Juridisk

Databehandleraftale for Normann Digital ApS (standardvilkår)

Standardkontraktsbestemmelser i henhold til artikel 28, stk. 3, i forordning 2016/679 (databeskyttelsesforordningen) med henblik på databehandlerens behandling af personoplysninger

Version 1.1 af 12. oktober 2026. Listen over underdatabehandlere (bilag B) ligger på sin egen adresse, normanndigital.dk/betingelser/underdatabehandlere.

mellem

den kunde, der har accepteret et tilbud eller en ordrebekræftelse fra Normann Digital ApS, som henviser til disse Bestemmelser (se bilag D.1)

herefter "den dataansvarlige"

og

Normann Digital ApS, CVR 39303116, Aarhusvej 223D, 8464 Galten, Danmark

herefter "databehandleren"

der hver især er en "part" og sammen udgør "parterne"

HAR AFTALT følgende standardkontraktsbestemmelser (Bestemmelserne) med henblik på at overholde databeskyttelsesforordningen og sikre beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder.

Bestemmelserne 2 til 15 er Datatilsynets standardkontraktsbestemmelser (dansk version 1.2) og er ikke ændret. Kun valgmuligheder og pladsholdere er udfyldt.

Sådan er aftalen bygget op

• Denne aftale er den samme for alle kunder og er en del af Normann Digitals generelle forretningsbetingelser.
• Bilag A står i det enkelte tilbud. Det består altid af det generelle konsulentbilag for arbejde i kundens egne systemer, eventuelt et tillæg for opgavetypen og de tilvalg, der gælder, når data kopieres til Normann Digitals egne værktøjer.
• Kunden er dataansvarlig og har ansvaret for de data, der ligger i kundens systemer. Normann Digital har sine egne pligter som databehandler (se bilag D.2).
• Bilag B er Normann Digitals fælles liste over underdatabehandlere. Den gældende version ligger på normanndigital.dk/betingelser/underdatabehandlere og vedhæftes tilbuddet.
• Bilag C og D står i denne aftale og gælder for alle behandlinger.
• Har parterne underskrevet en særskilt databehandleraftale, gælder den i stedet for denne aftale (se bilag D.3).

2. Præambel

2.1. Disse Bestemmelser fastsætter databehandlerens rettigheder og forpligtelser, når denne foretager behandling af personoplysninger på vegne af den dataansvarlige.

2.2. Disse bestemmelser er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (databeskyttelsesforordningen).

2.3. I forbindelse med leveringen af de ydelser, som er beskrevet i det tilbud eller den ordrebekræftelse, som den dataansvarlige har accepteret, og i det tilhørende bilag A, behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med disse Bestemmelser.

2.4. Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.

2.5. Der hører fire bilag til disse Bestemmelser, og bilagene udgør en integreret del af Bestemmelserne.

2.6. Bilag A indeholder nærmere oplysninger om behandlingen af personoplysninger, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.

2.7. Bilag B indeholder den dataansvarliges betingelser for databehandlerens brug af underdatabehandlere og en liste af underdatabehandlere, som den dataansvarlige har godkendt brugen af.

2.8. Bilag C indeholder den dataansvarliges instruks for så vidt angår databehandlerens behandling af personoplysninger, en beskrivelse af de sikkerhedsforanstaltninger, som databehandleren som minimum skal gennemføre, og hvordan der føres tilsyn med databehandleren og eventuelle underdatabehandlere.

2.9. Bilag D indeholder bestemmelser vedrørende andre aktiviteter, som ikke er omfattet af Bestemmelserne.

2.10. Bestemmelserne med tilhørende bilag skal opbevares skriftligt, herunder elektronisk, af begge parter.

2.11. Disse Bestemmelser frigør ikke databehandleren fra forpligtelser, som databehandleren er pålagt efter databeskyttelsesforordningen eller enhver anden lovgivning.

3. Den dataansvarliges rettigheder og forpligtelser

3.1. Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (se forordningens artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og disse Bestemmelser.

3.2. Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke(t) formål og med hvilke hjælpemidler, der må ske behandling af personoplysninger.

3.3. Den dataansvarlige er ansvarlig for, blandt andet, at sikre, at der er et behandlingsgrundlag for behandlingen af personoplysninger, som databehandleren instrueres i at foretage.

4. Databehandleren handler efter instruks

4.1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Denne instruks skal være specificeret i bilag A og C. Efterfølgende instruks kan også gives af den dataansvarlige, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med disse Bestemmelser.

4.2. Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

5. Fortrolighed

5.1. Databehandleren må kun give adgang til personoplysninger, som behandles på den dataansvarliges vegne, til personer, som er underlagt databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Listen af personer, som har fået tildelt adgang, skal løbende gennemgås. På baggrund af denne gennemgang kan adgangen til personoplysninger lukkes, hvis adgangen ikke længere er nødvendig, og personoplysningerne skal herefter ikke længere være tilgængelige for disse personer.

5.2. Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer, som er underlagt databehandlerens instruktionsbeføjelser, er underlagt ovennævnte tavshedspligt.

6. Behandlingssikkerhed

6.1. Databeskyttelsesforordningens artikel 32 fastslår, at den dataansvarlige og databehandleren, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til disse risici.

Den dataansvarlige skal vurdere risiciene for fysiske personers rettigheder og frihedsrettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Afhængig af deres relevans kan det omfatte:

• a. Pseudonymisering og kryptering af personoplysninger
• b. evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester
• c. evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
• d. en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.

6.2. Efter forordningens artikel 32 skal databehandleren – uafhængigt af den dataansvarlige – også vurdere risiciene for fysiske personers rettigheder som behandlingen udgør og gennemføre foranstaltninger for at imødegå disse risici. Med henblik på denne vurdering skal den dataansvarlige stille den nødvendige information til rådighed for databehandleren som gør vedkommende i stand til at identificere og vurdere sådanne risici.

6.3. Derudover skal databehandleren bistå den dataansvarlige med vedkommendes overholdelse af den dataansvarliges forpligtelse efter forordningens artikel 32, ved bl.a. at stille den nødvendige information til rådighed for den dataansvarlige vedrørende de tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren allerede har gennemført i henhold til forordningens artikel 32, og al anden information, der er nødvendig for den dataansvarliges overholdelse af sin forpligtelse efter forordningens artikel 32.

Hvis imødegåelse af de identificerede risici – efter den dataansvarliges vurdering – kræver gennemførelse af yderligere foranstaltninger end de foranstaltninger, som databehandleren allerede har gennemført, skal den dataansvarlige angive de yderligere foranstaltninger, der skal gennemføres, i bilag C.

7. Anvendelse af underdatabehandlere

7.1. Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2, og stk. 4, for at gøre brug af en anden databehandler (en underdatabehandler).

7.2. Databehandleren må således ikke gøre brug af en underdatabehandler til opfyldelse af disse Bestemmelser uden forudgående generel skriftlig godkendelse fra den dataansvarlige.

7.3. Databehandleren har den dataansvarliges generelle godkendelse til brug af underdatabehandlere. Databehandleren skal skriftligt underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer inden brugen af de(n) omhandlede underdatabehandler(e). Længere varsel for underretning i forbindelse med specifikke behandlingsaktiviteter kan angives i bilag B. Listen over underdatabehandlere, som den dataansvarlige allerede har godkendt, fremgår af bilag B.

7.4. Når databehandleren gør brug af en underdatabehandler i forbindelse med udførelse af specifikke behandlingsaktiviteter på vegne af den dataansvarlige, skal databehandleren, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der fremgår af disse Bestemmelser, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen overholder kravene i disse Bestemmelser og databeskyttelsesforordningen.

Databehandleren er derfor ansvarlig for at kræve, at underdatabehandleren som minimum overholder databehandlerens forpligtelser efter disse Bestemmelser og databeskyttelsesforordningen.

7.5. Underdatabehandleraftale(r) og eventuelle senere ændringer hertil sendes – efter den dataansvarliges anmodning herom – i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at tilsvarende databeskyttelsesforpligtelser som følger af disse Bestemmelser er pålagt underdatabehandleren. Bestemmelser om kommercielle vilkår, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.

7.6. (Valgfri bestemmelse. Ikke anvendt.)

7.7. Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser. Dette påvirker ikke de registreredes rettigheder, der følger af databeskyttelsesforordningen, herunder særligt forordningens artikel 79 og 82, over for den dataansvarlige og databehandleren, herunder underdatabehandleren.

8. Overførsel til tredjelande eller internationale organisationer

8.1. Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V.

