Bilag C.7 og C.8 i Datatilsynets skabelon til databehandleraftale er de to steder, hvor parterne bestemmer, hvordan den dataansvarlige kontrollerer databehandleren og dens underdatabehandlere. Skabelonen giver eksempeltekst med felter i skarpe parenteser, og det er udfyldningen af felterne, der afgør, om tilsynet kan gennemføres som tænkt.
Artiklen gennemgår felterne ét ad gangen. Resten af skabelonen er ikke emnet her.
Grundlaget: bestemmelse 12
Skabelonens bestemmelse 12 om revision, herunder inspektion, følger databeskyttelsesforordningens artikel 28, stk. 3, litra h. Databehandleren skal udlevere de oplysninger, der viser, at reglerne følges, og medvirke ved revision og inspektion, som den dataansvarlige selv eller en bemyndiget revisor står for. Procedurerne står i bilag C.7 og C.8.
Skabelonen har ingen fast frekvens og ingen fast varselsfrist. Begge er felter, parterne udfylder.
Bilag C.7: revision af databehandleren
Skabelonen giver to varianter.
Variant 1: erklæring eller rapport fra en uafhængig tredjepart.
- Tidsperiode. Hvor ofte databehandleren skal indhente erklæringen. Feltet hedder “[ANGIV TIDSPERIODE]”.
- Betaler. “[EGEN/DEN DATAANSVARLIGES]” regning. Parterne vælger.
- Type. “[REVISIONSERKLÆRING/INSPEKTIONSRAPPORT]”. Parterne beskriver, hvilke typer erklæringer eller rapporter der kan bruges.
- Fremsendelse. Erklæringen sendes uden unødig forsinkelse til den dataansvarlige.
- Anfægtelse. Den dataansvarlige kan gøre indsigelse mod erklæringens rammer og metode og forlange en ny, lavet på et andet grundlag.
- Yderligere foranstaltninger. På baggrund af resultatet kan den dataansvarlige anmode om yderligere foranstaltninger.
- Inspektion derudover. Kunden eller en, kunden sender, kan inspicere steder og systemer, også fysisk, når kunden mener, der er behov.
Variant 2: den dataansvarliges egen inspektion. Den dataansvarlige foretager en fysisk inspektion med en angivet frekvens og kan derudover inspicere, når den dataansvarlige finder det nødvendigt.
Valgfri tilføjelse om udgifter. Kunden betaler selv for sin fysiske inspektion. Databehandleren bidrager med det nødvendige, først og fremmest tid.
Bilag C.8: revision af underdatabehandlere
Også C.8 har to varianter og står med markeringen “[HVIS RELEVANT]”.
Variant 1. For “[EGEN/UNDERDATABEHANDLERENS]” regning skaffer databehandleren en uafhængig erklæring eller inspektionsrapport om underdatabehandleren. Den sendes til den dataansvarlige til orientering. Den dataansvarlige kan anfægte rammer og metode og bede om en ny. Databehandleren kan inspicere underdatabehandleren, når databehandleren, eller den dataansvarlige, finder det nødvendigt, og dokumentationen sendes til den dataansvarlige.
Variant 2. Databehandleren foretager fysisk inspektion af underdatabehandleren med en angivet frekvens.
Valgfrie tilføjelser. Den dataansvarlige kan vælge at tage initiativ til og deltage i en fysisk inspektion hos underdatabehandleren, fx hvis databehandlerens egen inspektion ikke har givet tilstrækkelig sikkerhed. Det ændrer ikke ved, at databehandleren har det fulde ansvar. En anden valgfri tekst gør databehandlerens og underdatabehandlerens udgifter ved en sådan inspektion den dataansvarlige uvedkommende.
Anfægtelsen er kundens redskab
Retten til at anfægte rammer og metode er det felt, der gør variant 1 til mere end en postkasse. Bruger databehandleren en erklæring, der dækker en anden ydelse eller en anden periode, kan I bede om en ny med et andet omfang. Databeskyttelsesrådet (EDPB) skriver i sine retningslinjer, at indsigelsesretten gælder, uanset om det er databehandleren, der har foreslået auditoren. Skriv i aftalen, hvem der betaler, hvis en ny erklæring kræves.
Sådan vælger I udfyldningen
Til valget af niveau kan Datatilsynets tilsynsvejledning bruges. Den beskriver seks tilsynskoncepter med stigende krav. Tre af dem hænger direkte sammen med C.7:
- En relevant certificering eller et godkendt adfærdskodeks, hvor I kontrollerer, om den dækker aftalens krav.
- Et tilsyn ved en uafhængig part, typisk dokumenteret med en ISAE 3000-erklæring. Giver behandlingen 7 til 10 point i vejledningens model, skal erklæringen være afgivet med høj grad af sikkerhed.
- Et tilsyn, I selv fører, evt. sammen med andre, fx med spørgeskema og opfølgning.
Pointmodellen bygger på antal registrerede, særlige kategorier, andre beskyttelsesværdige oplysninger og særligt indgribende behandling. Jo højere risiko for de registrerede, jo stærkere variant.
Tænkt udfyldning
- Variant · Lav risiko: (1) · Høj risiko: (1 med inspektion derudover)
- Tidsperiode · Lav risiko: (Hvert andet år) · Høj risiko: (Hvert år)
- Type · Lav risiko: (ISAE 3000-erklæring, begrænset sikkerhed, eller skriftlig status) · Høj risiko: (ISAE 3000-erklæring, høj grad af sikkerhed)
- Betaler · Lav risiko: (Databehandleren) · Høj risiko: (Databehandleren)
- C.8 · Lav risiko: (Variant 1, til orientering) · Høj risiko: (Variant 1 og ret til at deltage i inspektion)
Eksemplet er tænkt. Felterne er jeres at forhandle.
Det, der ofte står tomt
Tre felter er lette at springe over. Tidsperioden, fordi ingen vil binde sig. Typen, fordi “revisionserklæring” lyder dækkende. Og C.8, fordi “hvis relevant” læses som “ikke relevant”. Har databehandleren underdatabehandlere, er C.8 relevant. Hvordan retten føres ned i kæden, er et emne for sig.
Skabelonen holdt op mod andre modeller for betaling findes i artiklen om udgifterne.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen vurderer risikoen for de registrerede og vælger variant, frekvens og type ud fra den, og at felterne udfyldes, før aftalen underskrives. Udfyldningen er hurtig, når risikoen er vurderet.
Står felterne tomme, er der ingen aftalt form for tilsynet, og hver kontrol bliver en forhandling. Datatilsynet råder til at gemme korrespondancen med databehandleren ved alle tilsynskoncepter, og uden aftalt form er der mindre at gemme.
Det skal I lade være med
- At lade tidsperioden stå åben · så er der intet aftalt interval at holde databehandleren op på.
- At acceptere en erklæringstype uden at kende dens omfang · I kan anfægte rammer og metode.
- At springe C.8 over · underdatabehandlerne behandler jeres data.
Det skal auditten kunne vise
- ☐ Et udfyldt bilag C.7 med variant, periode, type og betaler.
- ☐ Et udfyldt bilag C.8, hvis der er underdatabehandlere.
- ☐ En vurdering af risikoen for de registrerede, der begrunder valget.
- ☐ Modtagne erklæringer og eventuelle anfægtelser.
Kilder
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 12 og bilag C.7 og C.8, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 3 og 4, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 144, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find bilag C.7 og C.8 i jeres vigtigste databehandleraftale, og markér de felter, der står tomme eller uklare.
Læs også: EU-Kommissionens standardbestemmelser for databehandlere · Ingen revisionsret i aftalen
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
