Hvad er en databehandleraftale?
En databehandleraftale er en skriftlig aftale mellem jer (den dataansvarlige) og en leverandør (databehandleren), der behandler personoplysninger på jeres vegne. Aftalen fastlægger, hvad leverandøren må og skal gøre med oplysningerne — og hvordan de beskytter dem.
Kravet følger af GDPR's artikel 28. Uden en gyldig databehandleraftale er leverandørens behandling af jeres persondata ulovlig — og ansvaret ligger hos jer som dataansvarlig.
Hvornår er den lovpligtig?
Tommelfingerreglen: hver gang en leverandør behandler personoplysninger for jer, skal der være en databehandleraftale. Typiske eksempler:
- Løn- og HR-systemer, der håndterer medarbejderdata.
- Regnskabsprogrammer og bogholderier med kunde- og medarbejderoplysninger.
- E-mail- og filhosting (fx cloud-tjenester), hvor jeres data ligger hos udbyderen.
- CRM-systemer, nyhedsbrevsværktøjer og kundeserviceplatforme.
- Webhoteller og driftspartnere bag jeres hjemmeside.
- Rengørings- eller vaktselskaber med adgang til lokaler, hvor persondata findes, kan i særlige tilfælde også kræve aftale.
Hvornår er den IKKE nødvendig?
Bruger I en leverandør, der selv bestemmer formålet med behandlingen — fx jeres revisor, der er selvstændig dataansvarlig for revisionsopgaven — er det ikke en databehandlerforhold, og der skal i stedet være en almindelig samarbejdsaftale, der dækker persondata. Grænsen kan være flydende; ved tvivl er det ofte sikrest at lave en databehandleraftale alligevel.
Hvad skal aftalen som minimum indeholde?
GDPR's artikel 28 stiller konkrete krav til indholdet:
- Behandlingens emne, varighed, art og formål samt typen af personoplysninger og kategorier af registrerede.
- At databehandleren kun handler på dokumenteret instruks fra jer.
- Fortrolighedsforpligtelse for alle, der behandler oplysningerne.
- Passende tekniske og organisatoriske sikkerhedsforanstaltninger.
- Regler om brug af underdatabehandlere — kræver jeres godkendelse.
- Hjælp til jer ved anmodninger om borgernes rettigheder og ved databrud.
- Sletning eller tilbagelevering af data ved aftalens ophør.
- Jeres ret til at føre tilsyn og gennemføre audit.
Hvordan får I styr på det?
Start med en leverandørliste: alle systemer og samarbejdspartnere, der rører persondata. Krydstjek derefter, om der findes en underskrevet databehandleraftale for hver. Mange større leverandører har standardaftaler klar — men læs dem: de skal leve op til artikel 28, ikke bare leverandørens egen interesse.
Har I mange leverandører eller ældre aftaler, kan en specialist gennemgå porteføljen på få dage og lukke hullerne med standardaftaler, der passer til jeres forhold.