1. Om Databehandleraftalen
   1. Denne databehandleraftale (Databehandleraftalen) indgås i tilknytning til den imellem parterne indgåede kontrakt vedrørende Aftalevilkår (Kontrakten). Databehandleraftalen fastsætter de rettigheder og forpligtelser, som finder anvendelse, når databehandleren foretager behandling af personoplysninger på vegne af den dataansvarlige.
   2. Kunden er dataansvarlig og Leverandøren er databehandler i forbindelse med de i Databehandleraftalen angivne behandlinger af personoplysninger.
   3. Leverandørens behandling af personoplysninger i medfør af Databehandleraftalen skal overholde reglerne i den til enhver tid gældende danske og europæiske databeskyttelsesret, samt vilkårene i Databehandleraftalen.
   4. Behandlingen er omfattet af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (Databeskyttelsesforordningen) samt øvrig national lovgivning, som supplerer databeskyttelsesforordningen.
2. Behandling af personoplysninger
   1. Leverandøren må alene foretage behandling af personoplysninger i henhold til Databehandleraftalen efter dokumenteret instruks fra Kunden, jf. Bilag 1, samt vilkårene i Databehandleraftalen.
   2. Leverandøren behandler de typer af personoplysninger og til de(t) formål, som fremgår af Bilag 1. Personoplysningerne angår de i Bilag 1 oplistede kategorier af registrerede personer.
   3. Leverandøren må ikke behandle de i Bilag 1 nævnte personoplysninger til andre formål end angivet i Databehandleraftalen, medmindre Leverandøren er forpligtet hertil efter EU-retten eller lovgivningen i den medlemsstat, som Leverandøren er underlagt. I givet fald skal Leverandøren skriftligt underrette Kunden om denne juridiske forpligtelse, forinden behandlingen påbegyndes, medmindre pågældende lovgivning på baggrund af vigtige samfundsinteresser forbyder en sådan underretning.
   4. Leverandøren skal omgående underrette Kunden, hvis Kundens instruks efter Leverandørens mening er i strid med gældende databeskyttelsesret.
   5. Leverandøren skal dokumentere, at denne overholder Kundens instruks, jf. bestemmelserne i afsnit 4.
   6. Leverandøren er ikke berettiget til at opbevare personoplysninger i længere tid, end hvad der er nødvendigt i forhold til opfyldelse af de(t) formål, hvortil personoplysningerne behandles, jf. Bilag 1. Leverandøren skal således slette oplysningerne i overensstemmelse med, hvad der er anført i Bilag 1.
   7. Leverandøren skal sikre, at enhver fysisk person, der udfører arbejde for Leverandøren eller Leverandørens eventuelle underleverandører, og som får adgang til personoplysninger omfattet af Databehandleraftalen, kun behandler disse personoplysninger i henhold til Kundens instruks, medmindre anden behandling kræves i henhold til EU-retten eller national ret.
   8. Parternes kontaktpersoner i henhold til Databehandleraftalen fremgår af Bilag 3.
3. Krav til Leverandøren
   1. Leverandøren skal levere tilstrækkelig ekspertise, pålidelighed og ressourcer til at kunne implementere de passende tekniske og organisatoriske foranstaltninger med henblik på at opfylde kravene til behandling af personoplysninger i gældende databeskyttelsesret.
   2. Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne, samt behandlingens karakter, omfang, sammenhæng og formål, samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, gennemfører Leverandøren passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici. Ved vurderingen af, hvilket sikkerhedsniveau der er passende, tages der navnlig hensyn til de risici, som behandlingen udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til de personoplysninger, som Leverandøren behandler i medfør af Databehandleraftalen.
   3. Ovenstående forpligtelse indebærer, at Leverandøren skal foretage en risikovurdering, og herefter gennemføre foranstaltninger for at imødegå identificerede risici. Der kan herunder bl.a., alt efter hvad der er relevant, og hvad der er aftalt med Kunden, være tale om følgende foranstaltninger: Pseudonymisering og kryptering af personoplysninger Evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester Evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske sikkerhedsforanstaltninger til sikring af behandlingssikkerhed. Ved vurderingen af, hvilket sikkerhedsniveau der er passende, tages der navnlig hensyn til de risici, som behandlingen udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.
