Kort svar: Databehandleraftale giver mest værdi, når det løser et konkret problem eller forbedrer en beslutning, du faktisk skal træffe. Denne guide hjælper dig med at vurdere, hvornår du bør prioritere arbejdet nu, hvornår en enklere løsning er nok, og hvilke forudsætninger der bør være på plads først.
Det vigtigste i denne specialguide
- Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet.
Hovedguide: Har du brug for grundforklaringen først, så læs Databehandleraftale for begyndere: det vigtigste at vide. Denne side går et niveau dybere i vinklen “Hvornår giver databehandleraftale mening – og hvornår gør det ikke?”.
Hvornår databehandleraftale giver mening
- Kortlæg dine leverandører for behov for databehandleraftale: Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. Din virksomhed udvikler sig, og det gør dine leverandører også løbende.
- Afklar rollerne i din databehandleraftale: Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. Afklar om reglerne gælder: En databehandleraftale er relevant når en leverandør behandler personoplysninger på virksomhedens vegne.
- Se på sikkerhed og underdatabehandlere: Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. Husk at se på sikkerhed og underdatabehandlere , og følg altid op, når noget ændrer sig.
- Brug en databehandleraftale der matcher praksis: Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. Brug en databehandleraftale , der rent faktisk matcher den måde, I arbejder på i praksis.
Et konkret eksempel
I 2026 gav Datatilsynet 51 kommuner alvorlig kritik i den såkaldte Chromebook-sag . Problemet var bl.a., at Google i visse tilfælde behandlede data til egne formål – og dermed ikke kun som databehandler. En generisk databehandleraftale var ikke nok, når leverandøren også optrådte som selvstændig dataansvarlig for egne formål. Sagen viser, at store standardleverandørers vilkår ikke automatisk er tilstrækkelige. Du skal selv vurdere, om vilkårene rent faktisk passer til den behandling, der foregår.
Sådan kontrollerer du om arbejdet skaber værdi
Når du bruger “Hvornår giver databehandleraftale mening – og hvornår gør det ikke?”, skal kontrollen knyttes til det konkrete output guiden lover. Sammenlign resultatet med udgangspunktet før ændringen, og dokumentér hvad der faktisk blev bedre. Hvis databehandleraftale for begyndere: det vigtigste at vide berører regler, satser eller frister, skal faktagrundlaget genkontrolleres, når forudsætningerne ændrer sig.
Ofte stillede spørgsmål
Hvornår skal man have en databehandleraftale?
Du skal have en aftale, når en ekstern leverandør behandler persondata på din virksomheds vegne og efter din instruks. Det gælder typisk webhosting, lønsystemer eller e-mailplatforme. Det afgørende er, at leverandøren ikke selv bestemmer formålet. Læs mere om rollefordelingen hos Datatilsynet eller se vores guide til, hvornår en aftale giver mening .
Hvad skal en databehandleraftale som minimum indeholde?
Aftalen skal beskrive behandlingens varighed, formål og hvilke typer personoplysninger, der behandles. Den skal også sætte klare rammer for tilsyn og IT-sikkerhed , samt hvordan I håndterer eventuelle sikkerhedsbrud. Et godt fundament er at tage udgangspunkt i Datatilsynets standardaftale for at få dækket lovens minimumskrav.
Er min bogholder eller revisor altid databehandler?
Nej, det er de ikke pr. automatik. Hvis din rådgiver selv fastlægger formålet og metoden for opgaven, vil de ofte være selvstændigt dataansvarlige . Hvis de omvendt udelukkende arbejder efter din præcise instruks i et IT-system, du stiller til rådighed, er de typisk databehandlere.
Skal jeg godkende alle underdatabehandlere?
Ja, din leverandør må ikke inddrage nye underdatabehandlere uden din forudgående skriftlige godkendelse . Godkendelsen kan være specifik eller generel, men du skal altid have besked om udskiftninger. Det sikrer, at du har en reel mulighed for at gøre indsigelse mod ændringerne.
Relaterede guides i samme emne
Brug hovedguiden til grundforklaringen og de øvrige specialguides, når du vil arbejde med en bestemt vinkel.
- Databehandleraftale for begyndere: det vigtigste at vide
- Sådan gør du databehandleraftale i praksis
- 5 fejl mange laver med databehandleraftale
- Databehandleraftale: en enkel tjekliste
- Databehandleraftale: Hvornår har du brug for en?
Kilder og videre læsning
- Datatilsynet
- Datatilsynets standarddatabehandleraftale
- Familieretshuset alvorlig kritik
- Datatilsynet – GDPR-univers for små virksomheder
- rollefordelingen hos Datatilsynet
- Datatilsynets standardaftale
Faktagrundlag senest gennemgået 2026-09-07. Kontrollér altid tidsfølsomme regler, satser og platformvilkår i den aktuelle primærkilde før en væsentlig beslutning.