Ja, det kan I godt. Datatilsynets vejledning om cloud fra marts 2022 siger, at en leverandørs standardvilkår sagtens kan leve op til reglerne. Det er dog altid jer som dataansvarlig, der skal være betrygget i det og kunne dokumentere det over for tilsynet. Standardaftalen er derfor et dokument, I skal læse og vurdere, og resultatet skal gemmes. At leverandøren er stor, og at vilkårene ikke kan forhandles, er ingen undskyldning for at springe det over.
Det er jer, der accepterer
EDPB skriver i retningslinjer 07/2020, punkt 110, at det i sig selv er uproblematisk, at leverandøren har skrevet aftalen. Samme punkt siger, at ulige styrkeforhold mellem en lille kunde og en stor leverandør ikke fritager kunden. Når I accepterer vilkårene og bruger tjenesten, har I påtaget jer det fulde ansvar for, at det sker efter reglerne.
Det er relevant lige nu. Datatilsynet har i sine fokusområder for 2026 store databehandlere med enterprisedrift og shared service på listen, og det peger på, at kunderne møder uniforme leverancer og vanskelig instruktion. Et standardprodukt betyder ikke, at instruksen forsvinder. EDPB’s eksempel om en cloudtjeneste siger, at kunden skal sikre, at dens særlige instrukser om fx opbevaringstid og sletning overholdes, uanset hvad standardproduktet tilbyder (punkt 84).
Sådan læser I vilkårene
Cloudvejledningen giver en liste med spørgsmål, I kan stille til leverandøren eller finde svar på i dens dokumentation. Omskrevet til en gennemgang er de disse.
- Instruks. Må der kun behandles efter jeres instruks, eller tager leverandøren forbehold for egne formål? Læs mere i artiklen om egne formål.
- Fortrolighed. Er medarbejderne bundet, og kan det påvises?
- Sikkerhed. Er niveauet passende, og hvor går ansvarsdelingen mellem jer og leverandøren? I en cloudtjeneste ligger opsætning og brugere ofte hos jer.
- Underdatabehandlere. Er der en procedure for screening, en fuldstændig oversigt og oplysning om lande og adgang?
- Overførsel. Findes et effektivt overførselsgrundlag?
- De registreredes rettigheder. Er der en procedure for at hjælpe jer?
- Brud. Omfatter proceduren hjælp til jeres anmeldelse?
- Sletning. Kan oplysningerne slettes eller tilbageleveres ved ophør?
- Tilsyn. Hvordan støtter leverandøren jeres kontrol eller revision ved tredjemand?
Svar på punkt 8 bør I undersøge særligt grundigt, for ophøret er sjældent det, der fylder ved købet. Hvordan får I jeres data ud, i hvilket format, og hvor længe efter? Hvornår er de væk fra backup? Vejledningen bemærker også, at delt hardware kan gøre effektiv sletning vanskelig.
Åbne formuleringer efter 23. januar 2026
Den 23. januar 2026 besvarede Datatilsynet en forespørgsel fra Det fælleskommunale Databehandlersekretariat (j.nr. 2025-211-3556). Svaret angår kommuner, men det er skrevet om dataansvarlige generelt, og vi læste hele teksten 5. november 2026.
Sagen drejer sig om vilkår af en type, der går igen i mange standardaftaler. Oplysningerne behandles som udgangspunkt i EU, men leverandøren forbeholder sig at afvige, hvis lov eller en bindende myndighedsafgørelse kræver det. Datatilsynet sagde tidligere, at sådan et forbehold gjorde overførslen tilsigtet. Efter EDPB’s senere præcisering er en så bred formulering for upræcis til at tælle som instruks. Dermed findes der nu en gråzone mellem de to ord.
Datatilsynets konklusion er praktisk.
- En uklar tekst flytter ikke ansvaret. Det bliver hos kunden.
- Fører en vag formulering til en ulovlig overførsel, peger tilsynet på, at kunden kan få et strafferetligt ansvar, fordi den stiltiende har accepteret muligheden.
