EU Kommissionens Standardkontraktbestemmelser

Gældende fra 6. december 2021

Afsnit I

1. Formål og anvendelsesområde

 

A. Formålet med disse standardkontraktbestemmelser er at sikre overholdelse af kravene i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)¹ ved overførsel af personoplysninger til et tredjeland. 

B. Parterne: 

 

i. Den/det eller de fysiske eller juridiske person(er), offentlige myndighed(er), kontor(er) eller andre organ(er) (herefter benævnt »enhed(er)«), der overfører personoplysningerne, jf. bilag I.A., (herefter benævnt »dataeksportør«) og

ii. den/de enhed(er) i et tredjeland, der modtager personoplysningerne fra dataeksportøren, direkte eller indirekte via en anden enhed, der også anvender disse standardkontraktbestemmelser, jf. bilag I.A., (herefter begge benævnt (»dataimportør«) har aftalt at anvende disse standardkontraktbestemmelser (herefter benævnt: »bestemmelser«).

 

C. Disse bestemmelser gælder for overførsel af personoplysninger som omhandlet i bilag I.B.

D. Tillægget til disse bestemmelser, der indeholder de bilag, der henvises til heri, udgør en integreret del af disse bestemmelser.

2. Bestemmelsernes virkning og ufravigelighed

A. Disse bestemmelser fastsætter fornødne garantier, herunder rettigheder for registrerede, som kan håndhæves, samt effektive retsmidler, jf. artikel 46, stk. 1, og artikel 46, stk. 2, litra c), i forordning (EU) 2016/679, og vedrørende dataoverførsler fra dataansvarlige til databehandlere og/eller fra databehandlere til databehandlere standardkontraktbestemmelser, jf. artikel 28, stk. 7, i forordning (EU) 2016/679, forudsat at disse ikke ændres, undtaget med det formål at vælge det/de passende modul(er) eller tilføje eller opdatere oplysninger i tillægget. Dette forhindrer ikke parterne i at inkludere standardkontraktbestemmelserne, der er fastsat i disse bestemmelser, i en bredere kontrakt og/eller tilføje andre bestemmelser eller yderligere garantier, forudsat at disse ikke direkte eller indirekte er i modstrid med disse bestemmelser eller udgør en krænkelse af de registreredes grundlæggende rettigheder eller frihedsrettigheder.

B. Disse bestemmelser berører ikke de forpligtelser, som dataeksportøren er underlagt i medfør af forordning (EU) 2016/679.

3. Begunstigede tredjemænd

A. De registrerede kan påberåbe sig og håndhæve disse bestemmelser som begunstigede tredjemænd over for dataeksportøren og/eller dataimportøren med følgende undtagelser:

 

i. Bestemmelse 1, bestemmelse 2, bestemmelse 3, bestemmelse 6, bestemmelse 7

ii. Bestemmelse 8 - Modul et: Bestemmelse 8.5, litra e), og bestemmelse 8.9, litra b), Modul fire:  Bestemmelse 8.1, litra b), og bestemmelse 8.3, litra b) 

iii. Bestemmelse 9 - N/A 

iv. Bestemmelse 12 - Modul et: Bestemmelse 12, litra a) og d) 

v. Bestemmelse 13

vi. Bestemmelse 15,.1, litra c), d) og e) 

vii. Bestemmelse 16,  litra e) 

viii. Bestemmelse 18 - Modul  et: Bestemmelse 18, litra a) og b), Modul fire: Bestemmelse 18. 

4. Fortolkning

A. Hvis begreber, der er fastlagt i forordning (EU) 2016/679, anvendes i disse bestemmelser, har de den samme betydning som i forordningen.

B. Disse bestemmelser skal læses og fortolkes på baggrund af bestemmelserne i forordning (EU) 2016/679.

C. Disse bestemmelser må ikke fortolkes på måder, der er i strid med de rettigheder og forpligtelser, der er fastsat i forordning (EU) 2016/679.

5. Hierarki

I tilfælde af en modsætning mellem disse bestemmelser og bestemmelser i andre relevante aftaler mellem parterne, der er indgået på det tidspunkt, hvor disse bestemmelser bliver aftalt, eller som efterfølgende indgås, har disse bestemmelser forrang.

6. Beskrivelse af overførslen/overførslerne 

Detaljerede oplysninger om overførslen eller overførslerne, navnlig de kategorier af personoplysninger, der overføres, og formålet eller formålene med overførslen, er anført i bilag I.B.

7. Tillægsbestemmelse

A. En enhed, der ikke anvender disse bestemmelser, kan med parternes godkendelse til enhver tid tiltræde disse bestemmelser, enten som dataeksportør eller dataimportør, ved at udfylde tillægget og underskrive bilag I.A.

B. Når denne enhed har udfyldt tillægget og underskrevet bilag I.A., indgår den tiltrædende enhed som en part og anvender ligeledes disse bestemmelser og indtræder i en dataeksportørs eller dataimportørs rettigheder i overensstemmelse med betegnelsen i bilag I.A.

C. Den tiltrædende part er ikke omfattet af rettigheder eller forpligtelser i medfør af disse be-stemmelser for perioden forud for tiltrædelsen til bestemmelserne.

Afsnit II - Parternes forpligtelser

8. Databeskyttelsesgarantier 

Dataeksportøren garanterer, at denne har gjort en rimelig indsats for at kontrollere, at dataimportøren, når denne gennemfører tilstrækkelige tekniske og organisatoriske foranstaltninger, kan opfylde sine forpligtelser i henhold til disse bestemmelser.

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig

8.1. Formålsbegrænsning

Dataimportøren behandler kun personoplysningerne til det eller de konkrete formål, som overførslen vedrører, jf. bilag I.B. Dataimportøren må kun behandle personoplysningerne til andre formål:

 

i. med den registreredes forudgående samtykke 

ii. hvis det er nødvendigt med henblik på fastlæggelse, udøvelse eller forsvar af retskrav i forbindelse med konkrete administrative eller retlige procedurer eller 

iii. hvis behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser. 