   4. Leverandøren skal endvidere i alle tilfælde overholde og implementere de af Kunden eventuelt yderligere fastsatte krav til sikkerhedsforanstaltninger, jf. Bilag 1.
   5. Leverandøren skal uden unødig forsinkelse, efter at være blevet opmærksom herpå, skriftligt underrette Kunden om enhver anmodning rettet til Leverandøren eller dennes underleverandører fra en registreret om udøvelse af dennes rettigheder. Leverandøren er ikke berettiget til at besvare anmodninger fra en registreret omkring udøvelse af dennes rettigheder i henhold til gældende databeskyttelsesret. Leverandøren skal på opfordring fra Kunden hjælpe med at opfylde Kundens forpligtelser i forhold til de registreredes rettigheder i henhold til gældende databeskyttelsesret. Leverandøren skal implementere passende tekniske og organisatoriske foranstaltninger til at bistå Kunden med opfyldelse af Kundens forpligtelse i forhold til denne bestemmelse. Kunden kan eventuelt instruere Leverandøren i at iværksætte specifikke tiltag for at Kunden kan imødekomme anmodninger fra registrerede.
   6. Leverandøren skal uden unødig forsinkelse, efter at være blevet opmærksom herpå, skriftligt underrette Kunden om enhver henvendelse rettet til Leverandøren eller dennes eventuelle underleverandører fra Datatilsynet vedrørende behandling af personoplysninger omfattet af Databehandleraftalen.
   7. Leverandøren skal uden unødig forsinkelse, efter at være blevet opmærksom herpå, skriftligt underrette Kunden om enhver henvendelse rettet til Leverandøren eller dennes eventuelle underleverandører fra en myndighed om videregivelse af personoplysninger omfattet af Databehandleraftalen, medmindre orientering af Kunden er forbudt i henhold til EU-retten eller lovgivningen i en medlemsstat.
   8. Leverandøren skal bistå Kunden med at sikre overholdelse af de i databeskyttelsesforordningens artikel 32-36 beskrevne forpligtelser, herunder men ikke begrænset til på anmodning give Kunden alle nødvendige oplysninger til brug for Kundens udarbejdelse af konsekvensanalyser vedrørende databehandlingen herunder til brug for Kundens eventuelle forudgående høring af Datatilsynet.
4. Kontroller og revision
   1. Leverandøren skal på Kundens anmodning stille alle oplysninger, der er nødvendige for at påvise overholdelse af kravene i Databehandleraftalen samt gældende databeskyttelsesret, til rådighed for Kunden eller dennes repræsentant.
   2. Leverandøren (og enhver eventuel underleverandør) skal én gang årligt indhente en generel revisionserklæring fra en uafhængig revisor angående Leverandørens og dennes eventuelle underleverandørers overholdelse af kravene til sikkerhedsforanstaltninger fastsat i Databehandleraftalen. Erklæringen skal udarbejdes på grundlag af en anerkendt standard for sådanne erklæringer. Parterne aftaler nærmere hvilken standard der skal anvendes, jf. Bilag 4. Erklæringen skal afgives til udgangen af hvert år, således at erklæringen kan præsenteres for Kunden online på Leverandørens websted senest den 31. december.
   3. Leverandøren skal give myndigheder, der efter EU-retten eller lovgivningen i en medlemsstat har ret til adgang til Kundens og Kundens leverandørers faciliteter, eller repræsentanter, der optræder på myndighedernes vegne, adgang til Leverandørens fysiske faciliteter mod forevisning af behørig legitimation.
   4. Kunden er berettiget til at videregive informationer modtaget i henhold til bestemmelserne i afsnit 4 til Datatilsynet, efter anmodning herom fra Datatilsynet.
   5. Ud fra en vurdering af formålet med Leverandørens behandling af personoplysninger i medfør af Databehandleraftalen, herunder antallet af registrerede og kategorierne af personoplysninger, kan Kunden fravige kravet om audit i pkt. 4.2, såfremt Kunden vurderer, at Leverandøren på anden vis vil kunne dokumentere overholdelse af kravene til sikkerhedsforanstaltninger fastsat i Databehandleraftalen.
5. Leverandørens underretning til Kunden om sikkerhedsbrud m.v.
   1. Leverandøren skal uden unødig forsinkelse, efter at være blevet opmærksom herpå, skriftligt underrette Kunden om enhver mistanke om, eller konstatering af brud på persondatasikkerheden.
