Krav til databehandleraftaler

• behandlingens karakter og formål
• typen af personoplysninger
• kategorierne af registrerede
• den dataansvarliges forpligtelser og rettigheder

​

• at databehandleren kun må behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige. Det betyder, at det skal fremgå af aftalen, at databehandleren ikke må foretage behandlinger, der går ud over den instruks, som den dataansvarlige har givet.
• at databehandleren skal behandle personoplysningerne fortroligt. Databehandleraftalen kan fx stille krav om adgangsbegrænsning, og at de ansatte hos databehandleren er forpligtet til at behandle personoplysningerne fortroligt.
• at databehandleren skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger. Det skal fremgå af databehandleraftalen, at den dataansvarlige og databehandleren har taget stilling til, hvilke sikkerhedsforanstaltninger, der skal være gennemført hos databehandleren. Formålet er at sikre, at databehandlingen fortsat er omfattet af et passende sikkerhedsniveau.
• vilkår for databehandlerens brug af underdatabehandlere. Det skal fremgå af databehandleraftalen, at databehandleren ikke må gøre brug af en underdatabehandler uden forudgående specifik eller generel skriftligt godkendelse fra den dataansvarlige. Hvis den dataansvarlige vælger at give generel godkendelse til at anvende underdatabehandlere, skal databehandleren underrette den dataansvarlige om eventuelle planlagte ændringer i brugen af underdatabehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod ændringerne. Underdatabehandleren skal være pålagt de samme databeskyttelsesretlige forpligtelser som databehandleren.
• at databehandleren skal hjælpe den dataansvarlige med at opfylde forpligtelser vedrørende anmodninger om udøvelse af de registreredes rettigheder, fx anmodninger om indsigt og anmodninger om sletning.
• at databehandleren skal hjælpe den dataansvarlige med at overholde forpligtelserne i artikel 32-36. Dette indebærer blandt andet, at databehandleren uden unødig forsinkelse skal underrette den dataansvarlige om sikkerhedsbrud. Idet den dataansvarlige har en frist på 72 timer til at anmelde sikkerhedsbrud til Datatilsynet, kan det være en god idé, at den dataansvarlige og databehandleren aftaler en kortere frist for, hvornår databehandleren skal underrette den dataansvarlige om sikkerhedsbrud.
• at databehandleren skal slette/tilbagelevere personoplysninger ved ophør af kontrakten, medmindre der er en retlig forpligtelse til fortsat at opbevare oplysningerne.
• at databehandleren skal kunne påvise overholdelse af databehandleraftalen samt de databeskyttelsesretlige regler. Det skal fremgå af databehandleraftalen, at den dataansvarlige har mulighed for revision samt evt. inspektion hos databehandleren.