Databehandleraftale i foreningen: hvornår skal I have en?
Foreninger behandler persondata om deres medlemmer: navne, adresser, mails og betalinger. Når de data ligger i et medlemssystem, et nyhedsbrevsprogram eller et regnskabsprogram, siger GDPR, at der skal være en databehandleraftale. Her er en kort gennemgang. Den er ikke juridisk rådgivning, og er I i tvivl, så læs Datatilsynets vejledninger.
Foreningen er dataansvarlig
Det er foreningen, der bestemmer, hvilke oplysninger om medlemmerne der bliver indsamlet, og hvad de bruges til. Derfor er foreningen dataansvarlig, og ansvaret ligger i praksis hos bestyrelsen.
Leverandøren er databehandler
Når en leverandør opbevarer eller behandler persondata på foreningens vegne, er leverandøren databehandler. Efter GDPR artikel 28 skal forholdet være reguleret af en skriftlig aftale: databehandleraftalen.
Hvad står der i en databehandleraftale?
- At leverandøren kun behandler data efter foreningens instruks.
- At de, der har adgang til data, har tavshedspligt.
- Hvilke sikkerhedsforanstaltninger leverandøren har.
- Regler for underdatabehandlere, fx hosting og udsendelse af mails.
- At leverandøren hjælper, når et medlem vil have indsigt i eller sletning af sine data.
- Hvad der sker med data, når aftalen stopper.
- At foreningen kan kontrollere, at aftalen bliver overholdt.
Spørgsmål til leverandøren
- Hvor ligger data, og bliver de overført til lande uden for EU?
- Hvilke underdatabehandlere bruger I?
- Kan vi eksportere og slette alle data, hvis vi stopper?
- Hvordan og hvor hurtigt får vi besked, hvis der sker et sikkerhedsbrud?
- Har I en databehandleraftale, vi kan underskrive eller acceptere?
Datatilsynets skabelon
Datatilsynet har udgivet standardkontraktbestemmelser til databehandleraftaler, som mange bruger som udgangspunkt. Bruger leverandøren sin egen aftale, kan I holde den op mod punkterne ovenfor.
Hos membrr
- Data ligger på servere i EU.
- Vi sælger eller deler ikke data med tredjeparter.
- Vi bruger ingen cookies til tracking, kun en session-cookie til login.
- Medlemslisten kan eksporteres som CSV, og medlemmerne kan afmelde nyhedsbreve med ét klik.