Databehandleraftale med IT-leverandøren: tjeklisten der holder i 2026

De fleste danske virksomheder har en databehandleraftale liggende. Problemet er sjældent, at den mangler helt — det er, at den blev underskrevet i 2018, aldrig er blevet læst siden, og at den indeholder præcis de formuleringer, som Datatilsynet i januar 2026 sagde ikke længere holder.

Og 2026 er ikke et tilfældigt år at tage den op. Datatilsynet offentliggjorde den 7. januar 2026 sine fokusområder for årets tilsyn, og ét af dem er tilsyn med store databehandlere. Det er leverandørerne, der bliver besøgt — men det er jeres aftale, der bliver bedt om som dokumentation for, hvad I faktisk har instrueret dem i.

Kilder: Danmarks Statistik (5. september 2025 og 16. august 2024) samt Datatilsynets afgørelse om Uptime-IT ApS. Alle tal er dokumenteret i kildelisten nederst.

Hvad er en databehandleraftale — og hvornår skal I have en?

Datatilsynet skelner skarpt mellem den dataansvarlige og databehandleren. Den dataansvarlige er den, der afgør formålet med og hjælpemidlerne til behandlingen — altså jer. Databehandleren er, med tilsynets egne ord, den, der “behandler personoplysninger på vegne af den dataansvarlige — altså efter en instruks fra den dataansvarlige”.

Afgørende er, hvad aftalen med leverandøren faktisk går ud på. Datatilsynet bruger et eksempel, der er nemt at huske: en reparatør, der hyres til at servicere en kopimaskine, er ikke databehandler, fordi “aftalen hverken helt eller delvist går ud på, at reparatøren skal behandle personoplysninger”. Leverer en IT-virksomhed derimod et medlemssystem til en fitnesskæde, er den databehandler — og må “kun behandle oplysninger om Fitness A’s medlemmer på den måde, som er aftalt”.

Grænsen er altså ikke, om leverandøren kan komme til at se data. Den er, om databehandlingen er en del af det, I har købt. Og i praksis er svaret ja for stort set enhver IT-leverandør, der har adgang til jeres systemer.

Hvilke af jeres leverandører er databehandlere?

Den nemmeste måde at komme i gang på er at tage indkøbslisten for de sidste fem år og sætte kryds. Det er typisk her, virksomheder opdager to eller tre leverandører, der aldrig fik en aftale.

Er I i tvivl om en enkelt leverandør, er tommelfingerreglen: hvis leverandøren skulle bruge et login til jeres systemer for at levere det, I har købt, skal der være en aftale. Vi har samlet det, vi selv leverer på den front, på siden om databehandleraftale og dansk hosting.

Derfor er 2026 året, hvor aftalen bliver kigget efter i sømmene

Datatilsynet formulerer det direkte: “Datatilsynet vil derfor i 2026 foretage tilsyn hos nogle af de store databehandlere, både indenfor offentlige og den private sektor.”

Begrundelsen er værd at læse, fordi den rammer et problem, de fleste kunder hos en driftsleverandør kender. Tilsynet peger på, at enterprise-driftsleverandører og shared service-udbydere leverer uniforme løsninger, og at “princippet om uniforme leverancer overtrumfer således de dataansvarlige kunders ønsker om — gennem instruktion — at få individuelt tilpassede aftaler”.

Med andre ord: Datatilsynet er opmærksomt på, at instruksen i praksis går den forkerte vej. Leverandøren beslutter, hvad der er teknisk muligt, og kunden skriver under. Men forpligtelsen flytter sig ikke af den grund. Som tilsynet skriver: “En databehandler har efter databeskyttelsesforordningen en række forpligtelser. Bl.a. må databehandleren kun behandle oplysninger i overensstemmelse med de dataansvarlige kunders instruktioner.”

De øvrige fokusområder for 2026 er overvågning gennem nye teknologier, herunder kunstig intelligens og kontrol af ansatte, danske hjemmesiders tracking, sikker brug af autofuldførelse i e-mail, de registreredes ret til gennemsigtighed, fælleseuropæiske informationssystemer og PNR-data.

De ni punkter aftalen skal indeholde

Brug listen her som gennemgang. Mangler et punkt helt, er aftalen ikke i orden. Står punktet der, men i en formulering så bred, at den ikke instruerer om noget konkret, er den i praksis heller ikke i orden — det er netop dét, Datatilsynet gjorde op med i januar 2026.

• Aftalen er skriftlig — elektronisk form tæller
• Instruksen beskriver de faktiske systemer og formål, ikke bare “IT-drift”
• Underdatabehandlere er listet ved navn og land
• Der er en frist for underretning ved sikkerhedsbrud
• Der står, hvordan I kan føre tilsyn — og hvad det koster
• Der står, hvad der sker med data ved ophør, i hvilket format og til hvilken pris

Dansk skabelon eller EU-standardkontraktbestemmelser?

