Møder I en udenlandsk leverandør, der vil bruge EU-Kommissionens standardbestemmelser fra 2021 som databehandleraftale, får I en revisionsret i bestemmelse 7.6. Den nævner selv rimelige mellemrum, tegn på manglende overholdelse og et rimeligt varsel. Datatilsynets danske skabelon overlader de samme spørgsmål til felter, parterne udfylder i bilag C.7.
Begge grundlag bygger på samme lovkrav og er officielle. Forskellen ligger i, hvor meget der står i selve teksten, og hvor meget I selv skal forhandle.
Fælles udgangspunkt
Databeskyttelsesforordningen bestemmer i artikel 28, stk. 3, litra h, at databehandleraftalen skal forpligte databehandleren på to punkter. Den skal udlevere de oplysninger, som viser, at reglerne er fulgt, og den skal medvirke til revisioner og inspektioner. Dem kan den dataansvarlige foretage selv eller overlade til en revisor med fuldmagt fra den dataansvarlige.
Artikel 28, stk. 7 og 8, lader kontrakten bygge på standardbestemmelser fra Kommissionen eller fra en tilsynsmyndighed. Kommissionens gennemførelsesafgørelse 2021/915 af 4. juni 2021 er den første slags. Datatilsynets skabelon er den anden. I cloudvejledningen beskriver Datatilsynet de to grundlag som af samme karakter.
Den konsoliderede status for afgørelse 2021/915 er ikke kontrolleret her. Teksten gengiver afgørelsen, som den blev offentliggjort.
Bestemmelse 7.6 i Kommissionens udgave
Bestemmelse 7.6 har fem led. Parterne skal kunne påvise, at bestemmelserne overholdes. Databehandleren skal behandle forespørgsler omgående og fyldestgørende. Databehandleren stiller de nødvendige oplysninger til rådighed og skal, når den dataansvarlige beder om det, tillade og bidrage til revisioner af behandlingsaktiviteterne. Det sker med rimelige mellemrum eller ved tegn på, at bestemmelserne ikke overholdes.
Når den dataansvarlige beslutter, om der skal revideres, kan den tage hensyn til relevante certificeringer, som databehandleren har. Den dataansvarlige kan selv gennemføre revisionen eller bemyndige en uafhængig revisor, og revisionen kan omfatte inspektion i databehandlerens lokaler. Hvor det er relevant, sker det med et rimeligt varsel. Det sidste led pålægger parterne at give tilsynsmyndigheden oplysningerne, herunder resultaterne af revisioner, når den beder om det.
Betalingen for revisionen er ikke omtalt i 7.6.
Bilag C.7 i den danske skabelon
Datatilsynets skabelon har den overordnede pligt i bestemmelse 12 og lægger proceduren i bilag C.7. Bilaget er et felt med eksempeltekst i to varianter.
I den første indhenter databehandleren med en aftalt frekvens en revisionserklæring eller inspektionsrapport fra en uafhængig tredjepart og sender den til den dataansvarlige. Parterne angiver, hvilke typer erklæringer der kan bruges, og hvem der betaler. Er den dataansvarlige uenig i rammerne eller metoden, kan den anfægte dem og kræve en ny erklæring lavet på en anden måde. Den dataansvarlige kan desuden inspicere, når den finder det nødvendigt.
I den anden variant foretager den dataansvarlige selv en fysisk inspektion med en aftalt frekvens og kan derudover inspicere, når den finder det nødvendigt.
De to side om side
Sammenligningen er vores egen og forenkler. Læs bestemmelserne selv, før I bruger dem.
- Hvor ofte · 2021/915, bestemmelse 7.6: Rimelige mellemrum eller ved tegn på manglende overholdelse · Datatilsynets skabelon, bilag C.7: Felt, parterne udfylder
- Varsel · 2021/915, bestemmelse 7.6: Rimeligt varsel, hvor det er relevant · Datatilsynets skabelon, bilag C.7: Ikke fastsat
- Certificeringer · 2021/915, bestemmelse 7.6: Kan tages i betragtning · Datatilsynets skabelon, bilag C.7: Erklæringstyper aftales i feltet
- Anfægte en erklæring · 2021/915, bestemmelse 7.6: Ikke nævnt i 7.6 · Datatilsynets skabelon, bilag C.7: Udtrykkelig ret til at anfægte rammer og metode
- Hvem betaler · 2021/915, bestemmelse 7.6: Ikke nævnt · Datatilsynets skabelon, bilag C.7: Felt, parterne udfylder
- Ændringer · 2021/915, bestemmelse 7.6: Bestemmelserne må ikke ændres, kun bilagene udfyldes · Datatilsynets skabelon, bilag C.7: Skabelonens felter udfyldes
Hvad det betyder for auditten
Kommissionens udgave har en fordel og en ulempe for den, der skal auditere. Fordelen er, at retten står i selve teksten og ikke kan forhandles væk. Afgørelsens bestemmelse 2 forbyder parterne at ændre bestemmelserne. De må kun udfylde bilagene og tilføje andre vilkår, som ikke direkte eller indirekte strider imod dem.
Ulempen er, at ordene er åbne. Hvad er rimelige mellemrum, og hvornår er der tegn på manglende overholdelse? Det skal I selv kunne begrunde, når I beder om en revision. Med den danske skabelon er det omvendt. Frekvens og erklæringstype står sort på hvidt, hvis felterne er udfyldt, men hvis de er tomme, står der næsten ingenting.
Bestemmelse 2 er også nyttig, når en leverandør bruger Kommissionens bestemmelser sammen med sine egne vilkår. Vilkår, der i praksis gør revisionsretten tom, kan efter vores læsning stride mod 7.6. Om de gør det i en konkret aftale, er en juridisk vurdering. Grænsen for, hvad vilkår kan begrænse, er beskrevet under leverandørens vilkår indsnævrer auditten.
Sådan bruger I det i praksis
Ved en audit efter Kommissionens bestemmelser er det en almindelig fremgangsmåde at skrive begrundelsen for revisionen ind i anmodningen. Er det et planlagt interval, så skriv, hvornår sidste revision var. Er det et tegn på manglende overholdelse, så beskriv tegnet.
Ved en audit efter den danske skabelon starter I med bilag C.7. Er felterne udfyldt, er de jeres auditgrundlag. Er de tomme, bør de udfyldes ved næste ændring af aftalen. Felterne er gennemgået under bilag C.7 og C.8 felt for felt.
Begge grundlag dækker kun behandlingen af personoplysninger. En sikkerhedsaudit af leverandørens øvrige ydelser kræver en revisionsret i hovedaftalen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I ved, hvilket grundlag jeres aftale bygger på, og at I har læst bilagene. Hos en udenlandsk leverandør kan det være Kommissionens udgave, og den findes i en dansk udgave, som kan lægges ved siden af den, leverandøren sender.
Uden det kendskab forhandler I om en revision, I allerede har ret til, eller I tror, I har en ret, der står i et tomt felt.
Det skal I lade være med
- At forhandle om selve ordlyden i 2021/915 · den må ikke ændres, kun bilagene.
- At bede om revision uden begrundelse efter 7.6 · rimelige mellemrum og tegn skal kunne forklares.
- At tro, at et tomt felt i C.7 giver en ret · feltet skal være udfyldt.
Det skal auditten kunne vise
- ☐ Hvilket grundlag databehandleraftalen bygger på, og hvilken version.
- ☐ De udfyldte bilag med frekvens, erklæringstype og betaler, hvor de findes.
- ☐ Begrundelsen for den revision, I har bedt om.
- ☐ Om leverandørens øvrige vilkår begrænser revisionsretten.
- ☐ Revisionsresultater, der kan gives til Datatilsynet på anmodning.
Kilder
- Kommissionens gennemførelsesafgørelse (EU) 2021/915 af 4. juni 2021, bestemmelse 2, 7.6 og 7.7, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 12 og bilag C.7, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, om jeres udenlandske leverandørers databehandleraftaler bygger på 2021/915, og noter, hvornår I sidst brugte retten i 7.6.
Læs også: Audit af en udenlandsk leverandør · Ingen revisionsret i aftalen
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
