En databehandler må gerne foreslå, hvem der reviderer, og hvordan det sker. Efter Databeskyttelsesrådets retningslinjer er det endelige valg dog den dataansvarliges, og kunden kan gøre indsigelse mod omfanget, metoden og resultatet, også når auditoren er leverandørens forslag.
Det er relevant, når en leverandørs standardvilkår har en revisionsklausul, der ser rimelig ud, men i praksis lægger alle valg hos leverandøren. Retten er der. Den er bare gjort smal.
Hvor grænsen kommer fra
Udgangspunktet er forordningens artikel 28, stk. 3, litra h. Databehandleren har pligt til at åbne for revisioner og inspektioner og hjælpe dem på vej, og det er den dataansvarlige eller en revisor med dennes bemyndigelse, der gennemfører dem. Retten tilhører altså kunden.
Databeskyttelsesrådet, EDPB, har i retningslinjer 07/2020 om begreberne dataansvarlig og databehandler beskrevet, hvad det betyder for kontrakten. Retningslinjerne er ikke lov. De er rådets fortolkning, og de gengives her på dansk i vores oversættelse.
Punkt 99 kalder pligten til kun at bruge databehandlere med de fornødne garantier en løbende forpligtelse. Den dataansvarlige bør med passende mellemrum kontrollere garantierne, også ved audits og inspektioner, hvor det er relevant.
Det, rådet lægger hos kunden
Punkt 144 er det centrale. Kontrakten skal beskrive muligheden for og pligten til at bidrage til inspektioner og revisioner. Derefter kommer fire pointer, der hver især sætter en grænse for, hvad vilkår kan gøre.
Valget af auditor. Databehandleren kan foreslå en bestemt auditor, men den endelige beslutning skal efter rådet overlades til den dataansvarlige.
Retten til at anfægte. Selv når inspektionen udføres af en auditor, databehandleren har foreslået, kan den dataansvarlige anfægte omfanget, metoden og resultaterne.
Formen. Parterne bør samarbejde i god tro om, hvorvidt og hvornår der er brug for en audit i databehandlerens lokaler, og om den skal ske på afstand, på stedet eller på en anden måde. Sikkerhedshensyn indgår i vurderingen, men det endelige valg træffes af den dataansvarlige.
Opfølgningen. Efter en inspektion bør den dataansvarlige kunne bede databehandleren om at træffe foranstaltninger, fx afhjælpe mangler. Der bør også være procedurer for inspektion af underdatabehandlere.
Omkostningerne
Punkt 145 handler om betaling. Forordningen regulerer ikke, hvordan omkostningerne ved audit fordeles. Det er et kommercielt spørgsmål. Rådet advarer dog mod gebyrer og omkostningskrav, der er åbenlyst ude af proportion og skræmmer kunden fra at bruge retten. Så bliver rettighederne i artikel 28 kun noget, der står på papiret.
Det er en grænse, der er let at overse. En klausul kan give fuld revisionsret og samtidig gøre den så dyr at bruge, at ingen gør det.
Tre mønstre at se efter i vilkårene
Uden at citere bestemte leverandørers vilkår kan man beskrive tre mønstre, som en læser kan holde sin egen aftale op mod. Inddelingen er vores egen og ikke en juridisk vurdering af, om et bestemt vilkår holder.
Det første er, at kun leverandørens egen erklæring tæller. Datatilsynets skabelon har i bilag C.7 en udtrykkelig ret til at anfægte rammerne for og metoden i en erklæring og bede om en ny. Datatilsynets vejledning om cloud siger, at hvis leverandørens rapport ikke dækker de behandlinger, I har overladt, bør I sikre jer en ret til at kræve en revision, der dækker det manglende, eller som bruger en anden fremgangsmåde.
Det andet er, at leverandøren alene bestemmer form og auditor. Det står over for punkt 144.
Det tredje er, at retten kun kan bruges sjældent, mod høje gebyrer eller med lang varsling. Her er punkt 145 og EU-Kommissionens standardbestemmelser relevante. Bestemmelse 7.6 i afgørelse 2021/915 giver revision med rimelige mellemrum og desuden, når der er tegn på manglende overholdelse.
Hvad I kan gøre ved det
En almindelig fremgangsmåde er at læse vilkårenes revisionsklausul mod de fire pointer i punkt 144 og notere afvigelserne. Står den dataansvarliges endelige valg ikke i aftalen, kan I bede om et tillæg, der skriver det ind. Retningslinjerne kan bruges som argument i forhandlingen. De er ikke en dom.
Er aftalen allerede underskrevet, kan I stadig bede om revision med henvisning til artikel 28, stk. 3, litra h. Hvordan et tillæg til en løbende aftale kan se ud, er beskrevet under tillæg til en løbende aftale. Mangler retten helt, se ingen revisionsret i aftalen.
Grænserne gælder kun, hvor leverandøren er databehandler. Over for en leverandør uden personoplysninger har I den ret, aftalen giver, og intet mere.
Datatilsynets fokus i 2026: de store databehandlere
Datatilsynet har sat “Tilsyn med store databehandlere” på listen over særlige fokusområder i 2026. Spørgsmålet er, om kunder af leverandører med fælles driftsydelser i praksis kan løfte deres eget ansvar. Ifølge Datatilsynet tillader de store databehandlere sjældent en løsning skræddersyet til én kunde, og deres måde at styre ændringer på kan gøre reglerne svære at efterleve for kunderne. Tilsynet har planlagt besøg hos udvalgte store databehandlere, både offentlige og private, i løbet af året.
Fokusområdet handler om netop de standardvilkår, artiklen her gennemgår. Hvad tilsynene ender med at konkludere, vides ikke endnu. Indtil da er jeres egen gennemgang af revisionsklausulen og af leverandørens varsling af ændringer det, I kan vise, hvis spørgsmålet kommer.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser leverandørens vilkår, før de accepteres, og kender de fire pointer i retningslinjerne. For en standardydelse kan forhandlingen være kort, men den bør dokumenteres.
Uden den læsning opdager I først indsnævringen, når I vil bruge retten. Så har leverandøren vilkårene på sin side, og I har en fortolkning fra et EU-organ.
Det skal I lade være med
- At citere retningslinjerne som lov · de er Databeskyttelsesrådets fortolkning.
- At bruge punkt 144 over for en leverandør, der ikke er databehandler · det gælder kun artikel 28.
- At acceptere en klausul uden at se på gebyrerne · en dyr ret bliver ikke brugt.
Det skal auditten kunne vise
- ☐ Leverandørens revisionsklausul læst mod punkt 144 og 145.
- ☐ Hvem der vælger auditor, og hvem der bestemmer formen.
- ☐ Retten til at anfægte omfang, metode og resultat af en erklæring.
- ☐ Om gebyrer eller frekvens gør retten svær at bruge.
- ☐ Forhandlingen om afvigelserne og resultatet.
Kilder
- EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.1, punkt 99 og 143 til 145, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.7, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.6, læst 12. november 2026.
- Datatilsynet, Særlige fokusområder for Datatilsynets tilsynsaktiviteter i 2026, læst 13. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.3.3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag revisionsklausulen i jeres største standardaftale, og skriv for hver af de fire pointer i punkt 144, om den står der.
Læs også: Hvem betaler for auditten? · Audit af en leverandør, der er langt større end jer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