8.2. Hvis overførsel af personoplysninger til tredjelande eller internationale organisationer, som databehandleren ikke er blevet instrueret i at foretage af den dataansvarlige, kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt, skal databehandleren underrette den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

8.3. Uden dokumenteret instruks fra den dataansvarlige kan databehandleren således ikke inden for rammerne af disse Bestemmelser:

• a. overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland eller en international organisation
• b. overlade behandling af personoplysninger til en underdatabehandler i et tredjeland
• c. behandle personoplysningerne i et tredjeland

8.4. Den dataansvarliges instruks vedrørende overførsel af personoplysninger til et tredjeland, herunder det eventuelle overførselsgrundlag i databeskyttelsesforordningens kapitel V, som overførslen er baseret på, skal angives i bilag C.6.

8.5. Disse Bestemmelser skal ikke forveksles med standardkontraktsbestemmelser som omhandlet i databeskyttelsesforordningens artikel 46, stk. 2, litra c og d, og disse Bestemmelser kan ikke udgøre et grundlag for overførsel af personoplysninger som omhandlet i databeskyttelsesforordningens kapitel V.

9. Bistand til den dataansvarlige

9.1. Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel III.

Dette indebærer, at databehandleren så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:

• a. oplysningspligten ved indsamling af personoplysninger hos den registrerede
• b. oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede
• c. indsigtsretten
• d. retten til berigtigelse
• e. retten til sletning ("retten til at blive glemt")
• f. retten til begrænsning af behandling
• g. underretningspligten i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
• h. retten til dataportabilitet
• i. retten til indsigelse
• j. retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering

9.2. I tillæg til databehandlerens forpligtelse til at bistå den dataansvarlige i henhold til Bestemmelse 6.3., bistår databehandleren endvidere, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, den dataansvarlige med:

• a. den dataansvarliges forpligtelse til uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed, Datatilsynet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder
• b. den dataansvarliges forpligtelse til uden unødig forsinkelse at underrette den registrerede om brud på persondatasikkerheden, når bruddet sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder
• c. den dataansvarliges forpligtelse til forud for behandlingen at foretage en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger (en konsekvensanalyse)
• d. den dataansvarliges forpligtelse til at høre den kompetente tilsynsmyndighed, Datatilsynet, inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen.

9.3. Parterne skal i bilag C angive de fornødne tekniske og organisatoriske foranstaltninger, hvormed databehandleren skal bistå den dataansvarlige samt i hvilket omfang og udstrækning. Det gælder for de forpligtelser, der følger af Bestemmelse 9.1. og 9.2.

10. Underretning om brud på persondatasikkerheden

10.1. Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden.

10.2. Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 24 timer efter, at denne er blevet bekendt med bruddet, sådan at den dataansvarlige kan overholde sin forpligtelse til at anmelde bruddet på persondatasikkerheden til den kompetente tilsynsmyndighed, jf. databeskyttelsesforordningens artikel 33.

10.3. I overensstemmelse med Bestemmelse 9.2.a skal databehandleren bistå den dataansvarlige med at foretage anmeldelse af bruddet til den kompetente tilsynsmyndighed. Det betyder, at databehandleren skal bistå med at tilvejebringe nedenstående information, som ifølge artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse af bruddet til den kompetente tilsynsmyndighed:

• a. karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger
• b. de sandsynlige konsekvenser af bruddet på persondatasikkerheden
• c. de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.

10.4. Parterne skal i bilag C angive den information, som databehandleren skal tilvejebringe i forbindelse med sin bistand til den dataansvarlige i dennes forpligtelse til at anmelde brud på persondatasikkerheden til den kompetente tilsynsmyndighed.

11. Sletning og returnering af oplysninger

11.1. Ved ophør af tjenesterne vedrørende behandling af personoplysninger, er databehandleren forpligtet til at slette alle personoplysninger, der er blevet behandlet på vegne af den dataansvarlige og bekræfte over for den dataansvarlig, at oplysningerne er slettet.

12. Revision, herunder inspektion

12.1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og disse Bestemmelser, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

12.2. Procedurerne for den dataansvarliges revisioner, herunder inspektioner, med databehandleren og underdatabehandlere er nærmere angivet i Bilag C.7. og C.8.

