avtalt teknisk vedlikehold. Formålet er å behandle kundespørsmål. Registrerte er kunder og andre personer som omtales i henvendelsene. Opplysninger omfatter kontaktinformasjon, ordreferanse og relevant saksinnhold. Dette er mer presist enn «drift av programvare».
Tilpass deretter eksemplet til feltene og funksjonene som faktisk brukes. Hvis samtaler tas opp, skal opptakene og formålet beskrives. Hvis analyse eller KI-funksjoner aktiveres, må det avklares om de er del av instruksen eller innebærer egne formål. Knytt beskrivelsen til behandlingsprotokollen, og la vedlegget endres når behandlingen endres.
Vedlegg 2: vis hvem som gjør hva
Fordel ansvar for brukertilgang, administratortilganger, konfigurasjon og gjenoppretting. Kunden kan ha ansvar for hvilke ansatte som får konto, mens leverandøren styrer plattformens tekniske privilegier. Hvis ingen beskriver grensen, kan begge anta at den andre parten fjerner tilganger. Angi derfor handling, ansvarlig rolle og hvordan utførelsen kan kontrolleres.
Sikkerhetsvedlegget bør også beskrive test- og oppfølgingsrutiner, uten å røpe detaljer som skaper unødvendig sikkerhetsrisiko. Opplysningene må likevel være konkrete nok til kundens vurdering. Innebygd personvern innebærer at begrenset tilgang, nødvendige data og anvendelig sletting bør være mulig i den bestilte løsningen, ikke bare tilgjengelig i en annen tjenestepakke.
Vedlegg 3: følg kjeden til faktiske mottakere
Angi underdatabehandlerens juridiske navn, oppgave, relevante land og eventuelt overføringsgrunnlag. Skill ordinær drift fra support og reservekopier dersom forholdene er forskjellige. En liste over konsernets selskaper uten kobling til oppgaven forteller lite om hvem som kan behandle opplysningene. Be om avklaring når mottaker eller funksjon er ukjent.
Ved endring bør kunden kunne sammenligne ny og gammel liste og forstå hva som faktisk endres. Beskriv hvem som mottar varselet, hvordan det registreres og hvem som vurderer innsigelse. En beskjed til en tidligere ansatts e-postadresse gir liten praktisk beskyttelse. Hold derfor kontaktopplysninger og stedfortredere oppdatert gjennom hele avtaleforholdet.
Arbeidseksempel: fra ufullstendige vedlegg til et signeringsklart dokument
Et hypotetisk firma skal kjøpe et system for kundestøtte. Leverandøren har akseptert hovedpunktene, men behandlingsvedlegget sier bare «kundedata», supportstedet er ukjent og prislisten omtaler eksport som en tilleggstjeneste. Kunden bør nå lage en avklaringsliste knyttet til de konkrete avsnittene. Hver oppføring angir manglende faktum, hvem som svarer og hvilken dokumentendring svaret skal føre til.
Lukk mangler i vedleggene med faktiske svar
For vedlegg 1 ber kunden systemeieren vise hvilke felter og vedlegg brukerne kan registrere. Gjennomgangen avdekker at klager kan inneholde fotografier og fritekst om andre personer. Beskrivelsen suppleres med disse kategoriene og de faktiske arbeidsoperasjonene. Kunden vurderer samtidig om skjemaet bør begrense unødvendige opplysninger. Det er mer nyttig enn å erstatte «kundedata» med en like åpen formulering om alle tilgjengelige data.
For supporttilgangen ber kunden om land, juridisk enhet og oppgave. Hvis svaret bare er «vårt globale team», er avklaringen fortsatt åpen. Leverandøren må forklare hvem som utfører oppgaven, før partene kan fullføre vedlegg 3 og eventuell overføringsvurdering. Kundens interne ønskedato for lansering gir ikke det manglende svaret. Vurder om tjenesten kan leveres med en avgrenset, allerede avklart støttefunksjon i mellomtiden.
