Når en kunde kræver GDPR-dokumentation af jer, skyldes det art. 28, stk. 1. En dataansvarlig skal vælge leverandører med de fornødne garantier, og EDPB, de europæiske tilsynsmyndigheders fælles råd, siger, at det kun er de garantier, I kan påvise, der tæller. Har I materialet klar før tilbuddet, kan indkøb læse det med det samme, og salget skal ikke finde svarene frem under tidspres. Denne artikel beskriver indholdet i mappen, og hvad der kan sendes, og hvad der først gives under fortrolighed. Selve spørgeskemaet om sikkerhed og spørgsmålene om produktet hører til andre steder. Her er emnet persondata.
Det, indkøb skal kunne vise bagefter
EDPB’s retningslinjer 07/2020 forklarer kundens situation i punkt 94 til 99. Kunden skal vurdere, om garantierne er tilstrækkelige, og skal kunne bevise, at vurderingen er foretaget. Det er en vurdering fra sag til sag, der afhænger af behandlingens art og risiko. Elementerne er bl.a. ekspertise, pålidelighed og ressourcer. EDPB nævner, at det ofte kræver udveksling af dokumenter, og giver eksempler som privatlivspolitik, vilkår, fortegnelse, sikkerhedspolitik, eksterne revisioner og anerkendte certificeringer.
Pligten slutter ikke ved underskriften. EDPB kalder den løbende. Det, I sender i tilbudsfasen, skal I altså kunne holde ajour. Et svar skal også kunne gemmes af kunden, så en mundtlig forsikring hjælper ingen.
Mappen
Syv dele dækker det meste. Hvad der er relevant, afhænger af tjenesten.
- Beskrivelse af tjenesten. Hvad I gør med personoplysninger for kunden, hvilke kategorier det drejer sig om, og at I handler som databehandler. Er rollen uklar, så afklar den først, se dataansvarlig eller databehandler.
- Uddrag af fortegnelsen. Art. 30, stk. 2, kræver bl.a. kategorier af behandling, tredjelandsoverførsler og om muligt en overordnet sikkerhedsbeskrivelse. Selve fortegnelsen som databehandler er jeres egen, så det, kunden får, er et uddrag om tjenesten.
- Underdatabehandlere. EDPB’s udtalelse 22/2024 siger, at kunden altid bør kunne finde hvert led i kæden med navn, adresse og kontaktperson samt en beskrivelse af behandlingen. Tilføj land. Se underdatabehandlere.
- Sikkerhedsbeskrivelse. En kort tekst om foranstaltningerne efter art. 32, skrevet til en, der ikke er tekniker.
- Erklæring eller eget tilsyn. Datatilsynets vejledning om tilsyn med databehandlere beskriver flere niveauer, fra en skriftlig bekræftelse og en årlig skriftlig status til en erklæring fra en uafhængig tredjepart, fx en ISAE 3000-erklæring. Har I ingen erklæring, kan en dateret årlig status være et ærligt svar. Oplys, hvad den dækker.
- Kontaktpunkt. Navn og kontakt på DPO’en, hvis I har en. Ellers en navngiven ansvarlig, og et notat om, hvorfor I ikke skal have en DPO, se kunden spørger om jeres DPO.
- Udkast til databehandleraftale og procedure ved brud. Hvilken skabelon I foreslår, og hvordan kunden får besked om et brud, jf. art. 33, stk. 2.
Følger I en godkendt adfærdskodeks eller certificering efter art. 40 og 42, kan det indgå som element efter art. 28, stk. 5. Skelnen er vigtig. En anerkendt international certificering er nyttig dokumentation, men det gør den ikke til en godkendt mekanisme efter forordningen. Skriv det, som det er.
Det, der kan sendes, og det, der venter
Forordningen fastsætter ingen rækkefølge. Inddelingen her er vores anbefaling, og den bygger på, at nogle oplysninger om jeres sikkerhed kan skade, hvis de spredes.
