Databehandleraftale (artikel 28 i GDPR)

1. Parter og genstand

1.1 Dataansvarlig er brugeren (herefter »den dataansvarlige«), databehandler er iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Tyskland (herefter »iBeekeeper«).

1.2 iBeekeeper behandler personoplysninger på vegne af den dataansvarlige, i det omfang denne gemmer dem i tjenesten inden for rammerne af brugsaftalen (forretningsbetingelserne). Varighed: brugsaftalens løbetid med tillæg af fristerne efter punkt 9.

2. Behandlingens art, formål og omfang

3. Instrukser

iBeekeeper behandler kun dataene efter dokumenteret instruks fra den dataansvarlige. Instrukserne er udtømmende fastlagt i brugsaftalen og i de indstillinger og funktioner i tjenesten, som den dataansvarlige bruger. Yderligere instrukser giver den dataansvarlige i tekstform til service@ibeekeeper.de. Finder iBeekeeper, at en instruks er ulovlig, underretter iBeekeeper straks den dataansvarlige herom (art. 28, stk. 3, 3. pkt., GDPR).

4. Fortrolighed

iBeekeeper anvender kun personer, der har forpligtet sig til fortrolighed eller er underlagt en lovbestemt tavshedspligt.

5. Tekniske og organisatoriske foranstaltninger

iBeekeeper træffer de foranstaltninger efter art. 32 GDPR, der er beskrevet i bilag 1, og tilpasser dem til det aktuelle tekniske niveau uden at sænke beskyttelsesniveauet.

6. Underdatabehandlere

6.1 Den dataansvarlige godkender de underdatabehandlere, der er nævnt i bilag 2.

6.2 iBeekeeper informerer den dataansvarlige mindst 30 dage forinden i tekstform om enhver påtænkt tilføjelse eller udskiftning. Den dataansvarlige kan inden for denne frist gøre indsigelse af vigtige databeskyttelsesretlige grunde. Kan parterne ikke blive enige, kan den dataansvarlige opsige brugsaftalen til tidspunktet for ændringen.

6.3 iBeekeeper pålægger kontraktligt hver underdatabehandler de samme databeskyttelsesforpligtelser.

7. Bistand til den dataansvarlige

iBeekeeper bistår den dataansvarlige med egnede foranstaltninger ved besvarelsen af anmodninger fra registrerede (art. 12 til 22 GDPR), navnlig via tjenestens eksport-, ændrings- og sletningsfunktioner, samt med forpligtelserne efter art. 32 til 36 GDPR. Henvender en registreret sig direkte til iBeekeeper, videresender iBeekeeper anmodningen til den dataansvarlige.

8. Brud på persondatasikkerheden

iBeekeeper underretter den dataansvarlige om et brud på sikkerheden for de behandlede data uden unødig forsinkelse, så vidt muligt inden for 48 timer efter at være blevet bekendt med det, med oplysningerne efter art. 33, stk. 3, GDPR, i det omfang de er kendt.

9. Sletning og tilbagelevering

Den dataansvarlige kan til enhver tid selv eksportere og slette dataene. Efter brugsaftalens ophør eller efter sletning af kontoen sletter iBeekeeper de behandlede data efter fristerne i forretningsbetingelserne (punkt 9.7), medmindre der gælder en lovbestemt pligt til opbevaring. Daglige sikkerhedskopier slettes efter 30 dage, én version pr. kalendermåned efter 12 måneder. Sikkerhedskopier er krypterede og anvendes kun til gendannelse; efter en gendannelse slettes data, der er blevet slettet i mellemtiden, på ny.

10. Dokumentation og kontrol

iBeekeeper stiller efter anmodning de oplysninger til rådighed for den dataansvarlige, der er nødvendige for at påvise overholdelsen af disse forpligtelser, og giver mulighed for revision foretaget af den dataansvarlige eller af en revisor, som denne har udpeget, og som er underlagt tavshedspligt, efter forudgående anmeldelse med rimeligt varsel i normal arbejdstid. Dokumentationen sker primært ved hjælp af dokumenter og oplysninger.

11. Ansvar og afsluttende bestemmelser

For ansvaret gælder art. 82 GDPR; i øvrigt gælder forretningsbetingelserne. Ved modstrid har denne aftale forrang for forretningsbetingelserne, for så vidt angår beskyttelsen af personoplysninger.

Bilag 1: Tekniske og organisatoriske foranstaltninger

• Adgang til lokaler og fysisk sikkerhed: servere udelukkende i OVHclouds datacentre, aftalepart OVH GmbH, Köln; adgangskontrol ved OVHcloud i henhold til dennes databehandleraftale (version af 17.10.2025).
• Adgang til systemer: login med adgangskode, adgangskoder gemmes kun som hash; administratoradgang til serverne kun med SSH-nøgle.
• Adgang til data: rettigheder i tjenesten pr. konto, delinger kun ved brugeren; administrative adgange logføres (admin-app, log over kundehandlinger).
• Videregivelse: transportkryptering med TLS for alle forbindelser; fotos uden metadata.
• Inputkontrol: ændringslog for regnskab og udgående fakturaer, uforanderlig arkivering med kontrolsum.
• Tilgængelighed: daglig sikkerhedskopiering af database og medier på et adskilt lager (OVHclouds objektlager i Tyskland); daglige sikkerhedskopier slettes efter 30 dage, én version pr. kalendermåned efter 12 måneder; sikkerhedskopierne er krypterede og anvendes kun til gendannelse; gendannelsen afprøves mindst én gang om året, og resultatet dokumenteres.
• Adskillelse: datalagring med adskillelse mellem kunder (multi-tenant), forespørgsler pr. konto.
• Kontrol: sikkerhedsopdateringer af servere og afhængigheder, årlig kontrol af foranstaltningerne.

Bilag 2: Underdatabehandlere

OVH GmbH anvender på sin side selskaber i OVHcloud-koncernen, til support og vedligeholdelse også OVH Hébergement Inc. (Canada) og OVH Limited (Det Forenede Kongerige); den aktuelle liste findes på https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Ikke underdatabehandlere: Mollie, Apple og Google (betaling eller levering i eget forhold til brugeren, ingen behandlede data).