8.2. Gennemsigtighed

A. For at give registrerede personer mulighed for effektivt at udøve deres rettigheder i henhold til bestemmelse 10 informerer dataimportøren dem direkte eller gennem dataeksportøren:

 

i. om sin identitet og kontaktoplysninger

ii. om de kategorier af personoplysninger, der behandles 

iii. om retten til at få udleveret en kopi af disse bestemmelser 

iv. om modtageren eller kategorier af modtagere (alt efter hvad der er relevant for at sikre, at oplysningerne er brugbare), hvis dataimportøren har til hensigt at videreoverføre personoplysningerne til en eller flere tredjeparter, samt formål og begrundelse for en sådan videreoverførsel i henhold til bestemmelse 8.7.

B. Litra a) gælder ikke, hvis den registrerede allerede er bekendt med oplysningerne, herunder hvis informationerne allerede er blevet oplyst af dataeksportøren, eller hvis det er umuligt at tilvejebringe oplysningerne, eller det ville medføre en uforholdsmæssig stor indsats for dataeksportøren. I sidstnævnte tilfælde gør dataimportøren i videst muligt omfang oplysningerne offentligt tilgængelige.

C. På forespørgsel gør parterne en kopi af disse bestemmelser, herunder tillægget udfyldt af parterne, tilgængelig for den registrerede uden beregning. I det omfang det er nødvendigt for at beskytte forretningshemmeligheder eller andre fortrolige oplysninger, herunder personoplysninger, kan parterne redigere dele af teksten i tillægget, før en kopi stilles til rådighed, men de skal samtidig tilvejebringe et meningsfyldt resumé, hvis den registrerede ellers ikke ville være i stand til at forstå tillæggets indhold eller udøve sine rettigheder. Efter anmodning meddeler parterne den registrerede årsagerne til redigeringen uden at afsløre de redigerede oplysninger, i det omfang det er muligt.

D. Litra a) til c) berører ikke dataeksportørens forpligtelser i medfør af artikel 13 og 14 i forordning (EU) 2016/679.

8.3. Nøjagtighed og dataminimering 

A. Parterne sikrer hver især, at personoplysningerne er nøjagtige og om nødvendigt ajourførte. Dataimportøren træffer alle rimelige foranstaltninger for at sikre, at unøjagtige personoplysninger, der har relevans for formålet eller formålene for behandlingen, bliver slettet eller rettet hurtigst muligt.

B. Hvis en af parterne bliver opmærksom på, at de personoplysninger, som denne part har videregivet eller modtaget, er unøjagtige eller forældede, informerer denne part den anden part uden unødig forsinkelse.

C. Dataimportøren sikrer, at personoplysningerne er tilstrækkelige, relevante og begrænsede til de oplysninger, der er nødvendige for formålet eller formålene med behandlingen.

8.4. Opbevaringsbegrænsning

Dataimportøren gemmer kun personoplysningerne i den periode, der er nødvendig til det eller de formål, som oplysningerne behandles til. Dataimportøren etablerer tilstrækkelige tekniske og organisatoriske foranstaltninger til at sikre overholdelse af denne forpligtelse, herunder sletning eller anonymisering² af oplysningerne samt alle sikkerhedskopier ved opbevaringsperiodens udløb.

8.5. Sikkerhed i forbindelse med behandling

i. Dataimportøren, og under dataoverførsel også dataeksportøren, iværksætter tilstrækkelige tekniske og organisatoriske sikkerhedsforanstaltninger til at garantere datasikkerheden, herunder sikkerhedsbrud, der kan føre til hændelig eller ulovlig ødelæggelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysningerne (herefter benævnt »brud på persondatasikkerheden«). Ved vurdering af det tilstrækkelige sikkerhedsniveau tages behørigt hensyn til den bedste teknologi, implementeringsomkostninger, art, omfang, sammenhæng og formål med behandlingen samt de risici, som behandlingen indebærer for den registrerede. Parterne overvejer navnlig at anvende kryptering eller pseudonymisering, herunder under videregivelse, hvis formålet med behandlingen kan opfyldes på denne måde.

ii. Parterne har indgået aftale om de tekniske og organisatoriske foranstaltninger i medfør af bilag II. Dataimportøren udfører en regelmæssig kontrol for at sikre, at foranstaltningerne fortsat garanterer et tilstrækkeligt sikkerhedsniveau.

iii. Dataimportøren sikrer, at personer, der har tilladelse til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

iv. I tilfælde af brud på persondatasikkerheden vedrørende personoplysninger, som dataimportøren behandler i henhold til disse bestemmelser, træffer dataimportøren tilstrækkelige foranstaltninger til at håndtere bruddet på persondatasikkerheden, herunder foranstaltninger til at afbøde eventuelle negative konsekvenser af bruddet.

v. I tilfælde af brud på persondatasikkerheden, der med sandsynlighed indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder, underretter dataimportøren uden unødig forsinkelse både dataeksportøren og den kompetente tilsynsmyndighed, jf. bestemmelse 13. Denne underretning indeholder i) en beskrivelse af typen af sikkerhedsbrud (herunder, hvis det er muligt, kategorier og det omtrentlige antal berørte registrerede personer og dataregistreringer), ii) de sandsynlige konsekvenser, iii) foreslåede eller iværksatte foranstaltninger til håndtering af sikkerhedsbruddet og iv) oplysninger om et kontaktpunkt, der kan give yderligere oplysninger. Hvis dataimportøren ikke kan give alle oplysningerne på samme tid, kan de oplyses trinvist uden yderligere unødig forsinkelse.

vi. I tilfælde af brud på persondatasikkerheden, der med sandsynlighed kan medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder, underretter dataimportøren også uden unødig forsinkelse de berørte registrerede personer om bruddet på persondatasikkerheden samt arten heraf, hvis det er nødvendigt i samarbejde med dataeksportøren, ledsaget af oplysningerne i medfør af litra e), punkt ii) til iv), medmindre dataimportøren har iværksat foranstaltninger, der i væsentlig grad reducerer risikoen for de fysiske personers rettigheder eller frihedsrettigheder, eller en sådan underretning vil kræve en uforholdsmæssig stor indsats. I sidstnævnte tilfælde udsender dataimportøren i stedet en offentlig meddelelse eller træffer tilsvarende foranstaltninger til at informere offentligheden om bruddet på persondatasikkerheden.

vii. Dataimportøren dokumenterer alle relevante forhold vedrørende bruddet på persondatasikkerheden, herunder sin indsats og eventuelle udbedrende foranstaltninger, og fører registrering heraf.

