Baggrund for databehandleraftalen

1. Databehandleren stiller konsulent- og webbasserede softwareydelser (herefter ”Ydelser”) til rådighed for dataansvarlige. Ved brug af Ydelserne, vil den dataansvarlige være ansvarlig for sin behandling af personoplysninger. Databehandleren vil behandle personoplysninger på vegne af den dataansvarlige og efter dennes instruks. Denne aftale fastsætter de rettigheder og forpligtelser, som finder anvendelse, når databehandleren foretager behandling af personoplysninger på vegne af den dataansvarlige.

Aftalen er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa- Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (Databeskyttelsesforordningen), som stiller specifikke krav til indholdet af en databehandleraftale.

2. Databehandlerens behandling af personoplysninger sker med henblik på opfyldelse af parternes hovedaftale.

Databehandleraftalen og hovedaftalen er indbyrdes afhængige, og kan ikke opsiges særskilt. Databehandleraftalen kan dog – uden at opsige hovedaftalen – erstattes af en anden gyldig databehandleraftale.

Denne databehandleraftale har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne, herunder i hovedaftalen.

3. Til denne aftale hører to bilag. Bilagene fungerer som en integreret del af databehandleraftalen.

Databehandleraftalens Bilag A indeholder nærmere oplysninger om behandlingen, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.

Databehandleraftalens Bilag B indeholder den dataansvarliges betingelser for, at databehandleren kan gøre brug af eventuelle underdatabehandlere, samt en liste over de eventuelle underdatabehandlere, som den dataansvarlige har godkendt.

Den dataansvarliges forpligtelser og rettigheder

Den dataansvarlige har overfor omverdenen (herunder den registrerede) ansvaret for, at behandlingen af personoplysninger sker indenfor rammerne af databeskyttelsesforordningen og øvrig gældende databeskyttelseslovgivning.

Den dataansvarlige har derfor både rettighederne og forpligtelserne til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må foretages behandling.

Den dataansvarlige er blandt andet ansvarlig for, at der foreligger hjemmel til den behandling, som databehandleren instrueres i at foretage.

Databehandlerens forpligtelser

Instruks

Databehandleren skal udelukkende behandle personoplysninger på vegne af og som følge af den Dataansvarliges instrukser, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. art 28, stk. 3, litra a.

Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

Ved at indgå denne aftale instruerer den Dataansvarlige Databehandleren i at behandle personoplysninger på følgende måder:

1. For at opfylde sine forpligtelser i henhold til hovedaftalen
2. I overensstemmelse med gældende lovgivning
3. Som beskrevet i denne aftale

Databehandleren er forpligtet til at tilbyde den Dataansvarlige Ydelser af højest mulige kvalitet. Dette gøres ved at registrere hvordan den dataansvarlige og dennes medarbejdere bruger Ydelserne. Ved denne registrering anvendes data i fuldstændig anonymiseret form der ikke kan spores tilbage til den registrerede, med det formål at kunne tilbyde løsninger som i en højere grad er tilpasset den Dataansvarliges behov.

Fortrolighed

Databehandleren sikrer, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den Dataansvarlige. Adgangen til oplysningerne skal straks lukkes ned, hvis autorisationen fjernes, f.eks. hvis en medarbejders ansættelse hos Databehandleren ophører.

Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de relevante medarbejdere er underlagt ovennævnte tavshedspligt.

Behandlingssikkerhed

Databehandlerens interne informationspolitik og interne procedurer har til formål at sikre vedvarende fortrolighed, integritet, modstandsdygtighed samt adgangen til data.

Databehandleren iværksætter desuden alle foranstaltninger, som kræves i henhold til databeskyttelsesforordningens artikel 32. Denne forpligtelse indebærer, at databehandleren skal foretage en risikovurdering, og herefter gennemføre foranstaltninger for at imødegå identificerede risici.

Følgende foranstaltninger er implementeret hos Databehandleren:

• Evnen til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og – tjenester
• Evnen til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
• En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed

Anvendelse af underdatabehandlere

Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler (underdatabehandler).

Databehandleren må således ikke gøre brug af en anden databehandler (underdatabehandler) til opfyldelse af databehandleraftalen uden forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige.

Den dataansvarliges nærmere betingelser for databehandlerens brug af eventuelle underdatabehandlere, herunder godkendelse af specifikke underdatabehandlere, fremgår af denne aftales Bilag B.

Overførsel af oplysninger til tredjelande eller internationale organisationer

1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder for så vidt angår overførsel (overladelse, videregivelse samt intern anvendelse) af personoplysninger til tredjelande eller internationale organisationer, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. art 28, stk. 3, litra a.

2. Uden den dataansvarliges instruks eller godkendelse kan databehandleren – indenfor rammerne af databehandleraftalen – derfor ikke;

• videregive personoplysningerne til en dataansvarlig i et tredjeland eller i en international organisation,
• overlade behandlingen af personoplysninger til en underdatabehandler i et tredjeland,
• lade oplysningerne behandle i en anden af databehandlerens afdelinger, som er placeret i et tredjeland.

