Udfyldning er gratis. Betaling sker først når du henter dokumentet.
Det juridiske navn som registreret i CVR — ikke binavn eller varemærke.
Otte cifre. Bruges til at forudfylde navn og adresse.
Er I den der får behandlet oplysninger, er I dataansvarlig. Behandler I på andres vegne, er I databehandler.
Man har færre aftaler end databehandlere. De fleste tænker på hosting og lønbureau. Men e-mailtjenesten, backupløsningen, supportleverandøren med fjernadgang, rekrutteringssystemet og nyhedsbrevsværktøjet er hver især en databehandler. Fortegnelsen efter artikel 30 er stedet at tælle efter.
Leverandørens egen standardaftale accepteres uden gennemlæsning. Den er skrevet for leverandøren. Bistandspligterne i litra e og f og revisionsretten i litra h er de punkter der oftest er skåret ned eller udeladt.
De seks oplysninger springes over. Alle husker de otte punkter i litra a-h. Men stk. 3 kræver først at aftalen fastsætter genstand, varighed, karakter, formål, oplysningstyper og kategorier af registrerede. En aftale der går direkte til litra a, mangler seks ting.
Generel godkendelse af underdatabehandlere uden indsigelsesfrist. Forordningen giver den dataansvarlige ret til at gøre indsigelse mod nye underdatabehandlere. Uden en frist og en underretningspligt er retten svær at bruge.
Aftalen underskrives efter behandlingen er begyndt. Artikel 28, stk. 3, kræver at behandlingen skal være reguleret af en aftale. Det er ikke noget der kan komme senere, og datoen på dokumentet viser hvornår den kom.
Tredjelandsfeltet står tomt. Et tomt felt kan ikke skelnes fra et ubesvaret spørgsmål. »Nej« er et gyldigt og nyttigt svar.
Man tror aftalen gør leverandøren til databehandler. Rollen følger af hvem der fastlægger formålet, jf. stk. 10. En revisor bliver ikke databehandler af at underskrive en databehandleraftale.
Skal vi have en aftale med vores revisor? Som udgangspunkt nej. En revisor er typisk selvstændigt dataansvarlig, fordi revisor har egne lovbestemte pligter og fastlægger sine egne formål. Men afgrænsningen afhænger af det konkrete forhold, og den vurdering er jeres.
Vores leverandør ligger i USA. Er det forbudt? Nej, men det kræver et gyldigt overførselsgrundlag efter artikel 44-49, og det skal fremgå af aftalen. Modulet spørger om det; det vurderer ikke om jeres grundlag holder.
Kan databehandleraftalen stå i den almindelige kontrakt? Ja. Forordningen taler om »en kontrakt eller et andet retligt dokument«. Det afgørende er indholdet, ikke om det er et selvstændigt dokument. Et bilag er den mest almindelige form.
Hvad hvis leverandøren nægter at underskrive vores aftale? Så er der et valg at træffe. Artikel 28, stk. 1, siger at I udelukkende må benytte databehandlere der kan stille de fornødne garantier. En leverandør der ikke vil indgå den aftale forordningen kræver, gør det svært at opfylde.
Skal vi lave en ny aftale hvert år? Nej. Forordningen sætter ingen frist. Aftalen holder så længe forholdet og behandlingen er den samme. Skifter leverandøren underdatabehandler, land eller ydelse, skal den ses efter.
Vi er selv databehandler for vores kunder. Kan vi bruge samme dokument? Ja — modulet spørger om jeres rolle. Indholdskravene er de samme; det er perspektivet der vender.
Hvor længe skal vi gemme en udløbet aftale? Forordningen siger det ikke. Vi anbefaler fem år, fordi en udløbet aftale stadig er beviset for den periode den dækkede.