a)

Formålet med disse standardkontraktbestemmelser (herefter bestemmelserne) er at sikre overholdelse af (vælg det relevante alternativ: ALTERNATIV 1: artikel 28, stk. 3 og 4, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse))/(ALTERNATIV 2: artikel 29, stk. 3 og 4, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF).

b)

De dataansvarlige og databehandlerne, der er opført i bilag I, har accepteret disse bestemmelser for at sikre overholdelse af artikel 28, stk. 3 og 4, i forordning (EU) 2016/679 og artikel 29, stk. 3 og 4, i forordning (EU) 2018/1725.

c)

Disse bestemmelser finder anvendelse på behandling af personoplysninger som anført i bilag II.

d)

Bilag I-IV er en integrerende del af bestemmelserne.

e)

Disse bestemmelser berører ikke de forpligtelser, som den dataansvarlige er underlagt i henhold til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

f)

Disse bestemmelser sikrer ikke i sig selv, at forpligtelserne vedrørende internationale overførsler i henhold til kapitel V i forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725 overholdes.

a)

Parterne forpligter sig til ikke at ændre bestemmelserne, bortset fra at tilføje oplysninger til bilagene eller ajourføre oplysninger i dem.

b)

Dette forhindrer ikke parterne i at medtage de standardkontraktbestemmelser, der er fastsat i disse bestemmelser, i en bredere kontrakt eller i at tilføje andre bestemmelser eller yderligere garantier, forudsat at de ikke direkte eller indirekte er i strid med bestemmelserne eller indskrænker de registreredes grundlæggende rettigheder eller frihedsrettigheder.

a)

Hvor disse bestemmelser anvender de udtryk, der er defineret i henholdsvis forordning (EU) 2016/679 eller forordning (EU) 2018/1725, har disse udtryk samme betydning som i nævnte forordning.

b)

Disse bestemmelser skal læses og fortolkes i lyset af bestemmelserne i henholdsvis forordning (EU) 2016/679 eller forordning (EU) 2018/1725.

c)

Disse bestemmelser må ikke fortolkes på en måde, der strider mod de rettigheder og forpligtelser, der er fastsat i forordning (EU) 2016/679/forordning (EU) 2018/1725, eller på en måde, som berører de registreredes grundlæggende rettigheder eller frihedsrettigheder.

a)

Enhver enhed, der ikke er part i disse bestemmelser, kan efter aftale med alle parterne til enhver tid tiltræde disse bestemmelser som dataansvarlig eller databehandler ved at udfylde bilagene og underskrive bilag I.

b)

Når bilagene nævnt i punkt a) er udfyldt og underskrevet, behandles den tiltrædende enhed som part i disse bestemmelser og har de rettigheder og forpligtelser, der tilkommer en dataansvarlig eller databehandler i overensstemmelse med udpegelsen af denne i bilag I.

c)

Den tiltrædende enhed har ingen rettigheder eller forpligtelser som følge af disse bestemmelser fra den periode, der går forud for enhedens tiltrædelse som part.

a)

Databehandleren behandler kun personoplysninger efter dokumenterede instrukser fra den dataansvarlige, medmindre dette kræves i henhold til EU-retten eller medlemsstaternes nationale ret, som databehandleren er underlagt. I så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre loven forbyder dette af hensyn til vigtige samfundsinteresser. Efterfølgende instrukser kan også gives af den dataansvarlige under hele behandlingen af personoplysninger. Disse instrukser skal altid dokumenteres.

b)

Databehandleren underretter straks den dataansvarlige, hvis instrukser fra den dataansvarlige efter databehandlerens opfattelse er i strid med forordning (EU) 2016/679/forordning (EU) 2018/1725 eller de gældende databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

a)

Databehandleren gennemfører som minimum de tekniske og organisatoriske foranstaltninger, der er anført i bilag III, for at garantere personoplysningernes sikkerhed. Dette omfatter beskyttelse af data mod brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til oplysningerne (brud på persondatasikkerheden). Ved vurderingen af det passende sikkerhedsniveau tager parterne behørigt hensyn til det aktuelle tekniske niveau, gennemførelsesomkostningerne, behandlingens karakter, omfang, kontekst og formål samt de risici, der består for de registrerede.

b)

Databehandleren giver kun sine medarbejdere adgang til personoplysninger, der behandles, i det omfang, det er strengt nødvendigt for gennemførelsen, forvaltningen og overvågningen af kontrakten. Databehandleren sikrer, at de personer, der er bemyndiget til at behandle de modtagne personoplysninger, har forpligtet sig til at iagttage fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

a)

Parterne skal kunne påvise, at de overholder disse bestemmelser.

b)

Databehandleren behandler omgående og fyldestgørende forespørgsler fra den dataansvarlige om behandlingen af data i henhold til disse bestemmelser.

c)

Databehandleren stiller alle de oplysninger til rådighed for den dataansvarlige, der er nødvendige for at påvise overholdelse af de forpligtelser, der er fastsat i disse bestemmelser, og som følger direkte af forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725. På den dataansvarliges anmodning skal databehandleren også tillade og bidrage til revisioner af de behandlingsaktiviteter, der er omfattet af disse bestemmelser, med rimelige mellemrum, eller hvis der er tegn på manglende overholdelse. Når den dataansvarlige træffer afgørelse om en gennemgang eller revision, kan denne tage hensyn til relevante certificeringer, som databehandleren er i besiddelse af.

d)

Den dataansvarlige kan vælge selv at gennemføre revisionen eller bemyndige en uafhængig revisor. Revisionen kan også omfatte inspektioner i databehandlerens lokaler eller fysiske faciliteter og skal, hvor det er relevant, gennemføres med et rimeligt varsel.

e)

Parterne stiller på anmodning de oplysninger, der er omhandlet i denne bestemmelse, herunder resultaterne af eventuelle revisioner, til rådighed for de(n) kompetente tilsynsmyndighed(er).

a)

ALTERNATIV 1: FORUDGÅENDE SPECIFIK GODKENDELSE: Databehandleren må ikke udlicitere nogen af sine behandlingsaktiviteter, der udføres på vegne af den dataansvarlige i overensstemmelse med disse bestemmelser, til en underdatabehandler uden den dataansvarliges forudgående specifikke skriftlige godkendelse. Databehandleren indgiver anmodningen om specifik godkendelse mindst (ANGIV TIDSPERIODE), inden aftale indgås med den pågældende underdatabehandler, sammen med de oplysninger, der er nødvendige for, at den dataansvarlige kan træffe afgørelse om godkendelsen. Listen over underdatabehandlere, der er godkendt af den dataansvarlige, findes i bilag IV. Parterne skal holde bilag IV ajourført.

ALTERNATIV 2: GENEREL SKRIFTLIG GODKENDELSE: Databehandleren har den dataansvarliges generelle godkendelse til at indgå aftale med underdatabehandlere fra en aftalt liste. Databehandleren underretter specifikt den dataansvarlige skriftligt om eventuelle påtænkte ændringer af denne liste som følge af, at underdatabehandlere tilføjes til listen eller erstattes, mindst (ANGIV TIDSPERIODE) på forhånd og giver derved den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer, inden aftale indgås med den eller de pågældende underdatabehandler(e). Databehandleren giver den dataansvarlige de oplysninger, der er nødvendige for, at den dataansvarlige kan udøve sin indsigelsesret.

b)

Hvis databehandleren indgår aftale med en underdatabehandler med henblik på at udføre specifikke behandlingsaktiviteter (på vegne af den dataansvarlige), skal databehandleren gøre dette i form af en kontrakt, der i det væsentlige pålægger underdatabehandleren de samme databeskyttelsesforpligtelser som dem, der pålægges databehandleren i overensstemmelse med disse bestemmelser. Databehandleren skal sikre, at underdatabehandleren opfylder de forpligtelser, som databehandleren er underlagt i henhold til disse bestemmelser og til forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725.

c)

Databehandleren forelægger på den dataansvarliges anmodning en kopi af en sådan aftale med en underdatabehandler og eventuelle efterfølgende ændringer for den dataansvarlige. I det omfang det er nødvendigt for at beskytte forretningshemmeligheder eller andre fortrolige oplysninger, herunder personoplysninger, kan databehandleren redigere aftaleteksten, inden kopien videregives.

d)

Databehandleren forbliver fuldt ud ansvarlig over for den dataansvarlige for opfyldelsen af underdatabehandlerens forpligtelser i henhold til dennes kontrakt med databehandleren. Databehandleren underretter den dataansvarlige om enhver manglende opfyldelse fra underdatabehandlerens side af dennes kontraktlige forpligtelser.

e)

