Databehandler-

Databehandler-

aLale

Gældende pr. 25. maj 2018

DATABEHANDLERAFTALE

Mellem

og

Firmanavn:

Adresse: Postnummer/By:

CVR-nr.:

(herefter “Dataansvarlig”)

Buchs A/S

Xxxxxxxxxxxxx 00

8940 Randers SV

CVR-nr. 29 84 56 46

(herefter ”Databehandleren”)

er der dags dato indgået følgende databehandleraftale (”Databehandleraftalen”)

INDHOLDSFORTEGNELSE

1. Baggrund for databehandleraftalen 3

2. Den dataansvarliges forpligtelser og rettigheder 4

3. Databehandleren handler efter instruks 4

4. Fortrolighed 4

5. Behandlingssikkerhed 5

6. Anvendelse af underdatabehandlere 5

7. Overførsel af oplysninger til tredjelande eller internationale organisationer 6

8. Bistand til den dataansvarlige 7

9. Underretning om brud på persondatasikkerheden 7

10. Sletning og tilbagelevering af oplysninger 7

11. Tilsyn og revision 8

12. Misligholdelse og tvistigheder 8

13. Ikrafttræden og ophør 8

14. Underskrift 9

15. Instruks 10

1. Baggrund for databehandleraftalen

1.1. Denne aftale fastsætter de rettigheder og forpligtelser, som finder anvendelse, når databehand- leren foretager behandling af personoplysninger på vegne af den dataansvarlige.

1.2. Aftalen er udformet med henblik på parternes efterlevelse af artikel 28, stk. 3, i Europa- Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske per- soner i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplys- ninger og om ophævelse af direktiv 95/46/EF (Databeskyttelsesforordningen), som stiller speci- fikke krav til indholdet af en databehandleraftale.

1.3. Databehandlerens behandling af personoplysninger sker med henblik på opfyldelse af parternes ”hovedaftale”, der omhandler samarbejde omkring offline og online kommunikationsopgaver. Se Buchs salgs- og leveringsbetingelser offline, Salgs- og leveringsbetingelser online samt be- tingelser for mail- og webhosting på xxx.xxxxx.xx.

1.4. Databehandleraftalen og ”hovedaftalen” er indbyrdes afhængige, og kan ikke opsiges særskilt. Databehandleraftalen kan dog – uden at opsige ”hovedaftalen” – erstattes af en anden gyldig da- tabehandleraftale.

1.5. Denne databehandleraftale har forrang i forhold til eventuelle tilsvarende bestemmelser i andre aftaler mellem parterne, herunder i ”hovedaftalen”.

1.6. Til denne aftale hører to bilag (A, B og C). Bilagene fungerer som en integreret del af databe- handleraftalen.

1.7. Databehandleraftalens Bilag A indeholder nærmere oplysninger om behandlingen, herunder om behandlingens formål og karakter, typen af personoplysninger, kategorierne af registrerede og varighed af behandlingen.

1.8. Databehandleraftalens Bilag B indeholder den dataansvarliges betingelser for, at databehandleren kan gøre brug af eventuelle underdatabehandlere, samt en liste over de eventuelle underdatabe- handlere, som den dataansvarlige har godkendt.

1.9. Databehandleraftalens Bilag C indeholder en nærmere instruks om, hvilken behandling databe- handleren skal foretage på vegne af den dataansvarlige (behandlingens genstand), hvilke sikker- hedsforanstaltninger, der som minimum skal iagttages, samt hvordan der føres tilsyn med data- behandleren og eventuelle underdatabehandlere.

1.10. Databehandleraftalen med tilhørende bilag opbevares skriftligt, herunder elektronisk af begge parter.

1.11. Denne databehandleraftale frigør ikke databehandleren for forpligtelser, som efter databeskyt- telsesforordningen eller enhver anden lovgivning direkte er pålagt databehandleren.

2. Den dataansvarliges forpligtelser og rettigheder

2.1. Den dataansvarlige har overfor omverdenen, herunder den registrerede, som udgangspunkt ansva- ret for, at behandlingen af personoplysninger sker indenfor rammerne af databeskyttelsesforord- ningen og databeskyttelsesloven.

2.2. Den dataansvarlige har derfor både rettighederne og forpligtelserne til at træffe beslutninger om, til hvilke formål og med hvilke hjælpemidler der må foretages behandling.

2.3. Den dataansvarlige er blandt andet ansvarlig for, at der foreligger hjemmel til den behandling, som databehandleren instrueres i at foretage.

3. Databehandleren handler efter instruks

3.1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den data- ansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om det- te retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. art 28, stk. 3, litra a.