8.6. Følsomme personoplysninger

Hvis overførslen indeholder personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data til formål for entydig identifikation af en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering eller data vedrørende domme eller lovovertrædelse (herefter benævnt »følsomme personoplysninger«), anvender dataimportøren særlige restriktioner og/eller yderligere garantier alt efter de specifikke data og den foreliggende risiko. Det kan være begrænsning af det personale, der har adgang til personoplysningerne, supplerende sikkerhedsforanstaltninger (f.eks. pseudonymisering) eller yderligere restriktioner vedrørende videregivelse.

8.7. Videreoverførsel

Dataimportøren videregiver ikke personoplysningerne til en tredjepart uden for Den Europæiske Union³ (i samme land som dataimportøren eller i et andet tredjeland, herefter benævnt »videreoverførsel«), medmindre denne tredjepart er eller accepterer at være bundet af det relevante modul af disse bestemmelser. I andre tilfælde videreoverfører dataimportøren kun oplysningerne, hvis:

 

i. overførslen sker til et land, hvor der foreligger en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, jf. artikel 45 i forordning (EU) 2016/679, der omfatter videreoverførslen 

ii. tredjeparten på anden måde sikrer fornødne garantier, jf. artikel 46 eller 47 i forordning (EU) 2016/679, for den pågældende behandling

iii. tredjeparten indgår en bindende aftale med dataimportøren om at garantere det samme niveau af databeskyttelse som i henhold til disse bestemmelser, og dataimportøren stiller en kopi af disse garantier til rådighed for dataeksportøren 

iv. det er nødvendigt med henblik på fastlæggelse, udøvelse eller forsvar af retskrav i forbindelse med konkrete administrative eller retlige procedurer

v. det er nødvendigt for at beskytte den registreredes eller en anden fysisk persons vitale interesser eller 

vi. såfremt ingen af de øvrige betingelser finder anvendelse, importøren har indhentet den registreredes udtrykkelige samtykke til videreoverførsel i en konkret situation efter at have informeret vedkommende om formålet eller formålene hermed, modtagers identitet samt de mulige risici for vedkommende ved en sådan overførsel på grund af de utilstrækkelige databeskyttelsesgarantier. I et sådant tilfælde informerer dataimportøren dataeksportøren og fremsender på anmodning fra sidstnævnte en kopi til denne af de oplysninger, der er givet til den registrerede.​

Videreoverførsel er betinget af, at dataimportøren samtidig overholder alle øvrige garantier i henhold til disse bestemmelser, navnlig formålsbegrænsning. 

8.8. Databehandling under dataimportørens ansvar 

Dataimportøren sikrer, at alle personer, der optræder under dennes ansvar, herunder databehandler, udelukkende behandler data efter instruks fra dataimportøren. 

8.9. Dokumentation og overholdelse 

A. Alle parterne skal kunne påvise overholdelse af deres forpligtelser i henhold til disse bestemmelser. Navnlig skal dataimportøren føre en passende dokumentation for behandlingsaktiviteterne udført under dennes ansvar.

B. Dataimportøren sikrer, at en sådan dokumentation er til rådighed for den kompetente tilsynsmyndighed på forespørgsel.

MODUL FIRE: Overførsel fra dataansvarlig til dataansvarlig

8.1. Instrukser

A. Dataeksportøren behandler kun personoplysningerne efter dokumenterede instrukser fra dataimportøren, der optræder i egenskab af dataansvarlig.

B. Dataeksportøren underretter straks dataimportøren, hvis denne ikke er i stand til at følge disse instrukser, herunder hvis sådanne instrukser er i strid med forordning (EU) 2016/679 eller anden EU-ret eller medlemsstatslovgivning om databeskyttelse.

C. Dataimportøren afstår fra enhver handling, der forhindrer dataeksportøren i at opfylde sine forpligtelser i henhold til forordning (EU) 2016/679, herunder i forbindelse med underkontraheret databehandling eller for så vidt angår samarbejde med de kompetente tilsynsmyndigheder.

D. Når behandlingen er afsluttet og efter dataimportørens anvisning, sletter dataeksportøren alle personoplysninger, som denne har behandlet på vegne af dataimportøren, og bekræfter over for dataimportøren, at arbejdet er afsluttet, eller tilbageleverer alle personoplysninger til dataimportøren, som er blevet behandlet på vegne af denne, og sletter eksisterende kopier.

8.2. Sikkerhed i forbindelse med behandling

A. Parterne iværksætter tilstrækkelige tekniske og organisatoriske sikkerhedsforanstaltninger til at garantere datasikkerheden, herunder under videregivelse, samt til beskyttelse mod sikkerhedsbrud, der kan føre til hændelig eller ulovlig ødelæggelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysningerne (herefter benævnt »brud på persondatasikkerheden«). Når de vurderer det passende sikkerhedsniveau, tager de behørigt hensyn til den bedste teknologi, implementeringsomkostninger, personoplysningernes art⁴, behandlingens art, omfang, sammenhæng og formål samt de risici, som behandlingen indebærer for de registrerede, og overvejer især at anvende kryptering eller pseudonymisering, herunder under overførslen, hvis dette ikke forhindrer opfyldelsen af formålet med behandlingen.

B. Dataeksportøren bistår dataimportøren med at garantere en passende datasikkerhed i overensstemmelse med litra a). I tilfælde af brud på persondatasikkerheden vedrørende de personoplysninger, som dataeksportøren behandler i henhold til disse bestemmelser, underretter dataeksportøren dataimportøren uden unødig forsinkelse efter at have fået kendskab hertil og bistår dataimportøren med at afhjælpe sikkerhedsbruddet.

C. Dataimportøren sikrer, at personer, der har tilladelse til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

 

8.3. Dokumentation og overholdelse 

Parterne skal kunne påvise, at de overholder disse bestemmelser.

Dataeksportøren stiller alle de oplysninger til rådighed for dataimportøren, der er nødvendige for at påvise, at dataeksportøren overholder sine forpligtelser i henhold til disse bestemmelser, og giver mulighed for samt bidrager til revisioner.

9. Brug af underdatabehandlere

N/A

10. De registreredes rettigheder

 

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig 

A. Dataimportøren behandler, eventuelt med bistand fra dataeksportøren, alle forespørgsler og anmodninger fra en registreret vedrørende behandlingen af vedkommendes personoplysninger og udøvelsen af vedkommendes rettigheder i henhold til disse bestemmelser uden unødig forsinkelse og senest inden for en måned efter modtagelse af en forespørgsel eller anmodning⁵. Dataimportøren træffer passende foranstaltninger til behandling af sådanne undersøgelser og anmodninger og udøvelse af registreredes rettigheder. Alle oplysninger, der gives til den registrerede, skal være letforståelige og lettilgængelige i et klart og enkelt sprog.