Fordelen ved at bruge en af de to standarder er konkret og kontant. Datatilsynet skrev ved vedtagelsen i 2019: “I det omfang organisationer vælger at benytte sig af disse standardbestemmelser, vil Datatilsynet, fx i forbindelse med et tilsynsbesøg, ikke efterprøve disse bestemmelser nærmere.”

Det er en reel lettelse. Bruger I standarden, går diskussionen ved et tilsyn ikke på aftalens formuleringer, men på om I rent faktisk gør det, der står i den. Bruger I leverandørens egen aftale, kan hver eneste bestemmelse blive taget op.

Vær opmærksom på ét forhold: begge standarder mister deres beskyttelse, hvis I ændrer i selve bestemmelserne. Bilagene skal udfyldes — det er meningen — men teksten i bestemmelserne skal stå, som den er.

Underdatabehandlere: fælden der har kostet alvorlig kritik

Sagen fra 23. januar 2020 er stadig den mest lærerige på området, fordi den handler om noget helt hverdagsagtigt: en leverandør, der lod en underleverandør stå for support og patching af et IT-system, uden at den dataansvarlige havde godkendt det.

Tre pointer fra afgørelsen bør stå på jeres tjekliste:

• Underdatabehandlere skal fremgå af aftalen. Ikke som en kategori, men konkret.
• Support og patching er databehandling. At logge ind for at opdatere et system er behandling af de oplysninger, systemet indeholder — også når ingen kigger i data.
• Patching udefra er en tredjelandsoverførsel. Sker adgangen fra et land uden for EU, er der tale om en overførsel, selv hvis det ikke kan bevises, at nogen har set data.

Den sidste pointe fanger mange. Har leverandøren en supportfunktion i et land uden for EU — også bare uden for arbejdstid — så er der en overførsel, og den skal have et grundlag.

Januar 2026: den generelle tilladelse i aftalen holder ikke længere

Det er den vigtigste ændring på området i flere år, og den rammer bredt, fordi netop den formulering findes i tusindvis af danske aftaler.

Baggrunden er en forespørgsel fra Det fælleskommunale Databehandlersekretariat. Spørgsmålet var, hvornår sådanne vilkår skal betragtes som instrukser i databeskyttelsesretlig forstand, og om der så skal iagttages et overførselsgrundlag efter forordningens kapitel V. Datatilsynet havde tidligere behandlet dele af emnet i en udtalelse til KOMBIT om tilsigtede og utilsigtede overførsler, men der var fortsat usikkerhed, særligt om cloudleverandører.

Det Europæiske Databeskyttelsesråd nuancerede området med udtalelse 22/2024, og Datatilsynet har nu justeret sin fortolkning. Kasper Folmar, specialkonsulent i Datatilsynet, forklarer:

Konsekvensen i praksis: en sætning som “leverandøren kan overføre oplysninger til tredjelande i det omfang, det er nødvendigt for leveringen” er ikke en instruks. Den er en tom formulering, og den efterlader jer uden dokumentation for, hvad I har tilladt.

Der er to veje ud, og begge er lige gyldige:

Skal I lave en TIA, offentliggjorde Datatilsynet den 19. august 2026 to værktøjer, der er værd at kende: CNIL’s TIA-guide, der gennemgår “6 trin i arbejdet med en TIA — alle de praktiske trin, man som dataeksportør skal igennem”, og EDPS’ TIA-tjekliste. Sidstnævnte er skrevet til EU-institutioner, men principperne er de samme.

Datatilsynet er samtidig klar i mælet om, hvor ansvaret ligger ved cloud: “Du skal som den dataansvarlige have overblik over hele leverandørkæden og de behandlinger, der foregår.” I kan ikke nøjes med leverandørens forsikring om, at alt er i orden.

Backup er en del af aftalen — og det har kostet en dansk leverandør en bøde

Sagen mod Uptime-IT ApS er værd at kende, fordi den viser, at databehandleren har et selvstændigt ansvar — ikke bare et kontraktligt over for kunden. Datatilsynet lagde vægt på, at “databehandleren havde ansvaret for at sikre evnen til at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse”, og at leverandøren ikke havde etableret procedurer for at teste, om gendannelsen rent faktisk virkede.

Tilsynets formulering er kort og skal stå i enhver aftale: “En effektiv og virksom backup er en afgørende sikkerhedsforanstaltning.”

Bruddet omfattede helbredsoplysninger og CPR-numre på et større antal patienter. Det er netop den slags data, hvor konsekvensen af en mislykket gendannelse ikke kan repareres med penge.

Skriv derfor tre ting direkte ind i bilaget om sikkerhedsforanstaltninger: hvor ofte der tages backup, hvor ofte gendannelse testes, og hvem der modtager testrapporten. Har I ikke en aftale om det i dag, er det det første, vi kigger på, når vi sætter online backup op for en kunde.

Jeres tilsynspligt: hvor tit, og hvordan?

