En databehandleraftale er kun første halvdel. Den dataansvarlige skal også føre en passende kontrol med, at leverandøren gør det, der er aftalt. Datatilsynet udgav i oktober 2021 en vejledning med en model i to trin. I giver hver behandling mellem 1 og 10 point efter risikoen for de registrerede, og pointene afgør, hvilke af seks tilsynskoncepter I kan vælge imellem. Modellen er ingen lov, og I må gerne gøre mere. Den gør til gengæld opgaven overskuelig, også med mange leverandører.
Vi læste vejledningen og dens skemaer 5. november 2026. Alle tal i artiklen er Datatilsynets.
Sådan regner I point
Tallene lægges sammen for hver databehandler.
- A. Under 1.000 personer · 1
- A. 1.000 til 10.000 personer · 2
- A. Over 10.000 personer · 3
- B. Særlige kategorier efter art. 9 · 3
- C. Andre beskyttelsesværdige oplysninger · 2
- D. Behandlingen går tæt på privatlivet · 2
A tæller kun de personer, I overlader oplysninger om til netop denne leverandør. Vejledningens eksempel er et lønbureau for 250 ansatte, hvor antallet af kunder er uden betydning.
B er de særlige kategorier i art. 9, fx helbred og fagforeningsforhold. Et HR-system med sygdomsoplysninger giver point her.
C omfatter bl.a. personnumre, beskyttede adresser, disciplinære forhold og oplysninger om strafbare forhold. De tæller kun med, når I typisk overlader dem som led i virksomheden. Et personnummer, en kunde selv har skrevet i en mail, tæller ikke.
D handler om det, der sker med oplysningerne. Vejledningen nævner lokationsdata, systematisk overvågning, profilering, automatiske afgørelser og samkøring af datasæt.
Fra point til koncept
- 1 til 2 · Koncept 1 til 6
- 3 til 4 · Koncept 2 til 6
- 5 til 6 · Koncept 3 til 6
- 7 til 10 · Koncept 5 til 6
De seks koncepter stiger i krav.
- Koncept 1. I gør ikke noget særligt, før I opdager, at noget er galt. Eksemplet er en frisør med et bookingsystem og 1 point.
- Koncept 2. Leverandøren bekræfter, helst skriftligt, at alle krav i aftalen stadig efterleves.
- Koncept 3. Leverandøren giver hvert år en skriftlig status, direkte eller på sin hjemmeside. Statussen skal også dække særlige aftalte krav og underdatabehandlere, og I skal bede om oplysning om brud siden sidst.
- Koncept 4. Leverandøren har en relevant certificering efter art. 42 eller følger et godkendt adfærdskodeks efter art. 40.
- Koncept 5. Kontrollen er lavet af en uafhængig part og dokumenteret, og den dækker jeres behandling. Et eksempel er en ISAE 3000-erklæring. Ved 7 til 10 point skal I vælge den erklæring, der giver høj grad af sikkerhed.
- Koncept 6. I fører selv, eller sammen med andre, et dokumenteret tilsyn, fx med et skriftligt spørgeskema og opfølgning.
Koncepterne må kombineres. Vejledningen nævner koncept 5 hvert andet år og koncept 3 i de øvrige år. Tilbyder leverandøren ikke det, konceptet kræver, må I kræve det eller gå et niveau op. En ISO-certificering er ikke uden videre koncept 4, for vejledningen henviser til certificering efter art. 42. Det samme gælder et certifikat, der ikke dækker kravene i jeres aftale.
Hvor ofte
Vejledningen fastsætter ingen fast frekvens. Jo mere kritisk behandlingen er, jo tættere skal kontrollen være, og i nogle tilfælde er det nødvendigt med et årligt tilsyn. Eksemplerne viser, at nogle virksomheder med lave point vælger hvert andet år.
- Taler for høj frekvens: problemer med at overholde aftaler, flere alvorlige brud, hyppige skift af underdatabehandlere, ejerskifte eller opkøb hos leverandøren.
- Taler for ekstra tilsyn: ejerskifte, fusion eller store ændringer i strategien, eller ændret arbejdsform som fx hjemmearbejde.
- Taler for lav frekvens: lang erfaring med stabil drift og ingen eller få mindre alvorlige brud.
Uanset koncept gælder to vaner. Gem korrespondancen med leverandøren, og reager, hvis presse, rapporter eller egne erfaringer viser problemer.
Mange leverandører
En virksomhed kan have mange databehandlere, og den realistiske vej går gennem prioritering. Fremgangsmåden herunder er vores råd, og den følger vejledningens forslag om et fast årligt tidspunkt.
- Lav ét regneark. En linje pr. databehandler med point, koncept, sidste tilsyn, næste tilsyn og ejer.
- Giv hver leverandør en intern ejer. Den, der bruger systemet, kender det bedst. IT kan vurdere de tekniske svar.
- Sorter efter point. Leverandører med 7 til 10 point kommer først. Dem med 1 til 2 point må gerne forblive på koncept 1, når aftalen er på plads.
- Saml tilsynet i en måned. Bed om erklæringer, status og brudoversigt samme tid hvert år, og brug en fast mailskabelon.
- Læs det, I får. En rapport, ingen har læst, er intet tilsyn. Skriv en linje med, hvad I fandt, og hvad I gør.
- Rapporter til ledelsen. Antal leverandører, hvor mange der er kontrolleret, og hvilke afvigelser der er åbne.
Et tænkt eksempel: en virksomhed med 300 ansatte bruger et HR-system med sygefravær og personnumre. Det giver 1 + 3 + 2 = 6 point, og virksomheden kan vælge koncept 3 til 6. Samme regnestykke står i vejledningens eksempel med et HR-bureau, som ender på koncept 3. Et marketingværktøj med 8.000 kunder og profilering giver derimod 2 + 2 = 4 point.
Underdatabehandlere
Leverandøren fører tilsyn med sine underdatabehandlere. I skal sikre jer, at det sker, fx ved at få dokumentationen. Se underdatabehandlere.
DPO’ens rolle
Tilsynet er den dataansvarliges pligt, og målestokken for leverandørens sikkerhed er art. 32. En DPO overvåger efter art. 39, at det sker og virker, og rådgiver om metoden. Lader I DPO’en selv gennemføre tilsynene, skal I overveje, hvem der så kontrollerer dem. En DPO med IT-baggrund kan læse en erklæring med blik for det, den udelader. Kontrollen af tilsynet hører med til det, I kan kræve, se Det får I. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At give alle samme tilsyn · det binder tid på de små og tynder ud hos de store.
- At samle rapporter uden at læse dem · det er vurderingen, der er tilsynet.
- At tælle en certificering med, der ikke dækker aftalen · særlige krav skal stadig kontrolleres.
Det skal I kræve af den eksterne
- ☐ Point og koncept for de vigtigste databehandlere, gennemgået med jer.
- ☐ Et enkelt årshjul med ejere for tilsynene.
- ☐ En vurdering af, om erklæringer dækker jeres behandling og aftale.
- ☐ Kontrol af, at afvigelser følges op og rapporteres til ledelsen.
Kilder
- Datatilsynet: Vejledning om tilsyn med databehandlere, oktober 2021: pointskalaen, de seks koncepter, frekvens og underdatabehandlere. Læst 5. november 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 28, 39, 40 og 42.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kunden vil føre tilsyn med os som databehandler · Hvornår skal I have en databehandleraftale?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