B. Efter anmodning fra den registrerede skal dataimportøren navnlig vederlagsfrit:

i. tilvejebringe en bekræftelse til den registrerede om, hvorvidt den pågældendes personoplysninger bliver behandlet, og, hvis det er tilfældet, en kopi af oplysningerne om den pågældende og oplysningerne i bilag I, hvis der er eller vil blive videreoverført personoplysninger, tilvejebringe oplysninger om modtagere eller kategorier af modtagere (alt efter hvad der er relevant med henblik på at give meningsfulde oplysninger), som personoplysningerne er blevet eller vil blive videreoverført til, formålet med sådanne videreoverførsler og begrundelsen herfor i henhold til bestemmelse 8.7 samt tilvejebringe oplysninger om retten til at indgive klage til en tilsynsmyndighed i overensstemmelse med bestemmelse 12, litra c), punkt i)

ii. berigtige urigtige eller ufuldstændige oplysninger om den registrerede

iii. slette personoplysninger om den registrerede, hvis sådanne oplysninger bliver eller er blevet behandlet i strid med en af disse bestemmelser, således at tredjemandsløftet sikres, eller hvis den registrerede trækker det samtykke, som behandlingen er baseret på, tilbage.

C. Hvis dataimportøren behandler personoplysningerne med henblik på direkte markedsføring, ophører behandlingen til sådanne formål, hvis den registrerede gør indsigelse mod den.

D. Dataimportøren træffer ikke afgørelse udelukkende på grundlag af en automatisk behandling af de overførte personoplysninger (i det følgende benævnt »automatisk afgørelse«), som vil have retsvirkning for den registrerede eller på tilsvarende vis i væsentlig grad berøre vedkommende, medmindre det sker med den registreredes udtrykkelige samtykke, eller hvis det er tilladt i henhold til lovgivningen i bestemmelseslandet, forudsat at denne lovgivning fastsætter egnede foranstaltninger til beskyttelse af de registreredes rettigheder og legitime interesser. I så fald skal dataimportøren om nødvendigt i samarbejde med dataeksportøren:

 

i. underrette den registrerede om den påtænkte automatiske afgørelse, de forventede konsekvenser og den anvendte fremgangsmåde og

ii. indføre passende garantier, som minimum ved at give den registrerede mulighed for at bestride afgørelsen, fremsætte sit synspunkt og få foretaget en menneskelig vurdering.

E. Hvis anmodninger fra en registreret er uforholdsmæssige, især fordi de gentages, kan dataimportøren enten opkræve et rimeligt gebyr baseret på de administrative omkostninger til behandling af anmodningen eller afvise at efterkomme anmodningen.

F. Dataimportøren kan afvise en registrerets anmodning, hvis et sådant afslag er tilladt i henhold til lovgivningen i bestemmelseslandet og er nødvendigt og rimeligt i et demokratisk samfund for at beskytte et af de mål, der er anført i artikel 23, stk. 1, i forordning (EU) 2016/679.

G. Hvis dataimportøren har til hensigt at afvise en registrerets anmodning, underretter denne den registrerede om årsagerne til afslaget og om muligheden for at indgive en klage til den kompetente tilsynsmyndighed og/eller indbringe sagen for en domstol.

MODUL FIRE: Overførsel fra databehandler til dataansvarlig 

Parterne bistår hinanden med at besvare forespørgsler og anmodninger fra registrerede i henhold til den lokale lovgivning, der finder anvendelse på dataimportøren, eller i henhold til forordning (EU) 2016/679 ved databehandling foretaget af dataeksportøren i EU.

11. Klageadgang

A. Dataimportøren underretter de registrerede i et gennemsigtigt og lettilgængeligt format, via individuel meddelelse eller på sit websted om et kontaktpunkt, der er bemyndiget til at behandle klager. Dataimportøren behandler straks klager, som den modtager fra en registreret.

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig 

B. I tilfælde af en tvist mellem en registreret og en af parterne om overholdelse af disse bestemmelser skal den pågældende part gøre sit bedste for at løse problemet i mindelighed og rettidigt. Parterne holder hinanden underrettet om sådanne tvister og samarbejder om at bilægge dem, hvis det er relevant.

C. Hvis den registrerede gør tredjemandsløftet gældende i henhold til bestemmelse 3, accepterer dataimportøren den registreredes afgørelse om at:

 

i. indgive en klage til tilsynsmyndigheden i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted eller sit arbejdssted, eller til den kompetente tilsynsmyndighed i henhold til bestemmelse 13

ii. indbringe sagen for de kompetente domstole i henhold til bestemmelse 18.

D. Parterne accepterer, at den registrerede kan lade sig repræsentere af et almennyttigt organ, en organisation eller en forening på de betingelser, der er fastsat i artikel 80, stk. 1, i forordning (EU) 2016/679.

E. Dataimportøren accepterer at rette sig efter en afgørelse, der er bindende i henhold til gældende EU-ret eller medlemsstatslovgivning.

F. Dataimportøren accepterer, at den registreredes valg ikke berører vedkommendes materielle og proceduremæssige rettigheder til at benytte sig af retsmidler i overensstemmelse med gældende lovgivning.

12. Ansvar

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig 

MODUL FIRE: Overførsel fra databehandler til dataansvarlig

A. Parterne er ansvarlige over for den eller de andre parter for eventuel skade, som en part påfører den eller de andre parter ved overtrædelse af disse bestemmelser.

B. Parterne er ansvarlige over for den registrerede, og den registrerede har ret til erstatning for materiel eller immateriel skade, som parten forårsager den registrerede ved at tilsidesætte tredjemandsløftet i henhold til disse bestemmelser. Dette berører ikke dataeksportørens forpligtelser, jf. forordning (EU) 2016/679.

C. Hvis mere end én part er ansvarlig for skader, der påføres den registrerede som følge af en overtrædelse af disse bestemmelser, hæfter alle ansvarlige parter solidarisk, og den registrerede har ret til at anlægge sag mod enhver af disse parter.

D. Parterne er enige om, at hvis en part drages til ansvar i henhold til litra c), har denne part ret til at kræve kompensation fra den eller de andre parter for den del af erstatningen, der svarer til dens eller deres ansvar for skaden.