Bistand til den dataansvarlige

1. Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes rettigheder som fastlagt i databeskyttelsesforordningens kapitel 3.

Dette indebærer, at databehandleren så vidt muligt skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:

• oplysningspligten ved indsamling af personoplysninger hos den registrerede
• oplysningspligten, hvis personoplysninger ikke er indsamlet hos den registrerede
• den registreredes indsigtsret
• retten til berigtigelse
• retten til sletning (»retten til at blive glemt«)
• retten til begrænsning af behandling
• underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
• retten til dataportabilitet
• retten til indsigelse
• retten til at gøre indsigelse mod resultatet af automatiske individuelle afgørelser, herunder profilering

2. Databehandleren bistår den dataansvarlige med at sikre overholdelse af den dataansvarliges forpligtelser i medfør af databeskyttelsesforordningens artikel 32-36 under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren, jf. art 28, stk. 3, litra f.

Dette indebærer, at databehandleren under hensyntagen til behandlingens karakter skal bistå den dataansvarlige i forbindelse med, at den dataansvarlige skal sikre overholdelsen af:

• forpligtelsen til at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er forbundet med behandlingen
• forpligtelsen til at anmelde brud på persondatasikkerheden til tilsynsmyndigheden (Datatilsynet) uden unødig forsinkelse og om muligt senest 72 timer, efter at den dataansvarlige er blevet bekendt med bruddet, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder
• forpligtelsen til – uden unødig forsinkelse – at underrette den/de registrerede om brud på persondatasikkerheden, når et sådant brud sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder
• forpligtelsen til at gennemføre en konsekvensanalyse vedrørende databeskyttelse, hvis en type behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder
• forpligtelsen til at høre tilsynsmyndigheden (Datatilsynet) inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen

3. Parternes eventuelle regulering/aftale om vederlæggelse eller lignende i forbindelse med databehandlerens bistand til den dataansvarlige vil fremgå af parternes hovedaftale.

Underretning om brud på persondatasikkerheden

1. Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden hos databehandleren eller en eventuel underdatabehandler.

Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 48 timer efter at denne er blevet bekendt med bruddet, sådan at den dataansvarlige har mulighed for at efterleve sin eventuelle forpligtelse til at anmelde bruddet til tilsynsmyndigheden indenfor 72 timer.

2. Databehandleren skal – under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for denne – bistå den dataansvarlige med at foretage anmeldelse af bruddet til tilsynsmyndigheden.

Det kan betyde, at databehandleren bl.a. skal hjælpe med at tilvejebringe nedenstående oplysninger, som efter databeskyttelsesforordningens artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse til tilsynsmyndigheden:

• Karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger
• Sandsynlige konsekvenser af bruddet på persondatasikkerheden
• Foranstaltninger, som er truffet eller foreslås truffet for at håndtere bruddet på persondatasikkerheden, herunder hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger

Sletning og tilbagelevering af oplysninger

Ved ophør af tjenesterne vedrørende behandling, eller senest 6 måneder efter afsluttet udviklingsprojekt, forpligtes databehandleren til at slette alle personoplysninger, samt at slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring af personoplysningerne.

Tilsyn og revision

I forbindelse med tilsyn og revision stiller Databehandleren alle oplysninger, der er nødvendige for at påvise databehandlerens overholdelse af databeskyttelsesforordningens artikel 28 og denne aftale, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

Databehandleren er forpligtet til at give myndigheder, der efter den til enhver tid gældende lovgivning har adgang til den dataansvarliges og databehandlerens faciliteter, eller repræsentanter, der optræder på myndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behørig legitimation.

Den Dataansvarlige er berettiget til at igangsætte en revision af Databehandlerens forpligtelser i henhold til Aftalen én gang årligt. Den Dataansvarlige skal i forbindelse med anmodning om en revision medsende en detaljeret revisionsplan med en beskrivelse af omfang, varighed og startdato minimum fire uger forud for den foreslåede startdato. Af sikkerhedsårsager skal revisionen foretages af en neutral tredjepart efter Databehandlerens valg, idet der er tale om et behandlingsmiljø hvor flere dataansvarliges data er anvendt.

Hvis det foreslåede omfang for revisionen følger en ISAE, ISO eller lignende certificeringsrapport udført af en kvalificeret tredjepartsrevisor inden for de forudgående tolv måneder, og Databehandleren bekræfter, at der ikke har været nogen materielle ændringer i de foranstaltninger, som har været under revision, skal den Dataansvarlige acceptere denne revision i stedet for at anmode om en ny revision af de foranstaltninger, som allerede er dækket.

Under alle omstændigheder skal revision finde sted i normal kontortid på den relevante facilitet i overensstemmelse med Databehandlerens politikker og må ikke på urimelig vis forstyrre Databehandlerens sædvanlige kommercielle aktiviteter

Den Dataansvarlige er ansvarlig for alle omkostninger i forbindelse med anmodningen om revision. Databehandlerens assistance i forbindelse hermed, som overskrider den almindelige service som Databehandleren skal stille til rådighed som følge af gældende databeskyttelseslovgivning, afregnes særskilt.

