Databehandleraftale

Denne databehandleraftale ("DPA") er indgået i henhold til Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger (GDPR), artikel 28, samt den danske databeskyttelseslov (lov nr. 502 af 23. maj 2018).

DPA'en udgør en integreret del af aftalen mellem Kunden og Branthiq ApS om brug af DataCVR API.

Hvilken version gælder for dig: Den tekst, der var offentliggjort, da du oprettede din konto, gælder for dig, indtil du accepterer en nyere version. Fra 08-06-2026 til 06-10-2026 kl. 18.23 hed teksten version 1.2. Fra 06-10-2026 kl. 18.23 til 07-10-2026 kl. 01.19 gælder version 1.3, derefter, til version 1.5 blev offentliggjort 08-10-2026 kl. 00.07, version 1.4, og derefter, til version 1.6 blev offentliggjort 08-10-2026 kl. 01.31, version 1.5. Har du oprettet din konto før 08-06-2026, gælder den tekst, der stod på siden på det tidspunkt. Ændringerne i listen over underdatabehandlere står i loggen på datacvrapi.dk/underdatabehandlere, og teksten, som den stod på en bestemt dato, får du på anmodning til kontakt@datacvrapi.dk. Teksterne i version 1.3 og 1.4 om, at de skulle gælde for alle fra 06-11-2026, er afløst og gælder ikke. Listen over underdatabehandlere kan ændres efter afsnit 6.2 i den version, der gælder for dig, uden at du skal acceptere en ny version. Version 1.6 retter beskrivelsen i afsnit 2, så den kun nævner det, vi behandler på kundens vegne: organisationsfunktionens forbindelse til Google Workspace eller Microsoft Entra ID og invitationerne. Konti, betaling, support, logning af API-forbrug, data fra CVR og kontaktopslag behandler Branthiq ApS som selvstændig dataansvarlig, som privatlivspolitikken beskriver. Rollen følger af de faktiske forhold og ikke af aftalens ord (EDPB Guidelines 07/2020, pkt. 12), også hvis du har en tidligere version. Listen i afsnit 6.3 er ændret efter afsnit 6.2: leverandører, der ikke behandler oplysninger for dig, er taget af listen. Det kræver ikke din accept. Version 1.6 ændrer også afsnit 11, så Slack ikke længere nævnes, afsnit 12, så værnetinget er Retten på Frederiksberg, og afsnit 13 om ændringer, der alene indskrænker, hvad vi må gøre med oplysningerne. Har du en tidligere version, gælder den i øvrigt for dig, indtil du accepterer version 1.6. Stod en af de tre underdatabehandlere ikke på listen, da du oprettede kontoen, godkender du den, når du forbinder kataloget eller sender en invitation. Det står ved knappen.

1Parter

1.1 Dataansvarlig

Kunden ("den Dataansvarlige") - den virksomhed eller person, der har oprettet en konto hos DataCVR API og benytter Tjenesten.

1.2 Databehandler

2Behandlingens genstand og formål

2.1 Formål

Databehandleren behandler personoplysninger på vegne af den Dataansvarlige i organisationsfunktionen: når den Dataansvarliges administrator forbinder organisationens Google Workspace eller Microsoft Entra ID, hentes brugerlisten fra kataloget og vises for administratoren, og når administratoren inviterer medarbejdere, med eller uden kataloget, gemmes og sendes invitationerne.

2.2 Varighed

Brugerlisten hentes, når administratoren beder om den, og gemmes ikke. Adgangen til kataloget gemmes, så længe forbindelsen består. Invitationerne gemmes og slettes efter afsnit 11.

2.3 Kategorier af registrerede

Den Dataansvarliges medarbejdere i organisationens katalog og de medarbejdere, administratoren inviterer.

2.4 Typer af personoplysninger

Navn, e-mailadresse og domæne, om kontoen er spærret, og om brugeren er administrator i kataloget, rolle i organisationen samt et krypteret adgangstoken til kataloget. Der behandles ikke følsomme personoplysninger (GDPR art. 9) eller oplysninger om strafbare forhold (GDPR art. 10).

2.5 Branthiqs egen behandling

Konti, betaling, support, logning af API-forbrug, data fra CVR og kontaktopslag behandler Branthiq ApS som selvstændig dataansvarlig. Det er beskrevet i privatlivspolitikken og er ikke omfattet af denne DPA. Rollen afgøres af de faktiske forhold (EDPB Guidelines 07/2020, pkt. 12).

3Instruks

3.1 Behandling efter instruks

Databehandleren behandler udelukkende personoplysninger efter dokumenteret instruks fra den Dataansvarlige, jf. GDPR art. 28, stk. 3, litra a. Instruksen er fastsat i denne DPA samt i de til enhver tid gældende handelsbetingelser.

3.2 Underretningspligt

Hvis Databehandleren mener, at en instruks fra den Dataansvarlige er i strid med GDPR eller anden EU/dansk databeskyttelseslovgivning, underretter Databehandleren straks den Dataansvarlige herom, jf. GDPR art. 28, stk. 3, andet afsnit.

4Fortrolighed

Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, jf. GDPR art. 28, stk. 3, litra b.

Fortrolighedsforpligtelsen gælder også efter ophør af denne aftale.

5Sikkerhedsforanstaltninger

Databehandleren træffer de nødvendige tekniske og organisatoriske foranstaltninger for at sikre et passende sikkerhedsniveau, jf. GDPR art. 32. Foranstaltningerne omfatter bl.a.:

• Kryptering: Al datatransmission sker via HTTPS/TLS. Data krypteres at rest i databasen.
• Adgangskontrol: Rollebaseret adgangsstyring med princippet om mindste privilegium. Kun autoriserede medarbejdere har adgang.
• Logning: Adgangs- og ændringslogning for personoplysninger.
• Backup og gendannelse: Regelmæssig backup med mulighed for gendannelse.
• Sårbarhedshåndtering: Løbende opdatering af software og afhængigheder.
• Regelmæssig afprøvning: Sikkerhedsforanstaltninger evalueres og testes løbende.

6Underdatabehandlere

6.1 Godkendelse

Den Dataansvarlige giver hermed generel skriftlig godkendelse til, at Databehandleren anvender underdatabehandlere, jf. GDPR art. 28, stk. 2.

6.2 Varsling ved ændringer

Listen over underdatabehandlere og en log over ændringer står på datacvrapi.dk/underdatabehandlere. Før Databehandleren tilføjer eller udskifter en underdatabehandler, skrives ændringen i loggen og vises som besked i den Dataansvarliges dashboard, mindst 30 dage før den nye underdatabehandler behandler personoplysninger efter denne DPA. Underretning sker på disse to måder og ikke pr. e-mail.

Den Dataansvarlige kan gøre indsigelse inden fristen på kontakt@datacvrapi.dk. Kommer der ingen indsigelse, anses ændringen for godkendt, jf. 6.1. Finder parterne ikke en løsning på en indsigelse inden fristen, kan den Dataansvarlige opsige aftalen med øjeblikkelig virkning og få betalingen for resten af den betalte periode tilbage, uanset handelsbetingelsernes afsnit 4.4.

6.3 Aktuelle underdatabehandlere

Listen nedenfor er den samme som på datacvrapi.dk/underdatabehandlere og opdateres samtidig med loggen dér.

6.4 Underdatabehandleraftaler

Databehandleren sikrer, at der er indgået skriftlig aftale med underdatabehandlerne, der pålægger dem de samme databeskyttelsesforpligtelser som fastsat i denne DPA, jf. GDPR art. 28, stk. 4. Aftalerne er underdatabehandlernes egne databehandleraftaler, som er en del af deres vilkår: Supabase (version 1, 01-08-2026), Netlify (09-06-2026) og Resend (31-12-2025).

Databehandleren forbliver fuldt ansvarlig over for den Dataansvarlige for underdatabehandlernes opfyldelse af deres forpligtelser.

7Overførsel til tredjelande

Overførsel af personoplysninger til lande uden for EU/EØS sker udelukkende på grundlag af et gyldigt overførselsgrundlag i henhold til GDPR kapitel V, herunder:

• EU-US Data Privacy Framework: For underdatabehandlere certificeret under DPF
• EU's standardkontraktbestemmelser (SCCs): Som supplement, hvor relevant

Databehandleren må ikke overføre personoplysninger til tredjelande uden den Dataansvarliges dokumenterede instruks herom.

8Bistand til den Dataansvarlige

8.1 Registreredes rettigheder

Databehandleren bistår den Dataansvarlige med at opfylde dennes forpligtelser over for de registrerede, herunder anmodninger om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse, jf. GDPR art. 15-22.

8.2 Sikkerhed og databrud

Databehandleren bistår den Dataansvarlige med at opfylde forpligtelserne i GDPR art. 32-36, herunder:

• Sikring af et passende sikkerhedsniveau
• Anmeldelse af brud på persondatasikkerheden til Datatilsynet
• Underretning af registrerede ved brud
• Konsekvensanalyse vedrørende databeskyttelse, hvis relevant

9Brud på persondatasikkerheden

Databehandleren underretter den Dataansvarlige uden unødigt ophold og senest inden for 48 timer, efter at Databehandleren er blevet opmærksom på et brud på persondatasikkerheden.

Underretningen skal som minimum indeholde:

• En beskrivelse af bruddets karakter, herunder berørte kategorier og antal registrerede
• Kontaktoplysninger på Databehandlerens kontaktperson
• En beskrivelse af de sandsynlige konsekvenser af bruddet
• En beskrivelse af de foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet

10Audit og tilsyn

10.1 Dokumentation

Databehandleren stiller alle nødvendige oplysninger til rådighed for den Dataansvarlige for at påvise overholdelse af forpligtelserne i GDPR art. 28, jf. GDPR art. 28, stk. 3, litra h.

10.2 Inspektioner

Den Dataansvarlige eller en af den Dataansvarlige udpeget uafhængig revisor har ret til at foretage inspektioner, herunder fysiske inspektioner, af Databehandlerens behandlingsaktiviteter. Inspektioner varsles med mindst 14 dages varsel og gennemføres under hensyntagen til Databehandlerens sikkerhed og forretningshemmeligheder.

10.3 Årlig redegørelse

Databehandleren udarbejder på anmodning en årlig redegørelse for sikkerhedsforanstaltninger og behandlingsaktiviteter, der kan tjene som dokumentation for overholdelse af denne DPA.

11Sletning og tilbagelevering

Ved ophør af behandlingen sletter eller tilbageleverer Databehandleren alle personoplysninger til den Dataansvarlige efter den Dataansvarliges valg, jf. GDPR art. 28, stk. 3, litra g.

Sletning sker senest 30 dage efter aftalens ophør, medmindre EU-ret eller dansk ret foreskriver opbevaring af personoplysningerne (fx bogføringslovens krav om 5 års opbevaring af regnskabsmateriale).

Databehandleren bekræfter skriftligt, at sletning er gennemført, på den Dataansvarliges anmodning.

12Lovvalg og værneting

Denne DPA er underlagt dansk ret. Tvister afgøres ved Retten på Frederiksberg som første instans.

13Ændringer af aftalen

Ændringer af denne DPA, ud over listen over underdatabehandlere i afsnit 6, står med dato i loggen på datacvrapi.dk/underdatabehandlere og vises som besked i den Dataansvarliges dashboard. En ændring gælder for den enkelte Dataansvarlige, når den har accepteret den. Indtil da gælder den version, den Dataansvarlige senest har accepteret. En senere ændring, der alene indskrænker, hvad Databehandleren må gøre med personoplysningerne, fx færre underdatabehandlere eller kortere opbevaring, gælder fra offentliggørelsen uden accept. Det gælder ikke en ændring, der indskrænker Databehandlerens forpligtelser over for den Dataansvarlige. Alle tidligere versioner står på siden, der linkes til ovenfor.

Underretning om brud på persondatasikkerheden efter afsnit 9 er ikke omfattet. Den sker direkte og uden unødig forsinkelse, som GDPR art. 33 kræver.

14Kontakt

Spørgsmål vedrørende denne databehandleraftale rettes til: