Databehandleraftale

i henhold til art. 28 GDPR – mellem den dataansvarlige og AX1S / AIGOY (databehandleren)

§ 1 Genstand og varighed

Databehandlerens behandling af personoplysninger på vegne af den dataansvarlige i forbindelse med levering af AIGOY-platformen (AI Governance, Risk & Compliance). Varigheden følger hovedaftalen og ophører ved dennes opsigelse.

§ 2 Behandlingens karakter, omfang og formål

Levering af AIGOY-platformen og dens moduler (AI-inventar, Risk Management, Policy Management, Compliance Reporting, Board Portal, Training Hub, Whistleblowing) samt AI-assisteret udarbejdelse af politikker og risikovurderinger udført af Compliance CoWorker “Felix” efter fire-øjne-princippet. Behandlingen sker udelukkende med henblik på at levere ydelserne og på den dataansvarliges dokumenterede instruks.

§ 3 Datatyper og kategorier af registrerede

Typer af personoplysninger (typiske):

• Stam-/kontaktoplysninger (navn, virksomhedsmail, afdeling, rolle)
• Autentificeringsdata (hashet adgangskode, login-tidsstempel, sessionstoken)
• Brugs- og logdata for platformen (inkl. revisionsspor)
• Trænings-/kompetencedata (modulfremskridt, certifikater)
• Indholdsdata indtastet af den dataansvarlige (f.eks. politikker, risici, rapporter)

Kategorier af registrerede: den dataansvarliges medarbejdere, ledere og funktionærer, platformsbrugere samt i givet fald tredjeparter, hvis data den dataansvarlige indtaster som led i sine compliance-processer.

Særlige kategorier (art. 9 GDPR) er ikke en del af den tilsigtede anvendelse; indtastning af disse er udelukkende den dataansvarliges ansvar og bør undgås.

§ 4 Databehandlerens forpligtelser

I henhold til art. 28, stk. 3, GDPR forpligter databehandleren sig navnlig til at:

1. behandle data udelukkende på den dataansvarliges dokumenterede instruks (inkl. tredjelandsoverførsler, medmindre dette kræves ved lov).
2. sikre, at personer, der er bemyndiget til at behandle data, er underlagt fortrolighed.
3. implementere de tekniske og organisatoriske foranstaltninger, der kræves i henhold til art. 32 GDPR (bilag 1).
4. overholde betingelserne for at antage yderligere databehandlere (art. 28, stk. 2 og 4) (§ 6, bilag 2).
5. bistå den dataansvarlige med at opfylde de registreredes rettigheder (art. 12–23).
6. bistå den dataansvarlige med forpligtelser i henhold til art. 32–36 (sikkerhed, anmeldelse af brud, DPIA).
7. slette eller returnere personoplysninger efter behandlingens ophør efter den dataansvarliges valg (§ 10).
8. fremlægge dokumentation for overholdelse og muliggøre revisioner (§ 9).

§ 5 Tekniske og organisatoriske foranstaltninger (TOM)

De tekniske og organisatoriske foranstaltninger i bilag 1 (art. 32 GDPR) finder anvendelse. Foranstaltningerne kan tilpasses den tekniske udvikling, forudsat at beskyttelsesniveauet ikke forringes.

§ 6 Underdatabehandlere

Den dataansvarlige giver generel bemyndigelse til de underdatabehandlere, der er anført i bilag 2. Databehandleren indgår aftaler i henhold til art. 28 GDPR med dem, som pålægger tilsvarende forpligtelser. Ændringer varsles på forhånd; den dataansvarlige kan gøre indsigelse af vigtige databeskyttelsesmæssige grunde. For tredjelandsoverførsler gælder passende garantier (standardkontraktbestemmelser i henhold til art. 46, stk. 2, litra c, GDPR eller EU-U.S. Data Privacy Framework).

§ 7 De registreredes rettigheder

Databehandleren støtter den dataansvarlige i at besvare anmodninger fra registrerede og videresender uden unødig forsinkelse enhver anmodning, der rettes direkte til databehandleren.

§ 8 Anmeldelse af brud på persondatasikkerheden

Databehandleren underretter uden unødig forsinkelse den dataansvarlige, efter at databehandleren er blevet opmærksom på et brud på persondatasikkerheden, med de oplysninger, der kræves i henhold til art. 33 GDPR, så den dataansvarlige kan opfylde sine forpligtelser i henhold til art. 33 og 34 GDPR.

§ 9 Revisions- og dokumentationsrettigheder

Dokumentation tilvejebringes primært gennem egnet dokumentation (f.eks. SOC 2 Type II for den anvendte infrastruktur, revisionsrapporter, TOM-dokumentation). Hvor det er nødvendigt, muliggør databehandleren revisioner med rimeligt varsel og uden uforholdsmæssig forstyrrelse.

§ 10 Sletning og returnering

Efter behandlingens ophør sletter eller returnerer databehandleren alle personoplysninger efter den dataansvarliges valg og destruerer kopier, medmindre en lovbestemt opbevaringspligt gælder. Sletning bekræftes på anmodning.

§ 11 Ansvar

Ansvar reguleres af art. 82 GDPR og hovedaftalen.

§ 12 Afsluttende bestemmelser

Ændringer kræver tekstform. I tilfælde af konflikt har databeskyttelsesbestemmelserne i denne aftale forrang frem for hovedaftalen. Tysk ret finder anvendelse.

Bilag 1 – Tekniske & organisatoriske foranstaltninger (art. 32 GDPR)

AIGOY udvikles i Tyskland, hostes i Tyskland og supporteres fra Tyskland.

Bilag 2 – Godkendte underdatabehandlere

Senest opdateret: maj 2026. Denne skabelon er et udgangspunkt og udgør ikke juridisk rådgivning. Tilpas den til den konkrete situation, og få den juridisk gennemgået før brug. En aktuel liste over underdatabehandlere offentliggøres på siden Tillid & Sikkerhed.