12.3. Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter gældende lovgivningen har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter, der optræder på tilsynsmyndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

13. Parternes aftale om andre forhold

13.1. Parterne kan aftale andre bestemmelser vedrørende tjenesten vedrørende behandling af personoplysninger om f.eks. erstatningsansvar, så længe disse andre bestemmelser ikke direkte eller indirekte strider imod Bestemmelserne eller forringer den registreredes grundlæggende rettigheder og frihedsrettigheder, som følger af databeskyttelsesforordningen.

14. Ikrafttræden og ophør

14.1. Bestemmelserne træder i kraft på datoen for begge parters underskrift heraf.

14.2. Begge parter kan kræve Bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i Bestemmelserne giver anledning hertil.

14.3. Bestemmelserne er gældende, så længe tjenesten vedrørende behandling af personoplysninger varer. I denne periode kan Bestemmelserne ikke opsiges, medmindre andre bestemmelser, der regulerer levering af tjenesten vedrørende behandling af personoplysninger, aftales mellem parterne.

14.4. Hvis levering af tjenesterne vedrørende behandling af personoplysninger ophører, og personoplysningerne er slettet eller returneret til den dataansvarlige i overensstemmelse med Bestemmelse 11.1 og Bilag C.4, kan Bestemmelserne opsiges med skriftlig varsel af begge parter.
14.5. Underskrift

Bestemmelserne er indgået ved den dataansvarliges skriftlige accept af tilbuddet eller ordrebekræftelsen, jf. bilag D.1. Accepten sidestilles med underskrift.

15. Kontaktpersoner hos den dataansvarlige og databehandleren

15.1. Parterne kan kontakte hinanden via nedenstående kontaktpersoner.

15.2. Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende kontaktpersoner.

Bilag A: Oplysninger om behandlingen

Bilag A står i det enkelte tilbud eller den enkelte ordrebekræftelse. Det består af:

• Del 1, det generelle konsulentbilag. Det gælder altid og dækker databehandlerens arbejde i den dataansvarliges egne systemer.
• Tillæg pr. opgavetype, når opgaven omfatter særlige data, fx et website.
• Del 2, tilvalg, når opgaven kræver, at personoplysninger kopieres til databehandlerens egne værktøjer. Tilvalget angiver formål, værktøj, data, instruks og sletning og henviser til underdatabehandlerne i bilag B.

Hver del angiver formålet med behandlingen, behandlingens karakter, typer af personoplysninger, kategorier af registrerede, varighed og særlige instrukser.

Har den dataansvarlige accepteret flere tilbud, består bilag A af alle de bilag A, der står i dem. Hvert bilag A gælder for den behandling, det beskriver, så længe den behandling varer.

Behandlingen omfatter ikke særlige kategorier af personoplysninger efter artikel 9 (fx helbredsoplysninger og fagforeningsmæssigt tilhørsforhold), oplysninger om strafbare forhold efter artikel 10 eller CPR-numre. Behandling af sådanne oplysninger kræver en særskilt skriftlig aftale mellem parterne. Den dataansvarlige må ikke overlade sådanne oplysninger til databehandleren uden en sådan aftale.

Bilag B: Underdatabehandlere

B.1. Godkendte underdatabehandlere

Ved Bestemmelsernes ikrafttræden har den dataansvarlige godkendt brugen af de underdatabehandlere, der står på Normann Digitals liste over underdatabehandlere i den version, som var vedhæftet det accepterede tilbud. Senere ændringer er godkendt efter B.2.

Listen angiver for hver underdatabehandler navn, behandlingsaktivitet, placering af data og overførselsgrundlag. Den gældende version og tidligere versioner ligger på normanndigital.dk/betingelser/underdatabehandlere. Databehandleren opbevarer alle versioner, så det altid kan dokumenteres, hvilken liste der gjaldt på et givet tidspunkt.

Databehandleren bruger kun en underdatabehandler til en kunde, når opgaven kræver det. Det sker ved de tilvalg i bilag A del 2, der er aftalt, og i begrænset omfang ved korrespondance og opgavestyring efter bilag A del 1. Listen er fælles for alle kunder og kan derfor indeholde underdatabehandlere, som ikke bruges til netop den dataansvarliges opgaver.