Databehandleren indgår en aftale om tredjemandsløfte med underdatabehandleren, hvorefter den dataansvarlige — i tilfælde af at databehandleren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvent — har ret til at opsige kontrakten med underdatabehandleren og til at give underdatabehandleren en instruks om at slette eller tilbagelevere personoplysningerne.

a)

Databehandlerens overførsel af oplysninger til et tredjeland eller en international organisation må kun ske på grundlag af dokumenterede instrukser fra den dataansvarlige eller for at opfylde et specifikt krav i henhold til EU-retten eller medlemsstaternes nationale ret, som databehandleren er underlagt, og skal finde sted i overensstemmelse med kapitel V i forordning (EU) 2016/679 eller forordning (EU) 2018/1725.

b)

Den dataansvarlige er enig i, at hvis databehandleren gør brug af en underdatabehandler i overensstemmelse med bestemmelse 7.7 til at udføre specifikke behandlingsaktiviteter (på vegne af den dataansvarlige), og disse behandlingsaktiviteter indebærer en overførsel af personoplysninger som omhandlet i kapitel V i forordning (EU) 2016/679, kan databehandleren og underdatabehandleren sikre overensstemmelse med kapitel V i forordning (EU) 2016/679 ved hjælp af standardkontraktbestemmelser vedtaget af Kommissionen i overensstemmelse med artikel 46, stk. 2, i forordning (EU) 2016/679, forudsat at betingelserne for anvendelse af disse standardkontraktbestemmelser er opfyldt.

a)

Databehandleren underretter straks den dataansvarlige om enhver anmodning, han har modtaget fra den registrerede. Databehandleren må ikke selv besvare anmodningen, medmindre den dataansvarlige har givet tilladelse hertil.

b)

Databehandleren bistår den dataansvarlige med at opfylde dennes forpligtelse til at besvare registreredes anmodninger om udøvelse af deres rettigheder under hensyntagen til behandlingens karakter. Ved opfyldelsen af sine forpligtelser i henhold til punkt a) og b) skal databehandleren overholde den dataansvarliges instrukser.

c)

Ud over databehandlerens forpligtelse til at bistå den dataansvarlige i henhold til bestemmelse 8, punkt b), bistår databehandleren desuden den dataansvarlige med at sikre overholdelse af følgende forpligtelser under hensyntagen til databehandlingens karakter og de oplysninger, som databehandleren har til rådighed:

d)

Parterne fastsætter i bilag III de passende tekniske og organisatoriske foranstaltninger, som databehandleren skal anvende til at bistå den dataansvarlige ved anvendelsen af denne bestemmelse, samt anvendelsesområdet for og omfanget af den nødvendige bistand.

a)

med at anmelde bruddet på persondatasikkerheden til de(n) kompetente tilsynsmyndighed(er) uden unødig forsinkelse, efter at den dataansvarlige har fået kendskab til det, hvis det er relevant (medmindre bruddet på persondatasikkerheden sandsynligvis ikke vil medføre en risiko for fysiske personers rettigheder og frihedsrettigheder)

b)

med at indhente følgende oplysninger, som i henhold til (ALTERNATIV 1) artikel 33, stk. 3, i forordning (EU) 2016/679/(ALTERNATIV 2) artikel 34, stk. 3, i forordning (EU) 2018/1725 skal angives i den dataansvarliges meddelelse, og skal som minimum omfatte:

c)

i henhold til (ALTERNATIV 1) artikel 34 i forordning (EU) 2016/679/(ALTERNATIV 2) artikel 35 i forordning (EU) 2018/1725 med at overholde forpligtelsen til uden unødig forsinkelse at underrette den registrerede om bruddet på persondatasikkerheden, hvis bruddet på persondatasikkerheden sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder.

a)

en beskrivelse af overtrædelsens art (herunder om muligt kategorierne og det omtrentlige antal berørte registrerede og berørte personoplysninger)

b)

nærmere oplysninger om et kontaktpunkt, hvor der kan indhentes flere oplysninger om bruddet på persondatasikkerheden

c)

dets sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslås truffet for at afhjælpe bruddet, herunder for at afbøde dets eventuelle negative virkninger.

a)

Med forbehold af eventuelle bestemmelser i forordning (EU) 2016/679 og/eller forordning (EU) 2018/1725 kan den dataansvarlige i tilfælde af, at databehandleren misligholder sine forpligtelser i henhold til disse bestemmelser, give databehandleren en instruks om at suspendere behandlingen af personoplysninger, indtil sidstnævnte overholder disse bestemmelser, eller kontrakten ophæves. Databehandleren underretter straks den dataansvarlige, hvis denne af en eller anden grund ikke er i stand til at overholde disse bestemmelser.

b)

Den dataansvarlige har ret til at opsige kontrakten, for så vidt den vedrører behandling af personoplysninger i henhold til disse bestemmelser, hvis:

c)

Databehandleren har ret til at opsige kontrakten, for så vidt den vedrører behandling af personoplysninger i henhold til disse bestemmelser, hvis den dataansvarlige efter at være blevet underrettet om, at dennes instrukser er i strid med gældende retlige krav i overensstemmelse med bestemmelse 7.1, punkt b), insisterer på, at instrukserne overholdes.

d)

Når kontrakten er bragt til ophør, sletter databehandleren efter den dataansvarliges valg alle personoplysninger, som denne har behandlet på vegne af den dataansvarlige, og attesterer over for den dataansvarlige, at oplysningerne er blevet slettet, eller tilbageleverer alle personoplysninger til den dataansvarlige og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret kræver, at personoplysningerne gemmes. Indtil oplysningerne er slettet eller leveret tilbage, skal databehandleren fortsat sikre, at disse bestemmelser overholdes.

1.

Navn: …

Adresse: …

Kontaktpersonens navn, stilling og kontaktoplysninger: …

Undertegnelses- og tiltrædelsesdato: …

2.

1.

Navn: …

Adresse: …

Kontaktpersonens navn, stilling og kontaktoplysninger: …

Undertegnelses- og tiltrædelsesdato: …

2.

Foranstaltninger til pseudonymisering og kryptering af personoplysninger

Foranstaltninger til sikring af løbende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester

Foranstaltninger til sikring af evnen til at genoprette tilgængeligheden af og adgangen til personoplysninger rettidigt i tilfælde af en fysisk eller teknisk hændelse

Processer for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af tekniske og organisatoriske foranstaltninger for at garantere behandlingssikkerheden

Foranstaltninger vedrørende brugeridentifikation og -godkendelse

Foranstaltninger til beskyttelse af data under overførsel

Foranstaltninger til beskyttelse af data under lagring

Foranstaltninger til sikring af fysisk sikkerhed på steder, hvor personoplysninger behandles

Foranstaltninger til sikring af logning af begivenheder

Foranstaltninger til sikring af systemkonfiguration, herunder standardkonfiguration

Foranstaltninger til intern forvaltning og forvaltning af IT og IT-sikkerhed

Foranstaltninger til certificering/sikring af processer og produkter

Foranstaltninger til sikring af dataminimering

Foranstaltninger til sikring af datakvalitet

Foranstaltninger til sikring af begrænset datalagring

Foranstaltninger til sikring af ansvarlighed

Foranstaltninger til muliggørelse af dataportabilitet og sikring af sletning]

1.

Navn: …

Adresse: …

Kontaktpersonens navn, stilling og kontaktoplysninger: …

Beskrivelse af behandlingen (herunder en klar ansvarsfordeling, hvis flere underdatabehandlere er godkendt): …

2.

