Databehandleraftale

Aftale mellem kunden (dataansvarlig) og Stougaard Plan ApS (databehandler) om behandling af personoplysninger, jf. GDPR art. 28. Følger Datatilsynets standardkontrakt.

§ 1 · Baggrund, formål og rollefordeling

Stougaard Plan ApS leverer plan- og miljørådgivning. Rollerne efter databeskyttelsesforordningen afhænger af, hvilken behandling der er tale om, og følger af, hvem der reelt fastlægger formål og midler, jf. art. 4, nr. 7 og nr. 8. Fordelingen kan ikke fastlægges ved aftale alene.

Stougaard Plan ApS er selvstændig dataansvarlig for de personoplysninger, selskabet indsamler og anvender for at udarbejde den faglige leverance — lokalplaner, kommuneplantillæg, miljøvurderinger, screeninger, notater og tilsvarende. Kunden bestiller en faglig leverance og giver ikke instruks om, hvordan personoplysninger behandles. Stougaard Plan ApS afgør selv, hvilke registre der konsulteres, hvilke oplysninger opgaven kræver, og hvor længe materialet opbevares, og har sit eget rådgiveransvar for de faglige valg. Det samme gælder kontaktoplysninger på kundens medarbejdere, selskabets sagsnoter og fakturering. For disse behandlinger har Stougaard Plan ApS sit eget behandlingsgrundlag og sin egen oplysningspligt, og nærværende aftale finder ikke anvendelse.

Stougaard Plan ApS er databehandler for de behandlinger, der udtrykkeligt er anført i § 2, og alene for dem. Det er behandlinger, hvor selskabet udfører en behandling, kunden selv er forpligtet til, eller arbejder direkte i kundens egne systemer. Kunden er dataansvarlig for disse behandlinger, og nærværende aftale regulerer dem, jf. databeskyttelsesforordningen (GDPR) art. 28, stk. 3. Er en behandling ikke anført i § 2, er Stougaard Plan ApS dataansvarlig for den. Opstår der tvivl, afklares det skriftligt mellem parterne, inden behandlingen påbegyndes.

Aftalen supplerer Stougaard Plans generelle handelsbetingelser og den underliggende samarbejdsaftale.

§ 2 · Beskrivelse af behandlingen

Karakter og formål

Denne aftale omfatter alene de behandlinger, hvor Stougaard Plan ApS handler efter kundens instruks, jf. § 1. Det vil sige:

• modtagelse og registrering af høringssvar rettet til kunden
• udarbejdelse af hvidbog eller tilsvarende til kundens egen sagsbehandling
• adgang til og arbejde direkte i kundens ESDH- eller fagsystem

Selve udarbejdelsen af den faglige leverance — lokalplaner, kommuneplantillæg, miljøvurderinger, screeninger og tilsvarende — er ikke omfattet af denne aftale. Der handler Stougaard Plan ApS som selvstændig dataansvarlig, jf. § 1.

Udfører Stougaard Plan ApS ingen af de ovennævnte behandlinger for kunden, er denne aftale uden indhold for det pågældende kundeforhold.

Typer af personoplysninger

• Almindelige oplysninger: navne, adresser, e-mailadresser, telefonnumre, CVR-numre, ejendomsoplysninger (BBR, matrikelnummer)
• Kontaktoplysninger fra høringsparter og naboer i planprocesser
• Ved konkret behov: oplysninger fra grundejerfortegnelser, offentlige registre

Særlige kategorier af personoplysninger (følsomme data jf. GDPR art. 9) behandles som udgangspunkt ikke. Hvis det undtagelsesvis bliver relevant, aftales det specifikt og dokumenteres.

Kategorier af registrerede

• Medarbejdere og kontaktpersoner hos kunden
• Grundejere, naboer og høringsparter i konkrete planområder
• Eksterne samarbejdspartnere og myndighedskontakter

Varighed

Behandlingen løber så længe der er en aktiv opgave, plus op til 5 år efter opgavens afslutning til brug for dokumentation og ansvarsvurdering. Derefter slettes oplysningerne, medmindre lovgivning kræver længere opbevaring.

§ 3 · Instruktion

Databehandler må kun behandle personoplysningerne efter dokumenteret instruktion fra kunden. Aftalen og den underliggende samarbejdsaftale udgør den dokumenterede instruktion.

Databehandler informerer kunden, hvis en instruktion efter databehandlers opfattelse er i strid med GDPR eller anden lovgivning om databeskyttelse.

§ 4 · Fortrolighed

Databehandler sikrer, at personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. Adgang til oplysninger er begrænset til personer, der har behov for det for at kunne opfylde aftalen.

