Databehandleraftale

1. Parterne

Dataansvarlig (den der overlader behandlingen):

Databehandler (den der udfører behandlingen):

2. Baggrund og formål

Aftalen regulerer databehandlerens behandling af personoplysninger på vegne af den dataansvarlige i forbindelse med levering af følgende ydelse (hovedaftalen):

3. Behandlingens karakter og formål

Databehandleren behandler personoplysninger udelukkende med følgende formål og på følgende måde:

4. Typer af personoplysninger

Behandlingen omfatter følgende typer af personoplysninger. Sæt kryds ved de relevante kategorier:

5. Kategorier af registrerede

Behandlingen omfatter personoplysninger om følgende kategorier af registrerede:

6. Den dataansvarliges forpligtelser og rettigheder

Den dataansvarlige er ansvarlig for, at der foreligger et lovligt behandlingsgrundlag jf. GDPR art. 6 og evt. art. 9. Den dataansvarlige har ret og pligt til at give instrukser til databehandleren om behandlingens omfang og måden, hvorpå den udføres. Instrukser gives skriftligt og dokumenteres af databehandleren.

7. Databehandlerens forpligtelser

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder for så vidt angår overførsel til tredjelande, medmindre det kræves i henhold til EU-ret eller dansk ret; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandlingen, medmindre loven forbyder det, jf. GDPR art. 28, stk. 3, litra a. Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med GDPR eller anden databeskyttelseslovgivning. Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt (art. 28, stk. 3, litra b), træffer passende tekniske og organisatoriske foranstaltninger jf. art. 32, og bistår den dataansvarlige med at overholde art. 32-36 samt anmodninger fra registrerede jf. art. 12-22.

8. Sikkerhedsforanstaltninger

Databehandleren gennemfører foranstaltninger som beskrevet nedenfor. Sæt kryds ved de implementerede foranstaltninger:

9. Underdatabehandlere

Databehandleren har den dataansvarliges generelle godkendelse til at anvende underdatabehandlere. Aktuelle underdatabehandlere fremgår af bilag eller listes herunder. Databehandleren skal varsle ændringer mindst 30 dage før ikrafttrædelse, så den dataansvarlige kan gøre indsigelse. Databehandleren pålægger enhver underdatabehandler de samme databeskyttelsesforpligtelser som i denne aftale og forbliver fuldt ansvarlig over for den dataansvarlige for underdatabehandlerens opfyldelse, jf. GDPR art. 28, stk. 2 og 4.

10. Overførsel til tredjelande

Overførsel af personoplysninger til lande uden for EU/EØS sker kun på følgende grundlag (Schrems II):

11. Bistand til den dataansvarlige

Databehandleren bistår uden ugrundet ophold den dataansvarlige med at besvare anmodninger fra registrerede (indsigt, berigtigelse, sletning, dataportabilitet, indsigelse), gennemføre konsekvensanalyser (DPIA) jf. art. 35, samt forhåndshøring hos Datatilsynet jf. art. 36.

12. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden ugrundet ophold og senest 24 timer efter, at databehandleren er blevet bekendt med et brud på persondatasikkerheden. Underretningen skal indeholde de oplysninger, der er nødvendige for, at den dataansvarlige kan opfylde sin anmeldelsespligt til Datatilsynet inden for 72 timer jf. art. 33.

13. Tilsyn og audit

Databehandleren stiller alle oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, og giver mulighed for og bidrager til revisioner og inspektioner udført af den dataansvarlige eller en revisor bemyndiget af denne. Revisionsfrekvens og dokumentationskrav aftales:

14. Vederlag

Eventuelt vederlag for databehandlerens bistand ud over det, der er omfattet af hovedaftalen, aftales særskilt:

15. Varighed og ophør

Aftalen træder i kraft på underskriftsdatoen og løber, så længe databehandleren behandler personoplysninger på vegne af den dataansvarlige. Ved ophør skal databehandleren efter den dataansvarliges valg slette eller tilbagelevere alle personoplysninger og slette eksisterende kopier, medmindre EU-ret eller dansk ret kræver opbevaring.

16. Misligholdelse og erstatning

Hver part hæfter for egen overtrædelse af GDPR og denne aftale efter dansk rets almindelige regler. Reglerne om solidarisk hæftelse jf. GDPR art. 82, stk. 4, finder anvendelse over for registrerede. Indbyrdes fordeles erstatningen efter den enkelte parts andel af ansvaret for skaden, jf. art. 82, stk. 5.

17. Lovvalg og værneting

Aftalen er underlagt dansk ret. Tvister afgøres ved den dataansvarliges hjemting, medmindre andet følger af præceptiv lovgivning.

18. Underskrift

Aftalen er underskrevet i to enslydende eksemplarer - et til hver part. Ved digital signering er den elektroniske udgave det gældende eksemplar.