Når en kunde vil føre tilsyn med jer, bruger kunden en ret, der følger af databehandleraftalen. Art. 28, stk. 3, litra h, kræver, at databehandleren stiller alle nødvendige oplysninger til rådighed og giver mulighed for og bidrager til revisioner, herunder inspektioner. I kan altså ikke sige nej, men I kan i høj grad påvirke, hvordan det foregår. Får I mange kunder og mange spørgeskemaer, er det arbejdet med at samle svarene ét sted, der sparer tid. Kunden skal bruge jeres svar i sit eget ansvar, så I står stærkest, når svaret bygger på aftalen.
Hvorfor kunden spørger
Datatilsynets tilsynsvejledning fra 2021 lægger vægt på, at det er kundens pligt at følge op, og at kontrollen følger risikoen. Jo mere kritisk behandlingen er for personerne, jo mere intensiv skal kontrollen være.
Vejledningen beskriver seks tilsynskoncepter, som hjælper jer med at forstå, hvad kunden er i gang med.
- Koncept 1. Kunden reagerer først, hvis der dukker et problem op.
- Koncept 2. I bekræfter, gerne på skrift, at aftalen stadig holdes.
- Koncept 3. I leverer en årlig status på skrift, på mail eller på hjemmesiden.
- Koncept 4. I kan vise en relevant certificering eller et adfærdskodeks.
- Koncept 5. Kunden bygger på en tredjeparts kontrol, fx en revisionserklæring.
- Koncept 6. Kunden kontrollerer selv eller sammen med andre, fx med spørgeskema og opfølgning.
Kundens valg afhænger af en vejledende pointskala, hvor bl.a. antal personer og følsomme oplysninger vejer. Bruger kunden en revisionserklæring, siger vejledningen, at behandlinger, der giver 7 til 10 point, kræver en erklæring med høj grad af sikkerhed. Spørg kunden, hvilket koncept der bruges. Det fortæller jer, hvor meget der forventes, og I kan foreslå det niveau, der passer til behandlingen. Hvordan kunden griber tilsynet an, er beskrevet fra den anden side i tilsyn med databehandlere.
Det, I skal kunne svare på
Tilsynet er bundet til databehandleraftalen, og det gør arbejdet overskueligt. Lad aftalens punkter styre, hvilke svar I samler.
- Instruks. Hvordan I sikrer, at oplysningerne kun behandles efter kundens instruks.
- Fortrolighed. Hvilke personer der har adgang, og deres tavshedspligt.
- Sikkerhed. Hvilke foranstaltninger efter art. 32 der gælder for netop den tjeneste.
- Underdatabehandlere. Hvem der indgår, og hvor de behandler oplysningerne.
- Brud. Hvordan I underretter kunden uden unødig forsinkelse efter art. 33, stk. 2.
- Sletning. Hvad der sker ved ophør, og hvordan I bekræfter det.
Underdatabehandlere og lokation fylder særligt. I Datatilsynets svar af 23. januar 2026 om databehandleraftaler står, at kunden skal kunne finde en liste over underdatabehandlere, der passer og holdes ajour. En liste, der ændrer sig, uden at kunden bliver inddraget, vil normalt stride mod reglerne. Aftalen skal efter tilsynets opfattelse også sige, hvor behandlingen foregår, og adressen på hovedkontoret slår ikke altid til. Kan I ikke svare på det i dag, er det der, I skal starte.
Saml svarene ét sted
De fleste skemaer stiller de samme spørgsmål med forskellige ord. Lav derfor en fast samling for hver tjeneste med fortegnelsen efter art. 30, stk. 2, listen over underdatabehandlere, en beskrivelse af sikkerheden og log over brud. Hold samlingen ajour og datér den. Hvis I har flere tjenester, skal svaret passe til den tjeneste, kunden faktisk køber.
Selve processen med at samle, godkende og genbruge svar er ledelsesarbejde, og den er beskrevet i samme dokumentation til flere kunder. De produktnære svar hører under kundens spørgeskema om produktet. Set fra databeskyttelsen er kravet enkelt: svarene skal stemme med aftalen. Afviger virkeligheden, skal aftalen rettes, eller virkeligheden skal. Vil I kunne vise kunden, at nogen har efterprøvet svarene, så se, hvad en DPO leverer, under Det får I.
Hjælp til kundens konsekvensanalyse
Art. 28, stk. 3, litra f, forpligter jer til at bistå kunden med bl.a. konsekvensanalyser, under hensyn til behandlingens art og de oplysninger, I har. Det er kunden, der laver analysen. Jeres del er at kunne beskrive tjenesten: hvilke oplysninger der indgår, hvor de ligger, hvem der kan se dem, og hvilke foranstaltninger der er på plads.
Et kort, opdateret dokument om tjenesten dækker det meste. Det sparer også jeres folk for at skrive samme tekst forfra, og kunden får en beskrivelse, der kan sættes ind i analysen.
Det, I selv kan aftale
Art. 28, stk. 3, litra h, siger ikke, hvordan en revision foregår, og det er her, I har råderum. Følgende kan med fordel aftales i databehandleraftalen eller før tilsynet.
- Varsel og tidspunkt, så driften kan planlægges.
- Rækkevidde, så tilsynet holder sig til kundens egne behandlinger.
- Fortrolighed, så en revisor ikke ser andre kunders oplysninger.
- Hvad en erklæring dækker, så en revisionserklæring kan bruges i stedet for et besøg, hvor kunden finder den tilstrækkelig.
- Omkostninger, hvis et tilsyn kræver mere end det aftalte.
Vilkårene må ikke tømme kundens ret. Hvor langt de kan gå, er et spørgsmål til advokat. Datatilsynet har desuden store databehandlere med enterprisedrift og shared service som fokusområde for 2026, fordi kunderne her mødes af uniforme leverancer og har svært ved at instruere. Har I standardvilkår, bør I kunne vise, hvordan kunden alligevel kan føre tilsyn.
Når kunden kommer på besøg
Et fysisk besøg følger de samme pligter. Hvordan ledelsen forbereder sig, står under kundens kontrolbesøg. Fra jeres side som databehandler skal I have to ting på plads inden: hvad I vil vise om kundens egne behandlinger, og hvad der skal holdes ude af hensyn til andre kunder.
Det skal I lade være med
- At sige nej til revision · pligten står i art. 28, stk. 3, litra h.
- At sende samme svar til alle tjenester · svaret skal passe til den tjeneste, kunden køber.
- At lade listen over underdatabehandlere glide · den skal være retvisende hele tiden.
- At vise andre kunders oplysninger · de har krav på samme fortrolighed.
Det skal I kræve af den eksterne
- ☐ En gennemgang af, om svarene stemmer med databehandleraftalerne.
- ☐ Rådgivning om, hvad kundens tilsyn kan omfatte.
- ☐ Kontrol af, at listen over underdatabehandlere og lokationer passer.
- ☐ Opfølgning på fund, så samme fund ikke går igen hos næste kunde.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 28, stk. 2 og 3, art. 30, stk. 2, og art. 33, stk. 2.
- Datatilsynet: Vejledning om tilsyn med databehandlere, oktober 2021: de seks koncepter og pointskalaen.
- Datatilsynet: Vilkår i databehandleraftalen om overførsler, 23. januar 2026: underdatabehandlere og lokation.
- Datatilsynet: Fokusområder for 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Databehandler og DPO-krav · Underdatabehandlere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
