Databehandleraftale

Skabelon · version 1 · september 2026 Bygger på Datatilsynets Standardkontrakt for databehandleraftaler og på den aftale, Web House ApS har udarbejdet til FysioDanmark Aalborg (WH-2026-FDA-003). Felter i [kantede parenteser] udfyldes pr. kunde.

Mellem

Den Dataansvarlige [Kundens navn] · CVR [nummer] · [adresse]

og

Databehandleren Web House ApS · CVR 21221198 · Riberhusvej 9, 9492 Blokhus

(herefter "Parterne")

§ 1 Baggrund og formål

Ved den Dataansvarliges brug af [produkt(er), fx webhouse.app, Broberg ID, HelpDesk] (herefter Tjenesten) behandler Databehandleren personoplysninger på vegne af den Dataansvarlige.

Aftalen sikrer, at Parterne overholder databeskyttelsesforordningen (Forordning (EU) 2016/679, herefter GDPR), databeskyttelsesloven og øvrig gældende databeskyttelseslovgivning. Aftalen udgør den Dataansvarliges dokumenterede instruks til Databehandleren, jf. GDPR artikel 28, stk. 3.

Aftalen har forrang for modstridende bestemmelser om behandling af personoplysninger i Parternes øvrige aftaler, herunder [hovedaftalens nummer].

§ 2 Definitioner

Begreberne personoplysninger, særlige kategorier af personoplysninger, behandling, den registrerede, den dataansvarlige og databehandleren har samme betydning som i GDPR.

§ 3 Den Dataansvarliges forpligtelser

Den Dataansvarlige har over for omverdenen, herunder de registrerede, ansvaret for, at behandlingen sker inden for rammerne af gældende databeskyttelseslovgivning. Den Dataansvarlige bekræfter, at:

3.1 den Dataansvarlige har et lovligt grundlag for at behandle personoplysningerne og overlade dem til Databehandleren og dennes underdatabehandlere, jf. GDPR artikel 6 og, for særlige kategorier, artikel 9.

3.2 den Dataansvarlige har ansvaret for rigtigheden, integriteten, indholdet og lovligheden af de personoplysninger, Databehandleren behandler.

3.3 den Dataansvarlige har opfyldt sin oplysningspligt over for de registrerede (GDPR artikel 13 og 14), herunder om brug af kunstig intelligens, hvor Tjenesten anvender det.

3.4 den Dataansvarlige ikke lader Databehandleren behandle særlige kategorier af personoplysninger ud over dem, der er anført i Bilag A.

§ 4 Databehandleren handler efter instruks

Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den Dataansvarlige, medmindre det kræves efter EU-retten eller dansk ret. Aftalen med Bilag A og C udgør instruksen.

Databehandleren underretter straks den Dataansvarlige, hvis en instruks efter Databehandlerens opfattelse strider mod databeskyttelseslovgivningen.

§ 5 Fortrolighed

Databehandleren sikrer, at de personer, der har adgang til personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt. Adgangen begrænses til de personer, der har behov for den.

Er den Dataansvarlige underlagt en strengere tavshedspligt, fx som autoriseret sundhedsperson efter sundhedslovens § 40, anerkender Databehandleren, at denne standard gælder for de personoplysninger, der behandles i Tjenesten.

Fortrolighedspligten gælder også efter Aftalens ophør.

§ 6 Behandlingssikkerhed

Databehandleren gennemfører de foranstaltninger, der kræves efter GDPR artikel 32, under hensyn til risikoen for de registrerede. Behandles særlige kategorier af personoplysninger, gælder et højt sikkerhedsniveau. Foranstaltningerne er beskrevet i Bilag C.

§ 7 Underdatabehandlere

Den Dataansvarlige giver Databehandleren generel godkendelse til at anvende de underdatabehandlere, der er anført i Bilag B.

Databehandleren varsler den Dataansvarlige om enhver påtænkt tilføjelse eller udskiftning af underdatabehandlere med mindst 30 dages varsel, så den Dataansvarlige kan gøre indsigelse. Den aktuelle liste offentliggøres på broberg.ai/trust.

Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne Aftale gennem en skriftlig aftale og hæfter over for den Dataansvarlige for underdatabehandlernes overholdelse.

§ 8 Overførsel til tredjelande

Databehandleren tilstræber, at behandlingen sker inden for EU/EØS. Overførsel til et land uden for EU/EØS sker kun på et gyldigt grundlag efter GDPR kapitel V, typisk EU-US Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser. Grundlaget for hver underdatabehandler fremgår af Bilag B.

Særlige kategorier af personoplysninger, herunder helbredsoplysninger, behandles ikke af underdatabehandlere uden for EU/EØS.

§ 9 Bistand til den Dataansvarlige

Databehandleren bistår den Dataansvarlige, i det omfang det er muligt, med at:

• besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning og dataportabilitet (GDPR artikel 15–20),
• anmelde brud til Datatilsynet og underrette de registrerede (artikel 33–34),
• gennemføre konsekvensanalyser og forudgående høring (artikel 35–36).

Bistand, der væsentligt overstiger, hvad GDPR kræver, kan faktureres efter gældende timepris.

§ 10 Brud på persondatasikkerheden

Databehandleren underretter den Dataansvarlige uden unødig forsinkelse og senest 24 timer efter at være blevet bekendt med et brud på persondatasikkerheden.

