Siden er under opbygning. Indholdet er senest opdateret i februar 2026. Vær opmærksom på, at vi løbende opdaterer siden.
Bruger du en databehandler? Her får du hjælp til at få styr på:
Når du lader en ekstern part (en databehandler) behandle personoplysninger på vegne af Aarhus Universitet (AU), har AU pligt til at sikre, at behandlingen foregår lovligt og sikkert. Det kaldes at føre tilsyn.
Tilsynet handler kort sagt om at kontrollere, at databehandleren følger reglerne og det, der står i databehandleraftalen.
Det er den person eller enhed på AU, der ejer systemet eller har købt ydelsen, som har ansvaret for at føre tilsyn. I mange tilfælde vil det derfor ikke være dig som forsker, der står med opgaven. Men hvis du har indkøbt et system eller en service specifikt til dit projekt, er det dig, der skal sørge for, at der føres tilsyn med databehandleren.
Arbejdet med tilsyn begynder faktisk, før du overhovedet skriver under på en aftale.
De følgende trin skal være på plads, fordi de danner grundlaget for, hvordan og hvor ofte tilsynet skal udføres.
1. Afklar behovet | Find ud af, hvad formålet med databehandlingen er. |
2. Lav en risikovurdering | Vurdér hvilket sikkerhedsniveau der er nødvendigt, og dokumentér vurderingen. |
3. Vælg en databehandler | Undersøg om databehandleren kan leve op til de krav, du har identificeret. Dokumentér vurderingen. |
4. Bestem tilsynsmåde og -frekvens | Brug AU’s model til at finde ud af, hvordan og hvor ofte du skal føre tilsyn. |
5. Indgå databehandleraftalen | Husk at din vurdering af tilsynsmåde og -frekvens er en del af databehandleraftalen. Kontakt TTO ([email protected]) for hjælp til at få aftalen på plads. |
Aarhus Universitet (AU) bruger fire forskellige modeller til at føre tilsyn med databehandlere i forskningsprojekter. Valget af model afhænger af, hvordan personoplysningerne behandles, hvor omfattende behandlingen er, og hvilke risici der kan være forbundet med den.
Modellerne bygger på principperne i Datatilsynets vejledning om tilsyn med databehandlere.
Nedenfor kan du læse mere om de enkelte modeller og finde skabeloner, som du kan bruge, når du skal gennemføre et tilsyn.
Det betyder, at AU som udgangspunkt ikke behøver at føre regelmæssigt tilsyn.
Tilsyn bliver kun nødvendigt, hvis AU bliver opmærksom på forhold hos databehandleren, der giver anledning til bekymring — fx:
Kort sagt: Vi fører kun tilsyn, hvis der er tegn på, at noget kan være galt
Eksempler på værktøjer:
Her beder AU databehandleren om en kort, skriftlig erklæring, hvor de bekræfter:
Databehandleren skal med faste intervaller sende en mere detaljeret, skriftlig status til AU. Den skal som minimum dække:
Denne model har to muligheder:
En tredjepartserklæring er en uafhængig vurdering af databehandlerens sikkerhed — typisk lavet af en revisor.
Den mest almindelige i Danmark er ISAE 3000, som vurderer databehandlerens håndtering af personoplysninger efter databeskyttelsesforordningens artikel 28.
Download en skabelon til tilsyn på baggrund af tredjepartserklæring her.
Bygger på spørgsmål fra ISAE 3000-rammen.
Download skabelonen her.
Relevant når databehandlerens arbejde afhænger af fysisk sikkerhed, fx:
Hvad kan AU undersøge fysisk? Eksempler (inspireret af ISO 27001 Annex A.11):
AU’s egen politik om fysisk sikkerhed findes her: https://medarbejdere.au.dk/informationssikkerhed/politikker/miljosikring |
Du kan bruge disse værktøjer, hvis du har brug for hjælp til at vurdere, hvilken tilsynsmåde der passer i din situation.
Samlet antal point | Mulige tilsynsmodeller |
1-2 point | Du kan vælge mellem model 1-4 |
3-4 point | Du kan vælge mellem model 2-4 |
5-6 point | Du kan vælge mellem model 3-4 |
7-10 point | Du skal bruge model 4 |
Hvis du har flere muligemodeller at vælge imellem, skal dit valg af model skal afspejle risciene ved behandlingen og leverandøren. Det er samtidig vigtigt, at der vælges en model, der er praktisk gennemførlig.
Når du vælger tilsynsmodel, skal du samtidig beslutte, hvor ofte tilsynet skal gennemføres.
Som udgangspunkt kan et årligt tilsyn være passende, men både kortere og længere intervaller kan være relevante afhængigt af situationen.
Nedenfor finder du de vigtigste faktorer, du bør tage med i vurderingen.
🔎 Risici ved behandlingen | Jo højere risiko, desto hyppigere tilsyn. Hvis behandlingen omfatter følsomme oplysninger eller har stor betydning for de registrerede, bør tilsynet gennemføres oftere. |
⏳ Varighed af ydelsen |
|
⚠️ Konkrete hændelser | Visse hændelser kan udløse behov for ekstra eller skærpet tilsyn, fx:
|
🤝 Kendskab og tillid til databehandleren | Overvej:
|
🔗 Brug af underdatabehandlere | Hvis databehandleren bruger underdatabehandlere, kan det øge kompleksiteten og risikoen — og dermed behovet for hyppigere tilsyn. |