Klausulbibliotek
Databeskyttelse: klausulen forklaret
En databeskyttelsesklausul fastlægger, hvordan personoplysninger håndteres; hvor den ene side er databehandler efter UK GDPR, kræver artikel 28(3) navngivne vilkår for databehandleren.
Sidst opdateret 28. oktober 2026
databeskyttelse: hvad gør klausulen?
Når en leverandør behandler personoplysninger for en kunde, der er dataansvarlig, siger UK GDPR artikel 28, at behandlingen skal reguleres af en kontrakt. Artikel 28(3) opregner de databehandlervilkår, den kontrakt skal indeholde. Samme UK GDPR gælder i Skotland. Amerikanske delstaters privatlivslove er et andet regime. Vi sætter de vilkår på én fælles side.
Hvad skal en databehandleraftale efter artikel 28 indeholde?
Kontrakten skal være bindende og angive behandlingens genstand, varighed, karakter og formål, typerne af personoplysninger og registrerede samt den dataansvarliges rettigheder. Artikel 28(3) kræver så databehandlervilkårene i (a) til (h): dokumenterede instrukser, fortrolighed, sikkerhed, underdatabehandlere, bistand, sletning eller tilbagelevering og revision.
Hvornår er en part databehandler frem for dataansvarlig?
En dataansvarlig bestemmer formålene med og midlerne til behandlingen. En databehandler behandler på den dataansvarliges vegne. Et studie, der gemmer en kundes kundeliste for at sende kundens e-mails, er normalt databehandler. Et studie, der bygger sin egen marketingliste, er dataansvarlig for den liste. Angiv rollen for hvert datasæt, så artikel 28 kun gælder, hvor den skal.
Kan databehandleren udpege underdatabehandlere?
Kun med den dataansvarliges forudgående specifikke eller generelle skriftlige tilladelse. Ved en generel tilladelse skal databehandleren give den dataansvarlige besked om påtænkte tilføjelser eller udskiftninger, så den dataansvarlige kan gøre indsigelse. De samme databeskyttelsesforpligtelser skal føres videre ned. Den oprindelige databehandler hæfter fortsat fuldt over for den dataansvarlige for underdatabehandleren. Skriv i klausulen, hvordan tilladelsen gives.
Hvad sker der med dataene, når arbejdet slutter?
Artikel 28(3)(g) siger, at databehandleren efter den dataansvarliges valg sletter eller returnerer personoplysningerne, når ydelserne ophører, og sletter kopier, medmindre national ret kræver opbevaring. Kobl det med fortrolighed og en linje om tilbagelevering eller destruktion af fortrolige filer, der ikke er personoplysninger. Angiv, hvor længe logs må opbevares, hvis en lov kræver det.
Eksempel på formulering
Eksempel · vores egen formulering
Hvor leverandøren behandler personoplysninger for kunden som databehandler, skal leverandøren: kun behandle disse data efter kundens dokumenterede instrukser; sikre, at personer, der er bemyndiget til at behandle dem, er bundet af fortrolighed; træffe de sikkerhedsforanstaltninger, UK GDPR artikel 32 kræver; ikke udpege en underdatabehandler uden kundens forudgående skriftlige tilladelse; bistå kunden med anmodninger fra registrerede og med artikel 32 til 36; efter kundens valg slette eller returnere dataene, når ydelserne ophører, medmindre national ret kræver opbevaring; og stille de oplysninger til rådighed, der er nødvendige for at påvise overholdelse, og tillade revisioner.
I enkelt sprog
Hvis leverandøren håndterer personoplysninger for kunden, gør den kun det, kunden har dokumenteret, holder dem fortrolige, sørger for sikkerhed og tager ikke en anden databehandler ind uden skriftligt ja. Den hjælper med enkeltpersoners rettigheder og sikkerhedspligter og sletter eller returnerer så dataene, når opgaven slutter, medmindre loven kræver, at den beholder en kopi, og den lader kunden kontrollere det.
