Datatilsynets skabelon er en god ramme, og bestemmelserne i den er sjældent problemet. Det, der afgør, om aftalen virker, er bilagene. Her står, hvilke oplysninger der behandles, hvilke underdatabehandlere der er godkendt, hvilke sikkerhedsforanstaltninger der mindst skal være på plads, og hvor behandlingen foregår. Udfyldes de af en, der ikke kender systemerne, kommer der til at stå noget, som IT ikke kan genkende. Læs dem derfor sammen med den, der driver løsningen.
Vi læste den danske skabelon 5. november 2026, hentet fra Datatilsynets side med blanketter og skabeloner. Dens ændringslog viser version 1.2. Hent altid den nyeste version derfra, og gem ikke en lokal kopi som fast udgangspunkt. Skabelonen findes også på engelsk, og brug af den er frivillig. Kommissionens standardkontrakt efter art. 28, stk. 7, afgørelse (EU) 2021/915, er et alternativ af samme karakter.
Hvad skal en databehandleraftale indeholde?
Art. 28, stk. 3, sætter mindstekravet. Aftalen skal binde databehandleren og oplyse, hvad der behandles, hvor længe, til hvilket formål og om hvem. Den skal desuden regulere otte ting: instruks, fortrolighed, sikkerhed efter art. 32, brug af underdatabehandlere, hjælp med de registreredes rettigheder, hjælp med sikkerhed, brud og konsekvensanalyser, sletning eller tilbagelevering ved ophør og adgang til oplysninger og revision. Kravene er forklaret i hvornår skal I have en databehandleraftale?. Skabelonens faste tekst dækker punkterne, og resten af artiklen handler om det, I selv skal skrive.
Opbygningen
Skabelonen har en fast aftaletekst, bestemmelse 2 til 15, og fire bilag. Teksten dækker kravene i art. 28, stk. 3: instruks, fortrolighed, sikkerhed, underdatabehandlere, overførsel, bistand, brud, sletning og revision. Enkelte steder skal I vælge eller udfylde noget i selve teksten.
- Bestemmelse 7: vælg specifik eller generel godkendelse af underdatabehandlere, og angiv varsel.
- Bestemmelse 10: angiv hvor mange timer der højst må gå, før databehandleren om muligt underretter jer om et brud.
- Bestemmelse 11: vælg sletning eller tilbagelevering ved ophør.
Sæt fristen for brud, så I kan nå jeres egne 72 timer efter art. 33, stk. 1. Der skal også være tid til, at nogen hos jer læser beskeden og tager stilling.
EDPB siger, at en aftale ikke må nøjes med at gentage forordningen, og at den skal være konkret om, hvordan kravene opfyldes (retningslinjer 07/2020, punkt 112). I skabelonen er bilagene stedet til det.
Bilag A: hvad der behandles
Bilag A beskriver formål, karakter, typer af oplysninger, kategorier af registrerede og varighed. Skabelonen kræver, at typerne præciseres ud over en henvisning til art. 4, 6, 9 eller 10, og den giver et eksempel med en konkret liste over felter. Foregår der flere behandlingsaktiviteter, skal oplysningerne fremgå for hver enkelt.
Med IT-øjne er spørgsmålet, om listen svarer til det, der faktisk ligger i systemet. Fritekstfelter, vedhæftede filer, logfiler og supportsager indeholder ofte mere end det, skemaet viser. Står der kun navn og mail, mens brugerne skriver helbredsoplysninger i et notefelt, er bilaget forkert, og det påvirker også sikkerhedsniveauet.
Bilag B: underdatabehandlere
B.1 er en tabel med navn, CVR, adresse og beskrivelse af behandlingen. B.2 er varslet. Ifølge Datatilsynets svar af 23. januar 2026 hører en oversigt over de underdatabehandlere, der skal arbejde for jer, med til aftalegrundlaget. Den må gerne ligge i et tillæg, når den stemmer med virkeligheden, altid kan findes og holdes opdateret.
Beskrivelsen i tabellen er den kolonne, det kan betale sig at bruge tid på. Hvad gør denne underdatabehandler helt konkret, og hvilke af jeres oplysninger ser den? Se underdatabehandlere.
Bilag C: det egentlige arbejde
C.1 Instruks. Beskriv det, leverandøren skal gøre. Er det for bredt, kan det ikke bruges til kontrol, og er det for smalt, bliver support eller backup pludselig en behandling uden instruks.
