Databehandleraftale

Denne databehandleraftale ("Aftalen") fastlægger de vilkår, hvorunder BMB-MEDIA ApS, CVR-nr. 46192788, Kildeparken 12, 8722 Hedensted ("Databehandleren"), behandler personoplysninger på vegne af Kunden ("den Dataansvarlige") som led i Databehandlerens levering af markedsførings-, content- og hjemmesideydelser i henhold til parternes aftale og Databehandlerens salgs- og leveringsbetingelser (samlet "Hovedaftalen").

Aftalen udgør bilag til Hovedaftalen og er indgået for at opfylde kravene i databeskyttelsesforordningens artikel 28, stk. 3.

I tilfælde af uoverensstemmelse mellem Aftalen og Hovedaftalen har Aftalen forrang for så vidt angår behandling af personoplysninger. Ved uoverensstemmelse mellem Aftalen og bilagene har Aftalen forrang.

Den Dataansvarlige bestemmer formålene med og hjælpemidlerne til behandlingen. Den Dataansvarlige er ansvarlig for, at der foreligger et gyldigt behandlingsgrundlag for enhver behandling, som Databehandleren udfører på den Dataansvarliges vegne, herunder gyldigt samtykke til direkte markedsføring, og for at opfylde oplysningspligten over for de registrerede.

Databehandleren behandler alene personoplysninger efter dokumenteret instruks fra den Dataansvarlige, jf. pkt. 4.

Den Dataansvarlige indestår for, at de personoplysninger, der overlades til Databehandleren, er indsamlet lovligt, og at instruksen er i overensstemmelse med gældende databeskyttelseslovgivning.

Behandlingens genstand og karakter, formålet med behandlingen samt kategorierne af registrerede og personoplysninger fremgår af bilag A.

Behandlingen løber, så længe Hovedaftalen er i kraft, og ophører efter reglerne i pkt. 13.

Hovedaftalen, denne Aftale med bilag samt den Dataansvarliges skriftlige anvisninger udgør tilsammen den Dataansvarliges instruks til Databehandleren. Instruksen kan til enhver tid ændres eller præciseres skriftligt af den Dataansvarlige. Medfører en ændring et væsentligt merarbejde for Databehandleren, kan Databehandleren fakturere herfor efter medgået tid.

Databehandleren underretter uden unødig forsinkelse den Dataansvarlige, hvis en instruks efter Databehandlerens opfattelse strider mod databeskyttelseslovgivningen, og kan udsætte den pågældende behandling, indtil forholdet er afklaret.

Databehandleren behandler ikke de overladte personoplysninger til egne formål. Databehandleren er dog berettiget til at anvende anonymiserede og aggregerede data, der hverken kan henføres til den Dataansvarlige eller til en fysisk person, til statistik, benchmarking og forbedring af egne ydelser.

Databehandleren sikrer, at alene de medarbejdere, der har behov herfor for at kunne levere ydelsen, har adgang til de personoplysninger, der behandles på vegne af den Dataansvarlige.

Databehandlerens medarbejdere er pålagt tavshedspligt om de personoplysninger, de får adgang til. Tavshedspligten fortsætter efter ansættelsesforholdets og Aftalens ophør.

Databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger, jf. databeskyttelsesforordningens artikel 32. De foranstaltninger, der er gennemført på tidspunktet for Aftalens indgåelse, fremgår af bilag C.

Databehandleren kan ændre foranstaltningerne i bilag C, forudsat at sikkerhedsniveauet ikke forringes.

Den Dataansvarlige er ansvarlig for sikkerheden i egne systemer, herunder egen hjemmeside, eget bookingsystem og egne konti hos annonce- og udsendelsesplatforme, jf. Hovedaftalen.

Den Dataansvarlige giver ved indgåelsen af Aftalen generel godkendelse til, at Databehandleren gør brug af underdatabehandlere. Den til enhver tid gældende liste over godkendte underdatabehandlere fremgår af bilag B nedenfor.

Databehandleren underretter om påtænkte ændringer, herunder tilføjelse eller udskiftning af en underdatabehandler, ved at opdatere bilag B på denne side mindst 14 dage før ændringen træder i kraft. Den Dataansvarlige kan ved henvendelse til Databehandleren tilmelde sig underretning pr. e-mail.