E. Dataimportøren kan ikke unddrage sig sit eget ansvar ved at påberåbe sig en databehandlers eller underdatabehandlers adfærd.

13. Tilsyn

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig 

A. Den tilsynsmyndighed, der har ansvaret for at sikre, at dataeksportøren overholder forordning (EU) 2016/679 for så vidt angår dataoverførslen, jf. bilag I.C, fungerer som kompetent tilsynsmyndighed.

B. Dataimportøren indvilliger i at henvende sig til og samarbejde med den kompetente tilsynsmyndighed om alle procedurer, der har til formål at sikre overholdelse af disse bestemmelser. Dataimportøren accepterer navnlig at besvare forespørgsler, samarbejde ved revisioner og overholde de foranstaltninger, som tilsynsmyndigheden har vedtaget, herunder afhjælpende og kompenserende foranstaltninger. Dataimportøren giver tilsynsmyndigheden en skriftlig bekræftelse af, at de nødvendige foranstaltninger er truffet.

Afsnit III - Lokale love og forpligtelser i tilfælde af offentlige myndigheders adgang

14. Lokale love og praksis, der påvirker overholdelsen af bestemmelserne 

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig 

MODUL FIRE: Overførsel fra databehandler til dataansvarlig (hvis EU-databehandleren kombinerer de personoplysninger, der modtages fra den dataansvarlige i tredjelandet, med personoplysninger indsamlet af databehandleren i EU) 

A. Parterne garanterer, at de ikke har grund til at tro, at den lovgivning og praksis i bestemmelsestredjelandet, der gælder for dataimportørens behandling af personoplysninger, herunder krav om videregivelse af personoplysninger eller foranstaltninger, der tillader offentlige myndigheders adgang, forhindrer dataimportøren i at opfylde sine forpligtelser i henhold til disse bestemmelser. Dette baseres på, at lovgivning og praksis, der respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder og ikke går videre, end hvad der er nødvendigt og rimeligt i et demokratisk samfund for at sikre et af de mål, der er anført i artikel 23, stk. 1, i forordning (EU) 2016/679, ikke anses for at være i modstrid med disse bestemmelser.

B. Parterne erklærer, at de ved ydelsen af garantien i litra a) navnlig har taget behørigt hensyn til følgende elementer:

i. de særlige omstændigheder ved overførslen, herunder behandlingskædens længde, antallet af involverede aktører og de anvendte transmissionskanaler, påtænkte videreoverførsler, modtagertype, formålet med behandlingen, kategorierne og formatet af de overførte personoplysninger, den økonomiske sektor, inden for hvilken overførslen finder sted, og opbevaringsstedet for de overførte oplysninger

ii. lovgivning og praksis i bestemmelsestredjelandet — herunder dem, der kræver videregivelse af oplysninger til offentlige myndigheder eller tillader sådanne myndigheder adgang — som er relevante på grund af de konkrete forhold ved overførslen samt de gældende begrænsninger og garantier⁶

iii. alle relevante kontraktmæssige, tekniske eller organisatoriske sikkerhedsforanstaltninger, der er indført for at supplere garantierne i henhold til disse bestemmelser, herunder foranstaltninger, der anvendes under videregivelsen og behandlingen af personoplysninger i bestemmelseslandet.

C. Dataimportøren garanterer, at denne i forbindelse med den vurdering, der er omhandlet i litra b), har gjort sit bedste for at give dataeksportøren relevante oplysninger og indvilliger i fortsat at samarbejde med dataeksportøren for at sikre, at disse bestemmelser overholdes.

D. Parterne er enige om at dokumentere vurderingen i henhold til litra b) og efter anmodning stille den til rådighed for den kompetente tilsynsmyndighed.

E. Dataimportøren indvilliger i straks at underrette dataeksportøren, hvis denne efter at have accepteret disse bestemmelser og i kontraktens løbetid har grund til at tro, at den pågældende er eller er blevet underlagt love eller praksis, der ikke er i overensstemmelse med kravene i litra a), herunder efter en ændring af lovgivningen i tredjelandet eller en foranstaltning (f.eks. en anmodning om videregivelse af oplysninger), der angiver en anvendelse af sådanne love i praksis, som ikke er i overensstemmelse med kravene i litra a). 

F. Efter en underretning i henhold til litra e), eller hvis dataeksportøren på anden måde har grund til at tro, at dataimportøren ikke længere kan opfylde sine forpligtelser i henhold til disse bestemmelser, identificerer dataeksportøren straks passende foranstaltninger (f.eks. tekniske eller organisatoriske foranstaltninger til at garantere sikkerhed og fortrolighed), som dataeksportøren og/eller dataimportøren skal træffe for at afhjælpe situationen. Dataeksportøren suspenderer dataoverførslen, hvis denne mener, at de fornødne garantier ved overførslen ikke kan sikres, eller efter instruks fra den kompetente tilsynsmyndighed til at gøre dette. I så fald har dataeksportøren ret til at opsige kontrakten, for så vidt den vedrører behandling af personoplysninger i henhold til disse bestemmelser. Hvis kontrakten omfatter mere end to parter, kan dataeksportøren kun udøve denne opsigelsesret over for den relevante part, medmindre parterne har aftalt andet. Når kontrakten opsiges i henhold til denne bestemmelse, finder bestemmelse 16, litra d) og e), anvendelse.

15. Dataimportørens forpligtelser i tilfælde af offentlige myndigheders adgang

 

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig 

MODUL FIRE: Overførsel fra databehandler til dataansvarlig (hvis EU-databehandleren kombinerer de personoplysninger, der modtages fra den dataansvarlige i tredjelandet, med personoplysninger indsamlet af databehandleren i EU) 

15.1. Underretning 

A. Dataimportøren indvilliger i straks at underrette dataeksportøren og, hvis det er muligt, den registrerede (om nødvendigt med hjælp fra dataeksportøren), hvis denne:

i. modtager en retligt bindende anmodning fra en offentlig (herunder en retlig) myndighed i henhold til lovgivningen i bestemmelseslandet om videregivelse af personoplysninger, der er overført i henhold til disse bestemmelser; en sådan underretning skal indeholde oplysninger om de personoplysninger, der anmodes om, den anmodende myndighed, retsgrundlaget for anmodningen og svaret eller

ii. får kendskab til enhver direkte adgang for offentlige myndigheder til personoplysninger, der overføres i henhold til disse bestemmelser, i overensstemmelse med lovgivningen i bestemmelseslandet; underretningen skal indeholde alle de oplysninger, importøren råder over.

