Behandler I personoplysninger på vegne af kunder, skal I føre en fortegnelse efter art. 30, stk. 2, i databeskyttelsesforordningen. Den er kortere end den dataansvarliges og er opbygget anderledes, fordi den følger kunderne frem for jeres egne formål. For IT-leverandører, hostingfirmaer, SaaS-virksomheder og andre, der arbejder med andres data, er den tilmed grundlaget for at svare på kundernes spørgsmål, for de forudsætter et overblik, som kun fortegnelsen samler. Her er indholdet, modellen for standardtjenester og forholdet til underdatabehandlere og undtagelsen i art. 30, stk. 5, med status pr. 5. november 2026.
To roller, to fortegnelser
De fleste databehandlere er også dataansvarlige. I er databehandler for det, I gør for kunderne, og dataansvarlig for jeres egne ansatte, kundekontakter og leverandører. Det giver to adskilte dokumenter. Fortegnelsen efter stk. 1 beskriver jeres egne formål, som gennemgået i fortegnelsen over behandlingsaktiviteter. Fortegnelsen efter stk. 2 beskriver det, I udfører for andre. Hvornår I er det ene eller det andet, afgøres i dataansvarlig eller databehandler.
Både den dataansvarlige og databehandleren skal altså føre fortegnelse over den samme behandling. Det er forventeligt, at de to dokumenter ikke ligner hinanden, for de to parter ser behandlingen fra hver sin side.
Det, stk. 2 kræver
Fortegnelsen skal indeholde fire punkter:
- navn og kontaktoplysninger på databehandleren eller databehandlerne og på hver dataansvarlig, I handler på vegne af, og, hvor det er relevant, repræsentant og databeskyttelsesrådgiver,
- de kategorier af behandling, der foretages for den enkelte dataansvarlige,
- overførsler til tredjelande, hvor det er relevant,
- hvis det er muligt, en overordnet beskrivelse af sikkerheden, tekniske som organisatoriske foranstaltninger.
Listen er kortere end stk. 1. Formål, kategorier af registrerede og slettefrister står ikke i stk. 2, for de hører til den dataansvarlige. Formkravet er det samme: den skal foreligge skriftligt, herunder elektronisk, og Datatilsynet kan bede om at få den (art. 30, stk. 3 og 4).
Kategorier pr. kunde
“Kategorier af behandling” er forordningens ord, og vejledningen fra august 2020 siger, at pligten dækker alle de kategorier, I udfører for en given dataansvarlig. For en IT-leverandør kan det i et tænkt eksempel være drift af mailservere, backup, fjernsupport og overvågning af klienter. For et lønbureau kan det være lønkørsel og indberetning.
Har I mange kunder med hver sin aftale, er en enkel opbygning et skema med en linje pr. kunde og en kolonne for hver ydelse. Kunden, der kun køber backup, får et kryds dér. Tilkøb og opsigelser skal så slå igennem i skemaet, og derfor giver det mening at koble vedligeholdelsen til kundestyringen eller aftalesystemet. Hvis det sker manuelt, bliver fortegnelsen forældet samme dag, som en kunde stopper. Det er vores råd, og Datatilsynet stiller ikke krav om et bestemt format.
Fjernsupport bør stå for sig selv. Adgang til oplysninger er en behandling, også når intet flyttes, og det gør ydelsen let at overse. Se fjernsupport og databehandleraftale.
Standardtjenester
Sælger I den samme tjeneste til mange kunder, fx en cloudløsning, åbner Datatilsynet for én fortegnelse for behandlingen med alle de relevante dataansvarlige oplistet. Vejledningen ser ikke noget til hinder for det, forudsat at de fire indholdskrav er opfyldt. Det er den lette model for en SaaS-virksomhed. Tjenesten beskrives én gang, og kundelisten føres som bilag eller trækkes fra kundesystemet.
Modellen holder, så længe tjenesten faktisk er ens. Har enkelte kunder særlige tilvalg, en anden databehandlerkæde eller en anden placering af data, skal det kunne ses. Ellers fortæller fortegnelsen noget om den kunde, som ikke passer.