Når svaret foreligger, flyttes det inn i riktig vedlegg med dato og versjon. Ikke la avgjørende begrensninger bli stående bare i en e-post fra selgeren. Kontroller at den som aksepterer endringen kan binde leverandøren, og at endringen gjelder den bestilte tjenesten. Avklaringslisten kan deretter vise hvilke punkter som er lukket og hvilke som fortsatt hindrer signering eller oppstart.
Løs motstrid mellom hovedavtalen og vedleggene
Anta at databehandleravtalen lover nødvendig bistand ved innsyn, mens leverandørens standardvilkår sier at all eksport skjer «etter kapasitet» og kan avslås. Kunden bør sitere de to bestemmelsene i forhandlingsgrunnlaget og be om et entydig resultat. En generell rangklausul hjelper, men partene bør også avklare leveranseprosessen slik at driftsmedarbeidere ikke fortsetter å følge den motstridende standardteksten.
En konkret løsning kan beskrive hvilket grunnuttrekk som inngår, hvem som bestiller det og hvordan tidskritiske rettighetsforespørsler eskaleres. Eventuelt tilleggsarbeid kan reguleres kommersielt uten at nødvendig bistand blir valgfri. Skill derfor mellom en kundes ønskede spesialrapport og det som trengs for å oppfylle en registrerts rettighet. Skriv resultatet inn i avtalen, og kontroller at prisvedlegget ikke gjeninnfører samme begrensning med andre ord.
Tilsvarende må en generell rett til å endre standardvilkår sammenholdes med konkrete instrukser om behandlingssted og sikkerhet. Be om avklaring av varsel, vurdering og konsekvenser når endringen berører personopplysningene. En lenke til «gjeldende vilkår» bør ikke gjøre det umulig å dokumentere hva som var avtalt ved oppstart. Bevar derfor versjonene som er akseptert, sammen med de avtalte endringsreglene.
Dokumenter valgt godkjenning av underdatabehandlere
Ved spesifikk godkjenning kan kunden dokumentere godkjenningen av en navngitt underdatabehandler for en bestemt oppgave og lokasjon. Angi hvilken informasjon vurderingen bygget på, hvem som tok beslutningen og hvilke begrensninger som gjelder. Et ja til én supportsituasjon bør ikke fremstå som godkjenning av alle senere oppgaver. Nye eller endrede oppdrag må vurderes mot det godkjenningen faktisk dekker.
Ved generell godkjenning fylles listen over eksisterende underdatabehandlere ut før avtalen inngås. Deretter beskrives prosessen for fremtidige endringer: varselets innhold, kontaktpunkt, tidsrom for innsigelser og hvordan en uenighet løses. Kunden bør velge en periode som gjør en reell vurdering mulig. Ikke behold både «spesifikk» og «generell» i malens hakeparentes og anta at listen alene forklarer hvilket regime partene har valgt.
Prøv endringsprosessen med et tenkt nytt supportfirma. Kan leverandøren varsle med nok informasjon til at kunden ser oppgaven, landene og eventuelt overføringsgrunnlag? Vet kunden hvem som skal svare dersom ordinær kontakt er fraværende? Hvis ingen akseptabel løsning finnes etter en innsigelse, bør dokumentet forklare hvordan den berørte behandlingen kan begrenses eller avsluttes uten at opplysningene likevel gis til den nye parten.
Kontroller bistand og exit før siste signatur
I eksemplet ber kunden leverandøren vise et eksportuttrekk fra en demonstrasjonskonto med en henvendelse, et vedlegg og to svar. Det viser seg at standarduttrekket mangler vedleggene. Kunden må da avklare om tilbakeleveringen kan omfatte disse, i hvilket format og hvordan sammenhengen med saken bevares. Ikke godta en slettebekreftelse som siste steg før den nødvendige tilbakeleveringen er kontrollert.