Hvad skal du holde øje med?
| Punkt | Hold øje med | Gå efter |
|---|---|---|
| Roller | Et databehandlerbilag skruet på en aftale, hvor begge sider er dataansvarlige. | En sætning, der angiver rollen for hvert datasæt. |
| Instrukser | ‘Behandl efter behov for ydelserne’ uden dokumenterede instrukser. | Et bilag med genstand, varighed, typer af data og registrerede. |
| Underdatabehandlere | Frie hænder til at udpege hvem som helst, eller tavshed. | Forudgående skriftlig tilladelse, videreførelse af pligter og vedvarende ansvar. |
| Når opgaven slutter | Ingen linje om sletning eller tilbagelevering. | Den dataansvarliges valg, med en undtagelse for lovpligtig opbevaring. |
| Loft | En ubegrænset dataskadesløsholdelse på et lille honorar, eller et loft, der sluger et brud. | En navngiven placering i forhold til ansvarsloftet og skadesløsholdelsen. |
Hvilke kontrakter indeholder den?
Lex tager blandt andet denne klausul med i:
- Serviceaftale (rammeaftale om tjenesteydelserEn rammeaftale om tjenesteydelser (MSA, master services agreement) fastsætter de juridiske vilkår for et løbende forhold, hvor hvert projekt så aftales i en separat arbejdsbeskrivelse.Mere i ordbogen)
- Aftale om bygning af website
- Konsulentaftale
Hvad siger loven?
Behandling foretaget af en databehandler skal reguleres af en kontrakt, der er bindende for databehandleren og angiver behandlingens genstand og varighed, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede samt den dataansvarliges forpligtelser og rettigheder, herunder databehandlervilkårene opregnet i artikel 28(3)(a)–(h).
Kilde: UK GDPR, Article 28(3)Kontrolleret 28. oktober 2026Afventer gennemgang af advokat
Skriv udkast til rammeaftale om tjenesteydelser med denne klausul
Gratis for den anden partLex skriver udkast i almindeligt sprog ved siden af den juridiske ordlyd. Del ét link; begge sider bliver enige og underskriver.
Ofte stillede spørgsmål
Hvad betyder en databeskyttelsesklausul?
Den fastlægger, hvordan personoplysninger håndteres under kontrakten. Hvor den ene part behandler personoplysninger for den anden som databehandler efter UK GDPR, kræver artikel 28, at behandlingen reguleres af en kontrakt med navngivne databehandlervilkår.
Hvad skal en databehandleraftale efter UK GDPR artikel 28 indeholde?
Behandlingens genstand, varighed, karakter og formål, typerne af data og registrerede samt databehandlervilkårene i artikel 28(3)(a)–(h), herunder dokumenterede instrukser, fortrolighed, sikkerhed, underdatabehandlere, bistand, sletning eller tilbagelevering og revision.
Hvornår er en leverandør databehandler?
Når den behandler personoplysninger på kundens vegne i stedet for selv at bestemme formål og midler. Klausulen bør angive rollen for hvert datasæt. Artikel 28 gælder for databehandlerforhold.
Kan en databehandler bruge underdatabehandlere?
Kun med den dataansvarliges forudgående specifikke eller generelle skriftlige tilladelse. De samme forpligtelser skal føres videre ned, og den oprindelige databehandler hæfter fortsat fuldt over for den dataansvarlige for underdatabehandleren.
Hvad sker der med personoplysninger, når kontrakten ophører?
Efter den dataansvarliges valg sletter eller returnerer databehandleren dem og sletter kopier, medmindre national ret kræver opbevaring. Skriv det valg ind i klausulen.
Kilder
- UK GDPR, Article 28(3)Kontrolleret 28. oktober 2026Afventer gennemgang af advokat
Relateret
Skabeloner med denne klausul
Andre klausuler
Den juridiske ordlyd er gældendeSidst gennemgået 28. oktober 2026Afventer gennemgang af advokat