Hos de store leverandører skriver I sjældent en aftale under. Databehandleraftalen ligger som en del af vilkårene, og I accepterer den med købet. Arbejdet består derfor i at finde den gældende udgave, læse den, notere datoen og tage stilling til det, den overlader til jer. Artiklen handler om Microsofts aftale, og beskrivelsen er en gengivelse af vilkårene og ingen vurdering af produktet. Samme læsning kan bruges på regnskabs-, løn- og HR-systemer, og andre leverandørers aftaler har vi ikke læst til denne artikel.
Vi har læst Microsoft Products and Services Data Protection Addendum, kaldet DPA, på engelsk i udgaven dateret 1. november 2026. Læsningen er fra 5. november 2026. Teksten opdateres jævnligt, så slå selv den gældende udgave op, før I bruger noget herfra.
Hvor aftalen findes
DPA’en ligger på Microsofts sider om licensdokumenter sammen med ældre udgaver og oversættelser, og siden angiver bl.a. en dansk version. Den er efter sin indledning en del af produktvilkårene og jeres øvrige Microsoft-aftaler, så der er ikke noget særskilt dokument at underskrive. Ved uoverensstemmelse går DPA’en forud for andre vilkår i kundeaftalen.
Find ud af, hvilken udgave der gælder for jer. Vilkårene siger, at den udgave, der gælder ved fornyelse eller køb af et abonnement, ikke ændres i løbet af abonnementet, dog med særregler for nye funktioner. Noter derfor jeres fornyelsesdato ved siden af versionen. Køber I gennem en partner, så spørg, hvilken aftale I reelt har.
Det, I accepterer
Rollerne. I er dataansvarlig, og Microsoft er databehandler, medmindre andet står. Er I selv databehandler for andre, er Microsoft underdatabehandler.
Instruksen. Aftalen, produktdokumentationen og jeres brug og opsætning af funktionerne anses samlet som jeres fulde instruks. Det har en praktisk følge. Når IT slår en funktion til, er det i aftalens forstand en del af instruksen, så indstillingerne hører med i jeres dokumentation.
Egne formål. DPA’en skelner mellem at levere tjenesten og forretningsaktiviteter i tilknytning til den. Den sidste del dækker afregning og kontostyring, provision, intern rapportering og forretningsmodeller og regnskab. Her giver I Microsoft lov til at lave statistik og sammenfattede, ikke-personhenførbare data ud fra pseudonymiserede identifikatorer uden at tilgå indholdet. For den behandling siger Microsoft, at det overholder pligterne som selvstændig dataansvarlig. Profilering og annoncering udelukkes. Det er et forhold, I skal tage stilling til, jf. leverandøren bruger jeres data til egne formål. Datatilsynet bad i 2024 en region om at afdække netop det spørgsmål ved Microsoft 365. Svaret var til en offentlig myndighed, og private har et andet grundlag, men spørgsmålet om egne formål er det samme. Vurderingen af jeres brug hører til i konsekvensanalyse for Microsoft 365.
Underdatabehandlere. I giver på forhånd samtykke til, at Microsoft og dets koncernselskaber bruger underdatabehandlere. Oplysninger om dem står på et website, og I kan få besked om nye. Varslet for kundedata er mindst seks måneder. For underdatabehandlere, der understøtter AI-funktioner, er varslet 30 dage, med mulighed for at slå brugen fra, til der er gået mindst seks måneder efter varslet. Se underdatabehandlere om, hvad I gør med varslet.
Overførsel. I giver Microsoft lov til at overføre og behandle data i USA og andre lande, hvor selskabet eller dets underdatabehandlere opererer. Overførsler ud af EU sker efter standardkontrakterne fra 2021, og Microsoft oplyser at være certificeret under Data Privacy Framework. DPA’en har desuden vilkår om udlevering til myndigheder, når loven kræver det. Sådanne formuleringer skal læses i lyset af Datatilsynets svar af 23. januar 2026. Vurderingen af jeres egen brug står i overførsel til tredjelande.
