Kort svar: Denne guide handler om at omsætte Databehandleraftale til handling. Start med første kontrolpunkt: “Kortlæg leverandører til din databehandleraftale”, og fortsæt derefter med “Afklar rollerne i din databehandleraftale”, og brug resten af trinene som en arbejdsgang, du kan gentage og forbedre. Grundbegreberne ligger i hovedguiden; her er fokus selve udførelsen.
Det vigtigste i denne specialguide
- Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet.
Hovedguide: Har du brug for grundforklaringen først, så læs Databehandleraftale for begyndere: det vigtigste at vide. Denne side går et niveau dybere i vinklen “Sådan gør du databehandleraftale i praksis”.
Sådan gør du det i praksis – trin for trin
1. Kortlæg leverandører til din databehandleraftale
Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. I din databehandleraftale skal det fremgå klart, hvem de bruger, og du skal have besked, hvis de skifter ud i dem. Når jeres samarbejde afsluttes, skal leverandøren enten slette eller tilbagelevere alle oplysninger til din virksomhed.
Kontrolpunkt: “Kortlæg leverandører til din databehandleraftale” er først færdigt, når beslutning, ansvar, frist og den anvendte kilde eller dokumentation kan findes igen.
2. Afklar rollerne i din databehandleraftale
Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. Få overblik over dine leverandører og afklar, hvornår du har brug for en databehandleraftale . I din databehandleraftale skal det fremgå klart, hvem de bruger, og du skal have besked, hvis de skifter ud i dem.
Kontrolpunkt: “Afklar rollerne i din databehandleraftale” er først færdigt, når beslutning, ansvar, frist og den anvendte kilde eller dokumentation kan findes igen.
3. Se på sikkerhed og underdatabehandlere
Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. Husk at se på sikkerhed og underdatabehandlere , og følg altid op, når noget ændrer sig. Sørg for at dine aftaler passer til virkeligheden, og tag stilling til sikkerhed og underdatabehandlere .
Kontrolpunkt: “Se på sikkerhed og underdatabehandlere” er først færdigt, når beslutning, ansvar, frist og den anvendte kilde eller dokumentation kan findes igen.
4. Brug Datatilsynets standardskabelon som udgangspunkt
Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. Jura og medarbejere Sådan gør du databehandleraftale i praksis Hvornår har du brug for en databehandleraftale? Et godt fundament er at tage udgangspunkt i Datatilsynets standardaftale for at få dækket lovens minimumskrav.
Kontrolpunkt: “Brug Datatilsynets standardskabelon som udgangspunkt” er først færdigt, når beslutning, ansvar, frist og den anvendte kilde eller dokumentation kan findes igen.
5. Lær af andre virksomheders fejl
Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. Det er præcis her, mange laver fejl – de udfylder bilagene overfladisk. Din leverandør bruger sandsynligvis også andre firmaer til at hjælpe sig med driften – det kaldes underdatabehandlere.
Kontrolpunkt: “Lær af andre virksomheders fejl” er først færdigt, når beslutning, ansvar, frist og den anvendte kilde eller dokumentation kan findes igen.
6. Følg op på din databehandleraftale når noget ændrer sig
Kortlæg først hvilke leverandører der behandler personoplysninger på virksomhedens vegne. Dokumentér roller, formål, sikkerhed, underdatabehandlere og hvordan ændringer eller brud håndteres, og brug den aktuelle vejledning fra Datatilsynet. Husk at se på sikkerhed og underdatabehandlere , og følg altid op, når noget ændrer sig. Når virkeligheden ændrer sig, skal din databehandleraftale opdateres.
Kontrolpunkt: “Følg op på din databehandleraftale når noget ændrer sig” er først færdigt, når beslutning, ansvar, frist og den anvendte kilde eller dokumentation kan findes igen.