3.2. Databehandleren underretter omgående den dataansvarlige, hvis en instruks efter databehandle- rens mening er i strid med databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

4. Fortrolighed

4.1. Databehandleren sikrer, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den dataansvarlige. Adgangen til oplysningerne skal derfor straks lukkes ned, hvis autorisationen fratages eller udløber.

4.2. Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang til personoplys- ningerne for at kunne opfylde databehandlerens forpligtelser overfor den dataansvarlige.

4.3. Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lov- bestemt tavshedspligt.

4.4. Databehandleren skal efter anmodning fra den dataansvarlige kunne påvise, at de relevante med- arbejdere er underlagt ovennævnte tavshedspligt.

5. Behandlingssikkerhed

5.1. Databehandleren iværksætter alle foranstaltninger, som kræves i henhold til databeskyttelses- forordningens artikel 32, hvoraf det bl.a. fremgår, at der under hensyntagen til det aktuelle ni- veau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sam- menhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers ret- tigheder og frihedsrettigheder skal gennemføres passende tekniske og organisatoriske foranstalt- ninger for at sikre et sikkerhedsniveau, der passer til disse risici.

5.2. Ovenstående forpligtelse indebærer, at databehandleren skal foretage en risikovurdering, og her- efter gennemføre foranstaltninger for at imødegå identificerede risici.

5.3. Databehandleren skal i forbindelse med ovenstående – i alle tilfælde – som minimum iværksætte det sikkerhedsniveau og de foranstaltninger, som er specificeret nærmere i denne aftales Bilag C.

6. Anvendelse af underdatabehandlere

6.1. Databehandleren skal opfylde de betingelser, der er omhandlet i databeskyttelsesforordningens artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler (underdatabehandler).

6.2. Databehandleren må således ikke gøre brug af en anden databehandler (underdatabehandler) til opfyldelse af databehandleraftalen uden forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige.

6.3. I tilfælde af generel skriftlig godkendelse skal databehandleren underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.

6.4. Den dataansvarliges nærmere betingelser for databehandlerens brug af eventuelle underdatabe- handlere fremgår af denne aftales Bilag B.

6.5. Den dataansvarliges eventuelle godkendelse af specifikke underdatabehandlere er anført i denne aftales Bilag B.

6.6. Når databehandleren har den dataansvarliges godkendelse til at gøre brug af en underdatabe- handler, sørger databehandleren for at pålægge underdatabehandleren de samme databeskyttel- sesforpligtelser som dem, der er fastsat i denne databehandleraftale, gennem en kontrakt eller andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, hvorved der

navnlig stilles de fornødne garantier for, at underdatabehandleren vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i databeskyttelsesforordningen.

6.7. Databehandleren er således ansvarlig for – igennem indgåelsen af en underdatabehandleraftale – at pålægge en eventuel underdatabehandler mindst de forpligtelser, som databehandleren selv er underlagt efter databeskyttelsesreglerne og denne databehandleraftale med tilhørende bilag.

6.8. Underdatabehandleraftalen og eventuelle senere ændringer hertil sendes – efter den dataansvar- liges anmodning herom - i kopi til den dataansvarlige, som herigennem har mulighed for at sikre sig, at der er indgået en gyldig aftale mellem databehandleren og underdatabehandleren. Even- tuelle kommercielle vilkår, eksempelvis priser, som ikke påvirker det databeskyttelsesretlige ind- hold af underdatabehandleraftalen, skal ikke sendes til den dataansvarlige.

6.9. Hvis underdatabehandleren ikke opfylder sine databeskyttelsesforpligtelser, forbliver databe- handleren fuldt ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser.

7. Overførsel af oplysninger til tredjelande eller internationale organisationer

7.1. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den data- ansvarlige, herunder for så vidt angår overførsel (overladelse, videregivelse samt intern anven- delse) af personoplysninger til tredjelande eller internationale organisationer, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er under- lagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden be- handling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser, jf. art 28, stk. 3, litra a.

7.2. Den dataansvarliges eventuelle instruks eller godkendelse af, at der foretages overførsel af per- sonoplysninger til et tredjeland, vil fremgå af denne aftales Bilag C.

8. Bistand til den dataansvarlige

8.1. Databehandleren bistår, under hensyntagen til behandlingens karakter, så vidt muligt den data- ansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelsen af de registreredes ret- tigheder som fastlagt i databeskyttelsesforordningens kapitel 3. Herunder bistår den dataansvar- lige bl.a. med besvarelse af anmodninger fra registrerede om indsigt i egne oplysninger, udleve- ring af registreredes oplysninger, berigtigelse og sletning af oplysninger samt begrænsning af be- handling af registreredes oplysninger.