   2. Leverandørens underretning efter pkt. 5.1 skal som minimum omfatte følgende: (a) En beskrivelse af karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og antal berørte registrerede samt kategorierne og antal berørte registreringer af personoplysninger, (b) en beskrivelse af de sandsynlige konsekvenser af bruddet på persondatasikkerheden, og (c) en beskrivelse af de foranstaltninger, som Leverandøren har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.
   3. Leverandørens underretning efter pkt. 5.1 sker ved brug af den vedlagte skabelon for underretning, jf. Bilag 5.
6. Leverandørens brug af underleverandør (underdatabehandler)
   1. Kunden giver generelt samtykke til Leverandørens brug af underleverandører inden for EU/EØS. Leverandøren skal underrette Kunden om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre underleverandører og derved give Kunden mulighed for at gøre indsigelse mod sådanne ændringer. Kunden har herunder ret til at nægte brugen af en underleverandør.
   2. Leverandøren skal forinden brug af en underleverandør indgå en skriftlig aftale (underdatabehandleraftale) med denne underleverandør, hvori underleverandøren som minimum pålægges de samme forpligtelser, som Leverandøren har påtaget sig ved Databehandleraftalen. Leverandøren skal desuden sikre, at underleverandøren stiller de fornødne garantier for, at denne vil gennemføre passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandling af personoplysningerne opfylder kravene i gældende databeskyttelsesret samt kravene fastsat i medfør af Databehandleraftalen.
   3. Ved ophør af brugen af en underleverandør, skal Leverandøren give Kunden skriftlig meddelelse herom.
   4. Leverandøren er fuldt ud ansvarlig overfor Kunden for underleverandørens opfyldelse af dennes databeskyttelsesforpligtelser i henhold til Databehandleraftalen samt i henhold til gældende databeskyttelsesret. Leverandøren hæfter desuden for underleverandørens manglende efterlevelse af bestemmelserne i Databehandleraftalen samt efter gældende databeskyttelsesret.
   5. I Bilag 2 er oplistet de underleverandører, som Kunden har givet samtykke til, at Leverandøren anvender som underdatabehandlere i forbindelse med behandling af personoplysninger i medfør af Databehandleraftalen.
7. Overførsel af personoplysninger til tredjelande eller internationale organisationer
   1. Leverandøren må ikke overføre eller tillade dennes eventuelle underleverandører at overføre personoplysninger til et tredjeland eller international organisation uden Kundens forudgående samtykke, medmindre Leverandøren eller dennes eventuelle underleverandører er forpligtet hertil efter EU-retten eller lovgivningen i den medlemsstat, som Leverandøren er underlagt. I givet fald skal Leverandøren skriftligt underrette Kunden om denne juridiske forpligtelse, forinden overførslen påbegyndes, medmindre pågældende lovgivning på baggrund af vigtige samfundsinteresser forbyder en sådan underretning.
   2. Med tredjelande forstås i denne Databehandleraftale lande, der ikke er omfattet af EU/EØS.
8. Tavshedspligt og fortrolighed
   1. Leverandøren skal holde personoplysningerne fortrolige, og er alene berettiget til at anvende personoplysningerne som led i opfyldelsen af sine forpligtelser i henhold til Databehandleraftalen.
   2. Leverandøren skal sikre, at de personer, herunder personer hos Leverandørens eventuelle underleverandører, der er autoriseret til at behandle personoplysninger i medfør af Databehandleraftalen, har forpligtet sig til fortrolighed, jf. Kontrakten, eller er underlagt en passende lovbestemt tavshedspligt.