Arbejdsskabelon: fra beslutning til opfølgning
| Trin | Det skal du tage stilling til | Gem som dokumentation |
|---|---|---|
| 1 | Kortlæg leverandører til din databehandleraftale | Beslutning, datagrundlag eller konkret resultat fra trinnet |
| 2 | Afklar rollerne i din databehandleraftale | Beslutning, datagrundlag eller konkret resultat fra trinnet |
| 3 | Se på sikkerhed og underdatabehandlere | Beslutning, datagrundlag eller konkret resultat fra trinnet |
| 4 | Brug Datatilsynets standardskabelon som udgangspunkt | Beslutning, datagrundlag eller konkret resultat fra trinnet |
| 5 | Lær af andre virksomheders fejl | Beslutning, datagrundlag eller konkret resultat fra trinnet |
| 6 | Følg op på din databehandleraftale når noget ændrer sig | Beslutning, datagrundlag eller konkret resultat fra trinnet |
Et konkret eksempel
I 2026 gav Datatilsynet 51 kommuner alvorlig kritik i den såkaldte Chromebook-sag . Problemet var bl.a., at Google i visse tilfælde behandlede data til egne formål – og dermed ikke kun som databehandler. En generisk databehandleraftale var ikke nok, når leverandøren også optrådte som selvstændig dataansvarlig for egne formål. Sagen viser, at store standardleverandørers vilkår ikke automatisk er tilstrækkelige. Du skal selv vurdere, om vilkårene rent faktisk passer til den behandling, der foregår.
Sådan kontrollerer du om arbejdet skaber værdi
Når du bruger “Sådan gør du databehandleraftale i praksis”, skal kontrollen knyttes til det konkrete output guiden lover. Sammenlign resultatet med udgangspunktet før ændringen, og dokumentér hvad der faktisk blev bedre. Hvis databehandleraftale for begyndere: det vigtigste at vide berører regler, satser eller frister, skal faktagrundlaget genkontrolleres, når forudsætningerne ændrer sig.
Ofte stillede spørgsmål
Hvornår skal man have en databehandleraftale?
Du skal have en aftale, når en ekstern leverandør behandler persondata på din virksomheds vegne og efter din instruks. Det gælder typisk webhosting, lønsystemer eller e-mailplatforme. Det afgørende er, at leverandøren ikke selv bestemmer formålet. Læs mere om rollefordelingen hos Datatilsynet eller se vores guide til, hvornår en aftale giver mening .
Hvad skal en databehandleraftale som minimum indeholde?
Aftalen skal beskrive behandlingens varighed, formål og hvilke typer personoplysninger, der behandles. Den skal også sætte klare rammer for tilsyn og IT-sikkerhed , samt hvordan I håndterer eventuelle sikkerhedsbrud. Et godt fundament er at tage udgangspunkt i Datatilsynets standardaftale for at få dækket lovens minimumskrav.
Er min bogholder eller revisor altid databehandler?
Nej, det er de ikke pr. automatik. Hvis din rådgiver selv fastlægger formålet og metoden for opgaven, vil de ofte være selvstændigt dataansvarlige . Hvis de omvendt udelukkende arbejder efter din præcise instruks i et IT-system, du stiller til rådighed, er de typisk databehandlere.
Skal jeg godkende alle underdatabehandlere?
Ja, din leverandør må ikke inddrage nye underdatabehandlere uden din forudgående skriftlige godkendelse . Godkendelsen kan være specifik eller generel, men du skal altid have besked om udskiftninger. Det sikrer, at du har en reel mulighed for at gøre indsigelse mod ændringerne.
Relaterede guides i samme emne
Brug hovedguiden til grundforklaringen og de øvrige specialguides, når du vil arbejde med en bestemt vinkel.
- Databehandleraftale for begyndere: det vigtigste at vide
- 5 fejl mange laver med databehandleraftale
- Databehandleraftale: en enkel tjekliste
- Hvornår giver databehandleraftale mening – og hvornår gør det ikke?
- Databehandleraftale: Hvornår har du brug for en?
Kilder og videre læsning
- Datatilsynet
- Datatilsynets standarddatabehandleraftale
- Familieretshuset alvorlig kritik
- Datatilsynet – GDPR-univers for små virksomheder
- rollefordelingen hos Datatilsynet
- Datatilsynets standardaftale
Faktagrundlag senest gennemgået 2026-09-07. Kontrollér altid tidsfølsomme regler, satser og platformvilkår i den aktuelle primærkilde før en væsentlig beslutning.