…

a)

Formålet med disse standardkontraktbestemmelser er at sikre overholdelse af kravene i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (1) ved overførsel af personoplysninger til et tredjeland.

b)

Parterne:

har aftalt at anvende disse standardkontraktbestemmelser (herefter benævnt: »bestemmelser«).

c)

Disse bestemmelser gælder for overførsel af personoplysninger som omhandlet i bilag I.B.

d)

Tillægget til disse bestemmelser, der indeholder de bilag, der henvises til heri, udgør en integreret del af disse bestemmelser.

a)

Disse bestemmelser fastsætter fornødne garantier, herunder rettigheder for registrerede, som kan håndhæves, samt effektive retsmidler, jf. artikel 46, stk. 1, og artikel 46, stk. 2, litra c), i forordning (EU) 2016/679, og vedrørende dataoverførsler fra dataansvarlige til databehandlere og/eller fra databehandlere til databehandlere standardkontraktbestemmelser, jf. artikel 28, stk. 7, i forordning (EU) 2016/679, forudsat at disse ikke ændres, undtaget med det formål at vælge det/de passende modul(er) eller tilføje eller opdatere oplysninger i tillægget. Dette forhindrer ikke parterne i at inkludere standardkontraktbestemmelserne, der er fastsat i disse bestemmelser, i en bredere kontrakt og/eller tilføje andre bestemmelser eller yderligere garantier, forudsat at disse ikke direkte eller indirekte er i modstrid med disse bestemmelser eller udgør en krænkelse af de registreredes grundlæggende rettigheder eller frihedsrettigheder.

b)

Disse bestemmelser berører ikke de forpligtelser, som dataeksportøren er underlagt i medfør af forordning (EU) 2016/679.

a)

De registrerede kan påberåbe sig og håndhæve disse bestemmelser som begunstigede tredjemænd over for dataeksportøren og/eller dataimportøren med følgende undtagelser:

b)

Litra a) berører ikke de registreredes rettigheder i henhold til forordning (EU) 2016/679.

a)

Hvis begreber, der er fastlagt i forordning (EU) 2016/679, anvendes i disse bestemmelser, har de den samme betydning som i forordningen.

b)

Disse bestemmelser skal læses og fortolkes på baggrund af bestemmelserne i forordning (EU) 2016/679.

c)

Disse bestemmelser må ikke fortolkes på måder, der er i strid med de rettigheder og forpligtelser, der er fastsat i forordning (EU) 2016/679.

a)

En enhed, der ikke anvender disse bestemmelser, kan med parternes godkendelse til enhver tid tiltræde disse bestemmelser, enten som dataeksportør eller dataimportør, ved at udfylde tillægget og underskrive bilag I.A.

b)

Når denne enhed har udfyldt tillægget og underskrevet bilag I.A., indgår den tiltrædende enhed som en part og anvender ligeledes disse bestemmelser og indtræder i en dataeksportørs eller dataimportørs rettigheder i overensstemmelse med betegnelsen i bilag I.A.

c)

Den tiltrædende part er ikke omfattet af rettigheder eller forpligtelser i medfør af disse bestemmelser for perioden forud for tiltrædelsen til bestemmelserne.

i)

med den registreredes forudgående samtykke

ii)

hvis det er nødvendigt med henblik på fastlæggelse, udøvelse eller forsvar af retskrav i forbindelse med konkrete administrative eller retlige procedurer eller

iii)

hvis behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.

a)

For at give registrerede personer mulighed for effektivt at udøve deres rettigheder i henhold til bestemmelse 10 informerer dataimportøren dem direkte eller gennem dataeksportøren:

b)

Litra a) gælder ikke, hvis den registrerede allerede er bekendt med oplysningerne, herunder hvis informationerne allerede er blevet oplyst af dataeksportøren, eller hvis det er umuligt at tilvejebringe oplysningerne, eller det ville medføre en uforholdsmæssig stor indsats for dataeksportøren. I sidstnævnte tilfælde gør dataimportøren i videst muligt omfang oplysningerne offentligt tilgængelige.

c)

På forespørgsel gør parterne en kopi af disse bestemmelser, herunder tillægget udfyldt af parterne, tilgængelig for den registrerede uden beregning. I det omfang det er nødvendigt for at beskytte forretningshemmeligheder eller andre fortrolige oplysninger, herunder personoplysninger, kan parterne redigere dele af teksten i tillægget, før en kopi stilles til rådighed, men de skal samtidig tilvejebringe et meningsfyldt resumé, hvis den registrerede ellers ikke ville være i stand til at forstå tillæggets indhold eller udøve sine rettigheder. Efter anmodning meddeler parterne den registrerede årsagerne til redigeringen uden at afsløre de redigerede oplysninger, i det omfang det er muligt.

d)

Litra a) til c) berører ikke dataeksportørens forpligtelser i medfør af artikel 13 og 14 i forordning (EU) 2016/679.

a)

Parterne sikrer hver især, at personoplysningerne er nøjagtige og om nødvendigt ajourførte. Dataimportøren træffer alle rimelige foranstaltninger for at sikre, at unøjagtige personoplysninger, der har relevans for formålet eller formålene for behandlingen, bliver slettet eller rettet hurtigst muligt.

b)

Hvis en af parterne bliver opmærksom på, at de personoplysninger, som denne part har videregivet eller modtaget, er unøjagtige eller forældede, informerer denne part den anden part uden unødig forsinkelse.

c)

Dataimportøren sikrer, at personoplysningerne er tilstrækkelige, relevante og begrænsede til de oplysninger, der er nødvendige for formålet eller formålene med behandlingen.

a)

Dataimportøren, og under dataoverførsel også dataeksportøren, iværksætter tilstrækkelige tekniske og organisatoriske sikkerhedsforanstaltninger til at garantere datasikkerheden, herunder sikkerhedsbrud, der kan føre til hændelig eller ulovlig ødelæggelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysningerne (herefter benævnt »brud på persondatasikkerheden«). Ved vurdering af det tilstrækkelige sikkerhedsniveau tages behørigt hensyn til den bedste teknologi, implementeringsomkostninger, art, omfang, sammenhæng og formål med behandlingen samt de risici, som behandlingen indebærer for den registrerede. Parterne overvejer navnlig at anvende kryptering eller pseudonymisering, herunder under videregivelse, hvis formålet med behandlingen kan opfyldes på denne måde.

b)

Parterne har indgået aftale om de tekniske og organisatoriske foranstaltninger i medfør af bilag II. Dataimportøren udfører en regelmæssig kontrol for at sikre, at foranstaltningerne fortsat garanterer et tilstrækkeligt sikkerhedsniveau.

c)

Dataimportøren sikrer, at personer, der har tilladelse til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

d)

I tilfælde af brud på persondatasikkerheden vedrørende personoplysninger, som dataimportøren behandler i henhold til disse bestemmelser, træffer dataimportøren tilstrækkelige foranstaltninger til at håndtere bruddet på persondatasikkerheden, herunder foranstaltninger til at afbøde eventuelle negative konsekvenser af bruddet.

e)

I tilfælde af brud på persondatasikkerheden, der med sandsynlighed indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder, underretter dataimportøren uden unødig forsinkelse både dataeksportøren og den kompetente tilsynsmyndighed, jf. bestemmelse 13. Denne underretning indeholder i) en beskrivelse af typen af sikkerhedsbrud (herunder, hvis det er muligt, kategorier og det omtrentlige antal berørte registrerede personer og dataregistreringer), ii) de sandsynlige konsekvenser, iii) foreslåede eller iværksatte foranstaltninger til håndtering af sikkerhedsbruddet og iv) oplysninger om et kontaktpunkt, der kan give yderligere oplysninger. Hvis dataimportøren ikke kan give alle oplysningerne på samme tid, kan de oplyses trinvist uden yderligere unødig forsinkelse.

f)

I tilfælde af brud på persondatasikkerheden, der med sandsynlighed kan medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder, underretter dataimportøren også uden unødig forsinkelse de berørte registrerede personer om bruddet på persondatasikkerheden samt arten heraf, hvis det er nødvendigt i samarbejde med dataeksportøren, ledsaget af oplysningerne i medfør af litra e), punkt ii) til iv), medmindre dataimportøren har iværksat foranstaltninger, der i væsentlig grad reducerer risikoen for de fysiske personers rettigheder eller frihedsrettigheder, eller en sådan underretning vil kræve en uforholdsmæssig stor indsats. I sidstnævnte tilfælde udsender dataimportøren i stedet en offentlig meddelelse eller træffer tilsvarende foranstaltninger til at informere offentligheden om bruddet på persondatasikkerheden.

g)

Dataimportøren dokumenterer alle relevante forhold vedrørende bruddet på persondatasikkerheden, herunder sin indsats og eventuelle udbedrende foranstaltninger, og fører registrering heraf.

i)

overførslen sker til et land, hvor der foreligger en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, jf. artikel 45 i forordning (EU) 2016/679, der omfatter videreoverførslen

ii)

tredjeparten på anden måde sikrer fornødne garantier, jf. artikel 46 eller 47 i forordning (EU) 2016/679, for den pågældende behandling

iii)

tredjeparten indgår en bindende aftale med dataimportøren om at garantere det samme niveau af databeskyttelse som i henhold til disse bestemmelser, og dataimportøren stiller en kopi af disse garantier til rådighed for dataeksportøren

iv)

det er nødvendigt med henblik på fastlæggelse, udøvelse eller forsvar af retskrav i forbindelse med konkrete administrative eller retlige procedurer

v)

det er nødvendigt for at beskytte den registreredes eller en anden fysisk persons vitale interesser eller

vi)

såfremt ingen af de øvrige betingelser finder anvendelse, importøren har indhentet den registreredes udtrykkelige samtykke til videreoverførsel i en konkret situation efter at have informeret vedkommende om formålet eller formålene hermed, modtagers identitet samt de mulige risici for vedkommende ved en sådan overførsel på grund af de utilstrækkelige databeskyttelsesgarantier. I et sådant tilfælde informerer dataimportøren dataeksportøren og fremsender på anmodning fra sidstnævnte en kopi til denne af de oplysninger, der er givet til den registrerede.

