# Personuppgiftsbiträdesavtal: checklista för webbverktyg

> När du behöver ett biträdesavtal enligt art. 28 GDPR, vad det måste innehålla och vad du ska tänka på för analys- och marknadsföringsverktyg.

Quelle: https://whovisit.app/sv/blog/personuppgiftsbitradesavtal-webbverktyg
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Nästan varje verktyg du använder på din webbplats behandlar uppgifter för din räkning: webbanalys, nyhetsbrev, CRM, värmekarta, chatt. Så snart personuppgifter är inblandade kräver GDPR ett avtal med leverantören. Det kallas personuppgiftsbiträdesavtal, på tyska Auftragsverarbeitungsvertrag, kort AV-Vertrag eller AVV. Den här artikeln förklarar när du behöver det, vad som måste stå i det och vad du bör tänka på när du väljer verktyg.

## När du behöver ett biträdesavtal

Art. 28 GDPR gäller när en tjänsteleverantör behandlar personuppgifter **för din räkning** och enligt dina instruktioner. Du är då den personuppgiftsansvarige och leverantören är personuppgiftsbiträdet. Lagtexten finns i [GDPR på EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679).

Inte varje relation är en biträdesrelation. Tre konstellationer bör du skilja på:

| Konstellation | Kännetecken | Avtal |
|---|---|---|
| Personuppgiftsbiträde | Leverantören agerar bara enligt dina instruktioner | Biträdesavtal enligt art. 28 |
| Gemensamt ansvar | Du och leverantören bestämmer tillsammans om ändamål och medel | Överenskommelse enligt art. 26 |
| Egen personuppgiftsansvarig | Leverantören använder uppgifterna för egna ändamål | Beroende på fallet egen rättslig grund och överföring |

Avgörande är vem som bestämmer ändamål och medel, inte vad avtalet heter. En leverantör som också använder uppgifterna för egna ändamål, till exempel för att förbättra egna produkter utöver tjänsten åt dig, är för den delen inte längre biträde. Enligt art. 28 punkt 10 anses ett personuppgiftsbiträde som själv bestämmer ändamål och medel vara personuppgiftsansvarig för den behandlingen.

## Obligatoriskt innehåll enligt art. 28 punkt 3

Avtalet måste fastställa föremål och varaktighet för behandlingen, art och ändamål, typen av uppgifter och kategorierna av registrerade. Dessutom måste det föreskriva att personuppgiftsbiträdet:

- **a)** behandlar uppgifterna bara enligt dokumenterade instruktioner, även vid överföringar till ett tredjeland,
- **b)** använder personer som är bundna av tystnadsplikt,
- **c)** vidtar åtgärderna enligt art. 32,
- **d)** följer villkoren för anlitande av ytterligare biträden,
- **e)** hjälper dig vid begäranden från registrerade,
- **f)** hjälper dig med skyldigheterna enligt art. 32 till 36,
- **g)** efter tjänstens slut raderar eller återlämnar uppgifterna enligt ditt val,
- **h)** lämnar bevis och möjliggör granskningar.

Avtalet ska upprättas skriftligt, ett elektroniskt format räcker (punkt 9). En modellram erbjuder Europeiska kommissionen med [standardavtalsklausuler för personuppgiftsbiträden](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Enligt art. 28 punkt 6 kan avtalet helt eller delvis bygga på dem.

## Underbiträden

Anlitar leverantören själv tjänsteleverantörer, till exempel en hostingleverantör, gäller två regler ur art. 28 punkt 2 och 4:

- Den behöver ditt föregående särskilda eller generella skriftliga tillstånd. Vid ett generellt tillstånd måste leverantören informera dig om varje planerad ändring. Du kan då göra invändningar.
- Den måste ålägga underbiträdena samma dataskyddsskyldigheter. Gör ett underbiträde inte det, ansvarar det första personuppgiftsbiträdet gentemot dig.

Be därför leverantören om en aktuell lista över sina underbiträden, med säte och uppgift.

## Tredjeland

Behandlas uppgifter utanför EU och EES, eller går de att nå därifrån, gäller dessutom reglerna för överföringar till tredjeländer (kapitel V, art. 44 ff. GDPR). Tre vägar är vanliga: ett beslut från kommissionen om adekvat skyddsnivå, standardavtalsklausuler för överföringen eller bindande företagsregler. För USA finns sedan 2023 ett [beslut om adekvat skyddsnivå för EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Det gäller bara företag som deltar i ramverket. Det angrips rättsligt, kontrollera aktuellt läge. En server i EU löser frågan om varken leverantören eller något underbiträde i ett tredjeland kan komma åt uppgifterna.

## Checklista för analys- och marknadsföringsverktyg

1. **Klargör rollen.** Behandlar leverantören bara för dig eller också för egna ändamål?
2. **Kontrollera avtalet.** Står alla punkter ur art. 28 punkt 3 i det?
3. **Beskriv uppgifterna.** Är typen av uppgifter och kategorierna av registrerade konkret angivna?
4. **Titta på underbiträdena.** Finns det en lista och ett förfarande vid ändringar?
5. **Fråga efter serverns plats.** Var ligger uppgifterna, vem kan komma åt dem?
6. **Dokumentera vägen för tredjeland.** Vilken grund bär en överföring?
7. **Reglera radering.** Vad händer med uppgifterna efter avtalets slut?
8. **Läs de tekniska åtgärderna.** Kryptering, åtkomsträttigheter, loggning.

Lägg avtalet till din dokumentation och för in verktyget i ditt register över behandlingsverksamhet enligt art. 30 GDPR. Särskilt för verktyg som först laddas efter samtycke är avtalet ett andra, separat krav. Samtycket på enheten ersätter det inte, vilket [§ 25 TDDDG: cookies och spårning i Tyskland](https://whovisit.app/blog/tdddg-paragraf-25-cookies) visar.

## Vad som hotar vid överträdelser

Saknas avtalet eller är det ofullständigt kan tillsynsmyndigheten anmärka på det. För överträdelser av skyldigheterna enligt art. 28 föreskriver art. 83 punkt 4 GDPR sanktionsavgifter på upp till 10 miljoner euro eller upp till 2 procent av den globala årsomsättningen, beroende på vilket belopp som är högst. Det är ramen, inte en prognos för det enskilda fallet.

## Och i Schweiz?

Den schweiziska dataskyddslagen reglerar behandling genom personuppgiftsbiträden i art. 9 DSG. Tanken är liknande, formuleringen en annan. Den som vänder sig till registrerade i EU behöver i regel avtalet enligt GDPR. Om det gäller ditt erbjudande förklarar [Webbplatsspårning i Schweiz: revDSG och FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Vanliga frågor

**Behöver jag ett biträdesavtal om verktyget bara visar företagsnamn?** Det beror på om leverantören därvid behandlar personuppgifter för dig, till exempel IP-adresser, även bara kortvarigt. I tveksamma fall ingår du avtalet, det kostar nästan ingenting. Om en IP-adress är en personuppgift förklarar [IP-adress och GDPR: är den en personuppgift?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Räcker det att godkänna leverantörens allmänna villkor?** Bara om alla obligatoriska innehåll står där och regleringen tydligt framgår som avtal eller tillägg. Många leverantörer tillhandahåller biträdesavtalet som ett eget dokument att ingå.

**Måste jag skriva under avtalet?** Det måste upprättas skriftligt. Ett elektroniskt format räcker enligt art. 28 punkt 9, därför är det vanligt att ingå det med ett klick.