Tillid

Underdatabehandlere

Når vi leverer vores tjenester, benytter vi underdatabehandlere, som behandler personoplysninger på vores vegne. Nedenfor finder du en oversigt over alle de underdatabehandlere, vi i øjeblikket anvender, herunder deres placering og det formål, de anvendes til. Denne liste fungerer som bilag B til begge databehandleraftale (underdatabehandlere for my.host) og den aftale om underdatabehandling (under-underdatabehandlere for my.host, når my.host fungerer som underdatabehandler).

Sidst opdateret: oktober 2026

Voxility • Infrastruktur

Dedikerede servere

EU

Worldstream • Infrastruktur

Dedikerede servere

Nederlandene

Datapacket • Infrastruktur

Dedikerede servere

EU

Leaseweb • Backupinfrastruktur

Dedikerede servere (backups)

Nederlandene

SIDN • Domæneregistrering (.nl)

Register

Nederlandene

DNS Belgium • Domæneregistrering (.be)

Register

Belgien

Punktum dk • Domæneregistrering (.dk)

Register

Danmark

Norid • Domæneregistrering (.no)

Register

Norge

Internetstiftelsen • Domæneregistrering (.se/.nu)

Register

Sverige

Datasur • Domæneregistrering (.sr)

Register

Surinam

OpenProvider • Domæneregistrering

Registrar

EU

Pax8 • Microsoft 365-distribution

Distributør

EU / USA

Anthropic • AI-understøttet ticketbehandling

Supportspørgsmål via Claude. Overførsel til USA på grundlag af SCC'er.

USA

Google • AI-understøttet ticketbehandling

Supportspørgsmål via Gemini. Overførsel til USA på grundlag af SCC'er.

USA

Databehandleraftale

Version: april 2026

Denne databehandleraftale, herunder dens bilag, indgås mellem my.host (herefter: »databehandleren«) og Kunden (herefter: »den dataansvarlige«) og fastlægger aftalerne mellem Parterne om den behandling af personoplysninger, som databehandleren udfører på vegne af den dataansvarlige i forbindelse med de tjenester, som my.host leverer til Kunden i henhold til hovedaftalen. Denne databehandleraftale gælder udelukkende for databehandlerens behandling af personoplysninger på vegne af den dataansvarlige og omfatter ikke aktiviteter, der ikke indebærer behandling af personoplysninger. I det omfang my.host behandler personoplysninger som selvstændig dataansvarlig, falder den behandling uden for denne databehandleraftales anvendelsesområde.

Parter

Denne databehandleraftale gælder mellem my.host (Pietersbergweg 291, 1105 BM Amsterdam, erhvervsregisteret (KvK): 89592514), herefter »databehandleren«, og kunden, der køber tjenester hos my.host, herefter »den dataansvarlige«. Under ét benævnt »Parterne« og enkeltvis en »Part«.

1. Generelt

1. Parterne er enige om, at denne databehandleraftale erstatter alle tidligere aftalte databehandleraftaler og/eller privatlivs- eller databeskyttelsesbestemmelser mellem Parterne vedrørende de samme tjenester og det samme behandlingsforhold (nemlig: Kunden som dataansvarlig og my.host som databehandler), medmindre Parterne udtrykkeligt skriftligt har aftalt andet. Denne databehandleraftale berører ikke en eventuel underdatabehandleraftale indgået mellem Parterne; begge aftaler består side om side og vedrører hver sit behandlingsforhold.
2. Denne databehandleraftale gælder kun, hvis og i det omfang behandlingen af personoplysninger er underlagt GDPR. Begreber fra GDPR, der anvendes i denne databehandleraftale, herunder »personoplysninger«, »behandling«, »dataansvarlig« og »databehandler«, har den betydning, der er tillagt dem i GDPR.
3. Denne databehandleraftale anses for at udgøre en integreret del af hovedaftalen mellem Parterne.

2. Bilag

Følgende bilag udgør en integreret del af denne databehandleraftale:

• Bilag A: Nærmere oplysninger om databehandlingen
• Bilag B: Underdatabehandlere
• Bilag C: Sikkerhedsforanstaltninger (tekniske og organisatoriske foranstaltninger)