Databehandleren må ikke uden den dataansvarliges skriftlige godkendelse gøre brug af en underdatabehandler til en anden behandlingsaktivitet end den, der står på listen, eller gøre brug af en underdatabehandler, der ikke står på listen.

Værktøjer, som den dataansvarlige selv har konto og aftale med, er ikke underdatabehandlere for databehandleren. De er den dataansvarliges egne databehandlere, og den dataansvarlige skal selv have databehandleraftale med dem. Databehandleren får blot en brugeradgang til dem.

B.2. Varsel for godkendelse af underdatabehandlere

Databehandleren underretter den dataansvarlige skriftligt på e-mail til kontaktpersonen i bestemmelse 15 med mindst 30 dages varsel, jf. bestemmelse 7.3. Underretningen beskriver ændringen og henviser til den nye version af listen. Det er ikke nok, at listen er opdateret på hjemmesiden.

Den dataansvarlige kan gøre saglig indsigelse senest 14 dage efter underretningen. Gør den dataansvarlige indsigelse, drøfter parterne en løsning. Databehandleren tager ikke den nye underdatabehandler i brug til den dataansvarliges personoplysninger, før sagen er afklaret. Finder parterne ingen løsning, kan hver part opsige de berørte ydelser med det varsel, der står i tilbuddet eller forretningsbetingelserne.

Gør den dataansvarlige ikke indsigelse inden fristen, er ændringen godkendt.

Bilag C: Instruks vedrørende behandling af personoplysninger

C.1. Behandlingens genstand/instruks

Databehandleren udfører de ydelser, der står i det accepterede tilbud og i bilag A. Databehandleren må kun behandle personoplysningerne for at levere disse ydelser og efter den dataansvarliges dokumenterede instruks. Særlige instrukser for den enkelte opgave står i bilag A.

Den aftalte opgave udgør instruksen. Det gælder tilbuddet og senere skriftlige aftaler om opgaven, fx mails og opgavebeskrivelser. Instruksen kan være udarbejdet på baggrund af databehandlerens rådgivning, men det er den dataansvarlige, der træffer beslutningen og giver instruksen.

Databehandleren arbejder som udgangspunkt i den dataansvarliges egne systemer. Personoplysninger kopieres kun til databehandlerens egne værktøjer, når et tilvalg i bilag A del 2 er aftalt.

Databehandleren må ikke bruge den dataansvarliges personoplysninger til egne formål, herunder til at træne AI-modeller, til markedsføring eller til statistik på tværs af kunder.

Databehandleren må kun bruge AI-værktøjer til at behandle den dataansvarliges personoplysninger, hvis udbyderen står på listen over underdatabehandlere i bilag B, eller hvis værktøjet kører på den dataansvarliges egen konto. Personoplysningerne må ikke bruges til at træne AI-modeller. Et menneske hos databehandleren gennemgår resultatet, før det leveres.

C.2. Behandlingssikkerhed

Behandlingen omfatter almindelige personoplysninger, fx om den dataansvarliges medarbejdere, kunder, kontakter og besøgende. Sikkerhedsniveauet skal derfor være et almindeligt niveau, som passer til en lille virksomhed med adgang til flere kunders systemer. Følsomme oplysninger behandles kun efter en særskilt aftale, jf. indledningen til bilag A.

Databehandleren gennemfører som minimum følgende foranstaltninger:

Adgangsstyring

• Personlige brugerkonti. Ingen delte logins til den dataansvarliges systemer, medmindre systemet ikke tillader andet.
• To-faktor-godkendelse på alle konti, der giver adgang til personoplysninger, når systemet understøtter det.
• Adgangskoder gemmes i en password manager.
• Adgang gives kun til de personer, der har brug for den. Adgangen gennemgås mindst hvert halve år og lukkes, når den ikke længere er nødvendig.

Kryptering

• Personoplysninger sendes kun over krypterede forbindelser (HTTPS/TLS).
• Bærbare computere og telefoner, der bruges i arbejdet, har krypteret lager og skærmkode.
• Databaser og hosting, som databehandleren driver, opbevarer data krypteret i det omfang, udbyderen tilbyder det.

Robusthed og genopretning

• Databaser, som databehandleren driver for den dataansvarlige, er omfattet af automatisk backup mindst en gang i døgnet. Backup gemmes i mindst 7 dage hos en underdatabehandler i bilag B.
• Data i den dataansvarliges egne systemer og konti er ikke omfattet af databehandlerens backup.