Den Dataansvarlige kan, inden ændringen træder i kraft, gøre skriftlig indsigelse mod den på et sagligt databeskyttelsesretligt grundlag. Kan parterne ikke finde en løsning, kan den Dataansvarlige opsige den del af ydelsen, der forudsætter den pågældende underdatabehandler, med 30 dages varsel. Allerede betalt honorar refunderes ikke.

Databehandleren indgår skriftlig aftale med enhver underdatabehandler, der pålægger denne forpligtelser svarende til Aftalens. Databehandleren hæfter for underdatabehandlerens behandling som for sin egen.

Den Dataansvarlige er indforstået med, at Databehandleren som led i leveringen af sine ydelser anvender AI-baserede værktøjer, herunder sprog- og billedmodeller, til blandt andet analyse, udarbejdelse af materiale, opsummering og optimering, og at personoplysninger kan indgå heri i det omfang, det er nødvendigt for at levere ydelsen.

Databehandleren udvælger AI-leverandører ud fra, at leverandøren er omfattet af en databehandleraftale med Databehandleren, og at leverandørens vilkår efter Databehandlerens vurdering ikke tillader, at de overladte oplysninger anvendes til træning eller anden videreudvikling af leverandørens modeller.

Databehandleren indtaster ikke oplysninger omfattet af databeskyttelsesforordningens artikel 9 eller 10 i AI-værktøjer. Den Dataansvarlige må ikke overlade sådanne oplysninger til Databehandleren, jf. bilag A.

Databehandleren begrænser de personoplysninger, der indgår i AI-værktøjer, til det nødvendige og anvender så vidt muligt aggregerede, pseudonymiserede eller anonymiserede oplysninger, herunder performancedata, målgruppekriterier og statistik frem for oplysninger om identificerbare enkeltpersoner.

Databehandleren kontrollerer output fra AI-værktøjer, inden det anvendes eller videregives. Der træffes ikke afgørelser alene baseret på automatisk behandling med retsvirkning eller tilsvarende væsentlig betydning for registrerede, jf. databeskyttelsesforordningens artikel 22.

De anvendte AI-leverandører fremgår af bilag B og er underdatabehandlere omfattet af pkt. 7.

Instruerer den Dataansvarlige Databehandleren i en bestemt anvendelse af AI-værktøjer, eller stiller den Dataansvarlige selv sådanne værktøjer til rådighed, sker anvendelsen på den Dataansvarliges ansvar og risiko.

Overførsel af personoplysninger til lande uden for EU/EØS må alene ske, når der foreligger et gyldigt overførselsgrundlag efter databeskyttelsesforordningens kapitel V, herunder en tilstrækkelighedsafgørelse eller EU-Kommissionens standardkontraktbestemmelser med fornødne supplerende foranstaltninger.

Overførsel til underdatabehandlere uden for EU/EØS sker på grundlag af en tilstrækkelighedsafgørelse eller EU-Kommissionens standardkontraktbestemmelser, som indgår i Databehandlerens aftale med den pågældende underdatabehandler. Dokumentation herfor stilles til rådighed for den Dataansvarlige på anmodning.

Bortfalder et overførselsgrundlag, underretter Databehandleren den Dataansvarlige uden unødig forsinkelse og træffer rimelige foranstaltninger for at etablere et nyt grundlag eller ophøre med overførslen.

Modtager Databehandleren en anmodning fra en registreret om udøvelse af dennes rettigheder, videresender Databehandleren uden unødig forsinkelse anmodningen til den Dataansvarlige. Databehandleren besvarer ikke selv anmodningen, medmindre andet er skriftligt aftalt.

Databehandleren bistår i rimeligt omfang den Dataansvarlige med at opfylde forpligtelserne efter databeskyttelsesforordningens artikel 32-36, herunder ved konsekvensanalyser og forudgående høring.

Bistand efter pkt. 10.1 og 10.2, som overstiger et sædvanligt og begrænset omfang, kan faktureres efter medgået tid til Databehandlerens til enhver tid gældende timesats.