Underretningen indeholder så vidt muligt bruddets karakter, kategorier og omtrentligt antal berørte registrerede, de sandsynlige konsekvenser, de foranstaltninger, der er truffet, samt en kontaktperson.

Den Dataansvarlige anmelder bruddet til Datatilsynet, jf. GDPR artikel 33. Databehandleren bistår med de nødvendige oplysninger.

§ 11 Sletning og tilbagelevering

Ved Aftalens ophør sletter eller tilbageleverer Databehandleren efter den Dataansvarliges valg alle personoplysninger, medmindre EU-retten eller dansk ret kræver opbevaring.

Sletning omfatter produktionssystemer og sikkerhedskopier og er gennemført senest 30 dage efter ophør. Databehandleren bekræfter sletningen skriftligt.

§ 12 Revision og tilsyn

Den Dataansvarlige kan én gang årligt, med mindst fire ugers skriftligt varsel, føre tilsyn med Databehandlerens overholdelse af Aftalen. Databehandleren stiller de nødvendige oplysninger til rådighed. Tilsyn sker i normal arbejdstid, og hver Part bærer egne omkostninger.

§ 13 Ikrafttræden og ophør

Aftalen træder i kraft ved begge Parters underskrift og gælder, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige. Aftalen følger [hovedaftalen] og ophører samtidig med den.

§ 5 (fortrolighed), § 11 (sletning) og § 12 (tilsyn) gælder også efter ophør.

§ 14 Ændringer

Ændringer aftales skriftligt som tillæg til Aftalen.

§ 15 Ansvar

Ansvar for overtrædelse af Aftalen følger ansvarsbestemmelserne i [hovedaftalen]. Det gælder også overtrædelser begået af Databehandlerens underdatabehandlere.

§ 16 Lovvalg og værneting

Aftalen er underlagt dansk ret. Tvister søges løst ved forhandling og afgøres ellers ved Retten i Aalborg som første instans.

§ 17 Kontaktpersoner

Den Dataansvarlige: [navn · e-mail · telefon] Databehandleren: Christian Broberg · cb@webhouse.dk Sikkerhedshenvendelser: security@broberg.ai

Bilag A · Oplysninger om behandlingen

A.1 Formål: Levering, drift, support og vedligeholdelse af [Tjenesten] til den Dataansvarlige.

A.2 Behandlingens karakter: Opbevaring og hosting · behandling i forbindelse med normal brug af Tjenesten · sikkerhedskopiering · support · [AI-behandling, hvis Tjenesten anvender det, jf. Bilag C.3].

A.3 Typer af personoplysninger:

• Almindelige: [fx navn, e-mail, telefonnummer, adresse, brugernavn, login-historik, IP-adresse]
• Fortrolige: [fx CPR-nummer — eller "behandles ikke"]
• Særlige kategorier (GDPR artikel 9): [fx helbredsoplysninger — eller "behandles ikke"]
• Strafbare forhold: behandles ikke.

A.4 Kategorier af registrerede: [fx den Dataansvarliges kunder, medarbejdere, kontaktpersoner].

A.5 Varighed: Så længe Aftalen er i kraft, jf. § 13.

Bilag B · Underdatabehandlere

Den Dataansvarlige godkender ved underskrift de underdatabehandlere, der er relevante for [Tjenesten]:

Ændringer varsles efter § 7. Den til enhver tid gældende liste for alle produkter findes på broberg.ai/trust.

Bilag C · Sikkerhedsforanstaltninger

C.1 Tekniske foranstaltninger

• Hosting i EU: Tjenesterne kører på servere i Stockholm (Fly.io, region arn).
• Kryptering under transport: Al trafik er krypteret med TLS.
• Kryptering ved opbevaring: Datadiske og databaser er krypteret hos hostingleverandøren.
• Adgangsstyring: Rollebaseret adgang efter behov. Login med passkeys og to-faktor-godkendelse gennem Broberg ID.
• Adskillelse af kunder: Hver kundes data holdes adskilt fra andre kunders.
• Hemmeligheder: Nøgler og adgangskoder opbevares krypteret og aldrig i kildekoden. Hver kodeændring scannes automatisk for lækkede nøgler.
• Sikkerhedskopiering: Daglige sikkerhedskopier med 30 dages opbevaring.
• Overvågning: Fejl og nedbrud i alle produktionssystemer registreres og overvåges løbende.

C.2 Organisatoriske foranstaltninger

• Fortrolighedspligt for alle med adgang til personoplysninger.
• Skriftlig plan for håndtering af sikkerhedshændelser med 24 timers underretningsfrist til den Dataansvarlige.
• Hver kodeændring er knyttet til en registreret opgave og gennemgår automatisk kontrol før udrulning.
• Årlig gennemgang af foranstaltningerne.

C.3 Kunstig intelligens (kun hvis Tjenesten anvender AI)

• Standardmodellen er Mistral AI, der behandler data i EU.
• Særlige kategorier af personoplysninger sendes kun til AI-tjenester, der behandler data i EU.
• Den Dataansvarliges data anvendes ikke til træning af AI-modeller.
• AI-output er beslutningsstøtte og aldrig automatiske afgørelser med retsvirkning, jf. GDPR artikel 22.

C.4 Lokalitet: Web House ApS, Riberhusvej 9, 9492 Blokhus, samt underdatabehandlernes faciliteter efter Bilag B.

Underskrifter

For den Dataansvarlige: ______________________ Dato: ________ [Navn, titel]

For Databehandleren: ______________________ Dato: ________ Christian Broberg, Web House ApS