Databehandleraftale

Databehandleren er FOnline ApS, der driver Yellowsite, CVR 43362836, Birkevej 23, 7700 Thisted, Danmark. Kontaktperson: Frank Olesen, frank@frankolesen.dk, tlf. 42 65 13 98.

Den dataansvarlige er den erhvervskunde, hvis navn, CVR, adresse og kontaktperson fremgår af tilbuddet eller ordrebekræftelsen. Denne aftale med bilag A–D indgås ved parternes skriftlige eller elektroniske accept af en leveranceaftale, der henviser til denne version. Begge parter skal opbevare den accepterede version og de kundespecifikke instrukser.

Aftalen regulerer behandling af personoplysninger på kundens vegne efter GDPR artikel 28, stk. 3, og har forrang for modstridende bestemmelser i handelsbetingelserne om denne behandling. Den ændrer ikke de registreredes lovbestemte rettigheder.

Kunden bestemmer formålene med behandlingen og er ansvarlig for lovligt behandlingsgrundlag, information til de registrerede og lovlige instrukser. Yellowsite behandler alene oplysningerne efter dokumenteret instruks i denne aftale, bilagene og kundens senere skriftlige instrukser.

Vi må ikke bruge kundens personoplysninger til egne formål. Kræver EU-ret eller dansk ret anden behandling, orienterer vi kunden inden behandlingen, medmindre loven forbyder det. Mener vi, at en instruks strider mod databeskyttelsesreglerne, underretter vi straks kunden og afklarer instruksen, før den pågældende behandling fortsætter.

Adgang gives kun til personer, der har et arbejdsbetinget behov, og som er underlagt fortrolighed eller tavshedspligt. Adgange gennemgås og fjernes, når behovet ophører.

Yellowsite skal gennemføre og løbende vurdere passende tekniske og organisatoriske sikkerhedsforanstaltninger efter GDPR artikel 32. Kunden skal oplyse om særlige risici og sikkerhedsbehov. Minimumskravene og den kundespecifikke afgrænsning fremgår af bilag C.

Kunden giver generel skriftlig godkendelse til de underdatabehandlere i bilag B, som er relevante for den bestilte ydelse. Yellowsite varsler tilføjelse eller udskiftning skriftligt mindst 30 dage før anvendelsen, så kunden kan gøre begrundet indsigelse om databeskyttelse. Parterne søger en løsning inden ændringen; kan de ikke finde en, kan den berørte ydelse ophøre, før den nye underdatabehandler anvendes.

Underdatabehandlere skal være bundet af skriftlige aftaler med tilsvarende databeskyttelsesforpligtelser. Yellowsite er fortsat ansvarlig over for kunden for deres opfyldelse. Relevante aftalevilkår udleveres på anmodning; uvedkommende forretningsoplysninger kan udelades.

Overførsler og fjernadgang fra lande uden for EU/EØS kræver dokumenteret instruks og et gyldigt grundlag efter GDPR kapitel V. Instruksen om Proton i Schweiz står i bilag C. Denne aftale udgør ikke i sig selv et overførselsgrundlag til andre tredjelande.

Yellowsite bistår under hensyn til behandlingens karakter og de tilgængelige oplysninger kunden med anmodninger om indsigt, rettelse, sletning, begrænsning, dataportabilitet og indsigelse samt øvrige rettigheder efter GDPR kapitel III. Modtager vi en anmodning direkte, sender vi den videre til kunden og svarer ikke på kundens vegne uden instruks.

Vi bistår også med sikkerhedsvurderinger, konsekvensanalyser, forudgående høring af Datatilsynet og håndtering af brud på persondatasikkerheden efter GDPR artikel 32–36.

Ved et brud underretter vi kunden uden unødig forsinkelse efter, at vi er blevet opmærksomme på det. Vi oplyser om hændelsen, berørte datatyper og registrerede, sandsynlige konsekvenser, afhjælpende tiltag og kontaktperson i det omfang, oplysningerne foreligger. Manglende oplysninger følger løbende uden unødig forsinkelse. Kunden vurderer og foretager den eventuelle anmeldelse til myndigheder og underretning af de registrerede.

Ved ophør vælger kunden, om personoplysninger skal tilbageleveres og derefter slettes, eller slettes direkte. Som udgangspunkt tilbageleveres oplysningerne i et almindeligt, anvendeligt format efter kundens instruks inden for 30 dage efter ophør, hvorefter de aktive kopier slettes. Kunden kan instruere os om tidligere sletning.

Backupkopier slettes efter den opbevarings- og slettefrist, der er fastlagt skriftligt for ydelsen i bilag C. Indtil da er de beskyttet og utilgængelige for almindelig drift og må kun bruges ved nødvendig gendannelse eller lovkrav. Ved gendannelse skal allerede gennemførte sletninger gentages.

Vi bekræfter sletning på anmodning. Kræver EU-ret eller dansk ret fortsat opbevaring, begrænses behandlingen til det lovbestemte formål og tidsrum. Denne aftale gælder, så længe vi eller vores underdatabehandlere fortsat behandler kundens oplysninger.

Yellowsite stiller de oplysninger til rådighed, som kunden behøver for at påvise overholdelse af aftalen og GDPR artikel 28, og giver mulighed for og bidrager til revision og inspektion fra kunden eller en bemyndiget revisor. Proceduren står i bilag C. Myndigheders lovbestemte adgang begrænses ikke.

Ændringer i denne aftale og kundens instrukser skal dokumenteres skriftligt. En ny version på hjemmesiden erstatter ikke automatisk en allerede accepteret aftale. Parterne kan kræve aftalen tilpasset ved ændrede lovkrav. Den kan ikke opsiges særskilt, mens behandlingen fortsætter, uden en anden gyldig databehandleraftale.

Formål og ydelser: Drift, hosting og aftalt support af kundens website eller webshop på Ez24 samt mail og serverydelser, hvis de er bestilt. Kundens ordrebekræftelse afgrænser de konkrete ydelser.

Behandling: Modtagelse, lagring, organisering, visning, overførsel, fejlsøgning, sikkerhedskopiering, gendannelse, eksport og sletning i det omfang, det er nødvendigt for den aftalte ydelse og instruks.

Personoplysninger: Navne, adresser, e-mailadresser, telefonnumre, bruger- og kontooplysninger, IP-adresser, ordre- og leveringsoplysninger samt indhold af kontaktformularer og e-mails. Det konkrete indhold afhænger af kundens løsning. Betalingskortdata, CPR-numre, strafbare forhold og særlige kategorier af personoplysninger efter artikel 9 kræver særskilt skriftlig aftale og risikovurdering før behandling.

Registrerede: Kundens besøgende, kunder, kontaktpersoner, leverandørkontakter, medarbejdere og øvrige personer, der kommunikerer med kunden gennem de aftalte tjenester.

Varighed: Fra den aftalte behandlingsstart til ydelsens ophør og efterfølgende tilbagelevering eller sletning, herunder udløb af aftalt backupopbevaring. Ændret anvendelse eller nye datatyper skal afklares skriftligt før behandlingen.

Listen omfatter de leverandører, der kan anvendes til de nævnte ydelser. Kun leverandører, som faktisk indgår i den bestilte løsning, behandler den pågældende kundes oplysninger. Den konkrete leverandør og placering fremgår af den kundespecifikke leverancebeskrivelse.

• Hetzner Online GmbH — Industriestraße 25, 91710 Gunzenhausen, Tyskland. Registrering HRB 6089. Server- og hostinginfrastruktur samt aftalt lagring og backup. Tilladte driftslande for denne aftale: Tyskland og Finland. Leverandørens databehandleraftale.
• Curanet A/S — Højvangen 4, 8660 Skanderborg, Danmark. CVR 29412006. Hosting, mail, serverinfrastruktur og backup efter den bestilte ydelse. Tilladt driftsland: Danmark. Leverandøroplysninger.
• Proton AG — Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz. Registrering CHE-354.686.492. Mailtjenester, når de leveres på kundens vegne. Tilladt driftsland efter denne instruks: Schweiz. Leverandørens databehandleraftale.

Leverandørens hjemsted er ikke i sig selv dokumentation for den konkrete dataplacering. Yellowsite skal kontrollere den valgte tjenestes placering og eventuelle videre underdatabehandlere, før kundens oplysninger overføres. Andre tjenester eller driftslande kræver den forudgående instruks og varsling, som følger af aftalen.

Instruks og steder: Yellowsite må udføre behandlingen i bilag A for de bestilte ydelser. Administration sker fra Danmark. Den kundespecifikke leverancebeskrivelse skal før behandlingsstart angive tjeneste, aktive underdatabehandlere, dataplacering og kontaktpersoner.

Adgang og fortrolighed: Adgang skal begrænses efter arbejdsbehov, være personligt identificerbar, beskyttes med stærk autentifikation og fjernes ved ophør. Administrative fjernforbindelser skal sikres, og adgang til kundedata skal kunne undersøges ved en sikkerhedshændelse.

Teknisk og fysisk beskyttelse: Data skal beskyttes under transmission og mod uautoriseret adgang under opbevaring. Der skal anvendes sikker konfiguration, relevante sikkerhedsopdateringer, adskillelse af kunders adgang og passende fysisk sikring af behandlingssteder. Krav til kryptering under opbevaring, logning og eventuel pseudonymisering fastlægges efter risikovurderingen og dokumenteres for ydelsen.

Backup aftales pr. ydelse: Backupinterval, opbevaringsperiode, placering, gendannelsesmuligheder og frist for sletning af backup efter ophør skal fastlægges skriftligt i kundens leveranceaftale før behandlingsstart. Denne aftale fastsætter ikke automatisk daglig backup eller en bestemt opbevaringsperiode.

Egen server: Har kunden administratoradgang og ansvar for operativsystem, applikationer eller backup, skal ansvarsfordelingen beskrives udtrykkeligt. Yellowsites ansvar for egen infrastruktur, egne adgange og de dele af behandlingen, vi udfører, består.

Kontrol og bistand: Sikkerhedsforanstaltninger og gendannelse skal løbende afprøves og vurderes i forhold til risikoen. Yellowsite skal efter instruks kunne hjælpe med relevante udtræk, rettelser, sletninger og tekniske oplysninger til kundens håndtering af rettigheder, konsekvensanalyser og brud.

Tilsyn: Kunden kan indhente sikkerhedsdokumentation, relevante underdatabehandleraftaler og tilgængelige revisionsrapporter. Inspektion planlægges med rimeligt varsel og under fortrolighed; ved begrundet mistanke om brud eller myndighedskrav kan kortere varsel være nødvendigt. Andre kunders oplysninger skal beskyttes. Dokumentation erstatter ikke kundens ret til nødvendig inspektion.

Schweiz: Når Proton-mail er bestilt og placeringen er bekræftet, instruerer kunden i behandling hos Proton i Schweiz på grundlag af EU-Kommissionens tilstrækkelighedsafgørelse, jf. GDPR artikel 45. Andre tredjelande eller ændringer i overførselsgrundlaget kræver forudgående dokumenteret afklaring.

Priser og de øvrige kommercielle vilkår følger tilbuddet, ordrebekræftelsen og handelsbetingelserne, i det omfang de ikke strider mod denne aftale eller ufravigelig lovgivning. Yellowsites behandling som selvstændig dataansvarlig er beskrevet i privatlivspolitikken.

Version 1.0 · 24. oktober 2026. Aftalen er tilpasset Yellowsites ydelser med udgangspunkt i Datatilsynets skabelon til databehandleraftale. Den er ikke en uændret gengivelse af standardkontraktsbestemmelserne og er ikke godkendt særskilt af Datatilsynet.