Databehandlere og leverandører
De fleste virksomheder har flere personoplysninger hos leverandører end hos sig selv. Løn, mail, regnskab, kundesystem og IT-drift ligger hos andre, og ansvaret for oplysningerne følger ikke med ud af huset. Efter art. 28, stk. 1, må I kun bruge databehandlere, der kan stille de fornødne garantier. Det skal I kunne vise. En underskrevet aftale er begyndelsen, og det, der afgør sagen, er om aftalen passer til det, leverandøren gør. Siden her samler artiklerne om roller, aftaler og kontrol, læst med IT-øjne.
Det, der går igen
Tre spørgsmål kommer igen ved hver leverandør. Hvem bestemmer formål og hjælpemidler? Hvad kan leverandøren faktisk se og gøre i jeres data, også via fjernadgang? Og hvem har kontrolleret det for nylig? Hold svarene i en enkel oversigt over leverandører med oplysninger om aftale, underdatabehandlere, lokation og seneste tilsyn. Datatilsynet har store databehandlere som fokusområde i 2026, fordi kunderne mødes af ensartede leverancer, hvor det er svært at give instrukser.
Roller
- Dataansvarlig eller databehandler: sådan afgør I, hvad I er Rollen følger af det, der faktisk sker, vist med revisor, advokat, lønbureau og IT.
- Fælles dataansvar: hvornår og hvordan? Når to bestemmer sammen, og hvad art. 26 og tilsynets skabelon kræver.
- Konsulenter og vikarer med adgang til persondata: hvem er ansvarlig? Datatilsynets principper for vikarer, konsulenter og freelancere.
Aftalen
- Hvornår skal I have en databehandleraftale? Hovedreglen, de tilfælde, der overses, og kravene i art. 28.
- Datatilsynets skabelon til databehandleraftale læst med IT-øjne Bilag A til D, hvor instruks, sikkerhed, underdatabehandlere og lokation bliver konkret.
- Leverandørens standardaftale: kan I acceptere den? Standardvilkår kan være nok, når I kan begrunde det, læst efter svaret af 23. januar 2026.
- Databehandleraftale med Microsoft: det, I accepterer Hvor aftalen findes, hvad I accepterer, og hvad der stadig er jeres, læst 5. november 2026.
- Underdatabehandlere: listen, ingen læser Godkendelse, varsel og indsigelse, og hvad I gør, når leverandøren melder en ændring.
Art. 28, stk. 3, opregner det, aftalen skal rumme, og stk. 9 kræver skriftlig form, herunder elektronisk. Standardvilkår kan godt leve op til reglerne, skriver Datatilsynet i vejledningen om cloud. Det ændrer ikke på, at I selv skal have vurderet dem og kunne vise det.
Kontrollen
- Tilsyn med databehandlere: sådan gør I med Datatilsynets pointmodel Point, koncept og hyppighed, og hvordan det kan nås med mange leverandører.
- Kunden vil føre tilsyn med os som databehandler Pligterne efter art. 28, når det er jer, der bliver kontrolleret.
EDPB’s udtalelse 22/2024 siger, at I bør have identiteten på alle i kæden lettilgængelig, og at omfanget af kontrollen følger risikoen. Er I selv leverandør, gælder pligterne den anden vej, og spørgsmålet om DPO er behandlet i artiklen om DPO-kravet for databehandlere. Hvordan en leverandør følges op i det daglige, står under opfølgning på IT-leverandøren.
Det, der ofte overses
- Leverandøren bruger jeres data til egne formål Art. 28, stk. 10, og hvad det betyder, at I nu videregiver oplysninger.
- IT-leverandøren har fjernadgang: er det en databehandler? Adgang er behandling, og den skal begrænses, logges og aftales.
Kan leverandøren se data fra et land uden for EU, er det et spørgsmål om overførsel, også selv om oplysningerne ligger i EU.
Hvem gør hvad
Virksomheden indgår aftalen. Datatilsynets vejledning holder udarbejdelsen af konkrete aftaler uden for rollen, og FAQ’en tillader rådgivning om konkrete krav, så længe implementeringen ligger hos de operationelle enheder. En DPO vurderer altså aftalen og leverandørens sikkerhedsniveau, og I skriver under. Hvem der bagefter kontrollerer, at tilsynet med leverandørerne bliver ført, står under Det får I.
Også relevant
Det skal I lade være med
- At lade bilagene stå tomme · uden konkrete oplysninger siger aftalen meget lidt om jeres behandling.
- At underskrive og glemme · ændringer i underdatabehandlere og vilkår kommer løbende.
- At lade et IT-spørgsmål blive et papirspørgsmål · spørg, hvad leverandøren faktisk kan se.
Det skal I kræve af den eksterne
- ☐ Læsning af aftale og bilag holdt op mod opsætningen.
- ☐ En vurdering af leverandørens sikkerhedsniveau med henvisning til dokumentation.
- ☐ Rådgivning om krav, mens I forhandler og underskriver aftalen.
- ☐ En plan for tilsyn, der passer til antallet af leverandører og risikoen.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 26, 28 og 29.
- Datatilsynet: Dataansvarlige og databehandlere, november 2017.
- Datatilsynet: Vejledning om cloud, marts 2022.
- Datatilsynet: Tilsyn med databehandlere, oktober 2021.
- EDPB: Udtalelse 22/2024.
- Datatilsynet: Særlige fokusområder i 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Underdatabehandlere · Overførsel uden for EU
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
Mangler I en DPO?
Fortæl kort, hvad der fylder: et kundekrav, en konsekvensanalyse, et brud eller en DPO, der stopper. Rådgivningen er uvildig og uden bindinger til leverandører, så svaret tager udgangspunkt i jeres situation.
