Databehandleraftale: hvornår er den påkrævet, og hvad skal den indeholde?

En databehandleraftale (verwerkersovereenkomst) er påkrævet, når en leverandør behandler personoplysninger efter dine instruktioner, såsom et lønbureau, en hostingudbyder eller en CRM-leverandør. Artikel 28 i GDPR kræver en skriftlig kontrakt med et fast minimumsindhold; det er ikke påkrævet og er endda et forkert dokument, når den anden part er en uafhængig dataansvarlig eller en fælles dataansvarlig.

Den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) kontrollerer disse aftaler i forbindelse med undersøgelser. En manglende aftale er en overtrædelse af artikel 28 i GDPR begået af begge parter, hvilket kan straffes med bøderammen i artikel 83(4) i GDPR.

Hvornår har du brug for en databehandleraftale?

Du har brug for en, når en part behandler personoplysninger på vegne af en anden. Den part, der bestemmer, hvorfor og i bund og grund hvordan data behandles, er den dataansvarlige; den part, der handler efter dens instruktioner, er databehandleren.

Der kræves ingen databehandleraftale mellem uafhængige dataansvarlige, der hver især forfølger deres egne formål. Fælles dataansvarlige har i stedet brug for en aftale i henhold til artikel 26 i GDPR. En databehandler, der engagerer en underdatabehandler, skal underskrive en tilsvarende kontrakt med denne, så forpligtelsen løber ned gennem hele kæden.

Hvordan skelner man en controller fra en processor?

Testen er funktionel: Det, parterne rent faktisk gør, tæller, ikke hvad kontrakten kalder dem. Referencepunktet er Det Europæiske Databeskyttelsesråds (EDPB) retningslinjer nr. 07/2020, som blev endeligt vedtaget den 7. juli 2021; se også vores artikel om forskellen mellem en dataansvarlig og en databehandler.

Den dataansvarlige bestemmer formålene og de væsentligste midler: hvilke data, om hvem, hvor længe og til hvem de videregives. I sag C-683/21 (EU-Domstolen 5. december 2023) fastslog Domstolen, at en organisation kan være dataansvarlig, selvom den aldrig selv berører dataene. En databehandler, der anvender data til sine egne formål, bliver dataansvarlig for denne behandling (artikel 28(10) i GDPR).

De roller, der oftest skaber forvirring, er:

• Lønbureauer: en databehandler, når de kun behandler de data, du leverer; en dataansvarlig, når de yder uafhængig rådgivning efter deres egen professionelle vurdering.
• Revisorer og skatterådgivere: Lovpligtig revision og skatteopgørelsesarbejde udføres som led i deres egne professionelle opgaver, hvilket peger på controller-status.
• Marketingbureauer: en databehandler, når din kampagne køres på din kundeliste; muligvis en fælles dataansvarlig, når de opbygger eller beriger målgrupper.
• IT-, hosting- og SaaS-leverandører: normalt databehandlere, men en klausul, der tillader brug af "brugsdata" til produktforbedring eller modeltræning, gør dem til dataansvarlige for den pågældende anvendelse.

Hvad skal aftalen indeholde?

Artikel 28(3) i GDPR fastsætter en fast liste over obligatorisk indhold. Det Europæiske Databeskyttelsesråd er tydelig på, at det ikke er nok blot at gentage forordningens tekst.

• en beskrivelse af behandlingen: genstand, varighed, art, formål, datatyper og kategorier af registrerede;
• behandling udelukkende på dokumenterede instruktioner, herunder overførsler uden for EØS;
• fortrolighed for de personer, der er bemyndiget til at behandle dataene;
• sikkerhedsforanstaltningerne i artikel 32 i GDPR, som er anført i et bilag;
• betingelserne for at engagere underdatabehandlere;
• bistand med anmodninger fra registrerede, databrud og konsekvensanalyser af databeskyttelse;
• sletning eller returnering af dataene til sidst, efter den dataansvarliges valg;
• information og revisioner for at påvise overholdelse af reglerne, og en pligt til at advare, hvis en instruktion overtræder GDPR.

Kommissionens standardklausuler for dataansvarlige og databehandlere (gennemførelsesafgørelse (EU) 2021/915) er valgfrie. Du kan bruge din egen kontrakt, så længe den indeholder alt, hvad artikel 28 i GDPR kræver.

Hvilke klausuler skal du forhandle?

Den obligatoriske liste er minimum; værdien ligger i at gøre den konkret. Fem klausuler afgør, om aftalen fungerer, når noget går galt.

Underbehandlere

I henhold til artikel 28(2) i GDPR skal databehandleren have din specifikke eller generelle skriftlige tilladelse. Med en generel tilladelse skal databehandleren informere dig om ændringer og give dig mulighed for at gøre indsigelse; forhandle en opsigelsesfrist, du kan handle ud fra, og en ret til at opsige data uden sanktioner, hvis du gør indsigelse.

Sikkerhed

Bilag de faktiske foranstaltninger: kryptering, adgangskontrol med multifaktorgodkendelse, logning, sikkerhedskopiering og hvor data opbevares. I sag C-340/21 (EU-Domstolen 14. december 2023) fastslog Domstolen, at et brud alene ikke beviser, at foranstaltningerne var utilstrækkelige, men den dataansvarlige skal vise, at de var passende. Et dateret bilag er dette bevis.