8.2. Databehandleren bistår den dataansvarlige med at sikre overholdelse af den dataansvarliges for- pligtelser i medfør af databeskyttelsesforordningens artikel 32 - 36 under hensyntagen til behand- lingens karakter og de oplysninger, der er tilgængelige for databehandleren, jf. art 28, stk. 3, lit- ra f.

8.3. Parternes eventuelle regulering/aftale om vederlæggelse eller lignende i forbindelse med data- behandlerens bistand til den dataansvarlige vil fremgå af parternes ”hovedaftale”.

9. Underretning om brud på persondatasikkerheden

9.1. Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden hos databehandleren eller en eventuel underdatabehandler.

9.2. Databehandlerens underretning til den dataansvarlige skal om muligt ske senest 36 timer efter at denne er blevet bekendt med bruddet, sådan at den dataansvarlige har mulighed for at efterleve sin eventuelle forpligtelse til at anmelde bruddet til tilsynsmyndigheden indenfor 72 timer.

9.3. Databehandleren skal - under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for denne – bistå den dataansvarlige med at foretage anmeldelse af bruddet til til- synsmyndigheden.

10. Sletning og tilbagelevering af oplysninger

10.1. Ved ophør af tjenesterne vedrørende behandling forpligtes databehandleren til, efter den data- ansvarliges valg, at slette eller tilbagelevere alle personoplysninger til den dataansvarlige, samt at slette eksisterende kopier, medmindre EU-retten eller national ret foreskriver opbevaring af personoplysningerne.

11. Tilsyn og revision

11.1. Databehandleren stiller alle oplysninger, der er nødvendige for at påvise databehandlerens over- holdelse af databeskyttelsesforordningens artikel 28 og denne aftale, til rådighed for den data- ansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

11.2. Den nærmere procedure for den dataansvarliges tilsyn med databehandleren fremgår af denne aftales Bilag C.

11.3. Den dataansvarliges tilsyn med eventuelle underdatabehandlere sker som udgangspunkt gennem databehandleren. Den nærmere procedure herfor fremgår af denne aftales Bilag C.

11.4. Databehandleren er forpligtet til at give myndigheder, der efter den til enhver tid gældende lov- givning har adgang til den dataansvarliges og databehandlerens faciliteter, eller repræsentanter, der optræder på myndighedens vegne, adgang til databehandlerens fysiske faciliteter mod behø- rig legitimation.

12. Misligholdelse og tvistigheder

12.1. Misligholdelse og tvistigheder er reguleret i parternes ”hovedaftale”.

13. Ikrafttræden og ophør

13.1. Denne aftale træder i kraft ved begge parters underskrift heraf.

13.2. Aftalen kan af begge parter kræves genforhandlet, hvis lovændringer eller uhensigtsmæssighe- der i aftalen giver anledning hertil.

13.3. Aftalen er gældende, så længe behandlingen består. Uanset ”hovedaftalens” og/eller databe- handleraftalens opsigelse, vil databehandleraftalen forblive i kraft frem til behandlingens op- hør og oplysningernes sletning hos databehandleren og eventuelle underdatabehandlere.

14. Underskrift

14.1. Denne Databehandleraftale er udarbejdet i to eksemplarer, ét til hver af parterne.

By/dato: Randers, den

Dataansvarlig: Firmanavn:

Databehandler Buchs A/S

Navn og underskrift: Xxxxxx Xxxxxx Xxx. Direktør

15. Instruks

Bilag A Oplysninger om behandlingsaktiviteter

Formålet med databehandlerens behandling af personoplysninger på vegne af den dataansvarlige er:

• At sikre målrettet offline og online kommunikation til den dataansvarliges kunder

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige drejer sig primært om (karakteren af behandlingen):

• At databehandleren stiller en række systemer til rådighed for online og offline kommunikation, hvorigennem der opbevares personoplysninger på den dataansvarliges kunder.

Behandlingen omfatter følgende typer af personoplysninger om de registrerede:

• Navn, e-mailadresse, telefonnummer, adresse, betalingsoplysninger, fødselsdato og IP adresser.

Behandlingen omfatter følgende kategorier af registrerede:

• Personer der er kunde hos den dataansvarlige

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige kan påbegyndes efter denne aftales ikrafttræden. Behandlingen har følgende varighed:

• Behandlingen er ikke tidsbegrænset og varer indtil aftalen opsiges eller ophæves af en af parter- ne.

Bilag B Betingelser for databehandlerens brug af underdatabehandlere og liste over godkendte underdatabehandlere

B.1 Betingelser for databehandlerens brug af eventuelle underdatabehandlere

Databehandleren har den dataansvarliges generelle godkendelse til at gøre brug af underdatabehandlere. Databehandleren skal dog underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer. En sådan underretning skal være den dataansvarlige i hænde minimum 3 måneder før anvendelsen eller ændringen skal træde i kraft. Såfremt den dataansvarlige har indsigelser mod ændringerne, skal den dataansvarlige give meddelelse herom til databehandleren inden 1 måned efter modtagelsen af underretningen. Den dataansvarlige kan alene gøre indsigelse, såfremt den dataan- svarlige har rimelige, konkrete årsager hertil.”

