Databehandleraftale

Baggrund

1. Den Dataansvarlige har indgået abonnementsaftale (herefter "Abonnementet") med Databehandleren med henblik på at foretage integration blandt den Dataansvarliges IT-systemer og tjenester.
2. Databehandleren behandler i den forbindelse personoplysninger på vegne af den Dataansvarlige, bl.a. via håndtering på Databehandlerens servere.
3. Databehandlingen foregår via en eller flere af Databehandlerens tekniske løsninger (herefter "Systemet" eller "Systemer"), der sikrer integrationen mellem de IT-systemer, den Dataansvarlige anvender i sin virksomhed. Den Dataansvarlige kan til enhver tid via login i Systemet se alle de Personoplysninger, der behandles i Systemet.
4. Formålet med Databehandleraftalen er at sikre, at Databehandleren til enhver tid overholder gældende persondatalovgivning i den forbindelse, herunder Persondataloven (lov nr. 429 af 31/05/2000 med senere ændringer samt Persondataforordningen (Europa-Parlamentets Og Rådets Forordning 2016/679 af 27. april 2016 – herefter "Persondataforordningen").
5. Databehandleraftalen fastsætter de rettigheder og forpligtelser, som finder anvendelse, når Databehandleren foretager behandling af personoplysninger på vegne af den Dataansvarlige.
6. Databehandleraftalen følger betingelserne for opsigelse/ophævelse af Abonnementet, jf. punkt 1.1 og de tilhørende handelsbetingelser. Handelsbetingelserne gælder generelt også i forhold til Databehandleraftalen. I tvivlstilfælde eller modstridende tilfælde har Databehandleraftalen forrang, medmindre andet følger konkret af Databehandleraftalen.
7. Til Databehandleraftalen hører Bilag 1-2. Bilagene fungerer som en integreret del af Databehandleraftalen.
8. Databehandleraftalen med tilhørende bilag opbevares skriftligt, herunder elektronisk af begge parter.

Instruks

1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den Dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som Databehandleren er underlagt; i så fald underretter Databehandleren den Dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. Persondataforordningen art. 28, stk. 3, litra a.
2. Instruksen består af 2 (to) dele:
3. Denne Databehandleraftale inklusiv bilagene på underskrifttidspunktet.
4. Integrationen, som Databehandleren foretager i Systemet (og hvorved behandling af personoplysninger finder sted) udgør en instruks til Databehandleren, idet Databehandleren automatisk ud fra de informationer, oplysninger og uploads, der modtages fra den Dataansvarlige, foretager indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse.
5. Databehandleren underretter omgående den Dataansvarlige, hvis en instruks efter Databehandlerens mening er i strid med Persondataforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.
6. Hvis ikke andet følger af Databehandleraftalen, må Databehandleren benytte alle relevante hjælpemidler, herunder IT-systemer.

Generelt om behandlingssikkerhed

1. Databehandleren iværksætter løbende alle foranstaltninger, som kræves i henhold til Persondataforordningens artikel 32.
2. I artikel 32 fremgår bl.a., at der skal gennemføres passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risici forbundet med behandling af personoplysninger under hensyntagen til det aktuelle niveau, implementeringsomkostningerne, den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder.
3. Databehandleren skal som minimum iværksætte det sikkerhedsniveau og de foranstaltninger, som er specificeret i punkt 4, 5 og 6.
4. Parterne er enige om, at disse garantier er tilstrækkelige på tidspunktet for indgåelse af denne Databehandleraftale.

Fysisk sikkerhed

1. Databehandleren foretager sikring af fysiske lokaler.

Organisatorisk sikkerhed

1. Databehandleren sikrer, at kun autoriserede personer har adgang til personoplysninger behandlet på vegne af den Dataansvarlige. Adgangen lukkes straks, hvis autorisationen fratages eller udløber.
2. Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang for at opfylde Databehandlerens forpligtelser.
3. Autoriserede personer har forpligtet sig til fortrolighed eller er underlagt passende lovbestemt tavshedspligt.
4. Alle medarbejdere er orienteret om og underlagt interne procedurer for håndtering af sikkerhedsbrud.

Teknisk sikkerhed

1. Databehandleren anvender udelukkende hard- og software af høj kvalitet, der løbende opdateres, herunder antivirussoftware, antihackingsoftware og firewalls.
2. Al kommunikation til/fra Systemet foregår krypteret (https) og understøtter en 256/128 bit TLS-forbindelse.
3. Adgang til interne IT-systemer sker via krypterede login-oplysninger. Kodeord skiftes med passende intervaller.
4. Modtagne kodeord og adgangsinformationer slettes efter opsætning, medmindre Parterne indgår særskilt aftale.
5. Korrespondance og logfiler vedr. support gemmes i en "ticket" og slettes ikke medmindre den Dataansvarlige aktivt anmoder herom.

