I skal have en databehandleraftale, når en anden virksomhed eller person behandler personoplysninger på jeres vegne. Kravet står i art. 28, stk. 3, og det gælder uanset virksomhedens størrelse, og uanset hvor få personer det drejer sig om. Aftalen skal være skriftlig, men elektronisk form er nok (art. 28, stk. 9), så en aftale, I har accepteret online, kan opfylde kravet. Spørgsmålet er sjældent, om I skal have aftaler. Det svære er at finde de leverandører, ingen har tænkt på som databehandlere.
Tre spørgsmål afgør det
- Behandler den anden part personoplysninger? Behandling er et bredt ord. Datatilsynets tilsynsvejledning minder om, at det at opbevare oplysninger er nok, også selv om ingen læser dem.
- Er parten en selvstændig enhed? Egne ansatte er ikke databehandlere. Et andet selskab i koncernen kan være det.
- Sker det på jeres vegne? Oplysningerne skal bruges til jeres formål, og den anden part må ikke selv bestemme, hvad de skal bruges til.
Tre ja betyder aftale. Svarer I nej til det sidste, fordi parten bruger oplysningerne til sit eget formål, er den selvstændigt dataansvarlig, og så skal I i stedet have grundlag for at videregive oplysningerne. Afgrænsningen står i dataansvarlig eller databehandler.
De tilfælde, der overses
Lønbureau, hosting og CRM-system står på de fleste lister. Datatilsynets og EDPB’s eksempler viser, at kravet rækker længere, og mange af dem findes i ganske almindelige virksomheder.
- Små onlinetjenester. Tilsynsvejledningens eksempel er en frisør med et bookingsystem og under 1.000 kunder. Også her skal aftalen være på plads, selv om tilsynet derefter kan være meget enkelt.
- Betalingsløsningen på webshoppen. Vejledningens eksempel behandler kortoplysninger for shoppen.
- Nyhedsbrevsværktøjet. Et firma, der udsender nyhedsmails for en anden, er databehandler for mailadresserne. Vejledningen bruger en fagforening som eksempel.
- Den faste IT-partner. Ifølge EDPB er en supportleverandør databehandler, når den i sit arbejde uundgåeligt kommer til mange personoplysninger, også hvor aftalen handler om noget helt andet. Se IT-leverandøren har fjernadgang.
- Krypteret hosting. EDPB’s eksempel er en leverandør, der kun opbevarer krypterede data. Den er stadig databehandler.
- Callcentret. Det ser kundernes oplysninger for at hjælpe dem, og oplysningerne må kun bruges til det.
- Whistleblowerordningen. Administrerer et advokatfirma ordningen med et system og efter instruks, peger Datatilsynets eksempel 15 på, at firmaet er databehandler.
- Koncernens fælles IT. Driver ét selskab systemerne for de andre, kan det være databehandler for dem.
- Konsulenter. En ekstern, der er hyret til at gennemgå sager eller rette i data, kan være databehandler, se konsulenter og vikarer.
Listen er eksempler og ingen facitliste. Når I gennemgår jeres egne leverandører, kan I med fordel gå ud fra systemerne frem for fra kontraktmappen. Spørg, hvor persondata ligger, og hvem der kan komme til dem, for så dukker også de små tjenester op, som en afdeling selv har købt på et kreditkort. Nye AI-værktøjer hører med, og punkterne dér står i databehandleraftale med en AI-leverandør. Kortlægningen er beskrevet i hvor ligger jeres persondata.
Her er der ikke brug for en aftale
Datatilsynets vejledning er tydelig om, at en leverandør ikke bliver databehandler, fordi den møder oplysninger undervejs. Det gælder reparatøren af kopimaskinen, selv om der kan ligge dokumenter gemt i den, og tømreren, som har brug for en adresse for at kunne møde op. Reparatøren kan I bede underskrive en tavshedserklæring som led i jeres almindelige sikkerhed. EDPB’s eksempel om en taxatjeneste og en konsulent, der retter en softwarefejl, peger samme vej.
Banker, transportører, revisorer og advokater i klassisk rådgivning er ofte selvstændigt dataansvarlige. Her er en databehandleraftale den forkerte løsning, og den kan give et falskt billede af, hvem der har ansvaret.
Er revisoren databehandler? Som regel nej. I Datatilsynets eksempel 3 har en revisor en bred opgave, træffer selv de væsentlige beslutninger og er selvstændigt dataansvarlig. Svaret afhænger dog af opgaven, som dataansvarlig eller databehandler gennemgår. En ekstern bogholder er ikke med i de eksempler, vi har læst. Efter samme test ligger en bogholder, der bogfører efter jeres instruks, efter vores læsning tættere på lønbureauet end på revisoren. Så kan der være brug for en aftale.