3. Formålet med behandlingen

1. Databehandleren forpligter sig til i overensstemmelse med vilkårene i denne databehandleraftale at udføre behandlingen af personoplysninger på vegne af den dataansvarlige.
2. Databehandleren behandler personoplysninger udelukkende i forbindelse med opfyldelsen af hovedaftalen, strengt i overensstemmelse med den dataansvarliges dokumenterede instruktioner, og vedrører en eller flere af de tjenester, der er nærmere beskrevet i bilag A. Databehandleren må ikke anvende personoplysningerne til noget andet formål eller på nogen anden måde end til det formål, den dataansvarlige har fastsat.
3. Den dataansvarlige er enig i, at denne databehandleraftale, hovedaftalen og eventuelle yderligere (skriftligt aftalte) arbejdsordninger samt de konfigurationer og indstillinger, som den dataansvarlige eller dennes autoriserede brugere vælger for tjenesterne (i overensstemmelse med dokumentationen), tilsammen udgør den dataansvarliges fulde instruktioner til databehandleren om behandlingen af personoplysninger.
4. Yderligere eller afvigende instruktioner gælder kun, hvis Parterne har aftalt dem skriftligt, hvorved databehandleren er berettiget til at opkræve eventuelle (rimelige) omkostninger forbundet med udførelsen af sådanne instruktioner.

4. Forpligtelser

1. Den dataansvarlige erklærer og garanterer, at vedkommende til enhver tid vil overholde gældende databeskyttelseslovgivning (herunder GDPR) med hensyn til (i) de personoplysninger, der stilles til rådighed for databehandleren eller behandles via tjenesterne, og (ii) de (behandlings)instruktioner, der gives til databehandleren. Den dataansvarlige garanterer, at behandlingen af personoplysninger via tjenesterne er lovlig, så databehandleren må behandle personoplysningerne på grundlag af hovedaftalen og denne databehandleraftale og i overensstemmelse med gældende databeskyttelseslovgivning.
2. Den dataansvarlige garanterer, at vedkommende har alle nødvendige rettigheder, samtykker, behandlingsgrundlag og bemyndigelser til at (a) stille personoplysninger til rådighed for databehandleren og (b) bemyndige databehandleren til at behandle personoplysningerne som fastsat i hovedaftalen, denne databehandleraftale og den dataansvarliges dokumenterede instruktioner. Den dataansvarlige er ansvarlig for personoplysningernes oprindelse, nøjagtighed, kvalitet og lovlighed samt for den måde, de er indhentet på.
3. I det omfang tredjeparter retter krav mod databehandleren vedrørende personoplysninger eller behandling, som den dataansvarlige er ansvarlig for, skal den dataansvarlige på første anmodning holde databehandleren skadesløs for sådanne krav, skader, bøder og omkostninger, i det omfang det er tilladt efter ufravigelig ret, og i det omfang det ikke er forårsaget af forsæt eller grov uagtsomhed fra databehandlerens side.
4. Databehandleren er ikke ansvarlig for at vurdere, om den dataansvarliges instruktioner er i overensstemmelse med gældende love og regler. Hvis databehandleren anser, at en instruktion fra den dataansvarlige krænker gældende databeskyttelseslovgivning, skal databehandleren omgående underrette den dataansvarlige herom og er ikke forpligtet til at efterkomme en sådan ulovlig instruktion. Databehandleren skal suspendere udførelsen af den pågældende instruktion, indtil den dataansvarlige har trukket instruktionen tilbage eller ændret den, eller skriftligt har bekræftet, at instruktionen er lovlig, alt sammen i det omfang det med rimelighed er muligt uden uforholdsmæssig forstyrrelse af tjenestekontinuiteten.
5. Nærmere oplysninger om behandlingen, herunder de kategorier af personoplysninger, som den dataansvarlige uploader eller på anden vis stiller til rådighed i tjenesterne, og som databehandleren behandler på vegne af den dataansvarlige, er anført i bilag A (Nærmere oplysninger om databehandlingen).
6. Den dataansvarlige skal underrette databehandleren skriftligt og med rimeligt forudgående varsel, hvis vedkommende agter at foretage ændringer i den ovennævnte behandling, herunder (men ikke begrænset til) ændringer i arten, formålene, kategorierne af personoplysninger eller kategorierne af registrerede. Hvis det er nødvendigt, skal Parterne ændre bilag A tilsvarende.
7. Den dataansvarlige garanterer, at vedkommende fører en fuldstændig og ajourført fortegnelse over behandlingsaktiviteter i overensstemmelse med artikel 30 i GDPR.
8. Den dataansvarlige er forpligtet til omgående skriftligt at underrette databehandleren, hvis vedkommende (agter at) anvende tjenesterne til at behandle personoplysninger (også) på vegne af en eller flere egne dataansvarlige, eller hvis en sådan behandling ophører. Den dataansvarlige er selv ansvarlig for den korrekte kvalificering af sin rolle efter GDPR og for rettidigt at underrette databehandleren om ændringer heri. I en sådan situation gælder tillige underdatabehandleraftalen mellem Parterne, i det omfang den faktiske behandling giver anledning hertil.

5. Databehandleraftalens løbetid og ophør

1. Denne databehandleraftale indgås for den periode, der er fastsat i hovedaftalen. Parterne forbliver bundet af forpligtelser efter denne databehandleraftale, som efter deres art fortsat gælder efter ophør.
2. Denne databehandleraftale ophører automatisk, når hovedaftalen ophører.
3. Efter ophør af hovedaftalen sletter databehandleren alle personoplysninger i overensstemmelse med de opbevaringsperioder, der er anført i bilag A, medmindre EU-retten eller en medlemsstats nationale ret kræver opbevaring.
4. Hvis databehandleren af tekniske eller andre årsager ikke er i stand til at slette personoplysninger, skal databehandleren træffe rimelige foranstaltninger for at sikre, at personoplysningerne blokeres for yderligere behandling og, i det omfang det er teknisk muligt, anonymiseres.

6. Underdatabehandlere

1. Den dataansvarlige er enig i, at databehandleren må engagere underdatabehandlere til at behandle den dataansvarliges personoplysninger med henblik på at levere tjenesterne. Databehandleren fører en liste over sine autoriserede underdatabehandlere på sit websted, og den dataansvarlige bemyndiger databehandleren til at anvende disse underdatabehandlere. Listen over underdatabehandlere, der gælder på hovedaftalens ikrafttrædelsesdato, er vedlagt denne databehandleraftale som bilag B.
2. Databehandleren må engagere underdatabehandlere inden for og uden for EU/EØS og må overføre personoplysninger uden for EU/EØS eller på anden vis behandle dem dér. Databehandleren sikrer, at underdatabehandlere ved skriftlige aftaler er bundet af databehandlingsforpligtelser, som, i det omfang det er passende i forhold til arten af de tjenester, underdatabehandleren leverer, som minimum giver et tilsvarende beskyttelsesniveau som forpligtelserne efter denne databehandleraftale med hensyn til databeskyttelse.
3. Databehandleren sikrer, at hver underdatabehandler, der engageres, overholder de forpligtelser, der gælder for databehandleren efter denne databehandleraftale og gældende databeskyttelseslovgivning. Databehandleren forbliver fuldt ansvarlig over for den dataansvarlige for behandling udført af underdatabehandlere, som om databehandleren selv udførte behandlingen.
4. Databehandleren skal underrette den dataansvarlige skriftligt mindst fjorten (14) dage i forvejen, hvis der er planer om at foretage ændringer i listen over underdatabehandlere. Den dataansvarlige kan inden for denne frist skriftligt gøre indsigelse mod engagement af en ny underdatabehandler (eller en væsentlig ændring vedrørende en eksisterende underdatabehandler), forudsat at indsigelsen er baseret på rimelige grunde vedrørende databeskyttelse.

7. Brud på persondatasikkerheden

1. I tilfælde af et brud på persondatasikkerheden skal databehandleren underrette den dataansvarlige uden unødig forsinkelse og senest 48 timer efter opdagelsen af bruddet. Underretningen skal, i det omfang oplysningerne er tilgængelige, som minimum indeholde:
   • en beskrivelse af bruddets karakter, herunder – hvor det er muligt – hvordan det opstod, og det (formodede) tidspunkt for hændelsen og for opdagelsen;
   • de (kategorier af) personoplysninger, der er berørt af bruddet;
   • de (kategorier af) registrerede og, i det omfang det med rimelighed er muligt, et skøn over antallet af berørte registrerede;
   • de sandsynlige konsekvenser og risici ved bruddet; og
   • de foranstaltninger, databehandleren har truffet eller foreslår at træffe for at håndtere bruddet og begrænse mulige negative konsekvenser.
2. Hvis databehandleren ikke kan give alle oplysninger som nævnt i artikel 7.1 inden for den i den artikel nævnte frist, skal databehandleren inden for den frist give de oplysninger, der på det tidspunkt er tilgængelige, og samtidig angive årsagerne til, at yderligere oplysninger stadig mangler. Databehandleren skal efterfølgende give yderligere oplysninger uden unødig forsinkelse, så snart de bliver tilgængelige.
3. Databehandleren skal yde den dataansvarlige rimelig bistand til at opfylde sine forpligtelser efter GDPR i forbindelse med bruddet, herunder – hvor det er relevant – bistand med (i) anmeldelser til den kompetente tilsynsmyndighed(-er) og (ii) kommunikation til registrerede.

8. Sikkerhed og fortrolighed

1. Databehandleren har implementeret passende tekniske og organisatoriske foranstaltninger til sikring af personoplysninger.
2. Disse sikkerhedsforanstaltninger er udformet på et passende sikkerhedsniveau under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger, behandlingens art, omfang, sammenhæng og formål samt den varierende sandsynlighed og alvor af risici for fysiske personers rettigheder og frihedsrettigheder. De (gældende) sikkerhedsforanstaltninger er nærmere beskrevet i bilag C.
3. Databehandleren overvåger overholdelsen af sikkerhedsforanstaltningerne periodisk og er berettiget til at justere sikkerhedsforanstaltningerne, hvis dette med rimelighed er nødvendigt for sikkerheden, kontinuiteten eller den videre udvikling af tjenesterne.
4. Databehandleren begrænser adgangen til personoplysninger til de personer, for hvem adgang er nødvendig for udførelsen af tjenesterne. Databehandleren sikrer, at personer, der behandler personoplysninger under dens instruks, er bundet af en passende fortrolighedsforpligtelse og har modtaget passende instruktioner og uddannelse om databeskyttelse og informationssikkerhed.

9. De registreredes rettigheder

1. Databehandleren skal, i det omfang det med rimelighed er muligt og under hensyntagen til behandlingens art, yde den dataansvarlige bistand til at opfylde sine forpligtelser vedrørende anmodninger fra registrerede om at udøve deres rettigheder efter GDPR (såsom retten til indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse).
2. Databehandleren skal omgående videresende anmodninger fra registrerede, der indgives direkte til databehandleren, til den dataansvarlige og må ikke behandle sådanne anmodninger selvstændigt, medmindre den dataansvarlige udtrykkeligt har givet tilladelse hertil.
3. Databehandleren kan opkræve rimelige omkostninger for bistand, der går ud over tjenesternes standardfunktionalitet.

10. Overførsel uden for EU/EØS

1. Databehandleren må behandle eller overføre personoplysninger uden for EU/EØS, forudsat at kravene i kapitel V i GDPR er opfyldt. Databehandleren sikrer, at der gælder en gyldig overførselsmekanisme, såsom en afgørelse om tilstrækkeligt beskyttelsesniveau, standardkontraktbestemmelser (Standard Contractual Clauses, SCC) vedtaget af Europa-Kommissionen, eller et andet instrument anerkendt af GDPR.
2. Hvor standardkontraktbestemmelser (SCC) gælder, anses de for at udgøre en integreret del af denne databehandleraftale.

11. Konsekvensanalyse og forudgående høring

1. Databehandleren skal efter anmodning og i det omfang det med rimelighed er muligt yde den dataansvarlige bistand til at gennemføre en konsekvensanalyse vedrørende databeskyttelse (DPIA) og, hvor det er relevant, til forudgående høring af tilsynsmyndigheden.

12. Revision

1. Databehandleren skal stille alle oplysninger, der med rimelighed er nødvendige for at påvise overholdelse af forpligtelserne efter denne databehandleraftale, til rådighed for den dataansvarlige og skal muliggøre revisioner – herunder inspektioner – af eller på vegne af den dataansvarlige, med forbehold af bestemmelserne i denne artikel.
2. Revisioner udføres for den dataansvarliges regning, med rimeligt forudgående skriftligt varsel (mindst 30 dage), og begrænses til det, der er nødvendigt og proportionalt for at verificere overholdelsen af denne databehandleraftale.
3. Den dataansvarlige sikrer, at revisionen gennemføres professionelt, ikke uforholdsmæssigt forstyrrer databehandlerens drift og ikke bringer fortroligheden og sikkerheden af databehandlerens data og dataene hos dens øvrige kunder i fare.
4. Databehandleren er berettiget til at stille rimelige betingelser for revisionen, herunder (men ikke begrænset til) forudgående aftale om omfang og planlægning, fortrolighedsforpligtelser for revisorer og begrænsning af adgang til andre kunders data.
5. Hvis databehandleren har et gældende certifikat, en rapport eller en erklæring fra en uafhængig revisor (for eksempel SOC 2 Type II, ISO 27001), udgør dette tilstrækkeligt bevis for overholdelse af de relevante sikkerhedsforpligtelser efter denne databehandleraftale, medmindre den dataansvarlige på en begrundet og skriftlig måde godtgør, at yderligere undersøgelse er nødvendig.

13. Ansvar

1. Databehandlerens ansvar efter eller i forbindelse med denne databehandleraftale er underlagt ansvarsbestemmelserne og -begrænsningerne som fastsat i hovedaftalen og de gældende almindelige betingelser, i det omfang det er tilladt efter ufravigelig ret.

14. Øvrige bestemmelser

1. I tilfælde af konflikt mellem bestemmelserne i denne databehandleraftale og hovedaftalen har denne databehandleraftale forrang, i det omfang det vedrører behandlingen af personoplysninger.
2. Denne databehandleraftale er underlagt nederlandsk ret. Tvister, der opstår af eller i forbindelse med denne databehandleraftale, skal indbringes for den kompetente ret i Amsterdam, medmindre andet er foreskrevet af ufravigelig ret.
3. Hvis en bestemmelse i denne databehandleraftale er ugyldig, tilsidesættes eller på anden vis er uigennemførlig, eller hvis denne databehandleraftale indeholder en lakune, forbliver de øvrige bestemmelser i fuld kraft. I så fald skal Parterne drøfte at aftale en erstatnings- eller supplerende bestemmelse, der er retligt gyldig, og som ligger så tæt som muligt op ad hensigten med den oprindelige bestemmelse, under hensyntagen til kravene i artikel 28 GDPR.

Bilag A: Nærmere oplysninger om databehandlingen

Bilag B: Underdatabehandlere

En aktuel oversigt over alle underdatabehandlere, som databehandleren engagerer, er tilgængelig på https://my.host/dk/trust/underdatabehandlere.

Bilag C: Sikkerhedsforanstaltninger

Databehandleren implementerer og opretholder passende tekniske og organisatoriske sikkerhedsforanstaltninger til beskyttelse af personoplysninger.

Organisatoriske foranstaltninger

• Periodisk overvågning, evaluering og vurdering af effektiviteten af organisatoriske og tekniske foranstaltninger.
• Procedure for overholdelse af opbevaringsperioder og sletning i overensstemmelse med aftaler/instruktioner.
• Fortrolighedsforpligtelser for medarbejdere (kontraktligt og/eller via intern politik).
• Bevidstgørelse og uddannelse af medarbejdere inden for informationssikkerhed og privatliv.

Tekniske foranstaltninger

• Fysisk sikkerhed og netværkssikkerhed: sikrede serverrum, netværkssegmentering, firewalls, hardening.
• Kryptering og sikker overførsel: TLS/STARTTLS (hvor det er relevant), kryptering »in transit«.
• E-mailsikkerhed: anti-spam/anti-virus, rate limiting, DMARC/DKIM/SPF (hvor det er relevant).
• DNS-sikkerhed: DNSSEC (hvor det er muligt).
• Logging og overvågning: adgangslogning, overvågning/alerting, SIEM/IDS (hvor det er passende), tidssynkronisering.
• Adgangssikkerhed: MFA, least-privilege (hvor det er muligt), jump host/bastion.
• Backup/kontinuitet: adskilt lagring, integritetskontroller.
• Malware/misbrug: endpoint-/malwarescans, karantæner, kontrolleret adgang til samples/logging.

Underdatabehandleraftale

Version: april 2026

Denne underdatabehandleraftale, herunder dens bilag, indgås mellem my.host (herefter: »underdatabehandleren«) og kunden, der køber tjenester hos my.host som databehandler (herefter: »databehandleren«), og fastlægger aftalerne mellem Parterne om den behandling af personoplysninger, som underdatabehandleren udfører på vegne af og til fordel for databehandleren i forbindelse med de tjenester, underdatabehandleren leverer til databehandleren.

Denne underdatabehandleraftale gælder udelukkende for underdatabehandlerens behandling af personoplysninger til fordel for databehandleren i forbindelse med de tjenester, som my.host leverer til databehandleren i henhold til hovedaftalen. Underdatabehandleren behandler personoplysninger på grundlag af dokumenterede instruktioner fra databehandleren. I det omfang my.host behandler personoplysninger som selvstændig dataansvarlig eller som (hoved)databehandler for egne kunder, falder den behandling uden for denne underdatabehandleraftales anvendelsesområde.

Parter

Denne underdatabehandleraftale gælder mellem my.host (Pietersbergweg 291, 1105 BM Amsterdam, erhvervsregisteret (KvK): 89592514), herefter »underdatabehandleren«, og databehandleren, der køber tjenester hos my.host til fordel for sin(e) dataansvarlige. Under ét benævnt »Parterne« og enkeltvis en »Part«.

1. Generelt

1. Parterne er enige om, at denne underdatabehandleraftale erstatter alle tidligere aftalte (under)databehandleraftaler og/eller privatlivs- eller databeskyttelsesbestemmelser mellem Parterne vedrørende de samme tjenester, medmindre Parterne udtrykkeligt skriftligt har aftalt andet.
2. Denne underdatabehandleraftale gælder kun, hvis og i det omfang behandlingen af personoplysninger er underlagt GDPR. Begreber fra GDPR, der anvendes i denne underdatabehandleraftale, herunder »personoplysninger«, »behandling«, »dataansvarlig«, »databehandler« og »underdatabehandler«, har den betydning, der er tillagt dem i GDPR.
3. Denne underdatabehandleraftale anses for at udgøre en integreret del af hovedaftalen mellem underdatabehandleren og databehandleren. I denne underdatabehandleraftale forstås ved begrebet »under-underdatabehandler«: en tredjepart, som underdatabehandleren engagerer til (en del af) behandlingen af personoplysninger.

2. Bilag

Følgende bilag udgør en integreret del af denne underdatabehandleraftale:

• Bilag A: Nærmere oplysninger om databehandlingen
• Bilag B: Under-underdatabehandlere
• Bilag C: Sikkerhedsforanstaltninger (tekniske og organisatoriske foranstaltninger)

3. Formålet med behandlingen

1. Underdatabehandleren forpligter sig til i overensstemmelse med vilkårene i denne underdatabehandleraftale at udføre behandlingen af personoplysninger på vegne af databehandleren.
2. Behandlingen af personoplysninger ved underdatabehandleren sker udelukkende i forbindelse med opfyldelsen af hovedaftalen, strengt i overensstemmelse med databehandlerens dokumenterede instruktioner, og vedrører en eller flere af de tjenester, der er nærmere beskrevet i bilag A. Underdatabehandleren må ikke anvende personoplysningerne til noget andet formål eller på nogen anden måde end til det formål, databehandleren har meddelt.
3. Yderligere eller afvigende instruktioner gælder kun, hvis Parterne har aftalt dem skriftligt, hvorved underdatabehandleren er berettiget til at opkræve eventuelle (rimelige) omkostninger forbundet med udførelsen af sådanne instruktioner hos databehandleren.

4. Forpligtelser

1. Databehandleren erklærer og garanterer, at vedkommende til enhver tid vil overholde gældende databeskyttelseslovgivning (herunder GDPR) med hensyn til (i) de personoplysninger, der stilles til rådighed for underdatabehandleren eller behandles via tjenesterne, og (ii) de (behandlings)instruktioner, der gives til underdatabehandleren. Databehandleren garanterer, at behandlingen af personoplysninger via tjenesterne er lovlig, at vedkommende er bemyndiget hertil på grundlag af en databehandleraftale med den/de relevante dataansvarlige, og at underdatabehandleren må behandle personoplysningerne på grundlag af hovedaftalen og denne underdatabehandleraftale i overensstemmelse med gældende databeskyttelseslovgivning.
2. Databehandleren garanterer, at vedkommende er bemyndiget til at engagere underdatabehandleren, og at de instruktioner, der gives, er lovlige.
3. Underdatabehandleren er ikke ansvarlig for at vurdere, om databehandlerens instruktioner (eller de underliggende instruktioner fra den/de dataansvarlige) er i overensstemmelse med gældende love og regler.
4. Nærmere oplysninger om behandlingen er anført i bilag A (Nærmere oplysninger om databehandlingen).
5. Databehandleren skal underrette underdatabehandleren skriftligt og med rimeligt forudgående varsel, hvis vedkommende agter at foretage ændringer i den ovennævnte behandling, herunder (men ikke begrænset til) ændringer i arten, formålene, kategorierne af personoplysninger eller kategorierne af registrerede. Hvis det er nødvendigt, skal Parterne ændre bilag A tilsvarende.

5. Underdatabehandleraftalens løbetid og ophør

1. Denne underdatabehandleraftale indgås for den periode, der er fastsat i hovedaftalen. Parterne forbliver bundet af forpligtelser efter denne underdatabehandleraftale, som efter deres art fortsat gælder efter ophør.
2. Denne underdatabehandleraftale ophører automatisk, når hovedaftalen ophører.
3. Efter ophør af hovedaftalen sletter underdatabehandleren alle personoplysninger i overensstemmelse med de opbevaringsperioder, der er anført i bilag A, medmindre EU-retten eller en medlemsstats nationale ret kræver opbevaring.
4. Hvis underdatabehandleren af tekniske eller andre årsager ikke er i stand til at slette personoplysninger, skal underdatabehandleren træffe rimelige foranstaltninger for at sikre, at personoplysningerne blokeres for yderligere behandling og, i det omfang det er teknisk muligt, anonymiseres.

6. Under-underdatabehandlere

1. Databehandleren bemyndiger herved underdatabehandleren til at anvende under-underdatabehandlere ved behandlingen af personoplysninger, med forbehold af gældende databeskyttelseslovgivning. En aktuel liste over under-underdatabehandlere er optaget i bilag B.
2. Underdatabehandleren sikrer, at under-underdatabehandlere ved skriftlige aftaler er bundet af databehandlingsforpligtelser, der som minimum giver et tilsvarende beskyttelsesniveau som forpligtelserne efter denne underdatabehandleraftale.
3. Underdatabehandleren sikrer, at hver under-underdatabehandler, der engageres, overholder de forpligtelser, der gælder for underdatabehandleren efter denne underdatabehandleraftale og gældende databeskyttelseslovgivning. Underdatabehandleren forbliver fuldt ansvarlig over for databehandleren for behandling udført af under-underdatabehandlere, som om underdatabehandleren selv udførte behandlingen.

7. Brud på persondatasikkerheden

1. I tilfælde af et brud på persondatasikkerheden skal underdatabehandleren underrette databehandleren uden unødig forsinkelse efter opdagelsen af bruddet. Underretningen skal, i det omfang oplysningerne er tilgængelige, som minimum indeholde:
   • en beskrivelse af bruddets karakter, herunder – hvor det er muligt – hvordan det opstod, og det (formodede) tidspunkt for hændelsen og for opdagelsen;
   • de (kategorier af) personoplysninger, der er berørt af bruddet;
   • de (kategorier af) registrerede og, i det omfang det med rimelighed er muligt, et skøn over antallet af berørte registrerede;
   • de sandsynlige konsekvenser og risici ved bruddet; og
   • de foranstaltninger, underdatabehandleren har truffet eller foreslår at træffe for at håndtere bruddet og begrænse mulige negative konsekvenser.
2. Hvis underdatabehandleren ikke kan give alle oplysninger som nævnt i artikel 7.1 inden for den i den artikel nævnte frist, skal underdatabehandleren inden for den frist give de oplysninger, der på det tidspunkt er tilgængelige, og samtidig angive årsagerne til, at yderligere oplysninger stadig mangler. Underdatabehandleren skal efterfølgende give yderligere oplysninger uden unødig forsinkelse, så snart de bliver tilgængelige.
3. Underdatabehandleren skal yde databehandleren rimelig bistand til at opfylde sine forpligtelser efter GDPR i forbindelse med bruddet (herunder forpligtelserne over for dataansvarlige), herunder – hvor det er relevant – bistand med (i) anmeldelser til den kompetente tilsynsmyndighed(-er) og (ii) kommunikation til registrerede.

8. Sikkerhed og fortrolighed

1. Underdatabehandleren har implementeret passende tekniske og organisatoriske foranstaltninger til sikring af personoplysninger.
2. Disse sikkerhedsforanstaltninger er udformet på et passende sikkerhedsniveau under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger, behandlingens art, omfang, sammenhæng og formål samt den varierende sandsynlighed og alvor af risici for fysiske personers rettigheder og frihedsrettigheder. De (gældende) sikkerhedsforanstaltninger er nærmere beskrevet i bilag C.
3. Underdatabehandleren overvåger overholdelsen af sikkerhedsforanstaltningerne periodisk og er berettiget til at justere sikkerhedsforanstaltningerne, hvis dette med rimelighed er nødvendigt for sikkerheden, kontinuiteten eller den videre udvikling af tjenesterne.
4. Underdatabehandleren begrænser adgangen til personoplysninger til de personer, for hvem adgang er nødvendig for udførelsen af tjenesterne. Underdatabehandleren sikrer, at personer, der behandler personoplysninger under dens instruks, er bundet af en passende fortrolighedsforpligtelse og har modtaget passende instruktioner og uddannelse om databeskyttelse og informationssikkerhed.

9. De registreredes rettigheder

1. Underdatabehandleren skal, i det omfang det med rimelighed er muligt og under hensyntagen til behandlingens art, yde databehandleren bistand til at opfylde sine forpligtelser vedrørende anmodninger fra registrerede om at udøve deres rettigheder efter GDPR.
2. Underdatabehandleren skal omgående videresende anmodninger fra registrerede, der indgives direkte til underdatabehandleren, til databehandleren og må ikke behandle sådanne anmodninger selvstændigt, medmindre databehandleren udtrykkeligt har givet tilladelse hertil.
3. Underdatabehandleren kan opkræve rimelige omkostninger for bistand, der går ud over tjenesternes standardfunktionalitet.

10. Overførsel uden for EU/EØS

1. Underdatabehandleren må behandle eller overføre personoplysninger uden for EU/EØS, forudsat at kravene i kapitel V i GDPR er opfyldt. Underdatabehandleren sikrer, at der gælder en gyldig overførselsmekanisme, såsom en afgørelse om tilstrækkeligt beskyttelsesniveau, standardkontraktbestemmelser (Standard Contractual Clauses, SCC) vedtaget af Europa-Kommissionen, eller et andet instrument anerkendt af GDPR.
2. Hvor standardkontraktbestemmelser (SCC) gælder, anses de for at udgøre en integreret del af denne underdatabehandleraftale.

11. Konsekvensanalyse og forudgående høring

1. Underdatabehandleren skal efter anmodning og i det omfang det med rimelighed er muligt yde databehandleren bistand til at gennemføre en konsekvensanalyse vedrørende databeskyttelse (DPIA) og, hvor det er relevant, til forudgående høring af tilsynsmyndigheden.

12. Revision

1. Underdatabehandleren skal stille alle oplysninger, der med rimelighed er nødvendige for at påvise overholdelse af forpligtelserne efter denne underdatabehandleraftale, til rådighed for databehandleren og skal muliggøre revisioner – herunder inspektioner – af eller på vegne af databehandleren, med forbehold af bestemmelserne i denne artikel.
2. Revisioner udføres for databehandlerens regning, med rimeligt forudgående skriftligt varsel (mindst 30 dage), og begrænses til det, der er nødvendigt og proportionalt for at verificere overholdelsen af denne underdatabehandleraftale.
3. Databehandleren sikrer, at revisionen gennemføres professionelt, ikke uforholdsmæssigt forstyrrer underdatabehandlerens drift og ikke bringer fortroligheden og sikkerheden af underdatabehandlerens data og dataene hos dens øvrige kunder i fare.
4. Underdatabehandleren er berettiget til at stille rimelige betingelser for revisionen, herunder (men ikke begrænset til) forudgående aftale om omfang og planlægning, fortrolighedsforpligtelser for revisorer og begrænsning af adgang til andre kunders data.
5. Hvis underdatabehandleren har et gældende certifikat, en rapport eller en erklæring fra en uafhængig revisor (for eksempel SOC 2 Type II, ISO 27001), udgør dette tilstrækkeligt bevis for overholdelse af de relevante sikkerhedsforpligtelser efter denne underdatabehandleraftale, medmindre databehandleren på en begrundet og skriftlig måde godtgør, at yderligere undersøgelse er nødvendig.

13. Ansvar

1. Underdatabehandlerens ansvar efter eller i forbindelse med denne underdatabehandleraftale er underlagt ansvarsbestemmelserne og -begrænsningerne som fastsat i hovedaftalen og de gældende almindelige betingelser, i det omfang det er tilladt efter ufravigelig ret.

14. Øvrige bestemmelser

1. I tilfælde af konflikt mellem bestemmelserne i denne underdatabehandleraftale og hovedaftalen har denne underdatabehandleraftale forrang, i det omfang det vedrører behandlingen af personoplysninger.
2. Denne underdatabehandleraftale er underlagt nederlandsk ret. Tvister, der opstår af eller i forbindelse med denne underdatabehandleraftale, skal indbringes for den kompetente ret i Amsterdam, medmindre andet er foreskrevet af ufravigelig ret.
3. Hvis en bestemmelse i denne underdatabehandleraftale er ugyldig, tilsidesættes eller på anden vis er uigennemførlig, eller hvis denne underdatabehandleraftale indeholder en lakune, forbliver de øvrige bestemmelser i fuld kraft. I så fald skal Parterne drøfte at aftale en erstatnings- eller supplerende bestemmelse, der er retligt gyldig, og som ligger så tæt som muligt op ad hensigten med den oprindelige bestemmelse, under hensyntagen til kravene i artikel 28 GDPR.

Bilag A: Nærmere oplysninger om databehandlingen

Bilag B: Under-underdatabehandlere

En aktuel oversigt over alle under-underdatabehandlere, som underdatabehandleren engagerer, findes under fanen Underdatabehandlere.

Bilag C: Sikkerhedsforanstaltninger

Underdatabehandleren implementerer og opretholder passende tekniske og organisatoriske sikkerhedsforanstaltninger til beskyttelse af personoplysninger.

Organisatoriske foranstaltninger

• Periodisk overvågning, evaluering og vurdering af effektiviteten af organisatoriske og tekniske foranstaltninger.
• Procedure for overholdelse af opbevaringsperioder og sletning i overensstemmelse med aftaler/instruktioner.
• Fortrolighedsforpligtelser for medarbejdere (kontraktligt og/eller via intern politik).
• Bevidstgørelse og uddannelse af medarbejdere inden for informationssikkerhed og privatliv.

Tekniske foranstaltninger

• Fysisk sikkerhed og netværkssikkerhed: sikrede serverrum, netværkssegmentering, firewalls, hardening.
• Kryptering og sikker overførsel: TLS/STARTTLS (hvor det er relevant), kryptering »in transit«.
• E-mailsikkerhed: anti-spam/anti-virus, rate limiting, DMARC/DKIM/SPF (hvor det er relevant).
• DNS-sikkerhed: DNSSEC (hvor det er muligt).
• Logging og overvågning: adgangslogning, overvågning/alerting, SIEM/IDS (hvor det er passende), tidssynkronisering.
• Adgangssikkerhed: MFA, least-privilege (hvor det er muligt), jump host/bastion.
• Backup/kontinuitet: adskilt lagring, integritetskontroller.
• Malware/misbrug: endpoint-/malwarescans, karantæner, kontrolleret adgang til samples/logging.