Arbejdspladser og hjemmearbejde

• Enheder har automatisk skærmlås og opdateret styresystem og software.
• Systemer med personoplysninger tilgås kun via krypterede forbindelser, også fra offentlige netværk.
• Personoplysninger gemmes ikke på USB-nøgler eller i private cloud-tjenester.

Dataminimering i arbejdet

• Personoplysninger kopieres kun ud af den dataansvarliges systemer, når opgaven kræver det, og slettes bagefter.
• Udtræk, eksportfiler og midlertidige kopier laves kun, når opgaven kræver det, og slettes, når opgaven er løst.
• Test og udvikling sker med opdigtede data, når det er muligt.

Logning

• Databehandleren bruger den logning, der findes i de systemer, der anvendes. Databehandleren fører ikke særskilt logning ud over det.

Afprøvning

• Databehandleren gennemgår disse foranstaltninger mindst en gang om året og ajourfører dem ved behov.

C.3. Bistand til den dataansvarlige

Databehandleren hjælper den dataansvarlige med:

• at besvare anmodninger fra registrerede (fx indsigt, sletning, rettelse) ved at finde, udlevere, rette eller slette oplysninger i de systemer, databehandleren har adgang til
• at give de oplysninger, der kræves ved brud på persondatasikkerheden, jf. bestemmelse 10
• at give oplysninger til en konsekvensanalyse eller en forudgående høring af Datatilsynet

Modtager databehandleren en anmodning direkte fra en registreret, sender databehandleren den videre til den dataansvarlige uden unødig forsinkelse og svarer ikke selv den registrerede, medmindre den dataansvarlige har givet instruks om det.

Ved brud på persondatasikkerheden giver databehandleren den dataansvarlige oplysning om:

• hvad der er sket, og hvornår det blev opdaget
• hvilke systemer, kategorier af registrerede og typer af oplysninger der er berørt, og omtrent hvor mange
• de sandsynlige konsekvenser
• hvad databehandleren har gjort og foreslår at gøre

Betaling for bistand står i bilag D.4.

C.4. Opbevaringsperiode/sletterutine

Personoplysninger opbevares hos databehandleren, så længe det er nødvendigt for at levere ydelserne. Eksportfiler og arbejdskopier slettes, når den enkelte opgave er løst. Særlige slettefrister for den enkelte opgave står i bilag A.

Ved ophør af en ydelse sletter databehandleren de personoplysninger, som databehandleren har behandlet på den dataansvarliges vegne til den ydelse, jf. bestemmelse 11.1. Sletningen sker senest 30 dage efter ophør. Databehandleren bekræfter sletningen skriftligt over for den dataansvarlige.

Ønsker den dataansvarlige en kopi af data, som databehandleren opbevarer, skal den dataansvarlige bede om det skriftligt senest 14 dage efter ophør. Databehandleren udleverer så data i et almindeligt maskinlæsbart format (fx CSV eller en databasedump), før de slettes.

Data i backup slettes ved den normale rotation og senest 90 dage efter ophør. Indtil da bruges backup ikke til andet end genopretning.

Databehandleren afleverer eller lukker sin adgang til den dataansvarliges egne systemer og konti ved ophør. Data i den dataansvarliges egne systemer slettes ikke af databehandleren, medmindre den dataansvarlige giver instruks om det.

C.5. Lokalitet for behandling

Behandling af de af Bestemmelserne omfattede personoplysninger kan ikke uden den dataansvarliges forudgående skriftlige godkendelse ske på andre lokaliteter end følgende:

• databehandlerens arbejdssteder i Danmark og ved midlertidigt arbejde fra andre lande i EU/EØS
• hos de underdatabehandlere og på de lokaliteter, der står i bilag B

C.6. Instruks vedrørende overførsel af personoplysninger til tredjelande

Den dataansvarlige giver instruks om, at databehandleren må overføre personoplysninger til tredjelande, når overførslen sker til en underdatabehandler, der står i bilag B, og bilag B angiver et gyldigt overførselsgrundlag efter forordningens kapitel V. Gyldige grundlag er:

• en afgørelse om tilstrækkeligt beskyttelsesniveau efter artikel 45, herunder EU-US Data Privacy Framework for certificerede amerikanske virksomheder
• EU-Kommissionens standardkontraktbestemmelser efter artikel 46, stk. 2, litra c (afgørelse (EU) 2021/914), med en vurdering af den konkrete overførsel

Andre overførsler må ikke ske uden en ny dokumenteret instruks.

Hvis den dataansvarlige ikke i disse Bestemmelser eller efterfølgende giver en dokumenteret instruks vedrørende overførsels af personoplysninger til et tredjeland, er databehandleren ikke berettiget til inden for rammerne af disse Bestemmelser at foretage sådanne overførsler.

C.7. Procedurer for den dataansvarliges revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til databehandleren

Databehandleren udarbejder en gang om året en skriftlig erklæring om, hvordan databehandleren overholder disse Bestemmelser. Erklæringen indeholder en status på foranstaltningerne i C.2, den gældende liste over underdatabehandlere og en oversigt over eventuelle brud på persondatasikkerheden. Databehandleren sender den seneste erklæring til den dataansvarlige uden betaling, når den dataansvarlige beder om det.

Den dataansvarlige kan anfægte erklæringens rammer og metode og kan bede om yderligere dokumentation.

Den dataansvarlige eller en uafhængig revisor, som den dataansvarlige udpeger, kan herudover foretage inspektioner, herunder fysiske inspektioner, når den dataansvarlige finder det nødvendigt. Inspektionen varsles skriftligt mindst 30 dage før, medmindre der er en konkret mistanke om brud. Revisoren skal være underlagt tavshedspligt.

Den dataansvarliges egne udgifter ved en inspektion afholdes af den dataansvarlige. Databehandlerens tidsforbrug afregnes efter bilag D.4.

C.8. Procedurer for revisioner, herunder inspektioner, med behandling af personoplysninger, som er overladt til underdatabehandlere

Underdatabehandlerne i bilag B er primært store udbydere af standardiserede cloudtjenester. Databehandleren fører tilsyn med dem ved mindst en gang om året:

• at gennemgå underdatabehandlerens databehandleraftale og ændringer i den
• at indhente og gennemgå underdatabehandlerens tilgængelige revisionserklæringer eller certificeringer (fx ISO 27001, SOC 2 eller ISAE 3402/3000), når de findes
• at notere resultatet og sende det til den dataansvarlige efter anmodning

Databehandlerens og underdatabehandlerens udgifter ved tilsyn med underdatabehandlere er den dataansvarlige uvedkommende.

Bilag D: Parternes regulering af andre forhold

D.1. Indgåelse

Bestemmelserne indgås, når den dataansvarlige skriftligt accepterer et tilbud eller en ordrebekræftelse fra databehandleren, som henviser til Bestemmelserne. Skriftligt omfatter e-mail, e-signatur og en godkendelsesknap i en e-mail fra databehandleren. Accepten sidestilles med begge parters underskrift efter bestemmelse 14.1 og 14.5. Bestemmelserne træder i kraft på datoen for accepten.

Databehandleren opbevarer accepten sammen med tilbuddet, det tilhørende bilag A og de versioner af Bestemmelserne og listen over underdatabehandlere, som var vedhæftet tilbuddet.

D.2. Den dataansvarliges ansvar og adgang

Den dataansvarlige er dataansvarlig og bestemmer selv, hvilke systemer og data databehandleren får adgang til.

Den dataansvarlige har ansvaret for, at der er lovligt grundlag for de personoplysninger, der ligger i den dataansvarliges systemer, og for at reglerne om samtykke, oplysningspligt og sletning er overholdt, jf. bestemmelse 3.

Den dataansvarlige tildeler og fjerner databehandlerens adgange. Databehandleren bruger kun adgangen til den aftalte opgave.

Den dataansvarliges ansvar ændrer ikke databehandlerens egne pligter. Databehandleren skal fortsat holde sig inden for instruksen (bestemmelse 4.1), straks underrette den dataansvarlige, hvis en instruks efter databehandlerens vurdering er i strid med databeskyttelsesreglerne (bestemmelse 4.2), og selvstændigt sørge for passende sikkerhed efter forordningens artikel 32 (bestemmelse 6). Intet i dette punkt begrænser disse pligter.

D.3. Forholdet til andre aftaler

Disse Bestemmelser har forrang for tilbud, ordrebekræftelser og forretningsbetingelser, når det gælder behandling af personoplysninger.