Ikrafttræden og ophør

1. Denne aftale træder i kraft ved begge parters accept af hovedaftalen.
2. Aftalen kan af begge parter kræves genforhandlet, hvis lovændringer eller uhensigtsmæssigheder i aftalen giver anledning hertil.
3. Opsigelse af databehandleraftalen kan ske i henhold til de opsigelsesvilkår, inkl. opsigelsesvarsel, som fremgår af hovedaftalen.
4. Aftalen er gældende, så længe behandlingen består. Uanset hovedaftalens og/eller databehandleraftalens opsigelse, vil databehandleraftalen forblive i kraft frem til behandlingens ophør og oplysningernes sletning hos databehandleren og eventuelle underdatabehandlere.

Kontaktpersoner/kontaktpunkter hos den dataansvarlige og databehandleren

1. Parterne kan kontakte hinanden via de kontaktpersoner/kontaktpunkter listet i hovedaftalen.
2. Parterne er forpligtet til løbende at orientere hinanden om ændringer vedrørende
   kontaktpersonen/kontaktpunktet.
   
   

Bilag A: Oplysninger om behandlingen

Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige er:

• at den dataansvarlige kan anvende og modtage de Ydelser, som leveres af databehandleren, og at databehandleren kan yde den bedste service i forbindelse med den dataansvarliges brug af Ydelserne.

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige drejer sig primært om (karakteren af behandlingen):

• at databehandleren, som en del af sine leverancer af Ydelser, selv anvender samt stiller webbaserede applikationer til rådighed for den dataansvarlige. Herigennem opbevarer den dataansvarlige personoplysninger som er relevant i forbindelse med den dataansvarliges brug af Ydelserne og som den dataansvarlige selv leverer.

Behandlingen omfatter følgende typer af personoplysninger om de registrerede:

• Fulde navn og e-mailadresse. Desuden er følgende data frivilligt at oplyse eller oplyse korrekt: fødselsdag, telefonnummer, titel, initialer, køn og adfærdspræferencer.

Behandlingen omfatter følgende kategorier af registrerede:

• Personer som er ansat hos dataansvarlige.
• Personer som er interessenter hos dataansvarlige, herunder bestyrelsesmedlemmer, leverandører, samarbejdspartnere, kunder m.v.

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige kan påbegyndes efter denne aftales ikrafttræden. Behandlingen har følgende varighed:

• Behandlingen er ikke tidsbegrænset og varer indtil hovedaftalen udløber eller opsiges af en af parterne. Herefter slettes personoplysningerne permanent.

Databehandlerens behandling af personoplysninger finder sted på følgende lokaliteter:

• Konsulentydelser: Danmark
• Kundesupport: Danmark
• Webbaserede ydelser: Europa og USA (se bilag B)
  
  

Bilag B: Betingelser for databehandlerens brug af underdatabehandlere og liste over
godkendte underdatabehandlere

Betingelser for databehandlerens brug af eventuelle under-databehandlere

Databehandleren har den dataansvarliges generelle godkendelse til at gøre brug af underdatabehandlere. Databehandleren skal dog underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer. En sådan underretning skal være den dataansvarlige i hænde minimum 1 måned før anvendelsen eller ændringen skal træde i kraft.

Såfremt den dataansvarlige har indsigelser mod ændringerne, skal den dataansvarlige give meddelelse herom til databehandleren inden 14 dage efter modtagelsen af underretningen. Den dataansvarlige kan alene gøre indsigelse, såfremt den dataansvarlige har rimelige, konkrete årsager hertil.

Databehandleren skal pålægge underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der er fastsat i denne databehandleraftale, gennem en kontrakt, hvorved der stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i databeskyttelsesforordningen.

Underdatabehandleraftalen og eventuelle senere ændringer hertil sendes – efter den dataansvarliges anmodning herom – i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at der er indgået en gyldig aftale mellem databehandleren og underdatabehandleren. Eventuelle kommercielle vilkår, eksempelvis priser, som ikke påvirker det databeskyttelsesretlige indhold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.

Godkendte underdatabehandlere

Den dataansvarlige har ved databehandleraftalens ikrafttræden godkendt anvendelsen af følgende underdatabehandlere (navn, lokation, beskrivelse af behandling):

• pCloud, Switzerland, Sikker fildeling og -håndtering
• Google, Europa, samarbejds- og kommunikationsplatform herunder email håndtering
• ActionPlanner, Datacententre i Europa, brugerafgivet data til brug i eksekveringsledelsesplatform
• John Wiley & Sons, Inc., USA, værktøjer til personlig udvikling, herunder DiSC profil

Den dataansvarlige har ved databehandleraftalens ikrafttræden specifikt godkendt anvendelsen af ovennævnte underdatabehandlere til netop den behandling, som er beskrevet ud for parten. Databehandleren kan ikke – uden den dataansvarliges specifikke og skriftlige godkendelse – anvende den enkelte underdatabehandler til en ”anden” behandling and aftalt eller lade en anden underdatabehandler foretage den beskrevne behandling.