# Databehandleraftale: tjekliste for webværktøjer

> Hvornår du har brug for en databehandleraftale efter art. 28 GDPR, hvilket indhold den skal have, og hvad du skal tjekke ved analyse- og marketingværktøjer.

Quelle: https://whovisit.app/da/blog/databehandleraftale-webvaerktojer-tjekliste
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Næsten ethvert værktøj, du bruger på din hjemmeside, behandler data på dine vegne: webanalyse, nyhedsbrev, CRM, heatmap, chat. Så snart personoplysninger er involveret, kræver GDPR en aftale med udbyderen. Den hedder databehandleraftale, på tysk Auftragsverarbeitungsvertrag, kort AV-aftale eller AVV. Denne artikel forklarer, hvornår du har brug for den, hvad der skal stå i den, og hvad du bør tænke på ved valget af et værktøj.

## Hvornår du har brug for en databehandleraftale

Art. 28 GDPR gælder, når en tjenesteyder behandler personoplysninger **på dine vegne** og efter dine instrukser. Du er så den dataansvarlige, udbyderen er databehandleren. Lovteksten finder du i [GDPR på EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679).

Ikke ethvert forhold er databehandling. Tre konstellationer bør du holde ud fra hinanden:

| Konstellation | Kendetegn | Aftale |
|---|---|---|
| Databehandling | Udbyderen handler kun efter din instruks | Databehandleraftale efter art. 28 |
| Fælles ansvar | Du og udbyderen beslutter sammen om formål og midler | Aftale efter art. 26 |
| Egen dataansvarlig | Udbyderen bruger dataene til egne formål | Alt efter sagen eget retsgrundlag og overførsel |

Det afgørende er, hvem der fastlægger formål og midler, ikke hvad aftalen hedder. En udbyder, der også bruger dataene til egne formål, for eksempel til at forbedre egne produkter ud over ydelsen til dig, er for den del ikke længere databehandler. Efter art. 28, stk. 10 gælder en databehandler, der selv fastlægger formål og midler, for denne behandling som dataansvarlig.

## Obligatorisk indhold efter art. 28, stk. 3

Aftalen skal fastlægge genstand og varighed af behandlingen, art og formål, typen af oplysninger og kategorierne af registrerede. Desuden skal den fastsætte, at databehandleren:

- **a)** kun behandler dataene efter dokumenteret instruks, også ved overførsler til et tredjeland,
- **b)** bruger personer, der er forpligtet til fortrolighed,
- **c)** træffer foranstaltningerne efter art. 32,
- **d)** overholder betingelserne for yderligere databehandlere,
- **e)** bistår dig ved anmodninger fra de registrerede,
- **f)** bistår dig ved forpligtelserne efter art. 32 til 36,
- **g)** efter ydelsens afslutning sletter eller tilbageleverer dataene efter dit valg,
- **h)** leverer dokumentation og muliggør kontrol.

Aftalen skal udfærdiges skriftligt, et elektronisk format er nok (stk. 9). En modelramme tilbyder Europa-Kommissionen med [standardkontraktbestemmelserne for databehandling](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Efter art. 28, stk. 6 kan aftalen helt eller delvist bygge på dem.

## Underdatabehandlere

Bruger udbyderen selv tjenesteydere, for eksempel en hostingudbyder, gælder to regler fra art. 28, stk. 2 og 4:

- Udbyderen har brug for din forudgående specifikke eller generelle skriftlige godkendelse. Ved en generel godkendelse skal udbyderen informere dig om enhver planlagt ændring. Du kan så gøre indsigelse.
- Udbyderen skal pålægge underdatabehandlerne de samme databeskyttelsesforpligtelser. Gør en underdatabehandler ikke det, hæfter den første databehandler over for dig.

Spørg derfor udbyderen om en aktuel liste over underdatabehandlerne med hjemsted og opgave.

## Tredjeland

Behandles dataene uden for EU og EØS, eller kan de tilgås derfra, gælder desuden reglerne om overførsler til tredjelande (kapitel V, art. 44 ff. GDPR). Der er tre almindelige veje: en tilstrækkelighedsafgørelse fra Kommissionen, standardkontraktbestemmelser for overførslen eller bindende virksomhedsregler. For USA findes der siden 2023 en [tilstrækkelighedsafgørelse om EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Den gælder kun for virksomheder, der deltager i rammeværket. Den angribes retsligt, så tjek den aktuelle status. En server i EU løser emnet, hvis hverken udbyderen eller en underdatabehandler fra et tredjeland kan få adgang til dataene.

## Tjekliste for analyse- og marketingværktøjer

1. **Afklar rollen.** Behandler udbyderen kun for dig eller også til egne formål?
2. **Gennemgå aftalen.** Står alle punkter fra art. 28, stk. 3 i den?
3. **Beskriv dataene.** Er typen af data og kategorierne af registrerede konkret angivet?
4. **Se på underdatabehandlerne.** Findes der en liste og en procedure ved ændringer?
5. **Spørg til serverplaceringen.** Hvor ligger dataene, og hvem kan få adgang?
6. **Dokumentér tredjelandsvejen.** Hvilket grundlag bærer en overførsel?
7. **Regulér sletning.** Hvad sker der med dataene efter aftalens ophør?
8. **Læs de tekniske foranstaltninger.** Kryptering, adgangsrettigheder, logning.

Læg aftalen til din dokumentation, og tag værktøjet med i din fortegnelse over behandlingsaktiviteter efter art. 30 GDPR. Især ved værktøjer, der først indlæses efter samtykke, er aftalen en anden, adskilt forudsætning. Samtykket på enheden erstatter den ikke, som [§ 25 TDDDG: cookies og tracking i Tyskland](https://whovisit.app/blog/tdddg-paragraf-25-cookies) viser.

## Hvad der truer ved overtrædelser

Mangler aftalen, eller er den ufuldstændig, kan tilsynsmyndigheden påtale det. For overtrædelser af forpligtelserne efter art. 28 fastsætter art. 83, stk. 4 GDPR bøder på op til 10 millioner euro eller op til 2 procent af den samlede globale årsomsætning, alt efter hvilket beløb der er højest. Det er rammen og ikke en prognose for det enkelte tilfælde.

## Og i Schweiz?

Den schweiziske databeskyttelseslov regulerer behandling ved databehandlere i art. 9 DSG. Tanken er lignende, formuleringen en anden. Den, der henvender sig til registrerede i EU, har som regel brug for aftalen efter GDPR. Om det gælder for dit tilbud, forklarer [Website-tracking i Schweiz: revDSG og FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Ofte stillede spørgsmål

**Har jeg brug for en databehandleraftale, hvis værktøjet kun viser virksomhedsnavne?** Det afhænger af, om udbyderen derved behandler personoplysninger for dig, for eksempel IP-adresser, selv blot kortvarigt. I tvivlstilfælde indgår du aftalen, den koster næsten ingenting. Om en IP-adresse er en personoplysning, forklarer [IP-adresse og GDPR: er den personhenførbar?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Er det nok at acceptere udbyderens vilkår?** Kun hvis alt obligatorisk indhold står deri, og reglen tydeligt kan genkendes som aftale eller tillæg. Mange udbydere stiller databehandleraftalen til rådighed som eget dokument til indgåelse.

**Skal jeg underskrive aftalen?** Den skal være udfærdiget skriftligt. Et elektronisk format er nok efter art. 28, stk. 9, så indgåelse med et klik er almindeligt.