a)

Alle parterne skal kunne påvise overholdelse af deres forpligtelser i henhold til disse bestemmelser. Navnlig skal dataimportøren føre en passende dokumentation for behandlingsaktiviteterne udført under dennes ansvar.

b)

Dataimportøren sikrer, at en sådan dokumentation er til rådighed for den kompetente tilsynsmyndighed på forespørgsel.

a)

Dataimportøren behandler kun personoplysningerne ud fra dokumenterede instrukser fra dataeksportøren. Dataeksportøren kan give instrukser i hele kontraktens varighed.

b)

Dataimportøren informerer omgående dataeksportøren, hvis dataimportøren ikke er i stand til at følge instrukserne.

a)

Dataimportøren, og under dataoverførsel også dataeksportøren, iværksætter tilstrækkelige tekniske og organisatoriske sikkerhedsforanstaltninger til beskyttelse af personoplysningerne, herunder mod brud på sikkerheden, der kan føre til hændelig eller ulovlig ødelæggelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysningerne (herefter benævnt »brud på persondatasikkerheden«). Ved vurdering af det tilstrækkelige sikkerhedsniveau tager parterne behørigt hensyn til den bedste teknologi, implementeringsomkostninger, art, omfang, sammenhæng og formål med behandlingen samt de risici, som behandlingen indebærer for den registrerede. Parterne overvejer navnlig at anvende kryptering eller pseudonymisering, herunder under videregivelse, hvis formålet med behandlingen kan opfyldes på denne måde. I tilfælde af pseudonymisering er det, hvor det er muligt, udelukkende dataeksportøren, der råder over de supplerende oplysninger, der kan knytte personoplysningerne til en specifik registreret person. For at opfylde sine forpligtelser i henhold til dette punkt gennemfører dataimportøren som minimum de tekniske og organisatoriske foranstaltninger, der er angivet i bilag II. Dataimportøren udfører en regelmæssig kontrol for at sikre, at foranstaltningerne fortsat garanterer et tilstrækkeligt sikkerhedsniveau.

b)

Dataimportøren giver kun udvalgte medarbejdere adgang til personoplysningerne i det omfang, det er strengt nødvendigt for udførelse, administration og overvågning af kontrakten. Dataimportøren sikrer, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt

c)

I tilfælde af brud på persondatasikkerheden vedrørende personoplysninger, som dataimportøren behandler i henhold til disse bestemmelser, træffer dataimportøren tilstrækkelige foranstaltninger til at håndtere bruddet på persondatasikkerheden, herunder foranstaltninger til at afbøde eventuelle negative konsekvenser af bruddet. Dataimportøren underretter også dataeksportøren uden unødig forsinkelse efter at være blevet opmærksom på sikkerhedsbruddet. En sådan underretning skal indeholde nærmere oplysninger om et kontaktpunkt, hvor der kan indhentes flere oplysninger, en beskrivelse af bruddets art (herunder om muligt kategorier og omtrentlige antal berørte registrerede og registreringer af personoplysninger), de sandsynlige konsekvenser heraf og de foranstaltninger, der er truffet eller foreslået for at afhjælpe bruddet, herunder, hvor det er relevant, foranstaltninger til at afbøde de mulige negative virkninger. Hvis og i det omfang det ikke er muligt at give alle oplysninger samtidig, skal den oprindelige anmeldelse indeholde de oplysninger, der er til rådighed, og yderligere oplysninger skal, efterhånden som de foreligger, efterfølgende gives uden unødig forsinkelse.

d)

Dataimportøren samarbejder med og bistår dataeksportøren for at sætte dataeksportøren i stand til at opfylde sine forpligtelser i henhold til forordning (EU) 2016/679, navnlig til at underrette den kompetente tilsynsmyndighed og de berørte registrerede, idet der tages hensyn til arten af behandlingen og de oplysninger, dataimportøren har til rådighed.

i)

videreoverførslen sker til et land, der er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til artikel 45 i forordning (EU) 2016/679, som omfatter videreoverførslen

ii)

tredjeparten på anden måde sikrer fornødne garantier, jf. artikel 46 eller 47 i forordning (EU) 2016/679, for den pågældende behandling

iii)

videreoverførslen er nødvendig med henblik på fastlæggelse, udøvelse eller forsvar af retskrav i forbindelse med konkrete administrative eller retlige procedurer eller

iv)

videreoverførslen er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.

a)

Dataimportøren behandler straks og på passende vis forespørgsler fra dataeksportøren vedrørende behandlingen i henhold til disse bestemmelser.

b)

Parterne skal kunne påvise, at de overholder disse bestemmelser. Navnlig skal dataimportøren føre en tilstrækkelig dokumentation for de behandlingsaktiviteter, der udføres på vegne af dataeksportøren.

c)

Dataimportøren stiller alle de oplysninger til rådighed for dataeksportøren, der er nødvendige for at påvise, at forpligtelserne i disse bestemmelser er opfyldt, og giver på dataeksportørens anmodning med rimelige mellemrum eller ved formodet manglende overholdelse mulighed for og bistår ved revisioner af de behandlingsaktiviteter, der er omfattet af disse bestemmelser. Når dataeksportøren træffer beslutning om en undersøgelse eller revision, kan denne tage hensyn til relevante certificeringer, som dataimportøren er i besiddelse af.

d)

Dataeksportøren kan vælge selv at foretage revisionen eller bemyndige en uafhængig revisor. Revisioner kan omfatte inspektioner på dataimportørens adresse eller fysiske faciliteter og gennemføres, hvor det er relevant, med rimeligt varsel.

e)

Parterne stiller efter anmodning de i litra b) og c) omhandlede oplysninger, herunder resultaterne af eventuelle revisioner, til rådighed for den kompetente tilsynsmyndighed.

a)

Dataeksportøren har meddelt dataimportøren, at denne fungerer som databehandler efter instruks fra den eller de dataansvarlige. Instrukserne stilles til rådighed for dataimportøren forud for behandlingen.

b)

Dataimportøren må kun behandle personoplysningerne efter dokumenterede instrukser fra den dataansvarlige, som dataeksportøren har meddelt dataimportøren, samt eventuelle supplerende dokumenterede instrukser fra dataeksportøren. Sådanne supplerende instrukser må ikke være i modstrid med instrukserne fra den dataansvarlige. Den dataansvarlige eller dataeksportøren kan give supplerende dokumenterede instrukser vedrørende databehandlingen i hele kontraktens løbetid.

c)

Dataimportøren informerer omgående dataeksportøren, hvis dataimportøren ikke er i stand til at følge instrukserne. Hvis dataimportøren ikke er i stand til at følge instrukserne fra den dataansvarlige, underretter dataeksportøren straks den dataansvarlige herom.

d)

Dataeksportøren garanterer, at denne har pålagt dataimportøren de samme databeskyttelsesforpligtelser, som er fastsat i kontrakten eller i andre retsakter i EU-retten eller medlemsstatslovgivningen, der gælder for den dataansvarlige og dataeksportøren (5).

a)

Dataimportøren, og under dataoverførsel også dataeksportøren, iværksætter tilstrækkelige tekniske og organisatoriske sikkerhedsforanstaltninger til beskyttelse af personoplysningerne, herunder mod brud på sikkerheden, der kan føre til hændelig eller ulovlig ødelæggelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysningerne (herefter benævnt »brud på persondatasikkerheden«). Ved vurdering af det tilstrækkelige sikkerhedsniveau tages behørigt hensyn til den bedste teknologi, implementeringsomkostninger, art, omfang, sammenhæng og formål med behandlingen samt de risici, som behandlingen indebærer for den registrerede. Parterne overvejer navnlig at anvende kryptering eller pseudonymisering, herunder under videregivelse, hvis formålet med behandlingen kan opfyldes på denne måde. I tilfælde af pseudonymisering er det, hvor det er muligt, udelukkende dataeksportøren eller den dataansvarlige, der råder over de supplerende oplysninger, der kan knytte personoplysningerne til en specifik registreret person. For at opfylde sine forpligtelser i henhold til dette punkt gennemfører dataimportøren som minimum de tekniske og organisatoriske foranstaltninger, der er angivet i bilag II. Dataimportøren udfører en regelmæssig kontrol for at sikre, at foranstaltningerne fortsat garanterer et tilstrækkeligt sikkerhedsniveau.

b)

Dataimportøren giver kun udvalgte medarbejdere adgang til data i det omfang, det er strengt nødvendigt for udførelse, administration og overvågning af kontrakten. Dataimportøren sikrer, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt

c)