Partene kan dokumentere akseptansekriterier for dette konkrete oppdraget: de avtalte sakene, vedleggene og relasjonene skal kunne leses, kontoen skal kunne avvikles, og slettingen skal omfatte de angitte kopiene. Sett et praktisk tidsløp for eksport, kundens kontroll og sletting, med begrunnede avvik dersom lov krever restlagring. Databehandleren bør vite hvem som kan bekrefte at kunden har mottatt et anvendelig uttrekk.
Prøv også en rettighetsforespørsel mens tjenesten fortsatt er i drift. Kunden gir en avtalt identifikator, leverandøren viser hvilke systemdeler som kan søkes, og partene avklarer hvordan treff kvalitetssikres før utlevering. Resultatet føres inn i bistandsbeskrivelsen. Denne gjennomgangen gjør det mulig å signere et dokument som beskriver gjennomførbare oppgaver, og å oppdage et konkret gap før det blir en fristoverskridelse eller en vanskelig avslutning.
Underskrift, oppfølging og vanlige feil
Avtalen skal være bindende og skriftlig, inkludert elektronisk form. GDPR pålegger ikke en bestemt signaturteknologi. Bevar den versjonen partene har akseptert, vedleggene og dokumentasjon på tilslutning. En redigerbar mal i en mappe er ikke bevis på at leverandøren er bundet av innholdet. Oppgi dato og hvem som inngår avtalen for hver part.
Før signering bør juridisk og teknisk ansvarlig sammen kontrollere de åpne feltene. Prøv ett innsynsoppdrag, én hendelsesvarsling og én avslutning på papir eller i en avgrenset demonstrasjon. Dersom prosessen krever en funksjon som ikke er kjøpt, må dette håndteres før avtalen lover den. For ansatte som bruker tjenesten bør IT-reglementet forklare godkjent lagring og rapportering av feil.
Oppfølgingen bør styres av risiko og endringer, ikke bare av en automatisk årlig signeringsrunde. Nye underdatabehandlere, endret supportland, alvorlige hendelser og nye behandlingsformål kan kreve tidligere vurdering. Dokumenter funn og avtal retting med ansvar og frist. En gammel avtale blir ikke oppdatert av at abonnementet fornyes uten endring i vedleggene.
Ofte stilte spørsmål
Kan jeg bruke denne malen som den er?
Nei, den inneholder valg og felter som må tilpasses. Kontroller særlig faktiske roller, behandlingsbeskrivelse, sikkerhet, underdatabehandlere og avslutning. Bruk ikke eksempeltekst som en bekreftelse på at leverandøren faktisk kan levere tiltaket.
Må databehandleravtalen signeres på papir?
Nei. Skriftlig avtale kan inngås elektronisk. Det viktige er bindende innhold og dokumenterbar tilslutning til riktig versjon, inkludert vedlegg og senere avtalte endringer.
Hva om leverandøren nekter å endre sin standardavtale?
Vurder om den eksisterende avtalen faktisk oppfyller kravene og passer behandlingen. Et kommersielt ønske om å bruke leverandøren kan ikke erstatte manglende obligatorisk innhold. Avklar vesentlige mangler, endre behandlingen eller vurder en annen løsning dersom nødvendig etterlevelse ikke kan sikres.
Konklusjon
En brukbar databehandleravtale forbinder pliktene i artikkel 28 med tjenesten som faktisk kjøpes. Fyll vedleggene med etterprøvbare forhold, bevar de bindende versjonene og kontroller at bistand, varsling og sletting kan gjennomføres. Malen gir en dokumentstruktur; det er partenes konkrete avtale og praksis som avgjør om behandlingen er tilstrekkelig regulert.
Sist faglig gjennomgått: 27. september 2026. Avtaleteksten er et redaksjonelt eksempel som må tilpasses, ikke standardbestemmelser vedtatt av en tilsynsmyndighet.