Kan sendes med tilbuddet:
- beskrivelse af tjenesten og jeres rolle,
- oversigt over underdatabehandlere og lande,
- kort sikkerhedsbeskrivelse,
- kontaktpunkt og aftaleudkast,
- oplysning om, hvilken erklæring eller status der findes, og hvilken periode den dækker.
Gives under fortrolighed, når kunden er i slutfasen:
- den fulde erklæring,
- den detaljerede sikkerhedsbeskrivelse med arkitektur og opsætning,
- resultater af tests,
- oplysninger om tidligere brud, så vidt det er relevant.
Gives ikke:
- oplysninger om andre kunder, heller ikke når de står i samme dokument,
- hele fortegnelsen, hvis den rummer andre kunders forhold.
Lav en kort fortrolighedsaftale, og aftal, hvem hos kunden der modtager materialet. Efter kontrakten gælder art. 28, stk. 3, litra h, så I skal stille de nødvendige oplysninger til rådighed og bidrage til revisioner, se kunden vil føre tilsyn med os.
Svarene binder jer senere
Det, der står i tilbuddet, bliver grundlaget for kundens vurdering. Afviger det fra databehandleraftalen, fortegnelsen eller virkeligheden, har I et problem, der først viser sig ved kundens tilsyn eller ved et brud. Tre enkle regler holder mappen i orden:
- Én ejer. En navngiven person godkender materialet, så salget ikke selv formulerer løfter om persondata.
- Dato og version. Hvert dokument har en dato, og I kan se, hvilken version en kunde har fået.
- Faste anledninger. Materialet gennemgås, når en underdatabehandler skiftes, når tjenesten ændres, og når en erklæring udløber. EDPB råder desuden til at oplyse kunden om ændringer i en godkendt certificering.
En DPO kan rådgive om indholdet og kontrollere, at det passer. Datatilsynets FAQ forudsætter, at udførelsen ligger hos de operationelle enheder, så mappen bør have sin ejer dér. Er DPO’en selv ejer, kommer vedkommende til at kontrollere sit eget arbejde.
Det gør I nu
Tag det seneste spørgeskema fra en kunde, og se, hvilke svar der tog længst tid at finde. Begynd med dem. Mangler I grundlaget, fx fortegnelse eller aftaler, kan en GDPR-gennemgang vise, hvad der skal på plads først. Spørger kunderne, om I skal have en DPO, står pligten i databehandler og DPO-krav.
Det skal I lade være med
- At sende en hel fortegnelse · den rummer andre kunders forhold.
- At love mere end aftalen · tilbuddet bliver målt mod det, I leverer.
- At kalde en almindelig certificering godkendt efter GDPR · det er to forskellige ting.
- At lade datoerne forælde · kunden skal kunne se, at svaret gælder i dag.
Det skal I kræve af den eksterne
- ☐ Rådgivning om, hvad der hører i mappen for netop jeres tjeneste.
- ☐ Kontrol af, at mappen stemmer med aftale og fortegnelse.
- ☐ En vurdering af, hvad der kun kan gives under fortrolighed.
- ☐ Klar adskillelse, så ejerskabet af mappen bliver hos jer.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 28, stk. 1, 3 og 5, art. 30, stk. 2, art. 32 og art. 33, stk. 2, læst 6. november 2026.
- EDPB: Retningslinjer 07/2020 om dataansvarlig og databehandler: punkt 94 til 99, læst 6. november 2026.
- EDPB: Udtalelse 22/2024 om databehandlere og underdatabehandlere: resumé og punkt 22, læst 6. november 2026.
- Datatilsynet: Vejledning om tilsyn med databehandlere, oktober 2021: koncept 2, 3 og 5, læst 6. november 2026.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om interessekonflikter, læst 6. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fortegnelse som databehandler · Kunden spørger om jeres DPO
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
