Databehandleraftale

Version 1.0 · Gælder fra 1. november 2026

§ 1. Parter

Den dataansvarlige (kunden)

Databehandleren

§ 2. Baggrund og formål

2.1 Aftalen fastsætter parternes rettigheder og pligter, når databehandleren behandler personoplysninger på vegne af den dataansvarlige. Den opfylder kravene i databeskyttelsesforordningens (GDPR) artikel 28, stk. 3.

2.2 Behandlingen sker som led i de ydelser, der er aftalt mellem parterne (hovedaftalen), fx en driftaftale, en webshop- eller Academy-løsning eller 10 ud af 10 Social. De ydelser, aftalen dækker, er afkrydset i Bilag A.

2.3 Aftalen gælder ved siden af hovedaftalen og 10 ud af 10's handelsbetingelser. Ved uoverensstemmelse om behandling af personoplysninger går denne aftale forud.

2.4 Bilagene er en del af aftalen:

• Bilag A: Oplysninger om behandlingen (formål, art, kategorier af registrerede og oplysninger) pr. ydelse.
• Bilag B: Godkendte underdatabehandlere.
• Bilag C: Instruks, sikkerhedsforanstaltninger, opbevaring og sletning.
• Bilag D: Særlige vilkår, herunder vilkår for 10 ud af 10 Social og pris for bistand.

2.5 Aftalen fritager ikke databehandleren for de pligter, der direkte gælder for databehandlere efter GDPR.

§ 3. Den dataansvarliges rettigheder og pligter

3.1 Den dataansvarlige har ansvaret for, at behandlingen sker i overensstemmelse med GDPR og anden lovgivning. Det gælder også for at have et lovligt grundlag for at behandle og udgive oplysningerne, fx samtykke fra personer, der optræder i indhold på hjemmesiden eller på sociale medier.

3.2 Den dataansvarlige har ret og pligt til at give instruks om, hvordan og til hvilke formål oplysningerne må behandles.

§ 4. Databehandleren handler efter instruks

4.1 Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige. Instruksen fremgår af hovedaftalen, Bilag A og Bilag C. Den dataansvarlige kan give yderligere instruks skriftligt, også pr. e-mail.

4.2 Handlinger, som den dataansvarlige selv foretager i de systemer, databehandleren drifter, er også instruks. Det gælder fx at udgive en side, sende et nyhedsbrev, gennemføre en ordre eller planlægge et opslag i 10 ud af 10 Social.

4.3 Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens vurdering er i strid med GDPR eller anden lovgivning.

4.4 Databehandleren bruger ikke oplysningerne til egne formål. Det omfatter også annoncering, profilering, salg til tredjemand og træning af AI-modeller.

§ 5. Fortrolighed og behandlingssikkerhed

5.1 Kun personer, som har brug for det for at levere ydelsen, får adgang til oplysningerne. Alle med adgang har tavshedspligt, og adgangen lukkes, når behovet ophører.

5.2 Databehandleren træffer de tekniske og organisatoriske foranstaltninger, der er nødvendige efter GDPR artikel 32, ud fra behandlingens art og de risici, den indebærer for de registrerede. Foranstaltningerne fremgår af Bilag C.

5.3 Databehandleren holder hver kundes oplysninger adskilt fra andre kunders, så en kunde ikke kan få adgang til en anden kundes data.

5.4 Bliver databehandleren opmærksom på en risiko, som Bilag C ikke dækker, giver databehandleren den dataansvarlige besked og foreslår en løsning.

§ 6. Underdatabehandlere

6.1 Databehandleren har den dataansvarliges generelle godkendelse til at bruge underdatabehandlere. De underdatabehandlere, der bruges ved aftalens indgåelse, står i Bilag B.

6.2 Databehandleren varsler skriftligt mindst 30 dage før, en underdatabehandler tilføjes eller udskiftes. Den dataansvarlige kan gøre indsigelse inden for varslet. Kan parterne ikke blive enige, kan den dataansvarlige opsige den berørte ydelse uden ekstra omkostninger.

6.3 Databehandleren pålægger hver underdatabehandler de samme databeskyttelsespligter som i denne aftale gennem en skriftlig aftale. Databehandleren hæfter over for den dataansvarlige for underdatabehandlerens overholdelse.

6.4 Følgende er ikke underdatabehandlere, fordi den dataansvarlige selv har valgt og indgået aftale med dem, og de behandler oplysningerne som selvstændigt dataansvarlige eller for den dataansvarlige direkte:

• Betalingsløsninger og indløsere (fx Scanpay, Quickpay, Clearhaus, Nets og MobilePay).
• Sociale medier, som den dataansvarlige udgiver til via 10 ud af 10 Social (Meta, X, TikTok, LinkedIn og Bluesky).
• Tjenester, som den dataansvarlige selv forbinder til sin løsning, fx nyhedsbrevsværktøjer, fragtløsninger, regnskabsprogrammer eller en AI-agent.

6.5 (Valgfri) Hvis databehandleren går konkurs eller ophører, kan den dataansvarlige som tredjemand kræve, at en underdatabehandler sletter eller tilbageleverer den dataansvarliges oplysninger.

§ 7. Overførsel til tredjelande

7.1 Oplysningerne behandles og opbevares inden for EU/EØS. Overførsel til lande uden for EU/EØS sker kun efter dokumenteret instruks fra den dataansvarlige og kun med et gyldigt overførselsgrundlag efter GDPR kapitel V.

7.2 Hvis en underdatabehandler i Bilag B er en virksomhed med moderselskab uden for EU, står overførselsgrundlaget i Bilag B (fx EU-U.S. Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser).

7.3 Når den dataansvarlige udgiver indhold til en platform uden for EU (fx via 10 ud af 10 Social), er det den dataansvarliges egen instruks og ansvar.

§ 8. Bistand til den dataansvarlige

8.1 Databehandleren hjælper den dataansvarlige med at besvare anmodninger fra registrerede, fx om indsigt, rettelse eller sletning, i det omfang det er muligt i de systemer, databehandleren drifter.

8.2 Henvender en registreret, en myndighed eller en platform (fx Meta) sig direkte til databehandleren om den dataansvarliges oplysninger, sender databehandleren henvendelsen videre uden unødig forsinkelse og svarer ikke selv uden instruks.

8.3 Databehandleren hjælper med konsekvensanalyser og forhåndshøring af Datatilsynet efter artikel 35–36, når det er relevant for de ydelser, databehandleren leverer.

8.4 Bistand ud over almindelig drift afregnes efter Bilag D.

§ 9. Underretning om brud på persondatasikkerheden

9.1 Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud.

9.2 Underretningen beskriver så vidt muligt bruddets karakter, hvilke registrerede og oplysninger der er berørt, de sandsynlige konsekvenser og de tiltag, der er sat i gang. Oplysninger, der ikke kendes endnu, eftersendes.

9.3 Det er den dataansvarlige, der anmelder bruddet til Datatilsynet inden for 72 timer og underretter de registrerede, hvis det er nødvendigt. Databehandleren hjælper med de oplysninger, der kræves.

§ 10. Sletning og tilbagelevering

10.1 Ved ophør af en ydelse sletter databehandleren den dataansvarliges oplysninger fra den ydelse senest 90 dage efter ophør, medmindre lovgivningen kræver, at de opbevares længere. Inden da kan den dataansvarlige få en eksport.

10.2 Kopier i backup slettes, efterhånden som backuppen roteres, og er væk senest 90 dage efter sletningen.

10.3 For drift og hosting gælder, at den dataansvarlige beholder sin hjemmeside, sit domæne og sit webhotel. Databehandleren afkobler sine værktøjer og sletter egne kopier efter 10.1 og 10.2.

10.4 Databehandleren bekræfter sletningen skriftligt, når den dataansvarlige beder om det.

§ 11. Revision og tilsyn

11.1 Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at vise, at aftalen og GDPR artikel 28 overholdes.

11.2 Databehandleren udarbejder én gang om året en skriftlig redegørelse for sikkerhedsforanstaltningerne i Bilag C, som den dataansvarlige kan få udleveret.

11.3 Den dataansvarlige eller en uafhængig revisor kan med 30 dages varsel foretage en inspektion. Den dataansvarlige afholder sine egne omkostninger, og databehandlerens tidsforbrug afregnes efter Bilag D.

11.4 Databehandleren fører tilsyn med underdatabehandlerne, typisk ved at gennemgå deres revisionserklæringer, certificeringer eller sikkerhedsdokumentation én gang om året.

§ 12. Ansvar

12.1 Parternes ansvar følger GDPR artikel 82 og dansk rets almindelige regler. Ansvarsbegrænsningen i hovedaftalen og handelsbetingelserne gælder også for denne aftale, i det omfang lovgivningen tillader det.

12.2 Ansvarsbegrænsningen gælder ikke, hvis databehandleren har handlet forsætligt eller groft uagtsomt, eller har behandlet oplysninger uden for eller i strid med den dataansvarliges instruks.

§ 13. Ikrafttræden, ændringer og ophør

13.1 Aftalen træder i kraft ved underskrift og gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige.

13.2 Aftalen kan ikke opsiges for sig selv, så længe hovedaftalen løber. Begge parter kan kræve den genforhandlet, hvis lovgivningen eller ydelserne ændrer sig.

13.3 Ændringer i Bilag A (nye ydelser) og Bilag B (efter varsling i § 6) kræver ikke ny underskrift. Andre ændringer aftales skriftligt.

13.4 Ved ophør gælder § 10 om sletning og tilbagelevering.

§ 14. Kontaktpersoner og underskrifter

Bilag A – Oplysninger om behandlingen

Ved aftaleindgåelse afkrydses de ydelser, aftalen dækker: drift og hosting (Basis, Business eller Commerce), webshop (WooCommerce), Academy (kurser og medlemskaber), tilmelding til arrangementer, 10 ud af 10 Social og udvikling via klippekort eller fast tilbud.

Følsomme oplysninger. Ydelserne er ikke beregnet til følsomme oplysninger (GDPR artikel 9), CPR-numre eller oplysninger om strafbare forhold. Har den dataansvarlige brug for at behandle sådanne oplysninger, fx helbredsoplysninger ved tilmelding, skal det aftales særskilt, så sikkerheden kan tilpasses.

Varighed. Behandlingen løber, så længe den dataansvarlige har den pågældende ydelse.

Bilag B – Godkendte underdatabehandlere

Listen gælder ved aftalens indgåelse. Ændringer varsles efter § 6.2.

Databehandlerens egen infrastruktur (ikke underdatabehandlere, men nævnt for gennemsigtighedens skyld):

• Egen server i Danmark: 10 ud af 10 Social, sprogmodel til AI-funktioner og krypteret offline backup.
• Egen backupserver i Danmark.
• Egen mailserver (SMTP) i EU til systemmails fra 10 ud af 10 Social.
• Selvhostede driftsværktøjer til opdateringer og overvågning (Uptime Kuma) på egne servere i Danmark.

Bilag C – Instruks, sikkerhed og sletning

C.1 Instruks. Databehandleren må behandle oplysningerne for at levere de ydelser, der er afkrydset i Bilag A: opbevare, sikkerhedskopiere, overvåge, opdatere, fejlrette, gendanne og vise oplysningerne til den dataansvarlige og dennes brugere. Databehandleren må kun se eller ændre konkrete personoplysninger, når det er nødvendigt for fejlretning, gendannelse eller support, som den dataansvarlige har bedt om.

C.2 Sikkerhedsforanstaltninger

C.3 Bistand. Bistand efter § 8 og § 9 ydes inden for normal arbejdstid på hverdage. Brud på persondatasikkerheden håndteres straks, også uden for arbejdstid.

C.4 Opbevaring og sletning. Oplysningerne opbevares, så længe ydelsen løber, og slettes efter § 10: senest 90 dage efter ophør og fra backup senest 90 dage efter det. Adgangsnøgler til sociale medier slettes straks, når forbindelsen afbrydes.

C.5 Lokalitet. Oplysningerne behandles de steder, der står i Bilag B, og i databehandlerens egne lokaler i Danmark. Fjernadgang sker kun over krypterede forbindelser.

C.6 Tilsyn. Databehandleren udarbejder hvert år en skriftlig redegørelse for, at foranstaltningerne i C.2 er overholdt, og sender den til den dataansvarlige på forespørgsel. Den dataansvarlige kan derudover foretage inspektion efter § 11.3.

Bilag D – Særlige vilkår

D.1 Pris for bistand. Bistand efter § 8, § 9 og § 11 afregnes efter den til enhver tid gældende timepris (i dag 1.100 kr. ekskl. moms) eller trækkes på den dataansvarliges klippekort. Bistand, der skyldes databehandlerens egne fejl eller et brud hos databehandleren eller en underdatabehandler, er gratis.

D.2 10 ud af 10 Social. For kunder, der bruger 10 ud af 10 Social, gælder desuden:

• Oplysninger fra Meta, X, TikTok, LinkedIn og Bluesky bruges kun til at levere tjenesten til den dataansvarlige. De deles ikke med andre kunder og bruges ikke til databehandlerens egne formål.
• Databehandleren fører en opdateret liste over kunder og kontaktpersoner, som platformene kan kræve at se.
• Beder en platform databehandleren om at slette oplysninger eller lukke en kundes adgang, følger databehandleren anmodningen og giver den dataansvarlige besked.
• Den dataansvarlige skal overholde platformenes vilkår og må kun forbinde konti, den har ret til at administrere.
• AI-funktionerne bruger en sprogmodel på databehandlerens egen server i Danmark. Den dataansvarliges indhold bruges ikke til at træne eller finjustere modellen.
• Forbinder den dataansvarlige sin egen AI-agent, er agentens udbyder den dataansvarliges egen databehandler (§ 6.4).

D.3 Den dataansvarliges egne brugere. Den dataansvarlige er ansvarlig for, hvem der får adgang til løsningen, og for at fjerne adgangen for medarbejdere, der stopper.

D.4 Lovvalg. Aftalen er underlagt dansk ret. Tvister afgøres ved de danske domstole.