Databrud og anmodninger fra registrerede

Du skal underrette AP'en om et databrud inden for 72 timer efter, at du er blevet opmærksom på det (artikel 33 i GDPR), og besvare anmodninger fra den registrerede inden for en måned (artikel 12(3) i GDPR). Du skal acceptere, at databehandleren underretter dig om et brud inden for en fastsat kort periode, f.eks. 24 timer, og videresender anmodninger inden for et fastsat antal arbejdsdage.

Organisationer, der er omfattet af den hollandske cybersikkerhedslov (Cyberbeveiligingswet), som implementerer NIS2-direktivet og har været gældende siden 15. august 2026, har også deres egne pligter til at rapportere hændelser. Bring de to procedurer i aftalen til side.

Revision

Artikel 28(3)(h) i GDPR kræver, at databehandleren tillader og bidrager til revisioner. En klausul, der kun tilbyder "vores seneste certifikat", er ikke tilstrækkelig; et almindeligt kompromis er en årlig revisionsrapport plus en ret til revision efter et brud eller på anmodning af AP'en.

Ansvar

I henhold til artikel 82 i GDPR kan en registreret kræve erstatning fra den dataansvarlige og, hvis vedkommende har misligholdt sine egne forpligtelser, fra databehandleren. Hver af dem kan være ansvarlig for den fulde skade med efterfølgende regresret. Kontroller, at ansvarsloftet og udelukkelsen af ​​indirekte tab ikke tømmer erstatningskravet, især da kollektive søgsmål under den hollandske WAMCA-ordning gør større krav realistiske.

Hvad hvis data forlader EØS?

Hvis databehandleren, en underdatabehandler eller dennes supportpersonale kan tilgå dataene fra lande uden for Det Europæiske Økonomiske Samarbejdsområde, finder kapitel V i GDPR anvendelse oven i artikel 28. Fjernadgang tæller som en overførsel; se vores forklaring af internationale dataoverførsler.

Uden en tilstrækkelighedsafgørelse (artikel 45 i GDPR) er det sædvanlige værktøj standardkontraktbestemmelserne i gennemførelsesafgørelse (EU) 2021/914 (artikel 46 i GDPR). Efter Schrems II-dommen (EU-Domstolen 16. juli 2020, C-311/18) skal du også vurdere, om bestemmelseslandets lovgivning tillader importøren at overholde reglerne, og dokumentere denne vurdering.

For USA gælder EU-US Data Privacy Framework-afgørelsen af ​​10. juli 2023 om tilstrækkeligheden af ​​databeskyttelse, men kun for modtagere, der er certificeret i henhold til den. Retten stadfæstede afgørelsen den 3. september 2025 (sag T-553/23, Latombe). AP idømte Uber en bøde på 290 millioner euro i 2024 for at have overført chaufførers data til USA uden et gyldigt overførselsværktøj.

Hvad skal man som controller kontrollere?

Som dataansvarlig er du fortsat ansvarlig for, hvad dine leverandører gør med dataene. Tjek disse punkter, før du underskriver en leverandørs standardaftale.

• Er leverandøren virkelig en databehandler, eller en uafhængig dataansvarlig, for hvilken en databehandleraftale er det forkerte dokument?
• Er beskrivelsen af ​​behandlingen udfyldt, og er der intet, der tillader brug til leverandørens egne formål?
• Er sikkerhedsforanstaltningerne vedhæftet og specifikke?
• Er anmeldelse af brud bundet til en fast kort periode?
• Er der en reel revisionsret og en liste over underdatabehandlere med varsel og ret til at gøre indsigelse?
• Er det rette overførselsværktøj på plads for alle parter uden for EØS?

Hvad skal du som databehandler kontrollere?

Som leverandør påtager du dig forpligtelser i henhold til artikel 28 i GDPR, som du rent faktisk skal kunne opfylde. Tjek disse punkter, før du accepterer en klients skabelon.

• Kan du følge instruktionerne, som de er skrevne, eller handler du faktisk på egen hånd?
• Kan I overholde fristerne for anmeldelse og reaktion på brud med jeres nuværende team?
• Har I underskrevet back-to-back-aftaler med alle jeres underdatabehandlere?
• Er revisionsretten begrænset i omfang, hyppighed og omkostninger?
• Stemmer ansvarsklausulen overens med din forsikringsdækning?

Hvad kan vi gøre for dig med en databehandleraftale?

Vi udarbejder, gennemgår og forhandler databehandleraftaler som en del af vores arbejde som IT-advokat.

• Vi vurderer, om din leverandør er databehandler, fælles dataansvarlig eller uafhængig dataansvarlig.
• Vi gennemgår en leverandørs standardaftale i forhold til artikel 28 i GDPR og markerer de klausuler, der skal forhandles.
• Vi udarbejder en databehandleraftale eller et koncerninternt rammeværk med konkrete bilag.
• Vi kontrollerer overførselsværktøjerne og konsekvensanalysen af ​​overførslen ved behandling uden for EØS.
• Vi hjælper dig med en undersøgelse foretaget af Autoriteit Persoonsgegevens.

Resumé

• Artikel 28 i GDPR kræver en skriftlig databehandleraftale, når en leverandør behandler personoplysninger efter dine instruktioner.
• Uafhængige og fælles dataansvarlige har brug for et andet instrument; fælles dataansvarlige har brug for en artikel 26-ordning.
• Aftalen skal indeholde den faste liste i artikel 28(3) i GDPR; konkrete bilag om sikkerhed, brud på datasikkerhed og underdatabehandlere sikrer, at den fungerer.
• Overførsler uden for EØS kræver et yderligere overførselsværktøj og en dokumenteret vurdering.

Ofte stillede spørgsmål