Tvivlen om jeres eksterne DPO har sin egen artikel, er den eksterne DPO databehandler?
Det skal aftalen indeholde
Art. 28, stk. 3, siger, at aftalen skal være bindende for databehandleren og beskrive behandlingens genstand og varighed, karakter og formål, typen af personoplysninger og kategorierne af registrerede. Registrerede er de personer, oplysningerne handler om. Desuden skal aftalen pålægge databehandleren en række pligter.
- Behandling kun efter dokumenteret instruks.
- Fortrolighed hos de personer, der har adgang.
- Sikkerhed efter art. 32.
- Regler for underdatabehandlere.
- Bistand ved de registreredes rettigheder.
- Bistand ved sikkerhed, brud og konsekvensanalyser.
- Sletning eller tilbagelevering, når opgaven slutter.
- Oplysninger og mulighed for revision, herunder inspektion.
EDPB understreger, at en aftale, der blot gentager forordningens ord, er for tynd (punkt 112). Den skal sige, hvordan kravene opfyldes i netop denne behandling, og hvilket sikkerhedsniveau der gælder. Datatilsynets skabelon hjælper med det, se skabelonen læst med IT-øjne. Har leverandøren sin egen aftale, er spørgsmålet et andet, se leverandørens standardaftale.
Skal aftalen underskrives?
Forordningen kræver ingen underskrift på en databehandleraftale. Art. 28, stk. 9, kræver skriftlig form, herunder elektronisk, og stk. 3 kræver, at aftalen binder databehandleren. Vilkår, I har accepteret online, kan derfor opfylde kravet, når I kan finde dem og vise, hvad der blev aftalt. En underskrift er stadig en enkel måde at vise det på. Hvem der skal signere, står ikke i forordningen. Det følger af, hvem der kan binde virksomheden, og tvivl om det må I tage med en advokat.
Tidspunktet
Aftalen skal være på plads, før oplysningerne overlades. I praksis er købet det naturlige sted at fange den, og det kræver, at indkøb eller IT stiller spørgsmålet, før tjenesten tages i brug. Det gælder også prøveperioder med rigtige data.
Mangler der en aftale hos en leverandør, I allerede bruger, så kontakt leverandøren og få den indgået. Tilsynsvejledningen foreslår netop det og anbefaler en fast årlig gennemgang af, hvilke databehandlere I har.
DPO’ens plads
Datatilsynets vejledning om DPO’er regner udarbejdelsen af konkrete databehandleraftaler blandt de opgaver, rollen kan holdes ude af. FAQ’en åbner for, at DPO’en kan rådgive om de konkrete databeskyttelseskrav, når gennemførelsen ligger hos de operationelle enheder. Derfor bør virksomheden selv eje aftalerne, typisk hos indkøb, IT eller jura, mens en DPO rådgiver og kontrollerer, at processen virker. Se også det en DPO ikke skal lave.
Det gør I nu
Lav en liste over systemer og eksterne med adgang til persondata, og sæt tre kolonner på: rolle, aftale og dato. Tomme felter er jeres arbejdsliste. Tag dem med flest eller mest følsomme oplysninger først.
Det skal I lade være med
- At antage, at lille betyder undtaget · kravet har ingen nedre grænse.
- At lave aftaler med alle for en sikkerheds skyld · en forkert rolle i en aftale skjuler det reelle ansvar.
- At stoppe ved kontraktmappen · prøveversioner og afdelingernes egne tjenester står sjældent dér.
Det skal I kræve af den eksterne
- ☐ Rådgivning om, hvilke leverandører der kræver en aftale.
- ☐ Kontrol af, at leverandørlisten og aftalerne stemmer overens.
- ☐ Et enkelt spørgsmål i indkøbsprocessen, der fanger nye databehandlere.
- ☐ Klar besked om, at aftalerne ejes og indgås af virksomheden.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 4, nr. 8, og art. 28, stk. 3 og 9.
- Datatilsynet: Vejledning om dataansvarlige og databehandlere: afsnit 3.1 og 3.2 og eksempel 1, 2, 15 og 16.
- Datatilsynet: Vejledning om tilsyn med databehandlere: afsnit 1.1 og eksemplerne med frisør, webshop og fagforening.
- EDPB: Retningslinjer 07/2020, version 2.1: punkt 82 til 83 og 112 og eksemplerne om hosting, callcenter og IT-support.
- Datatilsynet: Databeskyttelsesrådgivere: DPO’ens rådgivning om databehandleraftaler.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Underdatabehandlere · Tilsyn med databehandlere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