I tilfælde af brud på persondatasikkerheden vedrørende personoplysninger, som dataimportøren behandler i henhold til disse bestemmelser, træffer dataimportøren tilstrækkelige foranstaltninger til at håndtere bruddet på persondatasikkerheden, herunder foranstaltninger til at afbøde eventuelle negative konsekvenser af bruddet. Dataimportøren underretter desuden uden unødig forsinkelse dataeksportøren og, hvis det er relevant og muligt, den dataansvarlige efter at have fået kendskab til bruddet. Denne underretning indeholder oplysninger om et kontaktpunkt, der kan give yderligere oplysninger, en beskrivelse af typen af sikkerhedsbrud (herunder, hvis det er muligt, kategorier og det omtrentlige antal berørte registrerede personer og dataregistreringer), de sandsynlige konsekvenser og de foreslåede eller iværksatte foranstaltninger til håndtering af sikkerhedsbruddet, herunder foranstaltninger til afhjælpning af mulige negative konsekvenser. Hvis og i det omfang det ikke er muligt at give alle oplysninger samtidig, skal den oprindelige anmeldelse indeholde de oplysninger, der er til rådighed, og yderligere oplysninger skal, efterhånden som de foreligger, efterfølgende gives uden unødig forsinkelse.

d)

Dataimportøren samarbejder med og bistår dataeksportøren for at sætte dataeksportøren i stand til at opfylde sine forpligtelser i henhold til forordning (EU) 2016/679, navnlig til at underrette den dataansvarlige, således at denne kan underrette den kompetente tilsynsmyndighed og de berørte registrerede under hensyntagen til arten af behandlingen og de oplysninger, som dataimportøren har til rådighed.

i)

videreoverførslen sker til et land, der er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til artikel 45 i forordning (EU) 2016/679, som omfatter videreoverførslen

ii)

tredjeparten på anden måde sikrer fornødne garantier, jf. artikel 46 eller 47 i forordning (EU) 2016/679

iii)

videreoverførslen er nødvendig med henblik på fastlæggelse, udøvelse eller forsvar af retskrav i forbindelse med konkrete administrative eller retlige procedurer eller

iv)

videreoverførslen er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.

a)

Dataimportøren behandler straks og på passende vis forespørgsler fra dataeksportøren eller den dataansvarlige vedrørende behandlingen i henhold til disse bestemmelser.

b)

Parterne skal kunne påvise, at de overholder disse bestemmelser. Navnlig skal dataimportøren føre en tilstrækkelig dokumentation for de behandlingsaktiviteter, der udføres på vegne af den dataansvarlige.

c)

Dataimportøren stiller alle de oplysninger, der er nødvendige for at påvise, at forpligtelserne i disse bestemmelser er opfyldt, til rådighed for dataeksportøren, som stiller dem til rådighed for den dataansvarlige.

d)

Dataimportøren giver med rimelige mellemrum eller ved formodet manglende overholdelse mulighed for og bistår ved revisioner foretaget af dataeksportøren af de behandlingsaktiviteter, der er omfattet af disse bestemmelser. Det samme gælder, hvis dataeksportøren anmoder om en revision efter instruks fra den dataansvarlige. Når dataeksportøren træffer beslutning om en revision, kan denne tage hensyn til dataimportørens relevante certificeringer.

e)

Hvis revisionen foretages efter instruks fra den dataansvarlige, stiller dataeksportøren resultaterne til rådighed for den dataansvarlige.

f)

Dataeksportøren kan vælge selv at foretage revisionen eller bemyndige en uafhængig revisor. Revisioner kan omfatte inspektioner på dataimportørens adresse eller fysiske faciliteter og gennemføres, hvor det er relevant, med rimeligt varsel.

g)

Parterne stiller efter anmodning de i litra b) og c) omhandlede oplysninger, herunder resultaterne af eventuelle revisioner, til rådighed for den kompetente tilsynsmyndighed.

a)

Dataeksportøren behandler kun personoplysningerne efter dokumenterede instrukser fra dataimportøren, der optræder i egenskab af dataansvarlig.

b)

Dataeksportøren underretter straks dataimportøren, hvis denne ikke er i stand til at følge disse instrukser, herunder hvis sådanne instrukser er i strid med forordning (EU) 2016/679 eller anden EU-ret eller medlemsstatslovgivning om databeskyttelse.

c)

Dataimportøren afstår fra enhver handling, der forhindrer dataeksportøren i at opfylde sine forpligtelser i henhold til forordning (EU) 2016/679, herunder i forbindelse med underkontraheret databehandling eller for så vidt angår samarbejde med de kompetente tilsynsmyndigheder.

d)

Når behandlingen er afsluttet og efter dataimportørens anvisning, sletter dataeksportøren alle personoplysninger, som denne har behandlet på vegne af dataimportøren, og bekræfter over for dataimportøren, at arbejdet er afsluttet, eller tilbageleverer alle personoplysninger til dataimportøren, som er blevet behandlet på vegne af denne, og sletter eksisterende kopier.

a)

Parterne iværksætter tilstrækkelige tekniske og organisatoriske sikkerhedsforanstaltninger til at garantere datasikkerheden, herunder under videregivelse, samt til beskyttelse mod sikkerhedsbrud, der kan føre til hændelig eller ulovlig ødelæggelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysningerne (herefter benævnt »brud på persondatasikkerheden«). Når de vurderer det passende sikkerhedsniveau, tager de behørigt hensyn til den bedste teknologi, implementeringsomkostninger, personoplysningernes art (7), behandlingens art, omfang, sammenhæng og formål samt de risici, som behandlingen indebærer for de registrerede, og overvejer især at anvende kryptering eller pseudonymisering, herunder under overførslen, hvis dette ikke forhindrer opfyldelsen af formålet med behandlingen.

b)

Dataeksportøren bistår dataimportøren med at garantere en passende datasikkerhed i overensstemmelse med litra a). I tilfælde af brud på persondatasikkerheden vedrørende de personoplysninger, som dataeksportøren behandler i henhold til disse bestemmelser, underretter dataeksportøren dataimportøren uden unødig forsinkelse efter at have fået kendskab hertil og bistår dataimportøren med at afhjælpe sikkerhedsbruddet.

c)

Dataimportøren sikrer, at personer, der har tilladelse til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

a)

Parterne skal kunne påvise, at de overholder disse bestemmelser.

b)

Dataeksportøren stiller alle de oplysninger til rådighed for dataimportøren, der er nødvendige for at påvise, at dataeksportøren overholder sine forpligtelser i henhold til disse bestemmelser, og giver mulighed for samt bidrager til revisioner.

a)

ALTERNATIV 1: SPECIFIK FORUDGÅENDE TILLADELSE Dataimportøren giver ikke behandlingsaktiviteter, der udføres på dataeksportørens vegne i henhold til disse bestemmelser, i underentreprise til en underdatabehandler uden dataeksportørens forudgående særlige skriftlige tilladelse. Dataimportøren indgiver anmodningen om særlig tilladelse mindst [angiv tidsperiode] inden kontraktindgåelse med den pågældende underdatabehandler sammen med de oplysninger, der er nødvendige for, at dataeksportøren kan træffe afgørelse om tilladelsen. Listen over underdatabehandlere, som dataeksportøren allerede har givet tilladelse til, findes i bilag III. Parterne holder bilag III ajour.

ALTERNATIV 2: GENEREL SKRIFTLIG TILLADELSE Dataimportøren har dataeksportørens generelle tilladelse til at indgå kontrakt med underdatabehandlere, der er opført på en aftalt liste. Dataimportøren underretter specifikt dataeksportøren skriftligt om eventuelle forventede ændringer af listen ved tilføjelse eller udskiftning af underdatabehandlere mindst [angiv tidsperiode] i forvejen, således at dataeksportøren får tilstrækkelig tid til at gøre indsigelse mod sådanne ændringer, inden der indgås kontrakt med den eller de pågældende underdatabehandlere. Dataimportøren giver dataeksportøren de oplysninger, der er nødvendige for, at dataeksportøren kan gøre brug af sin indsigelsesret.

b)

Hvis dataimportøren indgår kontrakt med en underdatabehandler om at udføre specifikke behandlingsaktiviteter (på vegne af dataeksportøren), skal det ske ved en skriftlig kontrakt, der i det væsentlige fastsætter de samme databeskyttelsesforpligtelser som dem, der er bindende for dataimportøren i henhold til disse bestemmelser, herunder med hensyn til tredjemandsløftet (8). Parterne er enige om, at dataimportøren ved at overholde denne bestemmelse opfylder sine forpligtelser i henhold til bestemmelse 8.8. Dataimportøren sikrer, at underdatabehandleren opfylder de forpligtelser, som dataimportøren er underlagt i henhold til disse bestemmelser.

c)

Dataimportøren tilvejebringer på dataeksportørens anmodning en kopi til dataeksportøren af en sådan underdatabehandleraftale samt eventuelle efterfølgende ændringer. I det omfang det er nødvendigt for at beskytte forretningshemmeligheder eller andre fortrolige oplysninger, herunder personoplysninger, kan dataimportøren redigere aftaleteksten, før han videregiver en kopi.

d)

Dataimportøren har det fulde ansvar over for dataeksportøren for opfyldelsen af underdatabehandlerens forpligtelser i henhold til underdatabehandlerens kontrakt med dataimportøren. Dataimportøren underretter dataeksportøren, hvis underdatabehandleren ikke opfylder sine forpligtelser i henhold til kontrakten.

e)

Dataimportøren indgår en aftale om tredjemandsløfte med underdatabehandleren, så dataeksportøren i tilfælde, hvor dataimportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvent, har ret til at opsige kontrakten med underdatabehandleren og instruere denne om at slette eller tilbagelevere personoplysningerne.

a)

ALTERNATIV 1: SPECIFIK FORUDGÅENDE TILLADELSE Dataimportøren giver ikke behandlingsaktiviteter, der udføres på dataeksportørens vegne i henhold til disse bestemmelser, i underentreprise til en underdatabehandler uden den dataansvarliges forudgående særlige skriftlige tilladelse. Dataimportøren indgiver anmodningen om særlig tilladelse mindst [angiv tidsperiode] inden kontraktindgåelse med den pågældende underdatabehandler sammen med de oplysninger, der er nødvendige for, at den dataansvarlige kan træffe afgørelse om tilladelsen. Dataimportøren underretter dataeksportøren om en sådan kontrakt. Listen over underdatabehandlere, som den dataansvarlige allerede har givet tilladelse til, findes i bilag III. Parterne holder bilag III ajour.

ALTERNATIV 2: GENEREL SKRIFTLIG TILLADELSE Dataimportøren har den dataansvarliges generelle tilladelse til at indgå kontrakt med underdatabehandlere, der er opført på en aftalt liste. Dataimportøren underretter specifikt den dataansvarlige skriftligt om eventuelle forventede ændringer af listen ved tilføjelse eller udskiftning af underdatabehandlere mindst [angiv tidsperiode] i forvejen, således at den dataansvarlige får tilstrækkelig tid til at gøre indsigelse mod sådanne ændringer, inden der indgås kontrakt med den eller de pågældende underdatabehandlere. Dataimportøren giver den dataansvarlige de oplysninger, der er nødvendige for, at dataeksportøren kan gøre brug af sin indsigelsesret. Dataimportøren underretter dataeksportøren om indgåelse af kontrakt med underbehandlere.

b)

Hvis dataimportøren indgår kontrakt med en underdatabehandler om at udføre specifikke behandlingsaktiviteter (på vegne af den dataansvarlige), skal det ske ved en skriftlig kontrakt, der i det væsentlige fastsætter de samme databeskyttelsesforpligtelser som dem, der er bindende for dataimportøren i henhold til disse bestemmelser, herunder med hensyn til tredjemandsløftet (9). Parterne er enige om, at dataimportøren ved at overholde denne bestemmelse opfylder sine forpligtelser i henhold til bestemmelse 8.8. Dataimportøren sikrer, at underdatabehandleren opfylder de forpligtelser, som dataimportøren er underlagt i henhold til disse bestemmelser.

c)

Dataimportøren tilvejebringer på dataeksportørens eller den dataansvarliges anmodning en kopi af en sådan underdatabehandleraftale samt eventuelle efterfølgende ændringer. I det omfang det er nødvendigt for at beskytte forretningshemmeligheder eller andre fortrolige oplysninger, herunder personoplysninger, kan dataimportøren redigere aftaleteksten, før han videregiver en kopi.

d)

Dataimportøren har det fulde ansvar over for dataeksportøren for opfyldelsen af underdatabehandlerens forpligtelser i henhold til underdatabehandlerens kontrakt med dataimportøren. Dataimportøren underretter dataeksportøren, hvis underdatabehandleren ikke opfylder sine forpligtelser i henhold til kontrakten.

e)

Dataimportøren indgår en aftale om tredjemandsløfte med underdatabehandleren, så dataeksportøren i tilfælde, hvor dataimportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvent, har ret til at opsige kontrakten med underdatabehandleren og instruere denne om at slette eller tilbagelevere personoplysningerne.

a)

Dataimportøren behandler, eventuelt med bistand fra dataeksportøren, alle forespørgsler og anmodninger fra en registreret vedrørende behandlingen af vedkommendes personoplysninger og udøvelsen af vedkommendes rettigheder i henhold til disse bestemmelser uden unødig forsinkelse og senest inden for en måned efter modtagelse af en forespørgsel eller anmodning. (10) Dataimportøren træffer passende foranstaltninger til behandling af sådanne undersøgelser og anmodninger og udøvelse af registreredes rettigheder. Alle oplysninger, der gives til den registrerede, skal være letforståelige og lettilgængelige i et klart og enkelt sprog.

b)

Efter anmodning fra den registrerede skal dataimportøren navnlig vederlagsfrit:

c)

Hvis dataimportøren behandler personoplysningerne med henblik på direkte markedsføring, ophører behandlingen til sådanne formål, hvis den registrerede gør indsigelse mod den.

d)

Dataimportøren træffer ikke afgørelse udelukkende på grundlag af en automatisk behandling af de overførte personoplysninger (i det følgende benævnt »automatisk afgørelse«), som vil have retsvirkning for den registrerede eller på tilsvarende vis i væsentlig grad berøre vedkommende, medmindre det sker med den registreredes udtrykkelige samtykke, eller hvis det er tilladt i henhold til lovgivningen i bestemmelseslandet, forudsat at denne lovgivning fastsætter egnede foranstaltninger til beskyttelse af de registreredes rettigheder og legitime interesser. I så fald skal dataimportøren om nødvendigt i samarbejde med dataeksportøren:

e)

Hvis anmodninger fra en registreret er uforholdsmæssige, især fordi de gentages, kan dataimportøren enten opkræve et rimeligt gebyr baseret på de administrative omkostninger til behandling af anmodningen eller afvise at efterkomme anmodningen.

f)

Dataimportøren kan afvise en registrerets anmodning, hvis et sådant afslag er tilladt i henhold til lovgivningen i bestemmelseslandet og er nødvendigt og rimeligt i et demokratisk samfund for at beskytte et af de mål, der er anført i artikel 23, stk. 1, i forordning (EU) 2016/679.

g)

Hvis dataimportøren har til hensigt at afvise en registrerets anmodning, underretter denne den registrerede om årsagerne til afslaget og om muligheden for at indgive en klage til den kompetente tilsynsmyndighed og/eller indbringe sagen for en domstol.

a)

Dataimportøren underretter straks dataeksportøren om enhver anmodning fra en registreret. Dataimportøren må ikke selv besvare anmodningen, medmindre dataeksportøren har givet tilladelse hertil.

b)

Dataimportøren bistår dataeksportøren med at opfylde sine forpligtelser til at besvare de registreredes anmodninger vedrørende udøvelse af deres rettigheder i henhold til forordning (EU) 2016/679. I den forbindelse fastsætter parterne i bilag II passende tekniske og organisatoriske foranstaltninger under hensyntagen til arten af den behandling, bistanden ydes ved, samt omfanget af den nødvendige bistand.

c)

Dataimportøren skal ved opfyldelsen af sine forpligtelser i henhold til litra a) og b) følge dataeksportørens instrukser.

a)

Dataimportøren underretter straks dataeksportøren og, hvis det er relevant, den dataansvarlige om enhver anmodning, denne har modtaget fra en registreret, uden at besvare denne anmodning, medmindre den dataansvarlige har givet tilladelse hertil.

b)

Dataimportøren bistår, eventuelt i samarbejde med dataeksportøren, den dataansvarlige med at opfylde sine forpligtelser til at besvare de registreredes anmodninger vedrørende udøvelse af deres rettigheder i henhold til forordning (EU) 2016/679 eller forordning (EU) 2018/1725, alt efter hvad der er relevant. I den forbindelse fastsætter parterne i bilag II passende tekniske og organisatoriske foranstaltninger under hensyntagen til arten af den behandling, bistanden ydes ved, samt omfanget af den nødvendige bistand.

c)

Ved opfyldelsen af dataimportørens forpligtelser i henhold til litra a) og b) skal denne følge instrukserne fra den dataansvarlige som meddelt af dataeksportøren.

a)

Dataimportøren underretter de registrerede i et gennemsigtigt og lettilgængeligt format, via individuel meddelelse eller på sit websted om et kontaktpunkt, der er bemyndiget til at behandle klager. Dataimportøren behandler straks klager, som den modtager fra en registreret.

[ALTERNATIV: Dataimportøren accepterer, at registrerede også kan indgive en klage til et uafhængigt tvistbilæggelsesorgan (11) uden omkostninger for den registrerede. Dataimportøren underretter de registrerede på den måde, der er fastsat i litra a), om en sådan klagemekanisme, og om at de ikke er forpligtet til at gøre brug af den eller følge en bestemt fremgangsmåde ved indgivelse af klage.]

b)

I tilfælde af en tvist mellem en registreret og en af parterne om overholdelse af disse bestemmelser skal den pågældende part gøre sit bedste for at løse problemet i mindelighed og rettidigt. Parterne holder hinanden underrettet om sådanne tvister og samarbejder om at bilægge dem, hvis det er relevant.

c)

Hvis den registrerede gør tredjemandsløftet gældende i henhold til bestemmelse 3, accepterer dataimportøren den registreredes afgørelse om at:

d)

Parterne accepterer, at den registrerede kan lade sig repræsentere af et almennyttigt organ, en organisation eller en forening på de betingelser, der er fastsat i artikel 80, stk. 1, i forordning (EU) 2016/679.

e)

Dataimportøren accepterer at rette sig efter en afgørelse, der er bindende i henhold til gældende EU-ret eller medlemsstatslovgivning.

f)

Dataimportøren accepterer, at den registreredes valg ikke berører vedkommendes materielle og proceduremæssige rettigheder til at benytte sig af retsmidler i overensstemmelse med gældende lovgivning.

a)

Parterne er ansvarlige over for den eller de andre parter for eventuel skade, som en part påfører den eller de andre parter ved overtrædelse af disse bestemmelser.

b)

Parterne er ansvarlige over for den registrerede, og den registrerede har ret til erstatning for materiel eller immateriel skade, som parten forårsager den registrerede ved at tilsidesætte tredjemandsløftet i henhold til disse bestemmelser. Dette berører ikke dataeksportørens forpligtelser, jf. forordning (EU) 2016/679.

c)

Hvis mere end én part er ansvarlig for skader, der påføres den registrerede som følge af en overtrædelse af disse bestemmelser, hæfter alle ansvarlige parter solidarisk, og den registrerede har ret til at anlægge sag mod enhver af disse parter.

d)

Parterne er enige om, at hvis en part drages til ansvar i henhold til litra c), har denne part ret til at kræve kompensation fra den eller de andre parter for den del af erstatningen, der svarer til dens eller deres ansvar for skaden.

e)

Dataimportøren kan ikke unddrage sig sit eget ansvar ved at påberåbe sig en databehandlers eller underdatabehandlers adfærd.

a)

Parterne er ansvarlige over for den eller de andre parter for eventuel skade, som en part påfører den eller de andre parter ved overtrædelse af disse bestemmelser.

b)

Dataimportøren er ansvarlig over for den registrerede, og den registrerede har ret til erstatning for enhver materiel eller immateriel skade, som dataimportøren eller dennes underdatabehandlere forårsager for den registrerede ved at tilsidesætte tredjemandsløftet i henhold til disse bestemmelser.

c)

Uanset litra b) er dataeksportøren ansvarlig over for den registrerede, og den registrerede har ret til erstatning for enhver materiel eller immateriel skade, som dataeksportøren eller dataimportøren (eller dennes underdatabehandlere) forvolder den registrerede ved at tilsidesætte tredjemandsløftet i henhold til disse bestemmelser. Dette berører ikke dataeksportørens ansvar og, hvis dataeksportøren er databehandler, der handler på vegne af en dataansvarlig, den dataansvarliges ansvar i henhold til forordning (EU) 2016/679 eller forordning (EU) 2018/1725, alt efter hvad der er relevant.

d)

Parterne er enige om, at hvis dataeksportøren holdes ansvarlig i henhold til litra c) for skader forvoldt af dataimportøren (eller dennes underdatabehandlere), har denne ret til at kræve den del af erstatningen, der svarer til dataimportørens ansvar for skaden, tilbage fra dataimportøren.

e)

Hvis mere end én part er ansvarlig for skader, der påføres den registrerede som følge af en overtrædelse af disse bestemmelser, hæfter alle ansvarlige parter solidarisk, og den registrerede har ret til at anlægge sag mod enhver af disse parter.

f)

Parterne er enige om, at hvis en part drages til ansvar i henhold til litra e), har denne part ret til at kræve kompensation fra den eller de andre parter for den del af erstatningen, der svarer til dens eller deres ansvar for skaden.

g)

Dataimportøren kan ikke unddrage sig sit eget ansvar ved at påberåbe sig en underdatabehandlers adfærd.

a)

[Hvis dataeksportøren er etableret i en EU-medlemsstat:] Den tilsynsmyndighed, der har ansvaret for at sikre, at dataeksportøren overholder forordning (EU) 2016/679 for så vidt angår dataoverførslen, jf. bilag I.C, fungerer som kompetent tilsynsmyndighed.

[Hvis dataeksportøren ikke er etableret i en EU-medlemsstat, men er omfattet af det geografiske anvendelsesområde for forordning (EU) 2016/679 i overensstemmelse med forordningens artikel 3, stk. 2, og har udpeget en repræsentant i henhold til artikel 27, stk. 1, i forordning (EU) 2016/679:] Tilsynsmyndigheden i den medlemsstat, hvor repræsentanten som omhandlet i artikel 27, stk. 1, i forordning (EU) 2016/679 er etableret, jf. bilag I.C, fungerer som kompetent tilsynsmyndighed.

[Hvis dataeksportøren ikke er etableret i en EU-medlemsstat, men er omfattet af det geografiske anvendelsesområde for forordning (EU) 2016/679 i overensstemmelse med forordningens artikel 3, stk. 2, men ikke skal udpege en repræsentant i henhold til artikel 27, stk. 2, i forordning (EU) 2016/679:] Tilsynsmyndigheden i en af de medlemsstater, hvor de registrerede, hvis personoplysninger overføres i henhold til disse bestemmelser i forbindelse med udbud af varer eller tjenesteydelser til dem, eller hvis adfærd overvåges, er hjemmehørende, jf. bilag I.C, fungerer som kompetent tilsynsmyndighed.

b)

Dataimportøren indvilliger i at henvende sig til og samarbejde med den kompetente tilsynsmyndighed om alle procedurer, der har til formål at sikre overholdelse af disse bestemmelser. Dataimportøren accepterer navnlig at besvare forespørgsler, samarbejde ved revisioner og overholde de foranstaltninger, som tilsynsmyndigheden har vedtaget, herunder afhjælpende og kompenserende foranstaltninger. Dataimportøren giver tilsynsmyndigheden en skriftlig bekræftelse af, at de nødvendige foranstaltninger er truffet.

a)

Parterne garanterer, at de ikke har grund til at tro, at den lovgivning og praksis i bestemmelsestredjelandet, der gælder for dataimportørens behandling af personoplysninger, herunder krav om videregivelse af personoplysninger eller foranstaltninger, der tillader offentlige myndigheders adgang, forhindrer dataimportøren i at opfylde sine forpligtelser i henhold til disse bestemmelser. Dette baseres på, at lovgivning og praksis, der respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder og ikke går videre, end hvad der er nødvendigt og rimeligt i et demokratisk samfund for at sikre et af de mål, der er anført i artikel 23, stk. 1, i forordning (EU) 2016/679, ikke anses for at være i modstrid med disse bestemmelser.

b)

Parterne erklærer, at de ved ydelsen af garantien i litra a) navnlig har taget behørigt hensyn til følgende elementer:

c)

Dataimportøren garanterer, at denne i forbindelse med den vurdering, der er omhandlet i litra b), har gjort sit bedste for at give dataeksportøren relevante oplysninger og indvilliger i fortsat at samarbejde med dataeksportøren for at sikre, at disse bestemmelser overholdes.

d)

Parterne er enige om at dokumentere vurderingen i henhold til litra b) og efter anmodning stille den til rådighed for den kompetente tilsynsmyndighed.

e)

Dataimportøren indvilliger i straks at underrette dataeksportøren, hvis denne efter at have accepteret disse bestemmelser og i kontraktens løbetid har grund til at tro, at den pågældende er eller er blevet underlagt love eller praksis, der ikke er i overensstemmelse med kravene i litra a), herunder efter en ændring af lovgivningen i tredjelandet eller en foranstaltning (f.eks. en anmodning om videregivelse af oplysninger), der angiver en anvendelse af sådanne love i praksis, som ikke er i overensstemmelse med kravene i litra a). [Til modul tre: Dataeksportøren videresender underretningen til den dataansvarlige.]

f)

Efter en underretning i henhold til litra e), eller hvis dataeksportøren på anden måde har grund til at tro, at dataimportøren ikke længere kan opfylde sine forpligtelser i henhold til disse bestemmelser, identificerer dataeksportøren straks passende foranstaltninger (f.eks. tekniske eller organisatoriske foranstaltninger til at garantere sikkerhed og fortrolighed), som dataeksportøren og/eller dataimportøren skal træffe for at afhjælpe situationen, [til modul tre: hvis det er relevant i samråd med den dataansvarlige]. Dataeksportøren suspenderer dataoverførslen, hvis denne mener, at de fornødne garantier ved overførslen ikke kan sikres, eller efter instruks fra [til modul tre: den dataansvarlige eller] den kompetente tilsynsmyndighed til at gøre dette. I så fald har dataeksportøren ret til at opsige kontrakten, for så vidt den vedrører behandling af personoplysninger i henhold til disse bestemmelser. Hvis kontrakten omfatter mere end to parter, kan dataeksportøren kun udøve denne opsigelsesret over for den relevante part, medmindre parterne har aftalt andet. Når kontrakten opsiges i henhold til denne bestemmelse, finder bestemmelse 16, litra d) og e), anvendelse.

a)

Dataimportøren indvilliger i straks at underrette dataeksportøren og, hvis det er muligt, den registrerede (om nødvendigt med hjælp fra dataeksportøren), hvis denne:

[Til modul tre: Dataeksportøren videresender underretningen til den dataansvarlige.]

b)

Hvis dataimportøren har forbud mod at underrette dataeksportøren og/eller den registrerede i henhold til lovgivningen i bestemmelseslandet, indvilliger dataimportøren i at gøre sit bedste for at opnå en ophævelse af forbuddet med henblik på at meddele så mange oplysninger som muligt og hurtigst muligt. Dataimportøren indvilliger i at dokumentere sin bedste indsats for at kunne påvise dette på dataeksportørens anmodning.

c)

Hvis det er tilladt i henhold til lovgivningen i bestemmelseslandet, indvilliger dataimportøren i med regelmæssige mellemrum i kontraktens løbetid at give dataeksportøren den størst mulige mængde relevante oplysninger om de modtagne anmodninger (navnlig antallet af anmodninger, typen af oplysninger, der anmodes om, den eller de anmodende myndigheder, hvorvidt anmodninger er blevet anfægtet og resultatet af sådanne anfægtelser osv.). [Til modul tre: Dataeksportøren videresender oplysningerne til den dataansvarlige.]

d)

Dataimportøren indvilliger i at bevare oplysningerne i henhold til litra a) til c) i kontraktens løbetid og stiller dem til rådighed for den kompetente tilsynsmyndighed på anmodning.

e)

Litra a) til c) berører ikke dataimportørens forpligtelse i henhold til bestemmelse 14, litra e), og bestemmelse 16 til straks at underrette dataeksportøren, hvis dataimportøren ikke er i stand til at overholde disse bestemmelser.

a)

Dataimportøren indvilliger i at undersøge lovligheden af anmodningen om videregivelse af oplysninger, navnlig om den forbliver inden for de beføjelser, der er tildelt den anmodende offentlige myndighed, og at anfægte anmodningen, hvis dataimportøren efter en grundig vurdering konkluderer, at der er rimelig grund til at antage, at anmodningen er ulovlig i henhold til bestemmelseslandets lovgivning, gældende forpligtelser i henhold til folkeretten og principperne om international forståelse. Dataimportøren gør på samme betingelser brug af klagemuligheder. Ved anfægtelse af en anmodning anmoder dataimportøren om foreløbige foranstaltninger med henblik på at suspendere virkningerne af anmodningen, indtil den kompetente retlige myndighed har truffet afgørelse om sagens realitet. Dataimportøren videregiver først de personoplysninger, der anmodes om, i henhold til de gældende procedureregler. Disse krav berører ikke dataimportørens forpligtelser i henhold til bestemmelse 14, litra e).

b)

Dataimportøren indvilliger i at dokumentere sin juridiske vurdering og enhver anfægtelse af anmodningen om videregivelse af oplysninger og stiller dokumentationen til rådighed for dataeksportøren i det omfang, det er tilladt i henhold til lovgivningen i bestemmelseslandet. Dataimportøren stiller også dokumentationen til rådighed for den kompetente tilsynsmyndighed efter anmodning. [Til modul tre: Dataeksportøren gør vurderingen tilgængelig for den dataansvarlige.]

c)

Dataimportøren indvilliger i at give det minimum af oplysninger, der er tilladt ved besvarelse af en anmodning om videregivelse af oplysninger, baseret på en rimelig fortolkning af anmodningen.

a)

Dataimportøren informerer omgående dataeksportøren, hvis dataimportøren uanset årsagen ikke kan overholde disse bestemmelser.

b)

Hvis dataimportøren overtræder disse bestemmelser eller ikke er i stand til at overholde bestemmelserne, suspenderer dataeksportøren overførslen af personoplysninger til dataimportøren, indtil overtrædelsen bringes til ophør eller kontrakten ophører. Dette berører ikke bestemmelse 14, litra f).

c)

Dataeksportøren har ret til at opsige kontrakten, for så vidt den vedrører behandling af personoplysninger i henhold til disse bestemmelser, hvis:

I så fald underretter dataimportøren den kompetente tilsynsmyndighed [til modul tre: og den dataansvarlige] om en sådan manglende overholdelse. Hvis kontrakten omfatter mere end to parter, kan dataeksportøren kun udøve denne opsigelsesret over for den relevante part, medmindre parterne har aftalt andet.

d)

[Til modul et, to og tre: Personoplysninger, der allerede er overført inden kontraktens ophør i henhold til litra c), bør efter dataeksportørens valg omgående tilbageleveres til dataeksportøren eller slettes i deres helhed. Det samme gælder kopier af dataene.] [Til modul fire: Personoplysninger indsamlet af dataeksportøren i EU, som allerede er overført inden kontraktens ophør i henhold til litra c), skal straks slette i deres helhed, herunder eventuelle kopier heraf.] Dataimportøren dokumenterer sletningen af oplysningerne over for dataeksportøren. Indtil dataene slettes eller returneres, skal dataimportøren fortsat sikre, at disse bestemmelser overholdes. I tilfælde, hvor lokal lovgivning, der er gældende for dataimportøren, forbyder sletning eller tilbagelevering af de overførte personoplysninger, garanterer dataimportøren, at denne fortsat sikrer overholdelse af disse bestemmelser og kun behandler personoplysningerne i det omfang og i den periode, der er krævet i henhold til den lokale lovgivning.

e)

Hver part kan tilbagekalde sit samtykke til at være bundet af disse bestemmelser, hvis i) Europa-Kommissionen vedtager en afgørelse i henhold til artikel 45, stk. 3, i forordning (EU) 2016/679, som omfatter overførsel af personoplysninger, som disse bestemmelser finder anvendelse på, eller ii) forordning (EU) 2016/679 bliver en del af de retlige rammer i det land, hvortil personoplysningerne overføres. Dette berører ikke de øvrige forpligtelser, der gælder for den pågældende behandling, jf. forordning (EU) 2016/679.

a)

Tvister, der opstår i forbindelse med disse bestemmelser, afgøres af domstolene i en EU-medlemsstat.

b)

Parterne er enige om, at dette skal være domstolene i ___ (angiv medlemsstat).

c)

En registreret kan også anlægge sag mod dataeksportøren og/eller dataimportøren ved domstolene i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted.

d)

Parterne er enige om at lade sig underkaste sig sådanne domstoles kompetence.

Tvister, der opstår i forbindelse med disse bestemmelser, afgøres af domstolene i _____ (angiv land).

1.

Adresse: …

Kontaktpersonens navn, stilling og kontaktoplysninger: …

Aktiviteter med relevans for de oplysninger, der overføres i henhold til disse bestemmelser: …

Underskrift og dato: …

Rolle (dataansvarlig/databehandler) …

2.

1.

Adresse: …

Kontaktpersonens navn, stilling og kontaktoplysninger: …

Aktiviteter med relevans for de oplysninger, der overføres i henhold til disse bestemmelser: …

Underskrift og dato: …

Rolle (dataansvarlig/databehandler) …

2.

1.

Adresse: …

Kontaktpersonens navn, stilling og kontaktoplysninger: …

Beskrivelse af behandlingen (herunder en klar ansvarsfordeling, hvis flere underdatabehandlere godkendes): …

2.