§ 5 · Sikkerhed

Databehandler træffer passende tekniske og organisatoriske foranstaltninger jf. GDPR art. 32, herunder:

• Kryptering af data under transport (TLS) og i hvilende tilstand hvor teknisk muligt
• Adgangsbegrænsning via stærke, unikke passwords og to-faktor-godkendelse hvor tilgængeligt
• Logning af adgang til systemer der behandler personoplysninger
• Regelmæssig backup hos godkendte databehandlere (Simply.com, Google Workspace)
• Fysisk sikring af arbejdscomputer (låsekode, diskkryptering)
• Procedurer for opdagelse, rapportering og håndtering af sikkerhedshændelser

§ 6 · Underdatabehandlere

Databehandler anvender følgende underdatabehandlere. Listen opdateres løbende på stougaardplan.dk/dpa:

Databehandler kan antage yderligere underdatabehandlere med forudgående generelt samtykke fra kunden. Ved tilføjelse varsles kunden skriftligt med mindst 30 dages frist. Kunden kan gøre indsigelse mod nye underdatabehandlere af saglige grunde inden varselsperiodens udløb.

Databehandler indgår skriftlig databehandleraftale med alle underdatabehandlere med mindst samme databeskyttelsesniveau som den nærværende aftale.

§ 7 · Overførsel til tredjelande

Overførsel af personoplysninger til lande uden for EU/EØS sker kun på grundlag af:

• En tilstrækkelighedsafgørelse fra Kommissionen, eller
• EU's standardkontraktbestemmelser (SCC), eller
• Andet gyldigt overførselsgrundlag jf. GDPR kap. V

Google, Microsoft og Apple er certificeret under EU-US Data Privacy Framework. Øvrige leverandører uden for EU/EØS — herunder Anthropic, Notion og Voyage AI — overfører på grundlag af EU's standardkontraktbestemmelser, jf. oversigten i § 6.

§ 8 · Bistand til den dataansvarlige

Databehandler bistår, under hensyntagen til behandlingens karakter og oplysninger til rådighed for databehandler, kunden med:

• At opfylde forpligtelsen til at besvare anmodninger om udøvelse af de registreredes rettigheder (indsigt, berigtigelse, sletning, indsigelse m.v.)
• At sikre overholdelse af forpligtelserne i GDPR art. 32-36 (sikkerhed, anmeldelse og underretning af brud, konsekvensanalyser)

For bistand, der rækker ud over almindelig opgaveløsning, kan databehandler opkræve rimelig betaling efter medgået tid til den aftalte timepris.

§ 9 · Databrud

Databehandler underretter kunden uden unødig forsinkelse efter at have fået kendskab til et brud på persondatasikkerheden. Underretningen indeholder beskrivelse af:

• Bruddets karakter og omfang
• Kontaktoplysninger på databehandler
• Sandsynlige konsekvenser
• Iværksatte eller foreslåede foranstaltninger for at begrænse skaden

§ 10 · Sletning og tilbagelevering

Ved aftalens ophør sletter eller tilbageleverer databehandler, efter kundens valg, alle personoplysninger til kunden og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring.

Databehandler kan opbevare arbejdsdokumenter, udkast og lignende i op til 5 år efter aftalens ophør i overensstemmelse med rådgivers behov for at kunne dokumentere leverancens faglige grundlag (jf. forældelseslovens regler).

Efter aftalens ophør behandler Stougaard Plan ApS de nævnte arbejdsdokumenter som selvstændig dataansvarlig på grundlag af legitim interesse, jf. databeskyttelsesforordningens art. 6, stk. 1, litra f, idet hensynet til faglig dokumentation og rådgivers mulighed for at imødegå krav inden for forældelseslovens frister vurderes at overstige den registreredes interesser eller grundlæggende rettigheder. De registrerede informeres om denne behandling via Stougaard Plans privatlivspolitik, hvor rettighederne efter art. 21 (indsigelse) er beskrevet.

§ 11 · Audit og dokumentation

Databehandler stiller alle oplysninger, der er nødvendige for at påvise overholdelse af GDPR art. 28, til rådighed for kunden. Databehandler giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af kunden eller en anden revisor, som er bemyndiget af kunden.

Kunden afholder omkostningerne ved revisioner, der rækker ud over en årlig standardrevision, herunder rimelig betaling for databehandlers medgåede tid.

§ 12 · Ikrafttræden og opsigelse

Aftalen træder i kraft ved underskrift og gælder, så længe databehandler behandler personoplysninger på vegne af kunden. Aftalen ophører automatisk ved ophør af den underliggende samarbejdsaftale.

§ 13 · Kontakt

Stougaard Plan ApS (CVR 45908941)
Rabalderstræde 7, 4000 Roskilde
kontakt@stpl.dk · +45 26 82 08 25

Databehandler har ikke udpeget databeskyttelsesrådgiver (DPO), da aktivitetsomfanget ikke udløser krav herom.