Databehandleraftale (DPA)

Når en virksomhed lader en tjenesteudbyder behandle personoplysninger på dens vegne, kræver GDPR en skriftlig kontrakt. Databehandleraftalen fastlægger genstanden, varigheden, arten og formålet med behandlingen, typerne af data og kategorier af registrerede, samt databehandlerens forpligtelser: kun at handle efter dokumenterede instrukser, at holde data fortrolige og sikre, at bistå med anmodninger fra registrerede og underretninger om brud, at slette eller returnere data ved afslutningen og at tillade revisioner.

Aftalen regulerer også underdatabehandlere: databehandleren må kun anvende dem med den dataansvarliges generelle eller specifikke tilladelse og skal videreføre de samme forpligtelser. For regnskabssoftware er brugeren dataansvarlig for dataene i sine dokumenter, og softwareudbyderen er databehandler. Konteviens DPA er en del af dens vilkår og opregner de underdatabehandlere, der er involveret i leveringen af tjenesten.