Bruger jeres databehandler underdatabehandlere eller lokationer uden for EU og EØS, skal I selv kunne dokumentere, at overførslen er lovlig. Datatilsynet skrev i januar 2026, at aftalen skal angive, hvor behandlingen finder sted, og at byrden for at dokumentere, at reglerne er overholdt, ligger hos jer som dataansvarlig.
Artiklen omsætter Datatilsynets svar til det, I beder leverandøren om, og det, I kontrollerer ved tilsynet. Hvor vi går ud over Datatilsynets tekst, er det markeret som praksis.
Datatilsynets svar fra januar 2026
Den 23. januar 2026 offentliggjorde Datatilsynet et svar om vilkår i databehandleraftaler om overførsler af personoplysninger til tredjelande (j.nr. 2025-211-3556). Det er et svar på et konkret spørgsmål, ikke en ny vejledning, men det viser, hvordan tilsynet læser reglerne.
Hovedpunkterne:
- Den dataansvarlige skal vide, hvilke underdatabehandlere en databehandler gør brug af.
- Databehandleraftalen skal indeholde oplysninger om lokationen for behandlingen. Det er ikke altid tilstrækkeligt alene at angive virksomhedsadressen.
- Når aftalen giver en klar instruks om en behandling i et tredjeland, er overførslen efter Datatilsynets opfattelse tilsigtet. Så gælder reglerne i databeskyttelsesforordningens kapitel V.
- Dokumentationsforpligtelsen påhviler den dataansvarlige.
- Aftalen skal binde databehandleren til at handle på en måde, der er klar og forudsigelig.
Generel eller specifik godkendelse
Efter artikel 28, stk. 2, kræver hver ny underdatabehandler jeres skriftlige godkendelse på forhånd, enten for den enkelte eller som en generel godkendelse. Vælger I den generelle model, har databehandleren pligt til at varsle planlagte ændringer, og I kan gøre indsigelse.
Datatilsynet skriver, at en “flydende” liste, hvor den dataansvarlige ikke løbende er inddraget, normalt ikke vil være i overensstemmelse med reglerne. En generel godkendelse er altså ikke en blankocheck. Den forudsætter, at I får besked og tager stilling.
Det, I beder leverandøren om
Det følgende er vores omsætning af Datatilsynets svar til en dokumentanmodning. Det er praksis, ikke en liste fra Datatilsynet.
- Underdatabehandlerne med navn og den del af behandlingen, hver udfører.
- Lokationen for hver behandling, så konkret at I kan se, om den sker i et tredjeland. Et hovedkontors adresse er ikke nok, hvis data ligger eller tilgås et andet sted.
- Overførselsgrundlaget for hver behandling i et tredjeland efter kapitel V, fx en afgørelse om tilstrækkeligt beskyttelsesniveau eller standardkontraktbestemmelser, og den vurdering, der hører til.
- Varslingsproceduren ved ændringer: hvem der varsler hvem, med hvilken frist, og hvordan I gør indsigelse.
- Fjernadgang fra tredjelande, fx support eller drift, også når data ligger i EU. Om fjernadgang i det konkrete tilfælde er en overførsel, beror på en vurdering, som I bør bede leverandøren beskrive.
Kæden længere nede er beskrevet i artiklen om hele kæden af underdatabehandlere. Det praktiske ved en leverandør, hvis folk sidder i andre lande, står i artiklen om audit af en udenlandsk leverandør.
Sådan prøves det ved tilsynet
Et tilsyn med databehandleren kan prøve fire ting:
- Aftalen mod virkeligheden. Tag listen over underdatabehandlere og lokationer i aftalen, og bed leverandøren vise, hvor data faktisk behandles i dag.
- Varslingerne. Find de underretninger om ændringer, I har fået det seneste år, og se, hvem hos jer der besluttede noget på baggrund af dem.
- Grundlaget. Bed om dokumentationen for overførselsgrundlaget for én eller to af behandlingerne i tredjelande, valgt af jer.
- Instruksen. Læs, om instruksen i aftalen er så klar, at behandlingen er forudsigelig, eller om den lader databehandleren vælge lokation frit.
Fund på de fire punkter er fund hos jer selv, ikke kun hos leverandøren. Det er jer, der skal kunne løfte dokumentationen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen hos jer ejer listen over underdatabehandlere og lokationer pr. databehandler og læser varslingerne, når de kommer. Det kræver også, at aftalen er skrevet, så lokationen kan læses ud af den.
Uden det kan I ikke vise Datatilsynet, at overførslerne er lovlige. Byrden ligger hos jer, og en aftale, der kun nævner leverandørens adresse, flytter den ikke.
Det skal I lade være med
- At gå ud fra, at data ligger, hvor leverandøren har adresse · Datatilsynet kræver lokationen for behandlingen.
- At give en generel godkendelse uden at læse varslingerne · en flydende liste er normalt ikke i orden.
- At overlade vurderingen af overførselsgrundlaget helt til leverandøren · dokumentationsbyrden er jeres.
Det skal auditten kunne vise
- ☐ En liste over underdatabehandlere med lokation for hver behandling.
- ☐ Overførselsgrundlaget for hver behandling i et tredjeland.
- ☐ Varslinger om ændringer med dato og jeres beslutning om hver.
- ☐ En instruks i aftalen, der gør behandlingen klar og forudsigelig.
- ☐ En stikprøve, hvor aftalens lokationer er holdt op mod den faktiske behandling.
Kilder
- Datatilsynet: Vilkår i databehandleraftalen om overførsler af personoplysninger til tredjelande, 23. januar 2026, j.nr. 2025-211-3556, læst 13. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 2, og kapitel V, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg den databehandler, der behandler jeres mest følsomme data, og bed om lokationen for hver behandling og grundlaget for hver overførsel.
Læs også: Underleverandøren, kunden aldrig godkendte · Bilag C.7 og C.8 i databehandleraftalen
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
