En aftale med en ekstern DPO kan opsiges, og forordningen giver ingen særlig opsigelsesret eller opsigelsesfrist. Grænsen ligger i art. 38, stk. 3, hvor DPO’en beskyttes mod afskedigelse og straf for at løse sine opgaver. WP243, de europæiske tilsynsmyndigheders fælles vejledning, læser beskyttelsen ind i tjenesteydelseskontrakter. Hvor langt den når i en dansk servicekontrakt, giver vores kilder intet sikkert svar på, og vi kender ingen dansk afgørelse om emnet. Artiklen er derfor et ræsonnement og en hjælp til at stille de rigtige spørgsmål. Selve opsigelsen af jeres aftale bør I tage med en advokat.
Det, kilderne faktisk siger
Tre udsagn fra WP243 danner grundlaget.
Afsnit 2.5 taler om, at en tjenesteydelseskontrakt ikke må opsiges unfair for aktiviteter som DPO. Beskyttelsen følger altså med, selv om DPO’en ikke er ansat.
Afsnit 3.4 slår fast, at forordningen ikke siger, hvordan eller hvornår en DPO kan afskediges eller erstattes. Samme afsnit peger på, at stabile kontrakter og garantier mod uberettiget afskedigelse gør det mere sandsynligt, at DPO’en kan handle uafhængigt.
Endelig er afskedigelse af andre grunde end opgavevaretagelsen legitim. En virksomhed er ikke bundet til en DPO for evigt. Almindelige varsler er emnet i opsigelse og binding, og den ansatte DPO er behandlet i artiklen om beskyttelse og instruktion.
To slags opsigelse
Vores læsning er, at det afgørende er grunden til opsigelsen. Det giver en enkel opdeling.
Opsigelse af forretningsmæssige eller faglige grunde hører til den legitime gruppe. Det kan være, at virksomheden er ændret, at DPO-pligten er bortfaldet, at I samler rollerne et andet sted, at ydelsen ikke leveres som aftalt, eller at I vælger en anden udbyder efter en ordentlig vurdering.
Opsigelse på grund af rådgivningen hører til den forbudte gruppe. Det gælder, når aftalen stopper, fordi DPO’en har frarådet et projekt, foreslået en konsekvensanalyse, skrevet en kritisk rapport eller talt med Datatilsynet som led i opgaverne.
Virkeligheden er ofte blandet. Samarbejdet kan være kørt træt efter en lang uenighed, og så kan begge grunde være til stede. Derfor betyder tidspunkt og dokumentation så meget.
Når opsigelsen kommer lige efter en kritisk rapport
Tænkt eksempel: DPO’en rapporterer i september, at et system behandler helbredsoplysninger uden tilstrækkelig adgangsstyring. I oktober opsiger direktøren aftalen med henvisning til prisen. Opsigelsen kan være helt saglig, og den vil alligevel se ud som en reaktion for enhver udefra.
Vi har ingen kilde til, hvordan en sag som denne ville blive bedømt. Men det er rimeligt at gå ud fra, at I skal kunne vise, hvad beslutningen bygger på. Praktisk betyder det tre ting.
- Grunden skal stå skriftligt og være drøftet, før beslutningen tages.
- Beslutningen skal ligge på øverste ledelsesniveau, så den ansvarlige for det kritiserede område ikke selv afgør sagen.
- Den kritiske vurdering skal behandles færdig, uanset at aftalen stopper. Den forsvinder ikke med DPO’en.
Er der begrundet tvivl, så tal med en advokat, før opsigelsen sendes.
Det, aftalen kan sige
En klausul kan ikke fjerne art. 38, og en kontrakt, der lader kunden opsige fra dag til dag, støder mod WP243’s tanke om stabilitet. Punkterne her er forslag, som advokaten kan formulere.
- Gensidigt varsel. Varslet skal være langt nok til, at I kan finde en afløser, og det gælder begge parter.
- Opstartsperiode. En kort prøveperiode er rimelig for begge parter, og den skal stadig respektere art. 38.
- Begrundelse. Virksomheden oplyser skriftligt grunden til opsigelsen.
- Ingen opsigelse for vurderinger. Aftalen gentager, at opsigelse ikke må skyldes udførelsen af opgaverne.
- DPO’ens egen opsigelse. DPO’en kan stoppe, hvis uafhængigheden ikke kan opretholdes, og siger hvorfor til øverste ledelsesniveau.
Binding virker begge veje. Lang binding kan beskytte DPO’en, og den kan låse jer til en løsning, der ikke fungerer. Aftal derfor en adgang til at ophæve ved væsentlig misligholdelse.
Efter opsigelsen
Er DPO’en lovpligtig hos jer, skal en ny være på plads, og de nye kontaktoplysninger skal meddeles Datatilsynet og offentliggøres efter art. 37, stk. 7. Formularen hos Datatilsynet kræver en navngiven person, og siden forklarer ikke, hvordan ændringer meldes, så læs den, når det bliver aktuelt.
Materialet skal også tilbage: rapporter, åbne sager og den igangværende rådgivning. Det, der er særligt for rollen, står i skift af ekstern DPO. Står I uden afløser, kan når DPO’en stopper hjælpe med rækkefølgen.
Sådan går I videre
Find opsigelsesafsnittet i jeres aftale, og læs det sammen med art. 38, stk. 3. Står der hverken varsel, begrundelse eller overdragelse, så få det rettet, mens samarbejdet fungerer. Er I på vej til at opsige, så skriv grunden ned, og lad en anden end den kritiserede områdeansvarlige tage beslutningen.
Det skal I lade være med
- At bruge prisen som dække for en faglig uenighed · sig den reelle grund, og vurder den med en advokat.
- At opsige, før en kritisk vurdering er behandlet · sagen skal lukkes på sit eget grundlag.
- At kopiere et varsel fra en almindelig driftsaftale · DPO-rollen stiller andre krav til stabilitet.
Det skal I kræve af den eksterne
- ☐ Et gensidigt varsel og en beskrevet overdragelse.
- ☐ Klar besked, hvis DPO’en mener, at en opsigelse skyldes rådgivningen.
- ☐ Aflevering af rapporter og åbne punkter i en form, som en afløser kan bruge.
- ☐ Bekræftelse af, hvad DPO’en sletter eller opbevarer efter ophøret.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 37, stk. 6 og 7, og art. 38, stk. 3.
- WP243 på dansk: afsnit 2.5 og 3.4.
- Datatilsynet: indmeld oplysninger om DPO: kontaktoplysninger.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan en betalt ekstern DPO være uafhængig? · Når ledelsen ikke følger DPO’ens råd
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
