# Databehandleraftale Når vores arbejde indebærer, at vi behandler personoplysninger på jeres vegne — kunderegistre i en database, vi migrerer, brugerkonti i et system, vi driver — er I den dataansvarlige, og vi er databehandleren. Efter [databeskyttelsesforordningen (GDPR)](https://eur-lex.europa.eu/eli/reg/2016/679/oj) artikel 28 skal den behandling være reguleret af en skriftlig aftale, så vi underskriver en, før arbejdet med dataene begynder. Denne side fortæller, hvad den indeholder. ## Jeres skabelon eller en standard Har I jeres egen databehandleraftale, så send den med opgavebeskrivelsen. Ellers findes der to standardtekster, som er skrevet til netop dette forhold: Europa-Kommissionens standardkontraktbestemmelser mellem dataansvarlige og databehandlere (gennemførelsesafgørelse (EU) 2021/915) og Datatilsynets standardaftale, der findes på dansk og engelsk. ## Det, vi forpligter os til som databehandler Det er de forpligtelser, artikel 28 pålægger enhver databehandler, sagt med almindelige ord. De er lov, før de er et løfte. - **Kun efter jeres instruks.** Vi behandler oplysningerne efter jeres dokumenterede instruks, også hvad angår overførsel til lande uden for EU og EØS. Hvis loven en dag kræver noget andet af os, siger vi det til jer, før vi handler, medmindre netop den lov forbyder os at sige det. - **Fortrolighed.** Alle, der arbejder med oplysningerne, er forpligtet til fortrolighed. - **Sikkerhed.** Vi træffer de foranstaltninger, artikel 32 kræver. Hvordan vi bygger og driver systemer, står på [sikkerhedssiden](/da/security/). - **De registreredes rettigheder.** Når nogen beder om at se, rette eller slette deres oplysninger, hjælper vi jer med at svare, så vidt arbejdet giver mulighed for det. - **Jeres egne forpligtelser.** Vi hjælper jer med sikkerheden, anmeldelse af brud og en eventuel konsekvensanalyse ud fra det, vi ved om behandlingen. - **Dokumentation.** Vi giver jer de oplysninger, der skal til for at vise, at forpligtelserne er opfyldt, og vi giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af jer eller af en revisor, I har bemyndiget. - **Instrukser, der strider mod loven.** Mener vi, at en instruks er i strid med databeskyttelsesreglerne, underretter vi jer straks. ## Underdatabehandlere Vi gør kun brug af en anden databehandler med jeres forudgående skriftlige godkendelse, enten af den bestemte databehandler eller som en generel godkendelse. Ved en generel godkendelse giver vi jer besked om enhver påtænkt tilføjelse eller udskiftning på forhånd, så I kan gøre indsigelse. En underdatabehandler er bundet af de samme forpligtelser i sin egen kontrakt, og vi er fortsat ansvarlige over for jer for dens arbejde. ## Hvis der sker et brud på persondatasikkerheden Vi underretter jer uden unødig forsinkelse, når vi er blevet opmærksomme på et brud på persondatasikkerheden, med det, vi ved på det tidspunkt, og vi supplerer, efterhånden som vi ved mere. Det giver jer det, I skal bruge til jeres egen pligt til at anmelde bruddet til tilsynsmyndigheden inden for 72 timer, medmindre det er usandsynligt, at bruddet indebærer en risiko for nogen. ## Færre data, ikke flere Vi siger det ligeud om data, vi helst er fri for at få adgang til. Hvor en kopi uden personoplysningerne, eller testdata, kan klare opgaven, beder vi om det i stedet. ## Når arbejdet slutter Når opgaven er slut, sletter vi personoplysningerne eller leverer dem tilbage til jer, efter jeres valg, og vi sletter alle kopier, vi har, medmindre loven kræver, at vi opbevarer dem. ## Det, der binder os Denne side beskriver aftalen; aftalen er det, I skriver under på. Hvor de to er forskellige, gælder den underskrevne aftale. Hvad dette site registrerer om sine egne besøgende, er en anden sag, hvor vi selv er dataansvarlige, og det står på [privatlivssiden](/da/privacy/). Skal der være en databehandleraftale på plads, før arbejdet går i gang? [send den til os](/da/contact/) *(jeres skabelon eller en standard)*.