B.2 Godkendte underdatabehandlere

Den dataansvarlige har ved databehandleraftalens ikrafttræden godkendt anvendelsen af følgende under- databehandlere:

Navn	Beskrivelse af behandling
Marketingstore	Filudveksling mellem dataansvarlige og databehandler. Dataansvarlige kan online bestille grafiske produktioner.
Joomla	Content Management System
WordPress	Content Management System
Dynamicweb	Content Management System og E-commerce system.
MailChimp	Software til indsamling af nyhedsbrevmodtagere og til udsendelse af nyheds- breve
iPaper	Digitale kataloger
LeadScore App	Lead Konverterings software til opsamling af leads på hjemmeside.
Liquidweb	Hosting af Joomla løsninger
WP Engine	Hostning af WordPress løsninger
UnoEuro	Hostning af WordPress løsninger
WeTransfer	Filoverførsel
BackBlaze	Backup løsning
HostNordic	Hosting af Dynamicweb CMS og e-commerce løsninger

Den dataansvarlige har ved databehandleraftalens ikrafttræden specifikt godkendt anvendelsen af oven- nævnte underdatabehandlere til netop den behandling, som er beskrevet ud for parten.

Bilag C Oplysninger om behandlingen af personoplysninger

C.1 Behandlingens genstand/instruks

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige sker ved, at databe- handleren udfører følgende:

• Der henvises til Buchs Persondatapolitik på xxx.xxxxx.xx

C.2 Behandlingssikkerhed

Sikkerheds niveauet skal afspejle:

• Der henvises til Buchs Persondatapolitik på xxx.xxxxx.xx

C.3 Opbevaringsperiode/sletterutine

Bilag D Der henvises til Buchs Persondatapolitik på xxx.xxxxx.xx

D.1 Instruks eller godkendelse vedrørende overførsel af personoplysninger til tredjelande

Den Dataansvarlige giver hermed sin godkendelse til, at Databehandleren overfører personoplysninger til følgende sikre tredjelande:

a) EU

b) USA

D.2 Nærmere procedurer for den dataansvarliges tilsyn med den behandling, som foretages hos databehandleren

Den dataansvarlige eller en repræsentant for den dataansvarlige kan årligt foretage et fysisk tilsyn vedrø- rende overholdelsen af denne databehandleraftale hos databehandleren. Ud over det planlagte tilsyn, kan der føres tilsyn med databehandleren, når der efter den dataansvarliges vurdering opstår et behov herfor. Den dataansvarliges eventuelle udgifter i forbindelse med et fysisk tilsyn afholdes af den dataansvarlige selv. Databehandleren er dog forpligtet til at afsætte de ressourcer (hovedsageligt den tid), der er nød- vendig for, at den dataansvarlige kan gennemføre sit tilsyn.

D.3 Nærmere procedurer for tilsynet med den behandling, som foretages hos eventuelle underda- tabehandlere

Databehandleren eller en repræsentant for databehandleren foretager 1 gang årligt et fysisk tilsyn vedrø- rende overholdelsen af denne databehandleraftale hos underdatabehandleren. Udover det planlagte til- syn, kan der føres tilsyn med underdatabehandleren, når der efter databehandlerens (eller den dataan- svarliges) vurdering opstår et behov herfor. Dokumentation for de afholdte tilsyn sendes snarest muligt til orientering hos den dataansvarlige. Den dataansvarlige kan – hvis det findes nødvendigt – vælge at initiere

og deltage på en fysisk inspektion hos underdatabehandleren. Dette kan blive aktuelt, såfremt den data- ansvarlige vurderer, at databehandlerens tilsyn med underdatabehandleren ikke har givet den dataansvar- lige tilstrækkelig sikkerhed for, at behandlingen hos underdatabehandleren sker i overensstemmelse med denne databehandleraftale. Den dataansvarliges eventuelle deltagelse i et tilsyn hos underdatabehandle- ren ændrer ikke ved, at databehandleren også herefter har det fulde ansvar for underdatabehandlerens overholdelse af databeskyttelseslovgivningen og denne databehandleraftale. ”Databehandlerens og under- databehandleres eventuelle udgifter i forbindelse med afholdes af et fysisk tilsyn/en inspektion hos un- derdatabehandleren er den dataansvarlige uvedkommende – uanset at den dataansvarlige har initieret og eventuelt deltaget på et sådant tilsyn.