Databehandleren underretter den Dataansvarlige uden unødig forsinkelse og senest 48 timer efter, at Databehandleren er blevet bekendt med et brud på persondatasikkerheden vedrørende de personoplysninger, der behandles på vegne af den Dataansvarlige.

Underretningen indeholder de oplysninger, der er tilgængelige for Databehandleren, herunder karakteren af bruddet, de berørte kategorier og det omtrentlige antal registrerede, de sandsynlige konsekvenser samt de foranstaltninger, der er truffet eller foreslås truffet.

Anmeldelse til Datatilsynet og eventuel underretning af de registrerede foretages af den Dataansvarlige.

Databehandleren stiller på den Dataansvarliges skriftlige anmodning, dog højst én gang årligt, de oplysninger til rådighed, der er nødvendige for at påvise Databehandlerens overholdelse af Aftalen og databeskyttelsesforordningens artikel 28.

Ønsker den Dataansvarlige at gennemføre en inspektion eller indhente en uafhængig revisionserklæring, sker det med mindst 30 dages skriftligt varsel og for den Dataansvarliges regning. Databehandlerens medgåede tid faktureres efter gældende timesats. Inspektion må ikke være til unødig gene for Databehandlerens drift og forudsætter, at den, der udfører inspektionen, er underlagt tavshedspligt.

Datatilsynet har til enhver tid adgang til de lokaler og oplysninger, som myndigheden er berettiget til efter gældende lovgivning.

Ved Aftalens ophør sletter eller tilbageleverer Databehandleren efter den Dataansvarliges valg de personoplysninger, der behandles på vegne af den Dataansvarlige.

Den Dataansvarlige meddeler sit valg skriftligt senest 30 dage efter ophøret. Modtager Databehandleren ikke en meddelelse inden fristen, sletter Databehandleren oplysningerne.

Sletning gennemføres senest 90 dage efter ophøret. Dette gælder dog ikke oplysninger, som Databehandleren efter lovgivningen er forpligtet til at opbevare, herunder efter bogføringsloven, samt oplysninger i sikkerhedskopier, der slettes efter Databehandlerens almindelige rotationsprocedure.

Konti hos annonce- og udsendelsesplatforme samt de heri liggende data tilhører den Dataansvarlige. Databehandleren fjerner sine adgange hertil efter Hovedaftalens bestemmelser.

Parternes ansvar over for registrerede og tilsynsmyndigheder følger databeskyttelsesforordningens artikel 82.

I det indbyrdes forhold mellem parterne gælder ansvarsbegrænsningen i Hovedaftalen, i det omfang dette ikke strider mod ufravigelig lovgivning.

Pålægges Databehandleren en bøde, et erstatningsansvar eller et tilsvarende krav som følge af, at den Dataansvarlige ikke har haft et gyldigt behandlingsgrundlag, ikke har opfyldt sin oplysningspligt eller i øvrigt har givet en ulovlig instruks, skadesløsholder den Dataansvarlige Databehandleren i enhver henseende.

Aftalen udgør bilag 1 til Hovedaftalen og træder i kraft samtidig med denne. Aftalen kræver ikke særskilt underskrift og er gældende, så længe Databehandleren behandler personoplysninger på vegne af den Dataansvarlige.

Aftalen kan ikke opsiges særskilt, så længe Hovedaftalen er i kraft.

Aftalens tekst er fastlagt i den version, der fremgår øverst på denne side. Ændringer af Aftalens tekst gennemføres med 30 dages skriftligt varsel til den Dataansvarlige, der inden varslets udløb kan gøre indsigelse og opsige den berørte ydelse efter reglerne i Hovedaftalen. Databehandleren kan dog ensidigt ændre bilag B og bilag C efter reglerne i pkt. 7.2 og pkt. 6.2.

Medfører ændringer i lovgivning eller praksis, at Aftalen skal tilpasses, forhandler parterne i god tro om de nødvendige ændringer.

Aftalen er underlagt dansk ret.

Enhver tvist, der ikke kan løses i mindelighed, afgøres ved de almindelige domstole med Retten i Kolding som værneting i første instans.