9. Misligholdelse og erstatningspligt
   1. Der henvises til bestemmelserne om misligholdelse i Kontrakten.
   2. Der henvises til bestemmelserne om erstatning i Kontrakten.
   3. Uanset bestemmelsen i pkt. 10.2, skal Leverandøren skadesløsholde Kunden, såfremt Kunden bliver mødt med krav fra tredjemand som følge af, at Leverandøren i sin rolle som databehandler eller Leverandørens eventuelle underleverandører i deres rolle som underdatabehandlere har overtrådt den til enhver tid gældende persondataretlige lovgivning. Leverandøren hæfter kun for skader, hvis Leverandøren eller dennes eventuelle underleverandører ikke har opfyldt sine forpligtelser som databehandler og/eller underdatabehandlere, som det følger af den til enhver tid gældende lovgivning, eller hvis Leverandøren som databehandler eller dennes eventuelle underleverandører som underdatabehandlere har undladt at følge eller handlet i strid med Kundens lovlige instruks. Forpligtelsen til at skadesløsholde Kunden er underlagt en erstatningsmaksimering på 100 % af Kontraktens værdi. Leverandørens forpligtelse til at skadesløsholde Kunden efter nærværende afsnit gælder ikke for bøder pålagt Kunden i medfør af databeskyttelsesforordningens artikel 83 eller sanktioner fastlagt i Danmark i overensstemmelse med databeskyttelsesforordningens artikel 84.
   4. Uanset bestemmelsen i pkt. 10.2, skal Kunden fra den 25. maj 2018 skadesløsholde Leverandøren, såfremt Leverandøren bliver mødt med krav fra tredjemand som følge af, at Kunden i sin rolle som dataansvarlig har overtrådt den til enhver tid gældende persondataretlige lovgivning. Kunden hæfter kun for skader, hvis Kunden ikke har opfyldt sine forpligtelser som dataansvarlig, som det følger af den til enhver tid gældende lovgivning. Forpligtelsen til at skadesløsholde Leverandøren er underlagt en erstatningsmaksimering på 100 % af Kontraktens værdi. Kundens forpligtelse til at skadesløsholde Leverandøren efter nærværende afsnit gælder ikke for bøder pålagt Kunden i medfør af databeskyttelsesforordningens artikel 83 eller sanktioner fastlagt i Danmark i overensstemmelse med databeskyttelsesforordningens artikel 84.
10. Varighed og ophør af databehandleraftalen
    1. Databehandleraftalen træder i kraft ved parternes underskrift og er gældende så længe Leverandøren eller dennes eventuelle underleverandører behandler personoplysninger på Kundens vegne eller frem til Kontraktens ophør efter Kontraktens regler herom, alt efter hvilket tidspunkt, der indtræder senest.
    2. Ved ophør af Leverandørens og dennes eventuelle underleverandørers behandling af personoplysninger i henhold til Databehandleraftalen, er Leverandøren og dennes eventuelle underleverandører forpligtet til, efter Kundens nærmere anvisning, at slette eller tilbagelevere alle personoplysninger til Kunden, herunder slette alle eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne.
    3. Leverandøren eller dennes eventuelle underleverandører er ikke berettiget til at betinge den fulde og ubegrænsede efterlevelse af Databehandleraftalen, herunder Kundens instruks, af Kundens betaling af udestående fakturaer mv., og Leverandøren eller dennes eventuelle underleverandører har ingen tilbageholdsret i personoplysningerne.
    4. Bestemmelserne i afsnit 9 og 10 vil fortsat være gældende uanset denne Aftales ophør.
11. Forrang
    1. I tilfælde af uoverensstemmelse mellem bestemmelserne i Databehandleraftalen og bestemmelserne i Kontrakten eller andre skriftlige eller mundtlige aftaler indgået mellem parterne, skal bestemmelserne i Databehandleraftalen have forrang, medmindre strengere krav til behandlingssikkerheden er fastsat i Kontrakten, Kontraktens øvrige bilag eller anden aftale mellem parterne.
12. Meddelelser og underretning
    1. Skriftlige meddelelser samt underretning efter Databehandleraftalen skal ske i overensstemmelse med reglerne herom i Bilag 3 - Kontaktpersoner.
13. Ændringer til databehandleraftalen
    1. Parterne kan til enhver tid aftale at ændre Databehandleraftalen. Ændringer skal være skriftlige.
14. Vederlag
    1. Medmindre andet følger af Kontrakten, vederlægges Leverandørens forpligtelser i henhold til Databehandleraftalen særskilt efter Leverandørens sædvanlige takster og dokumenterede omkostninger.
15. Underskrift
    1. Databehandleraftalen accepteres ved klik via Kundens Klubmodul af Kundens kontaktperson

For Leverandøren (databehandler)

Dato: 2.5. 2018 Sted: Kolding

Navn: Jesper Weltström

Bilag 1 - Instruks
Bilag 2 - Underleverandører (underdatabehandlere)
Bilag 3 - Kontaktpersoner
Bilag 4 - Kontrol og revision
Bilag 5 - Underretning om sikkerhedsbrud