Hvornår er webbureauet databehandler?
Reglen er enkel i teorien: dataansvarlig bestemmer formål og midler; databehandleren behandler data på den ansvarliges vegne. I praksis sidder et webbureau typisk i tre roller samtidig:
1. Databehandler for klientens site-brugere. Kontaktformularer, nyhedsbreve, analytics og bookings på det site du driver behandler besøgendes persondata på klientens vegne. Det kræver en skriftlig DBA mellem jer — mundtligt t&aeli;ller ikke.
2. Dataansvarlig for egne formål. Din egen hjemmeside, dine leads, din fakturering og dit CV-lager er dit eget ansvar.
3. Dataansvarlig ved "egne" beslutninger. Vælger du selv at sende markedsføring til klientens kunder, eller bruger du produktionsdata til test uden aftale om det, er du ikke længere behandler — du er blevet ansvarlig, og det er en kontraktbrud og en overtrædelse på én gang.
Skriftlig pligt
Artikel 28(9): behandlingen skal reguleres af en EU-/EØS-retlig kontrakt eller andre juridiske bindende handlinger. En mail kan nogle gange være nok, men et underskrevet dokument er det eneste der holder ved revision.
Begge veje
Du skal HAVE en DBA fra hver leverandør der behandler klientdata for dig (hosting, e-mail, backup) — og LEVERE en til hver klient hvis du behandler deres data.
Underbehandlere
Dine underbehandlere (fx din hostingudbyder) skal godkendes af klienten, og du videregiver samme forpligtelser ned ad kæden via artikel 28(4).
Hvad aftalen minimum skal indeholde
Artikel 28(3) lister ni obligatoriske elementer. De fleste standardaftaler dækker dem — tjek at din gør:
1. Genstand og varighed. Hvilke behandlinger, hvilke datakategorier, hvor længe.
2. Formål og art. Drift og vedligehold af website, hosting, support osv.
3. Datakategorier. Kontaktoplysninger, ordredata, logdata — vær konkret.
4. Registerpligt. Beholderen skal føre dokumentation af behandlingskategorierne (art. 30(2)).
5. Transfers. Ingen overførsel til lande uden for EU/EØS uden gyldigt overførselsgrundlag.
6. Sikkerhed. Henvisning til artikel 32-foranstaltninger.
7. Underbehandlere. Forudgående generel eller specifik godkendelse + underretningspligt ved ændringer.
8. Hjælp til den ansvarlige. Assistance ved dataminejer, DPIA'er og tilsyn fra Datatilsynet.
9. Sletning/returnering. Ved aftalens ophør slettes eller udleveres alle persondata — efter den ansvarliges valg.
Til det kommer to punkter bureauer ofte glemmer: fortrolighedspligt for alt personale der får adgang, og revisionssamarbejde — klienten har ret til at få dokumentation for overholdelse.
Sådan gør et lille bureau det praktisk
Skabelon én gang. Lav én standard-DBA som bilag til dine serviceaftaler. Datatilsynets vejledning og brancheskabeloner (Dansk Erhverv, IT-Branchen) giver et godt udgangspunkt.
Leverandørsiden. Gennemgå din egen stak: har hver hosting-, CDN-, e-mail- og backup-udbyder en DBA du reelt har? Hyperscalere leverer DPA'er online — gem dem sammen med acceptdatoer. Små plugins og SaaS-værktøjer uden DPA er et rød flag.
Underbehandlerliste. Før en liste du kan give klienten: navn, formål, land. Opdater den ved ændringer og underret klienter inden nye tilføjes.
Ved ophør. Definér i skabelonen hvad der sker med produktiondata ved opsigelse: slettes inden for X dage, eksporteres til klienten, backups ruller ud inden for backup-cyklussen.
Bevis-mappen
Underskrevne DBA'er ind og ud, underbehandlerliste, sletterutiner. Seks dokumenter der dækker både GDPR og NIS2-leverandørkrav.
Test-data
Produktionsdata i staging er behandling uden formålsdækning. Anonymisér eller fikser det i din DBA som tilladt formål med særlige krav.
Spørgsmål fra klienter
"Har I en DBA?" er nu et standard indkøbspørgsmål. Et klart ja med dokument på minutter vinder hænder mod et bureau der skal "returnere senere".
Guiden er gratis. Den underskrevede aftale er ikke noget du får.
Alt ovenfor — de ni punkter fra artikel 28(3), de to roller, leverandørsiden og underbehandlerlisten — står på denne side, og den gratis scanner og de gratis compliance-skabeloner er gratis for altid. Det er guide, ikke dokument.
Det guide ikke gør, er præcis den s&aeletning artiklen selv slutter på: "brug din standard-DBA som bilag til tilbuddet, så accept af tilbuddet er accept af DBA'en." Til det skal du have en tekst, der er artikel 28-korrekt, som du kan sende, og som du kan vedlæge igen. GDPR DPA-skabelonen er den tekst — de ni obligatoriske punkter med plads til dine egne oplysninger, leveret som to filer lige efter betaling. Pro-tilføjet til den er pr&ael;cis dokumentet, ikke flere funktioner.
| Hvad du få | Gratis | GDPR-DPA-skabelon — 59 $ engang |
|---|---|---|
| Denne guide og de ni punkter | siden, i sin helhed | included |
| At se om et site overholder GDPR og cookies | den gratis scanner på ethvert URL | samme scanner |
| Leverandør- og underbehandlerlister | navn, formål, land — sådan som denne side beskriver | included |
| En aftale du kan sende til en klient | — | DBA-skabelonen som fil |
| Bilag til dit tilbud | — | bilag, du vedlæger ved hvert bud |
Engangspris på 59 $, ingen licens og intet abonnement. Vil du bare vide, hvad din rolle er og hvad en klient spørger til, er denne guide hele svaret — du behøver aldrig betale for noget for at l&ael;se den.
Ofte stillede spørgsmål
Kan vi bruge hostingudbyderens standard-DPA?
Ja — for den relation. Store leverandørers DPA'er er artikel 28-korrekte og dækker normalt underbehandlere. Dit arbejde er at have dem, kende scope'et og kunne fremvise dem ved anmodning.
Er vi databehandler eller dataansvarlige for klientens analytics?
Som udgangspunkt behandler: klienten beslutter værktøj og formål, du konfigurerer. Men vælger du selv analytics-værktøjet og dets formål, kan du blive fælles eller selvstændig ansvarlig. Læg beslutningen hos klienten og dokumentér den.
Hvad hvis klienten nægter at skrive under?
Du må ikke starte behandlingen uden aftale, hvis den omfatter persondata. I praksis: brug din standard-DBA som bilag til tilbuddet, så accept af tilbuddet er accept af DBA'en.
Skal en DBA registreres hos Datatilsynet?
Nej. Der findes ingen notifikationspligt. Pligten er at have aftalen og kunne dokumentere overholdelsen ved tilsyn.
Bøder for manglende DBA?
Ja — artikel 83(4)(a) sætter rammen op til 10 millioner euro eller 2 % af den globale årsomsætning for brud på artikel 28. Sanktionerne i praksis er sjældent maksimale for små virksomheder, men ordrer om at bringe behandlingen i orden er almindelige.
Dækker vores DBA også AI-værktøjer vi bruger?
Kun hvis de behandler klientdata og du har aftalt det. Indsæt AI-værktøjer i underbehandlerlisten eller udelad dem eksplicit — "vi bruger ChatGPT til alt" er ikke et overførselsgrundlag.
Værktøjer og guides
EAA-håndhævelse 2026: Hvad er der faktisk sket?
Ét år efter Den Europæiske Accessibilitetslov trådte i kraft: de første sømål, markedsovervågning, bøder pr.