Underretning om brud på persondatasikkerheden

1. Databehandleren underretter uden unødig forsinkelse den Dataansvarlige efter at være blevet opmærksom på brud på persondatasikkerheden.
2. Et sikkerhedsbrud omfatter ethvert brud, der potentielt kan føre til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysningerne.
3. Databehandleren skal føre og opbevare en fortegnelse over alle sikkerhedsbrud med faktiske omstændigheder, virkninger og trufne afhjælpningsforanstaltninger.

Anvendelse af underdatabehandlere

1. Databehandleren skal opfylde betingelserne i Persondataforordningens artikel 28, stk. 2 og 4, for at gøre brug af Underdatabehandlere.
2. Databehandleren kan generelt anvende Underdatabehandlere, jf. Bilag 2.
3. Den Dataansvarlige skal underrettes om planlagte ændringer vedr. tilføjelse eller erstatning af Underdatabehandlere.
4. Underdatabehandleren pålægges minimum de samme databeskyttelsesforpligtelser som fastsat i denne aftale.
5. Databehandleren forbliver fuldt ansvarlig for Underdatabehandlerens opfyldelse af forpligtelser.

Overførsel til tredjelande

1. Databehandleren må alene behandle personoplysninger efter dokumenteret instruks, herunder for overførsel til tredjelande eller internationale organisationer.
2. Eventuel instruks eller godkendelse vedr. overførsel skal fremgå af Bilagene eller særskilt instruks.
3. Uden instruks/godkendelse må Databehandleren ikke foretage overførsel til tredjelande.
4. Ved overførsel til tredjeland bistår den Dataansvarlige Databehandleren ved indgåelse af nødvendige aftaler.

Bistand til den Dataansvarlige

1. Databehandleren bistår den Dataansvarlige med opfyldelse af forpligtelsen til at besvare anmodninger om de registreredes rettigheder (jf. Persondataforordningens kapitel 3).
2. Databehandleren bistår med at sikre overholdelse af forpligtelser i medfør af artikel 32-36.
3. Betaling for bistanden fremgår af punkt 12.

Sletning

1. Personoplysninger slettes ikke under Abonnementets løbetid, medmindre den Dataansvarlige instruerer herom.
2. Ved ophør skal Databehandleren slette eller tilbagelevere alle personoplysninger, medmindre lovgivning foreskriver opbevaring.
3. Sletning sker senest 3 måneder efter Abonnementets ophør. Tidligere sletning kan ske efter anmodning.

Tilsyn og revision

1. Databehandleren stiller nødvendige oplysninger til rådighed for at påvise overholdelse af artikel 28.
2. Databehandleren giver mulighed for revisioner og inspektioner foretaget af den Dataansvarlige eller bemyndiget sagkyndig.
3. Én gang årligt kan en uafhængig erklæring indhentes for den Dataansvarliges regning.
4. Fysisk tilsyn kan føres efter minimum én måneds varsel med detaljeret plan.
5. Udgifter i forbindelse med tilsyn afholdes af den Dataansvarlige.

Misligholdelse

1. Reguleringen af misligholdelsesbeføjelser følger Abonnementets handelsbetingelser, jf. punkt 1.7.

Ansvar og ansvarsbegrænsninger

1. Parterne er ansvarlige i overensstemmelse med gældende rets almindelige regler med de begrænsninger, der følger af dette afsnit.
2. Parterne fraskriver sig ethvert ansvar for indirekte tab og følgeskader, herunder driftstab, tab af goodwill, besparelser, indtægter og data.
3. Ansvaret er begrænset til de samlede forfaldne betalinger for den 6 måneders periode forud for den skadegørende handling.
4. Undtaget fra begrænsningen er tab som følge af grov uagtsomhed eller forsæt, samt bøder pålagt af tilsynsmyndigheder.

Ændring

1. Databehandleren kan med 1 måneds varsel og uden omkostninger foretage ændring af Databehandleraftalen.

Varighed og ophør

1. Databehandleraftalen kan erstattes af en anden gyldig aftale og kan ikke opsiges særskilt i Abonnementets løbetid.
2. Punkt 5.3, 11, 14 og 17 har virkning efter aftalens ophør.
3. Databehandleren må fortsat behandle personoplysningerne i op til tre måneder efter ophør for lovpligtige foranstaltninger.
4. Behandlingen i denne periode anses for at ske under overholdelse af instruksen.

Tvister

1. Håndtering af tvister følger Abonnementets handelsbetingelser.
2. Databehandleraftalen er underlagt dansk ret. Retten i Næstved er valgt som værneting i første instans.

Personoplysninger og kategorier

§ 1 - Formål: Dette bilag uddyber de konkrete personoplysninger, der behandles på vegne af den Dataansvarlige.

Underdatabehandlere

1. Databehandleren har den Dataansvarliges generelle godkendelse til at gøre brug af Underdatabehandlere.
2. Underretning om ændringer skal ske minimum 30 dage inden ikrafttræden.
3. Den Dataansvarlige har 14 dage til at gøre indsigelse mod ændringer.
4. Indsigelse kræver rimelige, konkrete årsager.

Liste over underdatabehandlere: (Fremsendes efter forlangende)

Kontaktoplysninger

Har du spørgsmål til denne databehandleraftale, er du velkommen til at kontakte os: