Har du styr på alle dine databehandleraftaler? De fleste SMV’er svarer nej — og det er et problem. Ikke kun fordi GDPR kræver det, men fordi manglende overblik over databehandleraftaler er en af de hyppigste årsager til bøder fra Datatilsynet.
Datatilsynet har databehandleraftaler som et af sine fokusområder i 2026. Det betyder øget tilsyn, flere stikprøvekontroller og reelle konsekvenser for virksomheder der ikke har orden i sagerne.
Denne guide giver dig et klart overblik over hvad en databehandleraftale er, hvornår du skal have den, hvad den skal indeholde — og hvordan du holder styr på dem alle.
Hvad er en databehandleraftale?
En databehandleraftale (DPA — Data Processing Agreement) er en skriftlig aftale mellem dig som dataansvarlig og en leverandør (databehandler) der behandler personoplysninger på dine vegne.
Aftalen er et krav i GDPR artikel 28 og skal være på plads, hver gang du overlader personoplysninger til en tredjepart til behandling.
Typiske eksempler på hvornår du behøver en databehandleraftale:
- Du bruger et lønsystem der behandler medarbejdernes personoplysninger
- Du bruger et CRM-system med kundedata
- Du bruger et e-mailmarketingsystem som Mailchimp eller HubSpot
- Du bruger cloud-lagring som Google Drive eller Dropbox til filer med personoplysninger
- Du bruger et bogholderi- eller regnskabssystem
- Du har en ekstern IT-leverandør med adgang til systemer med persondata
- Du bruger et bookingsystem med kundeoplysninger
De fleste SMV’er med 5 eller flere ansatte og en normal kundedatabase har brug for 10–20 databehandleraftaler, når de laver en grundig gennemgang.
Hvad skal en databehandleraftale indeholde?
GDPR stiller specifikke krav til indholdet af en databehandleraftale. Den skal som minimum indeholde:
- Behandlingens genstand og varighed — hvad behandles, og hvor længe
- Arten og formålet med behandlingen — hvad bruger leverandøren data til
- Typen af personoplysninger — hvilke kategorier af data er involveret
- Kategorier af registrerede — kunder, medarbejdere, besøgende osv.
- Den dataansvarliges forpligtelser og rettigheder
- Krav til sikkerhedsforanstaltninger
- Regler for brug af underdatabehandlere
- Sletning eller tilbagelevering af data ved kontraktens ophør
- Auditrettigheder — din ret til at kontrollere leverandørens overholdelse
Mange store softwareleverandører tilbyder standardiserede DPA’er der opfylder disse krav. Tjek altid om din leverandørs DPA faktisk dækker alle de punkter GDPR kræver — det gør de ikke altid.
Hvornår er Datatilsynet særligt opmærksom i 2026?
Datatilsynet har annonceret øget fokus på databehandleraftaler i 2026 med særlig opmærksomhed på:
- Virksomheder der mangler DPA’er med cloud-leverandører og SaaS-udbydere
- Virksomheder der har forældede DPA’er der ikke afspejler den faktiske behandling
- Underdatabehandlere — leverandørens brug af underleverandører der ikke er dokumenteret
- Overførsler til tredjelande uden tilstrækkeligt retsgrundlag
En DPA-bøde er ikke kun et spørgsmål om at have en aftale på papir — Datatilsynet ser på om aftalerne er opdaterede og faktisk afspejler den behandling der sker.
Sådan får du overblik over dine databehandleraftaler
Det største praktiske problem for SMV’er er ikke at forstå reglerne — det er at holde styr på alle DPA’erne, efterhånden som antallet af systemer og leverandører vokser.
En struktureret tilgang ser sådan ud:
Trin 1: Lav en komplet liste over alle databehandlere
Gennemgå alle de systemer og leverandører I bruger, der har adgang til personoplysninger. Vær grundig — det er let at glemme de “lille” systemer som bookingplugins, nyhedsbrevsplatforme og supportværktøjer.
Trin 2: Tjek om der er en DPA for hver
For hver leverandør: har I en databehandleraftale på plads? Er den underskrevet? Er den opdateret inden for de seneste 2 år? Afspejler den den faktiske behandling?
Trin 3: Saml alle DPA’er ét sted
Databehandleraftaler er en type leverandørkontrakt og bør behandles som det — med et centralt arkiv, strukturerede data og automatiske påmindelser om gennemgang.
Trin 4: Sæt påmindelser om gennemgang
DPA’er bør gennemgås minimum én gang om året — og ved væsentlige ændringer i behandlingen. Sæt automatiske påmindelser så det ikke glipper.
DPA’er og kontraktstyring — to sider af samme sag
En databehandleraftale er i bund og grund en leverandørkontrakt med GDPR-krav ovenpå. Det betyder, at et godt kontraktstyringssystem er det naturlige sted at holde styr på dem:
- Registrér DPA’en som en aftale med leverandøren
- Notér hvilke kategorier af personoplysninger der behandles
- Sæt påmindelse om årlig gennemgang
- Dokumentér at aftalen er indgået — vigtigt hvis Datatilsynet spørger
Virksomheder der allerede har kontraktoverblik over deres leverandørforhold, er langt bedre rustet til at håndtere GDPR-compliance — fordi infrastrukturen til at styre aftaler allerede er på plads.
Ofte stillede spørgsmål om databehandleraftaler
Behøver jeg en databehandleraftale med store platforme som Google og Microsoft?
Ja. Google, Microsoft og andre store platforme tilbyder standardiserede DPA’er som en del af deres vilkår. Du skal aktivt acceptere eller indgå dem — de er ikke automatisk på plads. Tjek din konto hos hver leverandør.
Hvad sker der hvis jeg ikke har en databehandleraftale?
Det er et brud på GDPR og kan medføre bøder. Datatilsynet kan udstede bøder på op til 10 millioner euro eller 2% af den globale årsomsætning for brud på artikel 28. For SMV’er er det typisk lavere, men reelle bøder er set i Danmark.
Kan jeg bruge en skabelon til databehandleraftale?
Ja, men vær opmærksom på at en skabelon skal tilpasses den faktiske behandling. Datatilsynet tilbyder vejledning og standardvilkår, men disse skal udfyldes korrekt for at være gyldige. En DPA der er udfyldt overfladisk, er bedre end ingen — men ikke meget.
Hvor tit skal databehandleraftaler opdateres?
Minimum én gang om året som god praksis — og altid ved væsentlige ændringer i behandlingen, nye systemer der tages i brug, eller ændringer hos leverandøren (f.eks. nye underdatabehandlere).
Hvad er forskellen på en dataansvarlig og en databehandler?
Du er dataansvarlig — du bestemmer formålet med og midlerne til behandlingen. Din leverandør er databehandler — de behandler data på dine vegne. DPA’en regulerer forholdet imellem jer.
Læs også: