Tillid

Databehandleraftale

Version: april 2026

Denne databehandleraftale, herunder dens bilag, indgås mellem my.host (herefter: »databehandleren«) og Kunden (herefter: »den dataansvarlige«) og fastlægger aftalerne mellem Parterne om den behandling af personoplysninger, som databehandleren udfører på vegne af den dataansvarlige i forbindelse med de tjenester, som my.host leverer til Kunden i henhold til hovedaftalen. Denne databehandleraftale gælder udelukkende for databehandlerens behandling af personoplysninger på vegne af den dataansvarlige og omfatter ikke aktiviteter, der ikke indebærer behandling af personoplysninger. I det omfang my.host behandler personoplysninger som selvstændig dataansvarlig, falder den behandling uden for denne databehandleraftales anvendelsesområde.

Parter

Denne databehandleraftale gælder mellem my.host (Pietersbergweg 291, 1105 BM Amsterdam, erhvervsregisteret (KvK): 89592514), herefter »databehandleren«, og kunden, der køber tjenester hos my.host, herefter »den dataansvarlige«. Under ét benævnt »Parterne« og enkeltvis en »Part«.

1. Generelt

1. Parterne er enige om, at denne databehandleraftale erstatter alle tidligere aftalte databehandleraftaler og/eller privatlivs- eller databeskyttelsesbestemmelser mellem Parterne vedrørende de samme tjenester og det samme behandlingsforhold (nemlig: Kunden som dataansvarlig og my.host som databehandler), medmindre Parterne udtrykkeligt skriftligt har aftalt andet. Denne databehandleraftale berører ikke en eventuel underdatabehandleraftale indgået mellem Parterne; begge aftaler består side om side og vedrører hver sit behandlingsforhold.
2. Denne databehandleraftale gælder kun, hvis og i det omfang behandlingen af personoplysninger er underlagt GDPR. Begreber fra GDPR, der anvendes i denne databehandleraftale, herunder »personoplysninger«, »behandling«, »dataansvarlig« og »databehandler«, har den betydning, der er tillagt dem i GDPR.
3. Denne databehandleraftale anses for at udgøre en integreret del af hovedaftalen mellem Parterne.

2. Bilag

Følgende bilag udgør en integreret del af denne databehandleraftale:

• Bilag A: Nærmere oplysninger om databehandlingen
• Bilag B: Underdatabehandlere
• Bilag C: Sikkerhedsforanstaltninger (tekniske og organisatoriske foranstaltninger)

3. Formålet med behandlingen

1. Databehandleren forpligter sig til i overensstemmelse med vilkårene i denne databehandleraftale at udføre behandlingen af personoplysninger på vegne af den dataansvarlige.
2. Databehandleren behandler personoplysninger udelukkende i forbindelse med opfyldelsen af hovedaftalen, strengt i overensstemmelse med den dataansvarliges dokumenterede instruktioner, og vedrører en eller flere af de tjenester, der er nærmere beskrevet i bilag A. Databehandleren må ikke anvende personoplysningerne til noget andet formål eller på nogen anden måde end til det formål, den dataansvarlige har fastsat.
3. Den dataansvarlige er enig i, at denne databehandleraftale, hovedaftalen og eventuelle yderligere (skriftligt aftalte) arbejdsordninger samt de konfigurationer og indstillinger, som den dataansvarlige eller dennes autoriserede brugere vælger for tjenesterne (i overensstemmelse med dokumentationen), tilsammen udgør den dataansvarliges fulde instruktioner til databehandleren om behandlingen af personoplysninger.
4. Yderligere eller afvigende instruktioner gælder kun, hvis Parterne har aftalt dem skriftligt, hvorved databehandleren er berettiget til at opkræve eventuelle (rimelige) omkostninger forbundet med udførelsen af sådanne instruktioner.

4. Forpligtelser

1. Den dataansvarlige erklærer og garanterer, at vedkommende til enhver tid vil overholde gældende databeskyttelseslovgivning (herunder GDPR) med hensyn til (i) de personoplysninger, der stilles til rådighed for databehandleren eller behandles via tjenesterne, og (ii) de (behandlings)instruktioner, der gives til databehandleren. Den dataansvarlige garanterer, at behandlingen af personoplysninger via tjenesterne er lovlig, så databehandleren må behandle personoplysningerne på grundlag af hovedaftalen og denne databehandleraftale og i overensstemmelse med gældende databeskyttelseslovgivning.
2. Den dataansvarlige garanterer, at vedkommende har alle nødvendige rettigheder, samtykker, behandlingsgrundlag og bemyndigelser til at (a) stille personoplysninger til rådighed for databehandleren og (b) bemyndige databehandleren til at behandle personoplysningerne som fastsat i hovedaftalen, denne databehandleraftale og den dataansvarliges dokumenterede instruktioner. Den dataansvarlige er ansvarlig for personoplysningernes oprindelse, nøjagtighed, kvalitet og lovlighed samt for den måde, de er indhentet på.
3. I det omfang tredjeparter retter krav mod databehandleren vedrørende personoplysninger eller behandling, som den dataansvarlige er ansvarlig for, skal den dataansvarlige på første anmodning holde databehandleren skadesløs for sådanne krav, skader, bøder og omkostninger, i det omfang det er tilladt efter ufravigelig ret, og i det omfang det ikke er forårsaget af forsæt eller grov uagtsomhed fra databehandlerens side.
4. Databehandleren er ikke ansvarlig for at vurdere, om den dataansvarliges instruktioner er i overensstemmelse med gældende love og regler. Hvis databehandleren anser, at en instruktion fra den dataansvarlige krænker gældende databeskyttelseslovgivning, skal databehandleren omgående underrette den dataansvarlige herom og er ikke forpligtet til at efterkomme en sådan ulovlig instruktion. Databehandleren skal suspendere udførelsen af den pågældende instruktion, indtil den dataansvarlige har trukket instruktionen tilbage eller ændret den, eller skriftligt har bekræftet, at instruktionen er lovlig, alt sammen i det omfang det med rimelighed er muligt uden uforholdsmæssig forstyrrelse af tjenestekontinuiteten.
5. Nærmere oplysninger om behandlingen, herunder de kategorier af personoplysninger, som den dataansvarlige uploader eller på anden vis stiller til rådighed i tjenesterne, og som databehandleren behandler på vegne af den dataansvarlige, er anført i bilag A (Nærmere oplysninger om databehandlingen).
6. Den dataansvarlige skal underrette databehandleren skriftligt og med rimeligt forudgående varsel, hvis vedkommende agter at foretage ændringer i den ovennævnte behandling, herunder (men ikke begrænset til) ændringer i arten, formålene, kategorierne af personoplysninger eller kategorierne af registrerede. Hvis det er nødvendigt, skal Parterne ændre bilag A tilsvarende.
7. Den dataansvarlige garanterer, at vedkommende fører en fuldstændig og ajourført fortegnelse over behandlingsaktiviteter i overensstemmelse med artikel 30 i GDPR.
8. Den dataansvarlige er forpligtet til omgående skriftligt at underrette databehandleren, hvis vedkommende (agter at) anvende tjenesterne til at behandle personoplysninger (også) på vegne af en eller flere egne dataansvarlige, eller hvis en sådan behandling ophører. Den dataansvarlige er selv ansvarlig for den korrekte kvalificering af sin rolle efter GDPR og for rettidigt at underrette databehandleren om ændringer heri. I en sådan situation gælder tillige underdatabehandleraftalen mellem Parterne, i det omfang den faktiske behandling giver anledning hertil.

5. Databehandleraftalens løbetid og ophør

1. Denne databehandleraftale indgås for den periode, der er fastsat i hovedaftalen. Parterne forbliver bundet af forpligtelser efter denne databehandleraftale, som efter deres art fortsat gælder efter ophør.
2. Denne databehandleraftale ophører automatisk, når hovedaftalen ophører.
3. Efter ophør af hovedaftalen sletter databehandleren alle personoplysninger i overensstemmelse med de opbevaringsperioder, der er anført i bilag A, medmindre EU-retten eller en medlemsstats nationale ret kræver opbevaring.
4. Hvis databehandleren af tekniske eller andre årsager ikke er i stand til at slette personoplysninger, skal databehandleren træffe rimelige foranstaltninger for at sikre, at personoplysningerne blokeres for yderligere behandling og, i det omfang det er teknisk muligt, anonymiseres.

6. Underdatabehandlere

1. Den dataansvarlige er enig i, at databehandleren må engagere underdatabehandlere til at behandle den dataansvarliges personoplysninger med henblik på at levere tjenesterne. Databehandleren fører en liste over sine autoriserede underdatabehandlere på sit websted, og den dataansvarlige bemyndiger databehandleren til at anvende disse underdatabehandlere. Listen over underdatabehandlere, der gælder på hovedaftalens ikrafttrædelsesdato, er vedlagt denne databehandleraftale som bilag B.
2. Databehandleren må engagere underdatabehandlere inden for og uden for EU/EØS og må overføre personoplysninger uden for EU/EØS eller på anden vis behandle dem dér. Databehandleren sikrer, at underdatabehandlere ved skriftlige aftaler er bundet af databehandlingsforpligtelser, som, i det omfang det er passende i forhold til arten af de tjenester, underdatabehandleren leverer, som minimum giver et tilsvarende beskyttelsesniveau som forpligtelserne efter denne databehandleraftale med hensyn til databeskyttelse.
3. Databehandleren sikrer, at hver underdatabehandler, der engageres, overholder de forpligtelser, der gælder for databehandleren efter denne databehandleraftale og gældende databeskyttelseslovgivning. Databehandleren forbliver fuldt ansvarlig over for den dataansvarlige for behandling udført af underdatabehandlere, som om databehandleren selv udførte behandlingen.
4. Databehandleren skal underrette den dataansvarlige skriftligt mindst fjorten (14) dage i forvejen, hvis der er planer om at foretage ændringer i listen over underdatabehandlere. Den dataansvarlige kan inden for denne frist skriftligt gøre indsigelse mod engagement af en ny underdatabehandler (eller en væsentlig ændring vedrørende en eksisterende underdatabehandler), forudsat at indsigelsen er baseret på rimelige grunde vedrørende databeskyttelse.

7. Brud på persondatasikkerheden

1. I tilfælde af et brud på persondatasikkerheden skal databehandleren underrette den dataansvarlige uden unødig forsinkelse og senest 48 timer efter opdagelsen af bruddet. Underretningen skal, i det omfang oplysningerne er tilgængelige, som minimum indeholde:
   • en beskrivelse af bruddets karakter, herunder – hvor det er muligt – hvordan det opstod, og det (formodede) tidspunkt for hændelsen og for opdagelsen;
   • de (kategorier af) personoplysninger, der er berørt af bruddet;
   • de (kategorier af) registrerede og, i det omfang det med rimelighed er muligt, et skøn over antallet af berørte registrerede;
   • de sandsynlige konsekvenser og risici ved bruddet; og
   • de foranstaltninger, databehandleren har truffet eller foreslår at træffe for at håndtere bruddet og begrænse mulige negative konsekvenser.
2. Hvis databehandleren ikke kan give alle oplysninger som nævnt i artikel 7.1 inden for den i den artikel nævnte frist, skal databehandleren inden for den frist give de oplysninger, der på det tidspunkt er tilgængelige, og samtidig angive årsagerne til, at yderligere oplysninger stadig mangler. Databehandleren skal efterfølgende give yderligere oplysninger uden unødig forsinkelse, så snart de bliver tilgængelige.
3. Databehandleren skal yde den dataansvarlige rimelig bistand til at opfylde sine forpligtelser efter GDPR i forbindelse med bruddet, herunder – hvor det er relevant – bistand med (i) anmeldelser til den kompetente tilsynsmyndighed(-er) og (ii) kommunikation til registrerede.

8. Sikkerhed og fortrolighed

1. Databehandleren har implementeret passende tekniske og organisatoriske foranstaltninger til sikring af personoplysninger.
2. Disse sikkerhedsforanstaltninger er udformet på et passende sikkerhedsniveau under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger, behandlingens art, omfang, sammenhæng og formål samt den varierende sandsynlighed og alvor af risici for fysiske personers rettigheder og frihedsrettigheder. De (gældende) sikkerhedsforanstaltninger er nærmere beskrevet i bilag C.
3. Databehandleren overvåger overholdelsen af sikkerhedsforanstaltningerne periodisk og er berettiget til at justere sikkerhedsforanstaltningerne, hvis dette med rimelighed er nødvendigt for sikkerheden, kontinuiteten eller den videre udvikling af tjenesterne.
4. Databehandleren begrænser adgangen til personoplysninger til de personer, for hvem adgang er nødvendig for udførelsen af tjenesterne. Databehandleren sikrer, at personer, der behandler personoplysninger under dens instruks, er bundet af en passende fortrolighedsforpligtelse og har modtaget passende instruktioner og uddannelse om databeskyttelse og informationssikkerhed.

9. De registreredes rettigheder

1. Databehandleren skal, i det omfang det med rimelighed er muligt og under hensyntagen til behandlingens art, yde den dataansvarlige bistand til at opfylde sine forpligtelser vedrørende anmodninger fra registrerede om at udøve deres rettigheder efter GDPR (såsom retten til indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse).
2. Databehandleren skal omgående videresende anmodninger fra registrerede, der indgives direkte til databehandleren, til den dataansvarlige og må ikke behandle sådanne anmodninger selvstændigt, medmindre den dataansvarlige udtrykkeligt har givet tilladelse hertil.
3. Databehandleren kan opkræve rimelige omkostninger for bistand, der går ud over tjenesternes standardfunktionalitet.

10. Overførsel uden for EU/EØS

1. Databehandleren må behandle eller overføre personoplysninger uden for EU/EØS, forudsat at kravene i kapitel V i GDPR er opfyldt. Databehandleren sikrer, at der gælder en gyldig overførselsmekanisme, såsom en afgørelse om tilstrækkeligt beskyttelsesniveau, standardkontraktbestemmelser (Standard Contractual Clauses, SCC) vedtaget af Europa-Kommissionen, eller et andet instrument anerkendt af GDPR.
2. Hvor standardkontraktbestemmelser (SCC) gælder, anses de for at udgøre en integreret del af denne databehandleraftale.

11. Konsekvensanalyse og forudgående høring

1. Databehandleren skal efter anmodning og i det omfang det med rimelighed er muligt yde den dataansvarlige bistand til at gennemføre en konsekvensanalyse vedrørende databeskyttelse (DPIA) og, hvor det er relevant, til forudgående høring af tilsynsmyndigheden.

12. Revision

1. Databehandleren skal stille alle oplysninger, der med rimelighed er nødvendige for at påvise overholdelse af forpligtelserne efter denne databehandleraftale, til rådighed for den dataansvarlige og skal muliggøre revisioner – herunder inspektioner – af eller på vegne af den dataansvarlige, med forbehold af bestemmelserne i denne artikel.
2. Revisioner udføres for den dataansvarliges regning, med rimeligt forudgående skriftligt varsel (mindst 30 dage), og begrænses til det, der er nødvendigt og proportionalt for at verificere overholdelsen af denne databehandleraftale.
3. Den dataansvarlige sikrer, at revisionen gennemføres professionelt, ikke uforholdsmæssigt forstyrrer databehandlerens drift og ikke bringer fortroligheden og sikkerheden af databehandlerens data og dataene hos dens øvrige kunder i fare.
4. Databehandleren er berettiget til at stille rimelige betingelser for revisionen, herunder (men ikke begrænset til) forudgående aftale om omfang og planlægning, fortrolighedsforpligtelser for revisorer og begrænsning af adgang til andre kunders data.
5. Hvis databehandleren har et gældende certifikat, en rapport eller en erklæring fra en uafhængig revisor (for eksempel SOC 2 Type II, ISO 27001), udgør dette tilstrækkeligt bevis for overholdelse af de relevante sikkerhedsforpligtelser efter denne databehandleraftale, medmindre den dataansvarlige på en begrundet og skriftlig måde godtgør, at yderligere undersøgelse er nødvendig.

13. Ansvar

1. Databehandlerens ansvar efter eller i forbindelse med denne databehandleraftale er underlagt ansvarsbestemmelserne og -begrænsningerne som fastsat i hovedaftalen og de gældende almindelige betingelser, i det omfang det er tilladt efter ufravigelig ret.

14. Øvrige bestemmelser

1. I tilfælde af konflikt mellem bestemmelserne i denne databehandleraftale og hovedaftalen har denne databehandleraftale forrang, i det omfang det vedrører behandlingen af personoplysninger.
2. Denne databehandleraftale er underlagt nederlandsk ret. Tvister, der opstår af eller i forbindelse med denne databehandleraftale, skal indbringes for den kompetente ret i Amsterdam, medmindre andet er foreskrevet af ufravigelig ret.
3. Hvis en bestemmelse i denne databehandleraftale er ugyldig, tilsidesættes eller på anden vis er uigennemførlig, eller hvis denne databehandleraftale indeholder en lakune, forbliver de øvrige bestemmelser i fuld kraft. I så fald skal Parterne drøfte at aftale en erstatnings- eller supplerende bestemmelse, der er retligt gyldig, og som ligger så tæt som muligt op ad hensigten med den oprindelige bestemmelse, under hensyntagen til kravene i artikel 28 GDPR.

Bilag A: Nærmere oplysninger om databehandlingen

Bilag B: Underdatabehandlere

En aktuel oversigt over alle underdatabehandlere, som databehandleren engagerer, er tilgængelig på https://my.host/dk/trust/underdatabehandlere.

Bilag C: Sikkerhedsforanstaltninger

Databehandleren implementerer og opretholder passende tekniske og organisatoriske sikkerhedsforanstaltninger til beskyttelse af personoplysninger.

Organisatoriske foranstaltninger

• Periodisk overvågning, evaluering og vurdering af effektiviteten af organisatoriske og tekniske foranstaltninger.
• Procedure for overholdelse af opbevaringsperioder og sletning i overensstemmelse med aftaler/instruktioner.
• Fortrolighedsforpligtelser for medarbejdere (kontraktligt og/eller via intern politik).
• Bevidstgørelse og uddannelse af medarbejdere inden for informationssikkerhed og privatliv.

Tekniske foranstaltninger

• Fysisk sikkerhed og netværkssikkerhed: sikrede serverrum, netværkssegmentering, firewalls, hardening.
• Kryptering og sikker overførsel: TLS/STARTTLS (hvor det er relevant), kryptering »in transit«.
• E-mailsikkerhed: anti-spam/anti-virus, rate limiting, DMARC/DKIM/SPF (hvor det er relevant).
• DNS-sikkerhed: DNSSEC (hvor det er muligt).
• Logging og overvågning: adgangslogning, overvågning/alerting, SIEM/IDS (hvor det er passende), tidssynkronisering.
• Adgangssikkerhed: MFA, least-privilege (hvor det er muligt), jump host/bastion.
• Backup/kontinuitet: adskilt lagring, integritetskontroller.
• Malware/misbrug: endpoint-/malwarescans, karantæner, kontrolleret adgang til samples/logging.