Datatilsynet skriver det uden forbehold: “Den dataansvarlig må således også føre et (større eller mindre) tilsyn med, at den indgåede databehandleraftaler overholdes, herunder at databehandleren har gennemført de aftalte tekniske og organisatoriske sikkerhedsforanstaltninger.”

Om frekvensen: “Hvis risikoen for de registreredes rettigheder er høj, kan det være nødvendigt at påse behandlingssikkerheden hos sine databehandlere årligt eller endda halvårligt, ligesom det — alt efter omstændighederne — kan være tilstrækkeligt, hvis risikoen er lav, at påse behandlingssikkerheden med en lavere frekvens.”

Der er to former. Det fysiske tilsyn kan “både ske ved fysiske besøg hos databehandleren”. Det skriftlige kan “f.eks. ske i form af løbende afrapporteringer fra databehandleren i forhold til de parametre, som med risikovurderingen er vurderet som værende påkrævede”. Valget skal “skele til den risikovurdering, som den dataansvarlige har foretaget”.

Frekvenserne i midterkolonnen er vores praktiske udmøntning af Datatilsynets risikobaserede princip — ikke faste krav fra tilsynet. Datatilsynet fastsætter ingen konkrete intervaller ud over de nævnte eksempler.

Det vigtigste er dokumentationen. Et tilsyn, der er gennemført, men ikke skrevet ned, kan ikke bruges til noget den dag, tilsynet kommer forbi. Læg en mappe med dato, hvad I bad om, hvad I fik, og hvad I konkluderede.

NIS2 gør leverandørkæden til et ledelsesansvar

Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau opregner i § 6, stk. 1, ti minimumsforanstaltninger. Nr. 4 er “forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem den enkelte enhed og dens direkte leverandører”. Nr. 5 dækker sikkerhed ved erhvervelse, udvikling og vedligeholdelse af systemer.

Det betyder to ting i praksis. For det første overlapper NIS2-kravet og databehandleraftalen i vidt omfang — den samme leverandørgennemgang dækker begge. For det andet flytter § 7 spørgsmålet op i ledelsen, fordi ledelsesorganet skal godkende foranstaltningerne og føre tilsyn med gennemførelsen.

Er I selv underleverandør til en virksomhed i en kritisk sektor, kommer spørgeskemaet før eller siden. Vi har skrevet en hel gennemgang af, hvordan man svarer på det, i artiklen om NIS2 som underleverandør — de seks dokumenter, der besvarer skemaet, er i høj grad de samme, I skal bruge her.

Fra 12. januar 2027 må leverandøren ikke tage betaling for, at I skifter

Det er den eneste frist på denne side, der stadig ligger foran jer — og den er værd at planlægge efter.

Digitaliseringsstyrelsen, som er kompetent myndighed for dataforordningen i Danmark, beskriver formålet sådan: udbyderne skal “fjerne tekniske, organisatoriske og kontraktmæssige barrierer, så kunder ikke låses fast til én tjeneste”. Konkret gælder to ting, I kan bruge med det samme:

Kobl det sammen med jeres databehandleraftale. Exitbestemmelsen i aftalen og skiftereglerne i dataforordningen handler om det samme: at I kan komme videre med jeres data i hånden. Står der i aftalen et fast “dataudtræk faktureres efter medgået tid, minimum 25.000 kr.”, er det værd at tage op ved næste forhandling.

Exit: hvad sker der med jeres data, når aftalen slutter?

Exitbestemmelsen er den, der oftest koster penge, og den, der oftest er skrevet af leverandøren alene. Fire spørgsmål afgør, om jeres er brugbar:

• Format. Er det en struktureret, maskinlæsbar eksport — eller 40.000 PDF-filer uden metadata?
• Pris. Er udtrækket inkluderet, eller faktureres det efter medgået tid?
• Frist. Hvor mange dage efter opsigelsen har I data i hånden? Dataforordningens udgangspunkt er højst 30 dage.
• Dokumentation for sletning. Får I en skriftlig bekræftelse på, at data — inklusive backup — er slettet, og hvornår?

Sidste punkt glemmes næsten altid. Backup er det sted, data overlever længst, og en sletteerklæring, der ikke nævner backupsæt og deres opbevaringstid, er ikke meget værd. Spørg konkret: hvor længe ligger vores data i jeres backup efter ophør, og hvordan dokumenterer I, at de er væk?

Sådan gennemgår I jeres aftaler på en eftermiddag

Seks fejl vi ser igen og igen

Ingen af dem kræver en advokat at rette. De kræver en eftermiddag, en liste og en beslutning om, at det ikke skal udskydes igen. Har I brug for en hånd, kigger vi gerne med — vi har selv siddet på den anden side af bordet som databehandler siden 1999, og vi ved, hvor aftalerne plejer at være tynde. Se også vores gennemgang af sikker hosting i 2026 og siden om informationssikkerhed.