DATABEHANDLERAVTALE
etter personvernforordningen (GDPR) artikkel 28

------------------------------------------------------------
VIKTIG ANSVARSFRASKRIVELSE
Dette er en generisk mal og informasjon, IKKE juridisk rådgivning. Malen er et utgangspunkt du selv må tilpasse din konkrete situasjon. Konsulter advokat eller Datatilsynet for din situasjon før du tar malen i bruk. Datafolka gir ingen garanti for at malen dekker alle krav i ditt tilfelle, og tar ikke ansvar for bruk av den.
Kilder: GDPR artikkel 28 og Datatilsynets veiledning om databehandleravtaler (datatilsynet.no).
------------------------------------------------------------

1. PARTENE

Behandlingsansvarlig (den som bestemmer formål og midler):
  Virksomhet: [FYLL INN NAVN]
  Organisasjonsnummer: [FYLL INN]
  Adresse: [FYLL INN]
  Kontaktperson: [FYLL INN NAVN OG E-POST]

Databehandler (den som behandler data på vegne av den behandlingsansvarlige):
  Virksomhet: [FYLL INN NAVN]
  Organisasjonsnummer: [FYLL INN]
  Adresse: [FYLL INN]
  Kontaktperson: [FYLL INN NAVN OG E-POST]

heretter kalt "den behandlingsansvarlige" og "databehandleren".

2. AVTALENS FORMÅL OG OMFANG

Denne avtalen regulerer databehandlerens behandling av personopplysninger på vegne av den behandlingsansvarlige, og skal sikre at behandlingen skjer i samsvar med personvernforordningen (GDPR) artikkel 28.

Behandlingens karakter og formål: [BESKRIV HVA TJENESTEN GJØR, F.EKS. "Levering og drift av regnskapssystem"]
Type personopplysninger: [F.EKS. navn, kontaktinfo, fødselsnummer, lønnsdata]
Kategorier av registrerte: [F.EKS. ansatte, kunder, kontaktpersoner hos kunder]
Varighet: Avtalen gjelder så lenge databehandleren behandler personopplysninger for den behandlingsansvarlige.

3. DATABEHANDLERENS PLIKTER (GDPR artikkel 28 nr. 3)

Databehandleren forplikter seg til følgende:

a) Dokumentert instruks
Databehandleren skal bare behandle personopplysninger etter dokumenterte instrukser fra den behandlingsansvarlige, med mindre annet kreves i lov. Databehandleren skal ikke bruke opplysningene til egne formål.

b) Taushetsplikt
Databehandleren skal sikre at personer som er autorisert til å behandle opplysningene har forpliktet seg til taushetsplikt eller er underlagt lovbestemt taushetsplikt.

c) Sikkerhetstiltak (GDPR artikkel 32)
Databehandleren skal iverksette egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen, herunder blant annet kryptering, tilgangsstyring, robusthet og rutiner for gjenoppretting.
Konkrete tiltak: [BESKRIV, F.EKS. tofaktor-innlogging, kryptering i ro og transit, logging]

d) Underdatabehandlere
Databehandleren skal ikke engasjere en underdatabehandler uten forhåndsgodkjenning fra den behandlingsansvarlige.
Godkjenningsform (velg en):
  [ ] Spesifikk godkjenning per underdatabehandler
  [ ] Generell godkjenning, med varsling ved endringer og rett til å protestere
Ved bruk av underdatabehandler skal samme databeskyttelsesplikter pålegges videre i avtale.
Godkjente underdatabehandlere per signeringsdato: [LIST OPP, F.EKS. Microsoft Azure, AWS]

e) Bistand med de registrertes rettigheter
Databehandleren skal, så langt det er mulig, bistå den behandlingsansvarlige med å oppfylle plikten til å svare på forespørsler om innsyn, retting, sletting, dataportabilitet og innsigelse.

f) Bistand ved sikkerhetsbrudd og konsekvensvurdering
Databehandleren skal uten ugrunnet opphold varsle den behandlingsansvarlige ved brudd på personopplysningssikkerheten, og bistå med melding til Datatilsynet, varsling av registrerte og personvernkonsekvensvurdering (DPIA).
Varslingsfrist: [F.EKS. innen 24 timer etter at bruddet er oppdaget]

g) Sletting eller retur ved avtaleslutt
Ved avtalens opphør skal databehandleren, etter den behandlingsansvarliges valg, slette eller returnere alle personopplysninger, og slette eksisterende kopier med mindre lagring kreves i lov.

h) Innsyn og revisjon
Databehandleren skal gjøre tilgjengelig all informasjon som er nødvendig for å vise at pliktene i artikkel 28 er oppfylt, og muliggjøre og bidra til revisjoner, herunder inspeksjoner. Tredjeparts-sertifiseringer (f.eks. ISO 27001, SOC 2) kan brukes som dokumentasjon der partene er enige om det.

4. OVERFØRING TIL LAND UTENFOR EØS

Personopplysninger skal ikke overføres til land utenfor EØS uten et gyldig overføringsgrunnlag etter GDPR kapittel 5.
Overføring skjer (velg): [ ] Nei, all behandling skjer innenfor EØS   [ ] Ja, til: [LAND]
Overføringsgrunnlag ved overføring: [F.EKS. EU-US Data Privacy Framework, standard personvernbestemmelser (SCC), supplerende tiltak]

5. DEN BEHANDLINGSANSVARLIGES PLIKTER

Den behandlingsansvarlige skal gi dokumenterte instrukser, ha et gyldig behandlingsgrunnlag for behandlingen, og informere databehandleren om vesentlige endringer i behandlingen.

6. VARIGHET, ENDRINGER OG OPPHØR

Avtalen trer i kraft ved signering og gjelder så lenge databehandleren behandler personopplysninger for den behandlingsansvarlige. Endringer skal avtales skriftlig. Ved motstrid mellom denne avtalen og hovedavtalen mellom partene, går denne avtalen foran for spørsmål om behandling av personopplysninger.

7. SIGNATUR

For behandlingsansvarlig:                    For databehandler:

Sted/dato: ______________________           Sted/dato: ______________________

Navn: ___________________________           Navn: ___________________________

Tittel: _________________________           Tittel: _________________________

Signatur: _______________________           Signatur: _______________________

------------------------------------------------------------
Mal levert av Datafolka (datafolka.no). Generisk mal, ikke juridisk rådgivning.
Konsulter advokat eller Datatilsynet for din situasjon. Sist oppdatert juli 2026.
------------------------------------------------------------