Ja. Art. 37 retter sig både mod dataansvarlige og databehandlere, og en virksomhed, der behandler personoplysninger for andre, skal derfor selv vurdere, om den er omfattet. Vurderingen følger de samme tre betingelser: behandlingen er en kerneaktivitet, den sker i stort omfang, og den består i regelmæssig og systematisk overvågning eller i følsomme oplysninger eller oplysninger om strafbare forhold. Alle tre skal være opfyldt. Forskellen ligger i, hvad der tæller med. Hos en IT-leverandør eller et SaaS-firma, altså et firma, der leverer software som en tjeneste over nettet, er kundernes data ofte selve forretningen, og så kan vurderingen falde anderledes ud end hos kunderne.
Kravet følger ikke kundens svar
Artikel 29-gruppens vejledning WP243 siger i afsnit 2.2, at det nogle gange kun er den dataansvarlige, der skal have en DPO, andre gange kun databehandleren og i andre tilfælde begge. Har begge en DPO, bør de to samarbejde.
Det betyder to ting. En kunde med DPO-pligt gør ikke automatisk jer pligtige. WP243 tilføjer dog, at det kan være god praksis at have en. Den anden vej rundt kan I være omfattet, selv om ingen af jeres kunder er det.
Sådan tæller kundernes data med
WP243 giver to eksempler, der viser mekanikken.
I det første bruger en lille familievirksomhed en leverandør, hvis kerneaktivitet er webanalyse og hjælp til målrettet markedsføring. Familievirksomhedens egen behandling er lille, og den skal ikke have en DPO. Leverandøren har derimod mange kunder af samme slags, og tilsammen kan det udgøre behandling i stort omfang. Leverandøren er derfor omfattet af art. 37, stk. 1, litra b.
I det andet udliciterer en mellemstor fliseproducent sin bedriftssundhedstjeneste til en ekstern leverandør med mange tilsvarende kunder. Leverandøren skal have en DPO efter litra c, forudsat at behandlingen sker i stort omfang. Producenten er ikke nødvendigvis forpligtet.
Eksemplerne viser, at behandlingen hos databehandleren ses samlet på tværs af kunderne. WP243 fastsætter ingen tærskel, og det gør Datatilsynet heller ikke. Vores læsning af eksemplerne er, at I skal lægge jeres kunders oplysninger sammen, når I vurderer stort omfang, og at I bruger de fire kriterier fra Datatilsynets vejledning: antal personer, volumen og typer af oplysninger, tidsperiode og varighed samt geografisk udstrækning.
Kerneaktiviteten hos en leverandør
Datatilsynets vejledning nævner IT-support som et eksempel på en biaktivitet, når en virksomhed har den til sin egen drift. Cloud computing og hosting af hjemmesider og data står derimod i vejledningen som kerneaktivitet, forudsat at der lagres personoplysninger.
Det er derfor forretningsmodellen, der tæller, og tre tænkte eksempler viser forskellen.
- IT-leverandøren til mindre virksomheder. Leverandøren driver servere og mailkonti for en række kunder. Personoplysninger ligger overalt, og opgaven er drift. Om behandlingen er en kerneaktivitet, kræver en konkret vurdering, og spørgsmålet om følsomme oplysninger eller overvågning skal stadig besvares ja, før kravet rammer.
- Lønbureauet. Her er behandlingen af personoplysninger selve ydelsen. Spørgsmålet er, om oplysningerne om fx fagforening og helbred fylder så meget, at det er behandling af følsomme oplysninger i stort omfang.
- SaaS-firmaet til sundhedsbranchen. Journaler eller behandlingsdata hos mange klinikker peger på kerneaktivitet, stort omfang og følsomme oplysninger på samme tid. Her er det svært at se et nej.
Hosting er altså ikke i sig selv nok. Betingelsen om overvågning eller særlige oplysninger skal også være opfyldt. Hostes der alene almindelige kundedata uden systematisk overvågning, kan svaret blive nej, selv ved store mængder. Hvis produktet selv bygger på personoplysninger, findes den tekniske side af sagen under persondata i produktet.
Jeres egen behandling tæller med i DPO’ens arbejde
Vurderingen handler om kerneaktiviteten, og derfor regnes HR og kundekartotek ikke med i pligten. Er pligten først til stede, ændrer billedet sig. WP243 siger, at en DPO, der udpeges af en databehandler, også overvåger de aktiviteter, hvor virksomheden selv er dataansvarlig, fx HR, IT og logistik. Rollen dækker altså hele virksomheden. Det samme gælder, hvis I udpeger en DPO frivilligt: kravene i art. 37 til 39 gælder fuldt ud, som om udpegelsen var obligatorisk.
Sådan går I til vurderingen
Start med de tjenester, I leverer, og skriv for hver tjeneste op, hvilke kategorier af oplysninger der behandles, hvor mange personer det samlet drejer sig om, og om tjenesten overvåger personer. Fortegnelsen efter art. 30, stk. 2, er et godt udgangspunkt, hvis I har den, se fortegnelse som databehandler. Spørg derefter sælgerne, hvilke brancher der er vokset. Et SaaS-firma, der begynder at sælge til klinikker, kan gå fra nej til ja uden at ændre en linje kode.
Skriv vurderingen ned, også hvis svaret er nej. WP243 anbefaler, at organisationer dokumenterer analysen, medmindre det er indlysende, at kravet ikke gælder, og at den opdateres, når virksomheden får nye aktiviteter eller tjenester. Datatilsynet siger tilsvarende, at vurderingen med fordel kan dokumenteres, så den kan fremvises. Et notat er også det, I sender, når en kunde spørger, se kunden spørger om jeres DPO. Er I i tvivl om, hvor grænsen går hos jer, er det et spørgsmål til advokat.
Svaret ændrer ikke jeres pligter som databehandler. Art. 28, instrukser, sikkerhed og underretning ved brud gælder med eller uden DPO. Bliver svaret ja, og har I ingen til rollen, kan den løses som DPO as a service.
Det skal I lade være med
- At låne kundens svar · jeres pligt vurderes selvstændigt.
- At regne kunderne enkeltvis · WP243’s eksempler ser på behandlingen samlet.
- At lade et gammelt notat stå · nye tjenester og brancher kræver en ny vurdering.
- At kalde alt hosting for kerneaktivitet og stoppe dér · alle tre betingelser skal være opfyldt.
Det skal I kræve af den eksterne
- ☐ En vurdering tjeneste for tjeneste, ud fra den behandling I faktisk har.
- ☐ En klar begrundelse for hver af de tre betingelser.
- ☐ Et notat, I kan vise til Datatilsynet og til kunderne.
- ☐ Et fast tidspunkt for næste gennemgang af vurderingen.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 28, art. 30, stk. 2, og art. 37 til 39.
- WP243 på dansk: afsnit 2 og 2.2, læst 5. november 2026.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 3.1 om kerneaktivitet og stort omfang.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kunden vil føre tilsyn med os · Vi skal ikke have en DPO
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