- Kapitel V afhænger af det scenarie, aftalen åbner for. Hvor sjældent det forventes at ske, ændrer ikke på kravet om et grundlag.
- Der er meget lidt plads til at følge lovkrav fra lande uden for EU, og det er kunden, der skal bevise et tilsvarende beskyttelsesniveau.
Tilsynet anbefaler en enkel fremgangsmåde i tre led. Find de vage steder i teksten. Afklar med leverandøren, om de er tænkt som instruks. Lyder svaret nej, skal I enten give besked om, at der ikke må ske overførsler på det grundlag, eller have teksten taget ud.
Svaret ændrer altså arbejdet med standardaftaler. Et forbehold i småt skal findes, drøftes og afklares skriftligt, også når I ikke regner med, at det nogensinde bliver brugt.
Når vilkårene ikke kan ændres
Det sker ofte, at leverandøren ikke vil ændre noget. Så har I stadig valg. I kan skrive en ensidig instruks til leverandøren og gemme den sammen med aftalen, for EDPB anbefaler at opbevare instrukser sammen med kontrakten (punkt 118). I kan begrænse, hvilke oplysninger der lægges i tjenesten. I kan slå funktioner fra. Og I kan fravælge leverandøren. Har en mindre leverandør slet ingen aftale, kan I selv lægge en frem ud fra en skabelon. Hvilken vej der er rigtig, afhænger af risikoen. Hvis det er afgørende, om en bestemt formulering holder, er det et spørgsmål til advokat.
Hold også øje med ændringer. EDPB siger, at ændringer i databehandleraftaler i standardvilkår bør meddeles direkte til den dataansvarlige og godkendes af denne, og at offentliggørelse på leverandørens hjemmeside alene ikke opfylder art. 28 (punkt 110). Skriv datoen på den version, I har læst, for vilkårene ændrer sig.
Det skal stå i jeres dokumentation
Cloudvejledningen beder jer lave en risikovurdering før brug. Gem den version af aftalen, I vurderede, og noter dato, hvem der læste den, hvad I fandt, og hvad I besluttede om hvert åbent punkt. Datatilsynet kan bede om at se det, og I skal selv kunne finde det, når leverandøren ændrer noget.
Beslutningen om at acceptere vilkårene tager ledelsen. DPO’ens plads er at give råd og at følge op på, om gennemgangen faktisk finder sted.
Det gør I nu
Find standardaftalen hos jeres vigtigste cloudleverandør, og søg efter ordene lov, myndighed, afgørelse, tredjeland og egne formål. Læs hvert sted, og beslut, om det er en instruks, I kan stå inde for. Svaret på, om tjenesten kræver mere end det, står i DPIA før kontrakten.
Det skal I lade være med
- At acceptere med et klik og gå videre · accepten er jeres ansvar.
- At afskrive et forbehold som teoretisk · sandsynligheden afgør ikke, om kapitel V skal iagttages.
- At gemme kun et link · gem den daterede version, I læste.
Det skal I kræve af den eksterne
- ☐ En dateret gennemlæsning af leverandørens aftale mod spørgsmålene i cloudvejledningen.
- ☐ En liste over åbne formuleringer med forslag til afklaring.
- ☐ Rådgivning om instruks til leverandøren, når vilkårene ikke kan ændres.
- ☐ Kontrol af, at I opdager ændringer i vilkårene.
Kilder
- Datatilsynet: Vilkår i databehandleraftalen om overførsler af personoplysninger til tredjelande, 23. januar 2026, j.nr. 2025-211-3556. Læst 5. november 2026.
- Datatilsynet: Vejledning om cloud, marts 2022: standardvilkår og spørgsmålene til leverandøren.
- EDPB: Retningslinjer 07/2020, version 2.1: punkt 84, 110 og 118.
- Datatilsynet: Særlige fokusområder for tilsynet i 2026: store databehandlere.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Overførsel til tredjelande · Underdatabehandlere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