B. Hvis dataimportøren har forbud mod at underrette dataeksportøren og/eller den registrerede i henhold til lovgivningen i bestemmelseslandet, indvilliger dataimportøren i at gøre sit bedste for at opnå en ophævelse af forbuddet med henblik på at meddele så mange oplysninger som muligt og hurtigst muligt. Dataimportøren indvilliger i at dokumentere sin bedste indsats for at kunne påvise dette på dataeksportørens anmodning.

C. Hvis det er tilladt i henhold til lovgivningen i bestemmelseslandet, indvilliger dataimportøren i med regelmæssige mellemrum i kontraktens løbetid at give dataeksportøren den størst mulige mængde relevante oplysninger om de modtagne anmodninger (navnlig antallet af anmodninger, typen af oplysninger, der anmodes om, den eller de anmodende myndigheder, hvorvidt anmodninger er blevet anfægtet og resultatet af sådanne anfægtelser osv.).

D. Dataimportøren indvilliger i at bevare oplysningerne i henhold til litra a) til c) i kontraktens løbetid og stiller dem til rådighed for den kompetente tilsynsmyndighed på anmodning.

E. Litra a) til c) berører ikke dataimportørens forpligtelse i henhold til bestemmelse 14, litra e), og bestemmelse 16 til straks at underrette dataeksportøren, hvis dataimportøren ikke er i stand til at overholde disse bestemmelser.

15.2. Legalitetskontrol og dataminimering 

A. Dataimportøren indvilliger i at undersøge lovligheden af anmodningen om videregivelse af oplysninger, navnlig om den forbliver inden for de beføjelser, der er tildelt den anmodende offentlige myndighed, og at anfægte anmodningen, hvis dataimportøren efter en grundig vurdering konkluderer, at der er rimelig grund til at antage, at anmodningen er ulovlig i henhold til bestemmelseslandets lovgivning, gældende forpligtelser i henhold til folkeretten og principperne om international forståelse. Dataimportøren gør på samme betingelser brug af klagemuligheder. Ved anfægtelse af en anmodning anmoder dataimportøren om foreløbige foranstaltninger med henblik på at suspendere virkningerne af anmodningen, indtil den kompetente retlige myndighed har truffet afgørelse om sagens realitet. Dataimportøren videregiver først de personoplysninger, der anmodes om, i henhold til de gældende procedureregler. Disse krav berører ikke dataimportørens forpligtelser i henhold til bestemmelse 14, litra e).

B. Dataimportøren indvilliger i at dokumentere sin juridiske vurdering og enhver anfægtelse af anmodningen om videregivelse af oplysninger og stiller dokumentationen til rådighed for dataeksportøren i det omfang, det er tilladt i henhold til lovgivningen i bestemmelseslandet. Dataimportøren stiller også dokumentationen til rådighed for den kompetente tilsynsmyndighed efter anmodning.

C. Dataimportøren indvilliger i at give det minimum af oplysninger, der er tilladt ved besvarelse af en anmodning om videregivelse af oplysninger, baseret på en rimelig fortolkning af anmodningen.

Afsnit IV - Afsluttende bestemmelser

16. Manglende overholdelse af bestemmelserne og ophævelse 

A. Dataimportøren informerer omgående dataeksportøren, hvis dataimportøren uanset årsagen ikke kan overholde disse bestemmelser.

B. Hvis dataimportøren overtræder disse bestemmelser eller ikke er i stand til at overholde bestemmelserne, suspenderer dataeksportøren overførslen af personoplysninger til dataimportøren, indtil overtrædelsen bringes til ophør eller kontrakten ophører. Dette berører ikke bestemmelse 14, litra f).

C. Dataeksportøren har ret til at opsige kontrakten, for så vidt den vedrører behandling af personoplysninger i henhold til disse bestemmelser, hvis:

 

i. dataeksportøren har suspenderet videregivelsen af personoplysninger til dataimportøren i henhold til litra b), og overholdelsen af disse bestemmelser ikke genetableres inden for en rimelig frist og under alle omstændigheder senest en måned efter suspensionen

ii. dataimportøren på alvorlig eller vedvarende vis tilsidesætter disse bestemmel-ser eller 

iii. dataimportøren ikke efterkommer en bindende afgørelse truffet af en kompetent domstol eller tilsynsmyndighed vedrørende dennes forpligtelser i henhold til dis-se bestemmelser. I så fald underretter dataimportøren den kompetente tilsyns-myndighed om en sådan manglende overholdelse. Hvis kontrakten omfatter me-re end to parter, kan dataeksportøren kun udøve denne opsigelsesret over for den relevante part, medmindre parterne har aftalt andet. 

D. Til modul et: Personoplysninger, der allerede er overført inden kontraktens ophør i henhold til litra c), bør efter dataeksportørens valg omgående tilbageleveres til dataeksportøren eller slettes i deres helhed. Det samme gælder kopier af dataene.

Til modul fire: Personoplysninger indsamlet af dataeksportøren i EU, som allerede er over-ført inden kontraktens ophør i henhold til litra c), skal straks slette i deres helhed, herunder eventuelle kopier heraf. 
 

Dataimportøren dokumenterer sletningen af oplysningerne over for dataeksportøren. Indtil dataene slettes eller returneres, skal dataimportøren fortsat sikre, at disse bestemmelser overholdes. I tilfælde, hvor lokal lovgivning, der er gældende for dataimportøren, forbyder sletning eller tilbagelevering af de overførte personoplysninger, garanterer dataimportøren, at denne fortsat sikrer overholdelse af disse bestemmelser og kun behandler personoplysningerne i det omfang og i den periode, der er krævet i henhold til den lokale lovgivning. 

E. Hver part kan tilbagekalde sit samtykke til at være bundet af disse bestemmelser, hvis i) Europa-Kommissionen vedtager en afgørelse i henhold til artikel 45, stk. 3, i forordning (EU) 2016/679, som omfatter overførsel af personoplysninger, som disse bestemmelser finder anvendelse på, eller ii) forordning (EU) 2016/679 bliver en del af de retlige rammer i det land, hvortil personoplysningerne overføres. Dette berører ikke de øvrige forpligtelser, der gælder for den pågældende behandling, jf. forordning (EU) 2016/679.

