Databehandleraftale

Denne databehandleraftale ("DPA") er indgået i henhold til Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger (GDPR), artikel 28, samt den danske databeskyttelseslov (lov nr. 502 af 23. maj 2018).

DPA'en udgør en integreret del af aftalen mellem Kunden og Branthiq ApS om brug af DataCVR API.

Hvilken version gælder for dig: Den tekst, der var offentliggjort, da du oprettede din konto, gælder for dig, indtil du accepterer en nyere version. Fra 08-06-2026 til 06-10-2026 kl. 18.23 hed teksten version 1.2. Fra 06-10-2026 kl. 18.23 til 07-10-2026 kl. 01.19 gælder version 1.3, og derefter, til version 1.5 blev offentliggjort 08-10-2026 kl. 00.07, version 1.4. Har du oprettet din konto før 08-06-2026, gælder den tekst, der stod på siden på det tidspunkt. Ændringerne i listen over underdatabehandlere står i loggen på datacvrapi.dk/underdatabehandlere, og teksten, som den stod på en bestemt dato, får du på anmodning til kontakt@datacvrapi.dk. Teksterne i version 1.3 og 1.4 om, at de skulle gælde for alle fra 06-11-2026, er afløst og gælder ikke. Listen over underdatabehandlere kan ændres efter afsnit 6.2 i den version, der gælder for dig, uden at du skal acceptere en ny version. Version 1.5 ændrer afsnit 6.2 om, hvordan du får besked om nye underdatabehandlere, og tilføjer afsnit 13 om ændringer af aftalen.

1Parter

1.1 Dataansvarlig

Kunden ("den Dataansvarlige") - den virksomhed eller person, der har oprettet en konto hos DataCVR API og benytter Tjenesten.

1.2 Databehandler

2Behandlingens genstand og formål

2.1 Formål

Databehandleren behandler personoplysninger på vegne af den Dataansvarlige med det formål at levere DataCVR API-tjenesten, herunder:

• Drift og vedligeholdelse af API-adgang
• Opbevaring og fremvisning af brugerkontooplysninger
• Behandling af betalinger
• Registrering af API-forbrug og -statistik
• Kundesupport og kommunikation

2.2 Varighed

Behandlingen finder sted så længe Kunden har en aktiv konto hos DataCVR API. Ved opsigelse af aftalen ophører behandlingen i henhold til afsnit 11.

2.3 Kategorier af registrerede

• Kundens medarbejdere og kontaktpersoner
• Slutbrugere af Kundens systemer, der anvender data hentet via API'et

2.4 Typer af personoplysninger

• Kontaktoplysninger (navn, e-mail, telefonnummer)
• Kontooplysninger (brugernavn, API-nøgle, loginhistorik)
• Betalingsoplysninger (fakturaadresse, betalingshistorik)
• Tekniske data (IP-adresser, API-kaldslogning)
• Offentligt tilgængelige virksomhedsdata fra CVR-registret

Der behandles som udgangspunkt ikke følsomme personoplysninger (GDPR art. 9) eller oplysninger om strafbare forhold (GDPR art. 10).

3Instruks

3.1 Behandling efter instruks

Databehandleren behandler udelukkende personoplysninger efter dokumenteret instruks fra den Dataansvarlige, jf. GDPR art. 28, stk. 3, litra a. Instruksen er fastsat i denne DPA samt i de til enhver tid gældende handelsbetingelser.

3.2 Underretningspligt

Hvis Databehandleren mener, at en instruks fra den Dataansvarlige er i strid med GDPR eller anden EU/dansk databeskyttelseslovgivning, underretter Databehandleren straks den Dataansvarlige herom, jf. GDPR art. 28, stk. 3, andet afsnit.

4Fortrolighed

Databehandleren sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt, jf. GDPR art. 28, stk. 3, litra b.

Fortrolighedsforpligtelsen gælder også efter ophør af denne aftale.

5Sikkerhedsforanstaltninger

Databehandleren træffer de nødvendige tekniske og organisatoriske foranstaltninger for at sikre et passende sikkerhedsniveau, jf. GDPR art. 32. Foranstaltningerne omfatter bl.a.:

• Kryptering: Al datatransmission sker via HTTPS/TLS. Data krypteres at rest i databasen.
• Adgangskontrol: Rollebaseret adgangsstyring med princippet om mindste privilegium. Kun autoriserede medarbejdere har adgang.
• Logning: Adgangs- og ændringslogning for personoplysninger.
• Backup og gendannelse: Regelmæssig backup med mulighed for gendannelse.
• Sårbarhedshåndtering: Løbende opdatering af software og afhængigheder.
• Regelmæssig afprøvning: Sikkerhedsforanstaltninger evalueres og testes løbende.

6Underdatabehandlere

6.1 Godkendelse

Den Dataansvarlige giver hermed generel skriftlig godkendelse til, at Databehandleren anvender underdatabehandlere, jf. GDPR art. 28, stk. 2.

6.2 Varsling ved ændringer

Listen over underdatabehandlere og en log over ændringer står på datacvrapi.dk/underdatabehandlere. Før Databehandleren tilføjer eller udskifter en underdatabehandler, skrives ændringen i loggen og vises som besked i den Dataansvarliges dashboard, mindst 30 dage før den nye underdatabehandler behandler personoplysninger efter denne DPA. Underretning sker på disse to måder og ikke pr. e-mail.

Den Dataansvarlige kan gøre indsigelse inden fristen på kontakt@datacvrapi.dk. Kommer der ingen indsigelse, anses ændringen for godkendt, jf. 6.1. Finder parterne ikke en løsning på en indsigelse inden fristen, kan den Dataansvarlige opsige aftalen med øjeblikkelig virkning og få betalingen for resten af den betalte periode tilbage, uanset handelsbetingelsernes afsnit 4.4.

6.3 Aktuelle underdatabehandlere

Listen nedenfor er den samme som på datacvrapi.dk/underdatabehandlere og opdateres samtidig med loggen dér.

6.4 Underdatabehandleraftaler

Databehandleren sikrer, at der er indgået skriftlig aftale med underdatabehandlerne, der pålægger dem de samme databeskyttelsesforpligtelser som fastsat i denne DPA, jf. GDPR art. 28, stk. 4.

Slack er undtaget: Slack modtager Databehandlerens interne beskeder efter Slacks egne vilkår, og der er ikke en særskilt underskrevet aftale med Slack. Med Simply.com er der endnu ikke underskrevet en databehandleraftale.

Databehandleren forbliver fuldt ansvarlig over for den Dataansvarlige for underdatabehandlernes opfyldelse af deres forpligtelser.

7Overførsel til tredjelande

Overførsel af personoplysninger til lande uden for EU/EØS sker udelukkende på grundlag af et gyldigt overførselsgrundlag i henhold til GDPR kapitel V, herunder:

• EU-US Data Privacy Framework: For underdatabehandlere certificeret under DPF
• EU's standardkontraktbestemmelser (SCCs): Som supplement, hvor relevant

Databehandleren må ikke overføre personoplysninger til tredjelande uden den Dataansvarliges dokumenterede instruks herom.

8Bistand til den Dataansvarlige

8.1 Registreredes rettigheder

Databehandleren bistår den Dataansvarlige med at opfylde dennes forpligtelser over for de registrerede, herunder anmodninger om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse, jf. GDPR art. 15-22.

8.2 Sikkerhed og databrud

Databehandleren bistår den Dataansvarlige med at opfylde forpligtelserne i GDPR art. 32-36, herunder:

• Sikring af et passende sikkerhedsniveau
• Anmeldelse af brud på persondatasikkerheden til Datatilsynet
• Underretning af registrerede ved brud
• Konsekvensanalyse vedrørende databeskyttelse, hvis relevant

9Brud på persondatasikkerheden

Databehandleren underretter den Dataansvarlige uden unødigt ophold og senest inden for 48 timer, efter at Databehandleren er blevet opmærksom på et brud på persondatasikkerheden.

Underretningen skal som minimum indeholde:

• En beskrivelse af bruddets karakter, herunder berørte kategorier og antal registrerede
• Kontaktoplysninger på Databehandlerens kontaktperson
• En beskrivelse af de sandsynlige konsekvenser af bruddet
• En beskrivelse af de foranstaltninger, der er truffet eller foreslås truffet for at håndtere bruddet

10Audit og tilsyn

10.1 Dokumentation

Databehandleren stiller alle nødvendige oplysninger til rådighed for den Dataansvarlige for at påvise overholdelse af forpligtelserne i GDPR art. 28, jf. GDPR art. 28, stk. 3, litra h.

10.2 Inspektioner

Den Dataansvarlige eller en af den Dataansvarlige udpeget uafhængig revisor har ret til at foretage inspektioner, herunder fysiske inspektioner, af Databehandlerens behandlingsaktiviteter. Inspektioner varsles med mindst 14 dages varsel og gennemføres under hensyntagen til Databehandlerens sikkerhed og forretningshemmeligheder.

10.3 Årlig redegørelse

Databehandleren udarbejder på anmodning en årlig redegørelse for sikkerhedsforanstaltninger og behandlingsaktiviteter, der kan tjene som dokumentation for overholdelse af denne DPA.

11Sletning og tilbagelevering

Ved ophør af behandlingen sletter eller tilbageleverer Databehandleren alle personoplysninger til den Dataansvarlige efter den Dataansvarliges valg, jf. GDPR art. 28, stk. 3, litra g.

Sletning sker senest 30 dage efter aftalens ophør, medmindre EU-ret eller dansk ret foreskriver opbevaring af personoplysningerne (fx bogføringslovens krav om 5 års opbevaring af regnskabsmateriale).

Undtaget er Databehandlerens interne beskeder i Slack, jf. 6.4. De kan nævne brugernes e-mailadresser og de oplysninger, de gav ved oprettelsen, og bliver stående i Slack og i Databehandlerens kopi som driftshistorik, så længe Databehandleren driver tjenesten.

Databehandleren bekræfter skriftligt, at sletning er gennemført, på den Dataansvarliges anmodning.

12Lovvalg og værneting

Denne DPA er underlagt dansk ret. Tvister afgøres ved Retten i Aarhus som første instans.

13Ændringer af aftalen

Ændringer af denne DPA, ud over listen over underdatabehandlere i afsnit 6, står med dato i loggen på datacvrapi.dk/underdatabehandlere og vises som besked i den Dataansvarliges dashboard. En ændring gælder for den enkelte Dataansvarlige, når den har accepteret den. Indtil da gælder den version, den Dataansvarlige senest har accepteret. Alle tidligere versioner står på siden, der linkes til ovenfor.

Underretning om brud på persondatasikkerheden efter afsnit 9 er ikke omfattet. Den sker direkte og uden unødig forsinkelse, som GDPR art. 33 kræver.

14Kontakt

Spørgsmål vedrørende denne databehandleraftale rettes til: