Den dataansvarlige bestemmer, hvorfor personoplysninger behandles, og hvordan det sker. Databehandleren behandler dem på den dataansvarliges vegne. Sådan står det i art. 4, nr. 7 og 8, og forskellen afgør, hvem der skal leve op til hvad. Rollen følger af det, parterne faktisk gør, så et ord i kontrakten flytter den ikke. Samme virksomhed kan også have begge roller i samme kundeforhold, og derfor laves vurderingen for hver behandling og ikke for leverandøren som helhed.
Artiklen bygger på Datatilsynets vejledning om dataansvarlige og databehandlere fra november 2017 og på EDPB’s retningslinjer 07/2020, version 2.1, som vi læste 5. november 2026. EDPB er Det Europæiske Databeskyttelsesråd, hvor de europæiske tilsyn samarbejder.
Virkeligheden går forud for kontrakten
EDPB kalder begge begreber funktionelle. Rollen skal altså fastlægges ud fra aktiviteterne i den konkrete situation, og den kan ikke forhandles på plads (punkt 12). Kontrakten er stadig nyttig som holdepunkt, og står der noget, der stemmer med virkeligheden, kan man følge den. Den afgør bare ikke spørgsmålet alene. En part, der reelt bestemmer hvorfor og hvordan, er dataansvarlig, selv om aftalen kalder den databehandler (punkt 28 og 29).
Datatilsynet siger det samme fra en anden vinkel. I kan ikke aftale jer til, at I er dataansvarlig, hvis den anden part træffer alle væsentlige beslutninger. I tvivlstilfælde kan parternes egne overvejelser dog indgå i vurderingen, så det nytter at skrive dem ned.
To spørgsmål, der klarer de fleste tilfælde
Datatilsynets vejledning peger på to forhold. Det første er ydelsen. Går aftalen helt eller delvist ud på at behandle personoplysninger efter instruks, taler det for en databehandler. Går den ud på noget andet, hvor oplysningerne kun følger med, taler det imod. Vejledningens eksempler er en reparatør af en kopimaskine og en håndværker på opgave for en kommune.
Det andet er, hvem der beslutter. EDPB deler beslutningerne i to lag (punkt 39 til 41).
- Formål og væsentlige hjælpemidler. Hvilke oplysninger, hvor længe, hvem der får adgang, og hvilke personer det gælder. De beslutninger ligger altid hos den dataansvarlige.
- Ikke-væsentlige hjælpemidler. Valg af software, detaljer i sikkerheden og fordeling af adgang internt hos leverandøren. Dem må databehandleren tage selv, uden at rollen skifter.
Det sidste lag er vigtigt for IT-folk. En leverandør, der selv vælger servertype, backupværktøj og overvågning, er stadig databehandler. Begynder den at bruge oplysningerne til noget nyt, er vi i det første lag, og så er rollen en anden for den del. Det er emnet i når leverandøren bruger data til sig selv.
Fire leverandører set efter testen
Lønbureauet. EDPB’s eksempel er en arbejdsgiver, der giver præcise instrukser om, hvem der skal have løn, hvor meget, hvornår, og hvor længe data gemmes. Bureauet er databehandler, selv om det selv vælger system og fordeler adgangene. Banken, der udfører betalingen, er derimod selvstændigt dataansvarlig for sin bankvirksomhed.
Revisoren. Datatilsynets eksempel 3 er en revisor med en bred opgave, der selv træffer de væsentlige beslutninger. Revisoren er selvstændigt dataansvarlig. Det passer med EDPB, som dog tilføjer, at vurderingen kan falde anderledes ud, hvis ingen lov regulerer opgaven, og kunden giver meget detaljerede instrukser. Revisorens faglige regler er en del af forklaringen, for de begrænser, hvor meget instruks revisoren kan tage imod.
Advokaten. Vejledningen har to eksempler, der viser, at det er opgaven, der tæller. En advokat, der fører en erstatningssag, er efter eksempel 16 selvstændigt dataansvarlig for de oplysninger, sagen kræver. Et advokatfirma, der driver en virksomheds whistleblowerordning med et system og modtager og videresender indberetninger efter instruks, er efter eksempel 15 mest nærliggende databehandler, fordi arbejdet er mere ekspeditionspræget.