C.2 Sikkerhed. Først angiver I, hvad der bestemmer niveauet. Derefter er databehandleren berettiget og forpligtet til at vælge foranstaltningerne, men skabelonen giver plads til minimumskrav. Her er overskrifterne: pseudonymisering og kryptering, fortrolighed og robusthed, genopretning, regelmæssig afprøvning, adgang via internettet, beskyttelse under transmission og opbevaring, fysisk sikring, hjemme- og fjernarbejdspladser og logning. Hvert punkt bør give et svar, der kan kontrolleres. En formulering som “passende kryptering” er svagere end en angivelse af, hvad der krypteres, med hvilket minimum, og hvem der har nøglerne. Logning bør sige, hvad der logges, hvor længe det gemmes, og hvem der må se det. Genopretning bør sige, hvor hurtigt og hvor ofte det afprøves.
C.3 Bistand. Hvordan hjælper leverandøren med indsigt, sletning og brud? Kan den søge på en person i backup og logs? Gør den det inden for en tid, der passer til jeres svarfrist på en måned?
C.4 Sletning. Skriv opbevaringsperioden eller sletterutinen, og tag backup og logs med. Et system, der sletter i databasen, men beholder en kopi i backup i lang tid, skal være beskrevet ærligt.
C.5 Lokalitet. Her skal stå, hvor behandlingen faktisk sker, og hvilken leverandør der bruger adressen. Samme svar fra Datatilsynet kræver, at aftalen oplyser lokationen, og det kan ikke altid klares med adressen på hovedkontoret, når arbejdet foregår et andet sted. Med IT-øjne hører datacenter, backupsted, supportsted og fjernadgang alle med.
C.6 Overførsel. Skabelonen siger, at leverandøren ikke må overføre til tredjelande uden dokumenteret instruks. Står der intet, må det altså ikke ske. Selve skabelonen er ikke et overførselsgrundlag, og det står også i bestemmelse 8. Skal der overføres, angives grundlaget efter kapitel V, se overførsel til tredjelande.
C.7 og C.8 Revision. Skabelonen giver eksempler med en årlig erklæring fra en uafhængig tredjepart eller fysisk inspektion, og den regulerer, hvem der betaler. Vælg det, der passer til jeres tilsyn, se tilsyn med databehandlere.
Bilag D og resten
Bilag D er til andre forhold. Bestemmelse 13 tillader fx regler om erstatningsansvar, så længe de ikke strider mod aftalen eller forringer de registreredes rettigheder.
Hvem der gør hvad
Virksomheden og leverandøren indgår og udfylder aftalen. Datatilsynet nævner konkrete databehandleraftaler som noget, en DPO ikke skal stå for. Rådgivning om de krav, der skal stilles, er derimod inden for rollen. Med IT-baggrund er det særlig nyttigt at få bilag C læst igennem af en, der kan se forskel på et krav og en formulering. Selve aftalen bør en jurist se på, når den har vægt.
Det gør I nu
Tag jeres vigtigste databehandleraftale, og læs bilag A, B og C sammen med den, der kender systemet. Marker hvert punkt, I ikke kan genkende i driften. Det er jeres liste til leverandøren.
Det skal I lade være med
- At lade IT stå uden for bilagene · de beskriver IT.
- At skrive “passende” i stedet for krav · det kan ikke kontrolleres.
- At bruge en gammel kopi · hent den nyeste version hos Datatilsynet.
- At tro, at skabelonen dækker overførsler · den giver intet overførselsgrundlag.
Det skal I kræve af den eksterne
- ☐ En gennemlæsning af bilag A, B og C mod de faktiske systemer.
- ☐ Rådgivning om de databeskyttelseskrav, der bør stå i bilag C.
- ☐ En liste over punkter, der er for upræcise til at kontrollere.
- ☐ Klar adskillelse af rådgivning og ansvaret for selve aftalen.
Kilder
- Datatilsynet: Blanketter og skabeloner: skabelon til databehandleraftale på dansk og engelsk, version 1.2 ifølge ændringsloggen. Læst 5. november 2026.
- Datatilsynet: Vilkår i databehandleraftalen om overførsler af personoplysninger til tredjelande, 23. januar 2026: liste over underdatabehandlere og lokation.
- Afgørelse (EU) 2021/915: Kommissionens standardkontrakt efter art. 28, stk. 7.
- EDPB: Retningslinjer 07/2020, version 2.1: punkt 112.
- Forordning (EU) 2016/679, dansk tekst: art. 28 og art. 33, stk. 1.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvornår skal I have en databehandleraftale? · Tjeklister og skabeloner
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
