Databehandleraftale

Bestemmelserne fastsætter databehandlerens rettigheder og forpligtelser, når denne behandler personoplysninger på vegne af den dataansvarlige.

Bestemmelserne er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (databeskyttelsesforordningen).

I forbindelse med leveringen af ydelser efter parternes hovedaftale (TINXDK Cloud ApS’ salgs- og leveringsbetingelser samt tilhørende ordrebekræftelser) behandler databehandleren personoplysninger på vegne af den dataansvarlige i overensstemmelse med bestemmelserne.

Bestemmelserne har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne.

Der hører fire bilag til bestemmelserne, og bilagene udgør en integreret del af bestemmelserne. Bilag A indeholder nærmere oplysninger om behandlingen. Bilag B indeholder den dataansvarliges betingelser for databehandlerens brug af underdatabehandlere og en liste over godkendte underdatabehandlere. Bilag C indeholder den dataansvarliges instruks og de minimumssikkerhedsforanstaltninger, databehandleren skal gennemføre. Bilag D indeholder parternes bestemmelser om andre forhold.

Bestemmelserne og tilhørende bilag opbevares skriftligt, herunder elektronisk, af begge parter.

Bestemmelserne frigør ikke databehandleren fra forpligtelser, som databehandleren er pålagt efter databeskyttelsesforordningen eller anden lovgivning.

Den dataansvarlige er ansvarlig for at sikre, at behandlingen af personoplysninger sker i overensstemmelse med databeskyttelsesforordningen (se forordningens artikel 24), databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret og bestemmelserne.

Den dataansvarlige har ret og pligt til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må ske behandling af personoplysninger.

Den dataansvarlige er ansvarlig for blandt andet at sikre, at der er et behandlingsgrundlag for den behandling af personoplysninger, som databehandleren instrueres i at foretage.

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. Denne instruks skal være specificeret i bilag A og C. Efterfølgende instruks kan også gives af den dataansvarlige, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk, sammen med bestemmelserne.

Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

Databehandleren må kun give adgang til personoplysninger, som behandles på den dataansvarliges vegne, til personer, som er underlagt databehandlerens instruktionsbeføjelser, som har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, og kun i det nødvendige omfang. Listen af personer, som har fået tildelt adgang, skal løbende gennemgås. På baggrund af denne gennemgang kan adgangen til personoplysninger lukkes, hvis adgangen ikke længere er nødvendig.

Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de pågældende personer er underlagt ovennævnte tavshedspligt.

Databehandlerens og den dataansvarliges forpligtelser efter databeskyttelsesforordningens artikel 32 omfatter passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene for fysiske personers rettigheder og frihedsrettigheder.

Databehandleren skal uafhængigt af den dataansvarlige foretage en vurdering af risiciene for fysiske personers rettigheder og frihedsrettigheder, som behandlingen udgør, og gennemføre foranstaltninger for at imødegå disse risici. De foranstaltninger, databehandleren som minimum gennemfører, fremgår af bilag C.

Databehandleren skal bistå den dataansvarlige med at overholde den dataansvarliges forpligtelse efter artikel 32 ved blandt andet at stille de nødvendige oplysninger til rådighed vedrørende de tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren allerede har gennemført.

Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler (en underdatabehandler).

Databehandleren må ikke gøre brug af en underdatabehandler til opfyldelse af bestemmelserne uden forudgående generel skriftlig godkendelse fra den dataansvarlige. Den dataansvarlige giver med bestemmelserne en generel godkendelse af de underdatabehandlere, der fremgår af bilag B.

Databehandleren skal skriftligt underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer. Gør den dataansvarlige indsigelse, og kan parterne ikke finde en løsning, kan den dataansvarlige opsige de berørte ydelser til ophør, inden ændringen træder i kraft.

Når databehandleren gør brug af en underdatabehandler i forbindelse med udførelse af specifikke behandlingsaktiviteter på vegne af den dataansvarlige, skal databehandleren gennem en kontrakt eller andet retligt dokument pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der fremgår af bestemmelserne, hvorved der navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen overholder kravene i bestemmelserne og databeskyttelsesforordningen.

En kopi af en sådan underdatabehandleraftale og efterfølgende ændringer sendes efter den dataansvarliges anmodning til den dataansvarlige. Bestemmelser om kommercielle forhold, der ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes.

Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databehandleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

Enhver overførsel af personoplysninger til tredjelande eller internationale organisationer må kun foretages af databehandleren på baggrund af dokumenteret instruks herom fra den dataansvarlige og skal altid ske i overensstemmelse med databeskyttelsesforordningens kapitel V.

Hvis overførsel af personoplysninger til tredjelande eller internationale organisationer, som databehandleren ikke er blevet instrueret i at foretage af den dataansvarlige, kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt, skal databehandleren underrette den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

Uden dokumenteret instruks fra den dataansvarlige kan databehandleren således ikke inden for rammerne af bestemmelserne overføre personoplysninger til en dataansvarlig eller databehandler i et tredjeland, overlade behandling af personoplysninger til en underdatabehandler i et tredjeland eller behandle personoplysningerne i et tredjeland.

Den dataansvarliges instruks vedrørende overførsel af personoplysninger til et tredjeland, herunder det eventuelle overførselsgrundlag, skal fremgå af bilag C.6.

Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel III, herunder retten til indsigt, berigtigelse, sletning, begrænsning af behandling, dataportabilitet og indsigelse.

Databehandleren bistår herudover den dataansvarlige med at sikre overholdelse af den dataansvarliges forpligtelser efter databeskyttelsesforordningens artikel 32-36 under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, herunder med underretning af tilsynsmyndigheden og de registrerede om brud på persondatasikkerheden, konsekvensanalyser og forudgående høring af tilsynsmyndigheden.

Parternes regulering af databehandlerens bistand, herunder betaling for bistanden, fremgår af bilag D.

Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden hos databehandleren eller en eventuel underdatabehandler. Underretningen skal ske senest 48 timer efter, at databehandleren er blevet opmærksom på bruddet, så den dataansvarlige kan overholde sin forpligtelse til at anmelde bruddet til tilsynsmyndigheden inden for 72 timer.

Underretningen skal, så vidt muligt, indeholde en beskrivelse af karakteren af bruddet, herunder hvis muligt kategorierne og det omtrentlige antal berørte registrerede og registreringer, de sandsynlige konsekvenser af bruddet og de foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet. Er det ikke muligt at give alle oplysninger samtidig, kan oplysningerne gives trinvist uden unødig yderligere forsinkelse.

Ved ophør af tjenesterne vedrørende behandling af personoplysninger er databehandleren forpligtet til at slette alle personoplysninger, der er blevet behandlet på vegne af den dataansvarlige, og bekræfte over for den dataansvarlige, at oplysningerne er slettet, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.

Den dataansvarlige kan inden ophør bede om at få personoplysningerne returneret. Databehandleren stiller i så fald oplysningerne til rådighed som beskrevet i bilag C.4.

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelsen af databeskyttelsesforordningens artikel 28 og bestemmelserne, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

Procedurerne for den dataansvarliges revisioner, herunder inspektioner, med databehandleren og underdatabehandlere fremgår af bilag C.7 og C.8.

Databehandleren er forpligtet til at give tilsynsmyndigheder, som efter gældende lovgivning har adgang til den dataansvarliges eller databehandlerens faciliteter, eller repræsentanter, der optræder på tilsynsmyndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

Parterne kan aftale andre bestemmelser vedrørende tjenesten vedrørende behandling af personoplysninger om f.eks. erstatningsansvar, så længe disse andre bestemmelser ikke direkte eller indirekte strider imod bestemmelserne eller forringer den registreredes grundlæggende rettigheder og frihedsrettigheder, som følger af databeskyttelsesforordningen. Sådanne bestemmelser fremgår af bilag D.

Bestemmelserne træder i kraft på datoen for begge parters underskrift heraf.

Begge parter kan kræve bestemmelserne genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i bestemmelserne giver anledning hertil.

Bestemmelserne er gældende, så længe tjenesten vedrørende behandling af personoplysninger varer. I denne periode kan bestemmelserne ikke opsiges, medmindre andre bestemmelser, der regulerer levering af tjenesten vedrørende behandling af personoplysninger, aftales mellem parterne.

Hvis levering af tjenesterne vedrørende behandling af personoplysninger ophører, og personoplysningerne er slettet eller returneret til den dataansvarlige i overensstemmelse med punkt 10.1 og bilag C.4, kan bestemmelserne opsiges med skriftligt varsel af begge parter.

Parterne kan kontakte hinanden via nedenstående kontaktpersoner.

Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende kontaktpersoner.