17. Gældende lovgivning

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig 

Disse bestemmelser er underlagt lovgivningen i en af EU-medlemsstaterne, forudsat at denne lovgivning giver mulighed for påberåbelse af tredjemandsløftet. Parterne er enige om, at dette skal være lovgivningen i Danmark.

MODUL FIRE: Overførsel fra databehandler til dataansvarlig 
Disse bestemmelser er underlagt lovgivningen i et land, der giver mulighed for påberåbelse af tredjemandsløftet. Parterne er enige om, at dette skal være lovgivningen i Danmark.

18. Valg af værneting og kompetent domstol

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig 
 

A. Tvister, der opstår i forbindelse med disse bestemmelser, afgøres af domstolene i en EU-medlemsstat. 

  

B. Parterne er enige om, at dette skal være domstolene i Danmark. 


C. En registreret kan også anlægge sag mod dataeksportøren og/eller dataimportøren ved domstolene i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted. 


D. Parterne er enige om at lade sig underkaste sig sådanne domstoles kompetence. 

MODUL FIRE: Overførsel fra databehandler til dataansvarlig 
Tvister, der opstår i forbindelse med disse bestemmelser, afgøres af domstolene i Danmark.

Fodnoter

¹ Hvis dataeksportøren er en databehandler i medfør af forordning (EU) 2016/679, der handler på vegne af en EU-institution eller et EU-organ i egenskab af dataansvarlig, skal anvendelse af disse standardkontraktbestemmelser ved brug af en anden databehandler (underkontraheret databehandling), der ikke er omfattet af forordning (EU) 2016/679, også sikre overholdelse af artikel 29, stk. 4, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39) i det omfang, at disse standardkontraktbestemmelser samt databeskyttelsesforpligtelser som fastsat i kontrakten eller et andet retligt dokument mellem den dataansvarlige og databehandleren, jf. artikel 29, stk. 3, i forordning (EU) 2018/1725, er tilpasset hinanden. Dette vil navnlig være tilfældet, hvis den dataansvarlige og databehandleren baserer sig på standardkontraktbestemmelserne i gennemførelsesafgørelse 2021/ 915.

² Ved anonymisering af oplysningerne er der krav om, at enkeltpersoner ikke længere kan identificeres, jf. betragtning 26 i forordning (EU) 2016/679, samt at processen er irreversibel.

³ Aftalen om Det Europæiske Økonomiske Samarbejdsområde (EØS-aftalen) indeholder bestemmelser vedrørende udvidelse af EU's indre marked til at omfatte de tre EØS-lande Island, Liechtenstein og Norge. Unionsretten vedrørende databeskyttelse, herunder forordning (EU) 2016/679, er omfattet af EØS-aftalen og er indarbejdet i bilag XI hertil. Derfor udgør videregivelse af oplysninger fra dataimportøren til en tredjepart i EØS ikke en videreoverførsel i betydningen i disse bestemmelser.

⁴ Dette omfatter, om overførslen og den videre behandling omfatter personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en persons seksuelle forhold eller seksuelle orientering eller om straffedomme eller lovovertrædelser.

⁵ Denne periode kan om nødvendigt forlænges med op til to måneder afhængigt af anmodningernes kompleksitet og antal. Dataimportøren underretter straks og behørigt den registrerede om en sådan forlængelse.

⁶ For så vidt angår sådanne loves og praksissers betydning for overholdelsen af disse bestemmelser kan forskellige elementer indgå som en del af en samlet vurdering. Disse elementer kan omfatte relevant og dokumenteret praktisk erfaring med tidligere anmodninger om videregivelse af oplysninger fra offentlige myndigheder, eller manglen på samme, i en passende og tilstrækkeligt repræsentativ periode. Dette gælder navnlig interne registre eller anden dokumentation, der løbende udarbejdes i overensstemmelse med due diligence og er certificeret på øverste ledelsesniveau, forudsat at disse oplysninger lovligt kan deles med tredjeparter. Når det på grundlag af denne praktiske erfaring konkluderes, at dataimportøren ikke vil blive forhindret i at overholde disse bestemmelser, skal dette understøttes af andre relevante objektive elementer, og det er op til parterne grundigt at overveje, om disse elementer tilsammen er tilstrækkeligt tungtvejende med hensyn til pålidelighed og repræsentativitet til at understøtte denne konklusion. Parterne bør navnlig tage hensyn til, om deres praktiske erfaringer underbygges af og ikke er i modstrid med offentligt tilgængelige eller på anden måde tilgængelige, pålidelige oplysninger om eksistensen eller fraværet af anmodninger inden for samme sektor og/eller anvendelsen af lovgivningen i praksis, såsom retspraksis og rapporter fra uafhængige tilsynsorganer.

Tillæg

Bilag I

A. Liste over parter 

Dataeksportør:

.legal A/S
Inge Lehmanns Gade 10
8000 Aarhus C
CVR-nr.: 40 88 88 88 

Kontaktperson:


[NAVN]
[STILLING]
E-mail: [E-MAIL]
Telefon: [TELEFON]


Aktiviteter med relevans for de oplysninger, der overføres i henhold til disse bestemmelser: 

  • .legal er dataeksportør i forhold til de Ydelser, som Kunden i henhold til parternes aftale om le-vering af IT-ydelser (”Hovedaftalen”) har købt. 

Underskrift og dato: 

  • Disse bestemmelser udgør et bilag til parternes Hovedaftale. Disse bestemmelser betragtes således som indgået på tidspunktet for Hovedaftalens underskrift.

Rolle (dataansvarlig/databehandler):

  • .legals rolle afhænger af, hvilken Ydelse Kunden i henhold til parternes Hovedaftale har købt. .legals har dog følgende roller i relation til de Ydelser, som det er muligt for Kunden at købe:

- SmartDraft, PACTIUS og PACTIUS Privacy: Databehandler
- DPA Service: Dataansvarlig

 

Dataimportør(er):
Kunden som angivet i Hovedaftalen er dataimportør i forhold til den overførsel af personoplysninger der finder sted i forbindelse med Kundens brug af Ydelserne.

 

Aktiviteter med relevans for de oplysninger, der overføres i henhold til disse bestemmelser:

  • Kunden er dataimportør i forhold til de Ydelser, som Kunden i henhold til parternes Hovedaftale har købt.