IT-leverandøren. Hosting er databehandling, også når data er krypteret, og leverandøren ikke kan se, hvad der ligger der. Generel IT-support, hvor leverandøren uundgåeligt ser store mængder persondata, regner EDPB også som databehandling, selv om det slet ikke er aftalens formål. Den enkelte konsulent, der retter en softwarefejl og kun tilfældigt ser oplysninger, er det ikke. Her skal I i stedet styre adgangen efter art. 32. Grænsen er uddybet i IT-leverandøren har fjernadgang.
Når I selv er leverandøren
Mange virksomheder er dataansvarlige for egne ansatte og kunder og databehandlere for det, de håndterer for kunder. Et softwarehus er typisk dataansvarlig for sin kundeliste og databehandler for indholdet i kundernes systemer. EDPB bemærker, at vurderingen knytter sig til bestemte data eller operationer (punkt 82). Rollen får også betydning for pligterne, for databehandlere har selvstændige krav i bl.a. art. 28, 30, stk. 2, og 33, stk. 2, se fortegnelsen som databehandler og databehandler og DPO-kravet.
Et selskab i en koncern kan være databehandler for et andet, fordi de er to enheder. En afdeling kan derimod aldrig være databehandler for en anden afdeling i samme selskab (punkt 77).
Hvis to parter bestemmer sammen
Der findes en tredje mulighed. Bestemmer to eller flere parter i fællesskab formål og hjælpemidler, er de fælles dataansvarlige efter art. 26. Modtager en part derimod oplysninger og bruger dem til sit eget formål med sine egne midler, er der tale om to selvstændigt dataansvarlige, og overleveringen er en videregivelse, som kræver sit eget grundlag. Skellet er gennemgået i fælles dataansvar.
Sådan laver I vurderingen
Datatilsynets vejledning har en liste med udsagn, I kan holde op mod hver leverandør. De vigtigste er, om oplysningerne kun behandles til jeres formål, om der er en instruks, om I kan kræve dem slettet eller tilbageleveret, og om den anden part lovligt kan følge en instruks. Svarene kan pege hver sin vej. Så vejer I argumenterne og skriver begrundelsen ned. Et svar er dog afgørende, nemlig hvis parten uden instruks selv bestemmer formål eller væsentlige hjælpemidler. Så er den ikke databehandler.
Start med de leverandører, der har mest data, og tag én behandling ad gangen. Resultatet skal stå et sted, hvor det kan findes igen, og det hører naturligt sammen med fortegnelsen. Er rollen tvivlsom i en vigtig aftale, er det et spørgsmål til advokat.
Rollefordelingen er en opgave for virksomheden. DPO’en giver sit råd undervejs og ser efter, at arbejdet bliver gjort, mens afgørelsen og aftalerne bliver hos jer.
Det skal I lade være med
- At lade kontraktens ord afgøre sagen · læs, hvad der faktisk sker med oplysningerne.
- At give hver leverandør én rolle · vurder hver behandling for sig.
- At kalde alle med adgang for databehandlere · nogle er selvstændigt dataansvarlige, og andre skal blot styres med adgangskontrol.
Det skal I kræve af den eksterne
- ☐ En gennemgang af de vigtigste leverandører behandling for behandling.
- ☐ En skriftlig begrundelse i de tvivlsomme tilfælde.
- ☐ En markering af, hvor I selv er databehandler for andre.
- ☐ Rådgivning, der lader beslutningen om rollen og aftalen blive hos jer.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 4, nr. 7 og 8, art. 26, 28 og 32.
- EDPB: Retningslinjer 07/2020, version 2.1: punkt 12, 28 til 29, 39 til 41, 76 til 84 og eksemplerne om løn, bank, revisor, hosting og IT-support. Læst 5. november 2026.
- Datatilsynet: Vejledning om dataansvarlige og databehandlere: afsnit 3.1 og eksempel 1 til 3, 15 og 16.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Er den eksterne DPO databehandler? · Konsulenter og vikarer med adgang til persondata
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