Har parterne indgået en særskilt databehandleraftale, som begge parter har underskrevet, gælder den særskilte aftale i stedet for disse Bestemmelser for de behandlinger, den omfatter.

Ophører hovedaftalen, gælder Bestemmelserne, indtil sletning eller tilbagelevering efter bilag C.4 er gennemført.

D.4. Betaling for bistand og revision

Databehandleren har ret til betaling efter sin almindelige timepris, jf. tilbuddet og forretningsbetingelserne, for:

• bistand efter bestemmelse 9 og bilag C.3
• tid brugt på inspektioner og på at besvare spørgsmål og dokumentationskrav efter bilag C.7
• udlevering af data efter bilag C.4, når den kræver mere end almindelig eksport

Databehandleren kan ikke kræve betaling, når bistanden eller inspektionen skyldes, at databehandleren har brudt disse Bestemmelser eller forordningen. Bistand ved brud på persondatasikkerheden hos databehandleren eller dennes underdatabehandlere er altid gratis. Den årlige erklæring efter bilag C.7 er gratis.

D.5. Ulovlig instruks

Mener databehandleren, at en instruks er ulovlig, jf. bestemmelse 4.2, kan databehandleren udsætte udførelsen af instruksen, indtil den dataansvarlige har bekræftet, ændret eller trukket den tilbage. Databehandleren er ikke ansvarlig for følger af, at instruksen udsættes.

D.6. Ansvar

Parternes ansvar over for hinanden efter disse Bestemmelser følger Normann Digitals forretningsbetingelser, punkt 9 og 10.

Uanset forretningsbetingelserne regnes den dataansvarliges rimelige og dokumenterede udgifter til at genskabe data og håndtere et brud på persondatasikkerheden som direkte tab, når bruddet skyldes, at databehandleren har overtrådt Bestemmelserne. Udgifterne er omfattet af ansvarsloftet i forretningsbetingelserne.

Hver part betaler selv bøder, som en myndighed pålægger parten. Bestemmelserne begrænser ikke de registreredes ret til erstatning efter forordningens artikel 82.

D.7. Ændringer af Bestemmelserne

Databehandleren kan udsende en ny version af Bestemmelserne. En ny version gælder for tilbud, der henviser til den, når den dataansvarlige har accepteret tilbuddet.

For ydelser, som allerede er i gang, gælder en ny version kun, hvis den dataansvarlige accepterer den skriftligt. Accepten kan gives på e-mail.

Uden accept kan databehandleren dog ændre bilagene ved skriftlig underretning på e-mail til kontaktpersonen i bestemmelse 15, når ændringen alene
a) retter kontaktoplysninger, navne, henvisninger eller lignende,
b) fastholder eller styrker sikkerhedsniveauet i bilag C.2, eller
c) er nødvendig på grund af ændret lovgivning eller en afgørelse eller vejledning fra en tilsynsmyndighed,

og ændringen ikke forringer den dataansvarliges rettigheder eller beskyttelsen af personoplysningerne. Underretningen beskriver ændringen og sendes mindst 30 dage før, den træder i kraft. Den dataansvarlige kan senest 14 dage efter underretningen gøre indsigelse og kræve, at ændringen kun gælder med accept.

Ændringer af instruksen i bilag C.1, af behandlingens formål, af kategorierne af personoplysninger eller registrerede, af overførsler efter bilag C.6 og af bilag D kræver altid den dataansvarliges skriftlige accept. Det samme gælder en ny version af Datatilsynets standardkontraktsbestemmelser.

Accepterer den dataansvarlige ikke en ændring, gælder den hidtidige version fortsat. Er ændringen nødvendig for at overholde lovgivningen, og finder parterne ingen løsning, kan hver part opsige de berørte ydelser med det varsel, der står i tilbuddet eller forretningsbetingelserne.

Ændringer i listen over underdatabehandlere sker efter bilag B.2 og er ikke en ændring af Bestemmelserne.

D.8. Lovvalg og værneting

Bestemmelserne er underlagt dansk ret. Tvister afgøres ved de danske domstole med Retten i Aarhus som første instans.

Databehandleraftale for Normann Digital ApS, standardvilkår, version 1.1 af 12. oktober 2026. Bygger på Datatilsynets standardkontraktsbestemmelser, version 1.2.