 

Underskrift og dato:

  • Disse bestemmelser udgør et bilag til parternes Hovedaftale. Disse bestemmelser betragtes således som indgået på tidspunktet for Hovedaftalens underskrift.

Rolle (dataansvarlig/databehandler):

  • Dataansvarlig

 

B. Beskrivelse af overførslen

DPA Service

Kategorier af registrerede personer for hvem personoplysninger overføres:

  • Medarbejdere, kontaktpersoner hos kunder, leverandører, samarbejdspartnere, og andre hvis personoplysninger fremgår af de dokumenter besvarelser der uploades i DPA Service.

 

Kategorier af personoplysninger, der overføres:

  • Kontaktoplysninger, herunder fx navn, adresse, postnummer, e-mail, telefonnummer.

 

Overførslens hyppighed (f.eks. om dataene overføres på engangsbasis eller løbende):

  • Overførslen pågår løbende under aftaleforholdet i forbindelse med Kundens adgang til DPA Service fra et usikkert tredjeland.

 

Behandlingens art:

  • Behandlingen af personoplysninger i DPA Service består i behandling i forbindelse med brugeradgang, løbende fremsendelse af notifikationer til databehandlere der kontrolleres via DPA Service og generering af diverse oversigter og rapporter.

 

Formål med dataoverførslen og den videre behandling:

  • Formålet med overførslen af personoplysninger sker med det formål at levere de services, som DPA Service tilbyder, herunder for at give Kunden brugeradgang, løbende fremsendelse af notifikationer til de databehandlere, der kontrolleres via løsningen og generering af diverse oversigter og rapporter. Kundens formål med behandlingen er at leve op til kravene om, at der skal føres kontrol med databehandleres behandling af personoplysninger.

 

Den periode, hvor personoplysningerne opbevares eller, hvis det ikke kan oplyses, kriterier for fastsættelse af perioden:

  • Oplysningerne kan opbevares så længe de er nødvendige for at kunne dokumentere den gennemførte kontrol.

 

PACTIUS og PACTIUS Privacy

Kategorier af registrerede personer for hvem personoplysninger overføres:

  • Medarbejdere, kontaktpersoner hos kunder, leverandører, samarbejdspartnere, og andre hvis personoplysninger fremgår af de dokumenter, den dataansvarlige uploader i PACTIUS og/eller PACTIUS Privacy.

 

Kategorier af personoplysninger, der overføres:

  • Kontaktoplysninger, herunder fx navn, adresse, postnummer, e-mail, telefonnummer, aliaser, kundenummer.

  • Andre personoplysninger der fremgår af dokumenter, som den dataansvarlige uploader i PACTIUS og/eller PACTIUS Privacy.

 

Overførslens hyppighed (f.eks. om dataene overføres på engangsbasis eller løbende):

  • Overførslen pågår løbende under aftaleforholdet i forbindelse med, at den dataansvarlige anvender PACTIUS og/eller PACTIUS Privacy fra et usikkert tredjeland.

 

Behandlingens art:

  • Behandlingen af personoplysninger i PACTIUS og/eller PACTIUS Privacy består i opbevaring, behandling i forbindelse med brugeradgang, løbende fremsendelse af notifikationer til den dataansvarlige om forpligtelser i kontrakter og generering af diverse oversigter og rapporter.

 

Formål med dataoverførslen og den videre behandling:

  • Databehandleren må behandle personoplysninger vedrørende de registrerede personer med det formål at levere de services, som PACTIUS- og/eller PACTIUS Privacy-platformen tilbyder, herunder for at give den dataansvarlige brugeradgang, løbende fremsendelse af notifikationer til den dataansvarlige om forpligtelser i kontrakter og generering af diverse oversigter og rapporter samt med henblik på at opbevare personoplysninger, der fremgår af dokumenter uploadet i PACTIUS og/eller PACTIUS Privacy.

 

Den periode, hvor personoplysningerne opbevares eller, hvis det ikke kan oplyses, kriterier for fastsættelse af perioden:

  • Personoplysningerne behandles løbende hos databehandleren under hele Hovedaftalens varighed.

 

SmartDraft

Kategorier af registrerede personer for hvem personoplysninger overføres:

  • Brugere af SmartDraft hos den dataansvarlige

  • Fysiske personer, hvis navn og øvrige personoplysninger den dataansvarlige angiver i et spørgeskema i SmartDraft

 

Kategorier af personoplysninger, der overføres:

 

  • Brugeroplysninger (navn, e-mailadresse, brugernavn og kodeord samt sædvanlig logning af brugeres adfærd på SmartDraft systemet)

  • Enhver oplysning om en fysisk person, der indtastes af den dataansvarlige i et spørgeskema i SmartDraft. Den dataansvarlige kan frit definere, hvilke oplysninger der skal indsamles via spørgeskemaer i SmartDraft. Typen af personoplysninger, der behandles, afhænger således af, hvordan den dataansvarlige vælger at konfigurere sine spørgeskemaer.

 

Overførslens hyppighed (f.eks. om dataene overføres på engangsbasis eller løbende):

  • Overførslen pågår løbende under aftaleforholdet i forbindelse med, at den dataansvarlige anvender SmartDraft fra et usikkert tredjeland.

 

Behandlingens art:

  • Behandlingen af personoplysninger i SmartDraft består i opbevaring og behandling i forbindelse med brugeradgang.

 

Formål med dataoverførslen og den videre behandling:

  • Databehandleren må alene behandle personoplysninger, som er nødvendige for at levere SmartDraft til den dataansvarlige. Formålet med behandlingen er dermed at give den dataansvarlige mulighed for at generere dokumenter i SmartDraft ved hjælp af et spørgeskema.

 

Den periode, hvor personoplysningerne opbevares eller, hvis det ikke kan oplyses, kriterier for fastsættelse af perioden:

  • Personoplysningerne behandles løbende hos databehandleren under hele Hovedaftalens varighed.

 

C. Kompetent tilsynsmyndighed

MODUL ET: Overførsel fra dataansvarlig til dataansvarlig

Udpegning af den eller de kompetente tilsynsmyndigheder i overensstemmelse med bestemmelse 13:

  • De danske tilsynsmyndigheder, Datatilsynet

Bilag II - Tekniske og organisatoriske foranstaltninger, herunder tekniske og organisatoriske foranstaltninger til sikring af datasikkerheden 

De tekniske og organisatoriske foranstaltninger er beskrevet her