Hvad betyder Databehandleraftale?
En databehandleraftale fastlægger rammerne, når en part behandler personoplysninger på en anden parts vegne. I et AI-projekt kan det være relevant for hosting, dokumentbehandling, modeltjenester og andre led i løsningen. Aftalen skal passe til den faktiske behandling og parternes roller.
Kontrolleret 7. september 2026: Datatilsynet beskriver den dataansvarlige som den, der afgør behandlingens formål og væsentlige hjælpemidler, mens databehandleren arbejder efter instruks. Det er de faktiske forhold, der afgør rollerne. Et kontraktdokument med overskriften databehandleraftale gør ikke automatisk enhver leverandør til databehandler for alle dens aktiviteter.
Aftalen er derfor en del af en større afklaring. Organisationen skal kende data, formål, leverandørkæde og relevante overførsler. En underskrift kan ikke kompensere for en integration, som sender flere oplysninger eller udfører andre handlinger end dem, der er beskrevet.
Oversæt standardvilkår til den konkrete løsning
Beskriv behandlingens genstand, varighed, karakter og formål samt datatyper og kategorier af registrerede. Gennemgå instrukser, sikkerhed, hjælp til rettigheder, underdatabehandlere, sletning eller tilbagelevering og mulighed for kontrol. AI-funktioner som filarkiver, logning og modeltræning skal være afklaret i det relevante aftalegrundlag. Brug ikke generelle produktudsagn til at udfylde manglende bilag, hvis den konkrete kontotype har andre vilkår.
Følg op efter aftalens indgåelse
Aftal, hvordan ændringer meddeles, og hvem der vurderer nye underleverandører eller funktioner. Kontrollér, at opsætningen følger instruksen, og at relevante sikkerhedsoplysninger kan gennemgås. Ved ophør skal det være muligt at få data tilbage eller slettet efter aftalen og gældende krav. Datatilsynets skabeloner kan hjælpe med struktur, men bilag og opfølgning skal afspejle jeres anvendelse. En tom standardskabelon er ikke en færdig behandlingsoverenskomst.
Et eksempel fra praksis
Illustrativt eksempel: En brancheforening køber en assistent til medlemsservice. Under aftalegennemgangen viser det sig, at leverandøren vil bruge rå samtaler til et separat analyseprodukt. Foreningen får afklaret, hvilke aktiviteter der udføres på dens instruks, og hvilke der eventuelt har et andet formål og rollegrundlag. Løsningens konfiguration og databehandlerbilag tilpasses før brug. Dermed bliver den kommercielle aftale, databehandlingen og den tekniske opsætning sammenhængende.
Typiske faldgruber
- At antage, at alle leverandøraktiviteter sker på jeres instruks.
- At lade bilag om datatyper, sletning og underleverandører stå generiske.
- At tro, at en databehandleraftale alene løser tredjelandsoverførsler.
Det skal I afklare
- Afklar roller ud fra den faktiske behandling.
- Udfyld bilag med konkrete dataflows, funktioner og sletteregler.
- Udpeg ansvar for ændringer, kontrol og aftalens ophør.
Spørgsmål og svar
Er standardkontraktbestemmelser altid samme dokument?
Nej. Der findes forskellige standardbestemmelser til forskellige formål, blandt andet databehandlerrelationer og internationale overførsler. Vælg ud fra den konkrete situation.
Skal aftalen genbesøges ved nye AI-funktioner?
Ja, hvis funktionerne ændrer behandlingen eller forudsætningerne. Eksempelvis nye datakilder, formål, underleverandører og opbevaringsfunktioner kan kræve opdateret vurdering.
Kilder og videre læsning
De tekniske begreber bygger på nedenstående kilder. Eksemplerne er illustrative og viser, hvordan I kan arbejde med emnet.
- Datatilsynet: Rollefordeling ↗Primærkilde gennemgået 7. september 2026.
- Datatilsynet: Databehandleraftale og standardbestemmelser ↗Primærkilde gennemgået 7. september 2026.
- EUR-Lex: Databeskyttelsesforordningen ↗Primærkilde gennemgået 7. september 2026.