Underdatabehandlere og overførsler
Art. 30, stk. 2, nævner ikke underdatabehandlere som et selvstændigt punkt, men efter vores læsning hører de med. Kravet om, at navn på “databehandleren eller databehandlerne” skal fremgå, og kravet om at angive overførsler rammer jeres kæde, når en underleverandør står for dele af behandlingen eller sidder i et tredjeland.
Kunderne har desuden en selvstændig grund til at spørge. EDPB’s udtalelse 22/2024 siger, at den dataansvarlige altid bør have identiteten på alle i kæden let tilgængelig. Det spørgsmål lander hos jer, ofte i et spørgeskema eller ved et tilsyn. Hvis fortegnelsen rummer kæden pr. ydelse, kan svaret trækkes derfra frem for at blive skrevet forfra hver gang. Reglerne om godkendelse og varsel står i underdatabehandlere.
Det, kunderne spørger om
Fortegnelsen er intern, og pligten efter stk. 4 går til tilsynet. Forordningen giver ikke kunden en selvstændig ret til at få hele dokumentet udleveret. Den rummer jo også jeres andre kunder. Art. 28, stk. 3, litra h, forpligter jer derimod til at stille de oplysninger til rådighed, der er nødvendige for at påvise, at pligterne er overholdt, og til at bidrage til revisioner. Et uddrag for den enkelte kunde er derfor et naturligt svar, og hvordan et tilsyn hos jer forløber, står i kunden vil føre tilsyn med os.
Det er også en god idé at kunne vise, at beskrivelsen af sikkerheden i fortegnelsen svarer til den, der står i databehandleraftalerne. Forskelle mellem de to dokumenter bør rettes, før en kunde spørger til dem.
Undtagelsen i stk. 5 og den foreløbige aftale
Art. 30, stk. 5, omfatter også databehandlere. Har I færre end 250 beskæftigede, kan I være fritaget, så længe ingen af de tre indskrænkninger rammer jer: risiko for personerne, behandling, der foregår mere end lejlighedsvis, og oplysninger efter art. 9 eller 10. Den, der løbende arbejder med kunders data, vil sjældent kunne kalde behandlingen lejlighedsvis. Sådan lyder reglen i dag.
Omnibus IV kan flytte grænsen. En foreløbig aftale fra 26. juni 2026 foreslår 1000 personer som ny grænse. Pligten består efter forslaget for den enkelte behandling, der sandsynligvis medfører høj risiko, og altid for en kerneaktivitet med DPO-krav. Forslaget var ikke vedtaget den 5. november 2026, og afstemningen i Parlamentet står vejledende til 23. november 2026. Efter vores vurdering får en databehandler brug for overblikket uanset udfaldet, fordi kunderne bliver ved med at spørge, og fordi art. 28, stk. 3, litra h, står urørt.
Det skal I lade være med
- At blande jeres egen fortegnelse med kundernes · de to roller skal kunne skelnes.
- At sende hele fortegnelsen til en kunde · den rummer oplysninger om andre kunder.
- At bruge én fortegnelse for en standardtjeneste, der ikke er standard · særlige aftaler skal kunne ses.
- At lade fjernsupport stå uden for dokumentet · adgang er også behandling.
Det skal I kræve af den eksterne
- ☐ En gennemgang af fortegnelsen op mod kundeaftaler og underleverandører.
- ☐ Rådgivning om opbygning, så uddrag til den enkelte kunde kan laves hurtigt.
- ☐ En vurdering af, om I er dataansvarlig eller databehandler for de enkelte ydelser.
- ☐ Besked, hvis undtagelsen for mindre virksomheder bliver ændret.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 28, stk. 3, litra h, og art. 30, stk. 2 til 5.
- Datatilsynet: Vejledning om fortegnelse, august 2020: afsnit 2.2 og afsnit 3.
- EDPB: udtalelse 22/2024: identiteten på alle i kæden.
- Europa-Parlamentet: procedurefil 2025/0130(COD): status læst 5. november 2026.
- Foreløbig aftale, PE790.249, 26. juni 2026: foreslået art. 30, stk. 5.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Databehandler og DPO-krav · Underdatabehandlere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