Brud. Microsoft underretter uden unødig forsinkelse og vælger selv hvordan, fx via mail. Det er jeres ansvar, at kontaktoplysningerne er korrekte, og anmeldelsen til tilsynet er jeres. Tjek derfor, hvem der er angivet som kontakt i administrationsportalen. Går beskeden til en medarbejder, der er stoppet, begynder arbejdet for sent.
Tilsyn. Microsoft lader uafhængige revisorer gennemføre revisioner og stiller rapporterne til rådighed på sin Service Trust-portal. Kan jeres krav ikke opfyldes med dem, åbner vilkårene for yderligere revision med en aftalt ramme, der kan omfatte betaling. Rapporterne er jeres tilsynsmateriale, så nogen skal hente og læse dem, se tilsyn med databehandlere.
Sletning. I løbet af abonnementet kan I selv hente og slette data. Ved ophør ligger kundedata i 90 dage i en konto med begrænset funktion, og sletning sker inden for yderligere 90 dage.
Afgrænsning. DPA’en gælder ikke for produkter, der er undtaget i produktvilkårene, og den dækker kun miljøer, Microsoft kontrollerer. Et tredjepartsprogram, der er koblet på jeres tenant, har sin egen leverandør og sit eget aftaleforhold. Se også Copilot og persondata, hvis I bruger AI-funktioner.
Det, leverandøren ikke kan dokumentere for jer
Datatilsynets cloudvejledning kræver, at I selv er betrygget og kan vise det. En stor leverandørs aftale giver mange svar, men jeres egen del står ingen andre steder.
- Hvilke oplysninger der ligger i tjenesten, og til hvilket formål.
- Hvilken udgave af vilkårene I læste, hvornår, og hvad I besluttede.
- Hvordan tjenesten er sat op, og hvem der må ændre det.
- Hvordan I følger med i nye underdatabehandlere og ændrede vilkår.
- Hvilke lokationer I har valgt, og hvad der kan behandles uden for dem.
For regnskab, løn og HR er listen den samme. Her er data ofte mere følsomme, og derfor bør en mindre dansk leverandørs aftale læses lige så omhyggeligt som den store. Aftalen kan ligge i kontoindstillinger eller på et hjælpecenter. Find den, gem den og sæt dato på.
Det gør I nu
Hent den gældende aftale for jeres vigtigste system, og gem den daterede kopi sammen med en side, der besvarer punkterne ovenfor. Tag derefter de næste systemer i rækkefølge efter, hvor meget persondata de rummer. Tilsynet med dem står i Tilsyn med databehandlere.
Det skal I lade være med
- At antage, at købet er nok · accepten er kun begyndelsen på jeres dokumentation.
- At genbruge en andens gennemgang uden dato · vilkårene skifter, og jeres opsætning er jeres egen.
- At lade kontaktoplysningerne stå urørt · besked om brud sendes dertil.
Det skal I kræve af den eksterne
- ☐ En dateret læsning af de gældende vilkår for jeres vigtigste systemer.
- ☐ En kort liste over det, I selv skal tage stilling til.
- ☐ Kontrol af, at jeres dokumentation svarer til opsætningen.
- ☐ Uvildig rådgivning uden bindinger til de systemer, der vurderes.
Kilder
- Microsoft: Products and Services Data Protection Addendum: engelsk udgave af 1. november 2026. Læst 5. november 2026.
- Datatilsynet: Vejledning om cloud, marts 2022: den dataansvarliges pligt til at kunne dokumentere.
- Datatilsynet: Region Syddanmarks påtænkte brug af Microsoft 365, 2024: afdækning af leverandørens egne formål.
- Datatilsynet: Vilkår i databehandleraftalen om overførsler af personoplysninger til tredjelande, 23. januar 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Konsekvensanalyse for Microsoft 365 · Underdatabehandlere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
