Databehandleraftale

Senest opdateret 9. november 2026

Denne databehandleraftale gælder, når GE4 behandler personoplysninger på vegne af en kunde, fx i hosting, e-mail, backup eller ved IT-support. Den opfylder kravene i databeskyttelsesforordningens (GDPR) artikel 28 og er en del af aftalen om vores ydelser.

1. Parter og aftalegrundlag

Aftalen er indgået mellem kunden som dataansvarlig og GE4, CVR 42128309, som databehandler. Den træder i kraft, når kunden bestiller eller tager en ydelse i brug, hvor GE4 behandler personoplysninger på kundens vegne. Ønsker kunden en underskrevet udgave, sender vi den på anmodning til kontakt@ge4.dk.

Er der modstrid mellem denne aftale og vores handelsbetingelser, går denne aftale forud i spørgsmål om behandling af personoplysninger.

2. Behandlingen

Formål, art, typer af personoplysninger og kategorier af registrerede er beskrevet i bilag A. GE4 behandler kun personoplysningerne for at levere de ydelser, kunden har bestilt.

3. Instruks

GE4 behandler kun personoplysninger efter dokumenteret instruks fra kunden. Instruksen består af denne aftale, aftalen om ydelserne og de valg, kunden træffer i kontrolpanelet eller giver os skriftligt, fx ved en supportsag. Er en instruks efter GE4's vurdering i strid med databeskyttelsesreglerne, giver vi straks kunden besked.

GE4 må behandle oplysningerne uden instruks, hvis EU-ret eller dansk ret kræver det. I så fald giver vi kunden besked først, medmindre loven forbyder det.

4. Fortrolighed

Kun personer, der har brug for det for at levere ydelserne, får adgang til personoplysningerne. De har tavshedspligt, og adgangen fjernes, når den ikke længere er nødvendig.

5. Sikkerhed

GE4 gennemfører passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32, så sikkerheden passer til risikoen. Foranstaltningerne er beskrevet i bilag C. Kunden er selv ansvarlig for sikkerheden i det, kunden selv styrer, fx adgangskoder, brugere, software og plugins på sine hjemmesider.

6. Underdatabehandlere

Kunden giver GE4 en generel godkendelse til at bruge underdatabehandlere. De nuværende står i bilag B.

GE4 varsler nye eller udskiftede underdatabehandlere mindst 30 dage i forvejen via e-mail eller kontrolpanelet. Kunden kan inden da gøre indsigelse. Kan vi ikke finde en løsning, kan kunden opsige de berørte ydelser til ændringen træder i kraft, uden at betale for perioden efter.

GE4 pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og er over for kunden ansvarlig for, at de overholder dem.

7. Overførsel til tredjelande

Personoplysningerne behandles i Danmark og EU. GE4 overfører ikke personoplysninger til lande uden for EU/EØS uden kundens instruks og et gyldigt overførselsgrundlag efter GDPR kapitel V.

8. Bistand til den dataansvarlige

GE4 hjælper kunden, så vidt det er muligt, med:

• at besvare anmodninger fra registrerede, der vil bruge deres rettigheder. Får vi en sådan anmodning direkte, sender vi den videre til kunden uden unødig forsinkelse.
• sikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring af Datatilsynet efter GDPR artikel 32-36.

Bistand ud over det, der følger af ydelserne, afregnes efter medgået tid.

9. Brud på persondatasikkerheden

Opdager GE4 et brud på persondatasikkerheden hos os eller en underdatabehandler, giver vi kunden besked uden unødig forsinkelse og senest 48 timer efter, at vi er blevet opmærksomme på det. Så har kunden mulighed for at anmelde bruddet til Datatilsynet inden for 72 timer.

Beskeden indeholder, så vidt det er muligt: hvad der er sket, hvilke typer og omtrent hvor mange registrerede og oplysninger det drejer sig om, de sandsynlige konsekvenser, og hvad vi har gjort og foreslår for at begrænse skaden.

10. Sletning og tilbagelevering

Indtil aftalen ophører, kan kunden selv hente sine data via kontrolpanelet, SFTP eller e-mailklient, eller bede os om hjælp. Senest 30 dage efter ophøret sletter GE4 personoplysningerne. Kopier i backup slettes, efterhånden som backuppen udløber, og senest efter 6 måneder. GE4 må kun gemme oplysningerne længere, hvis lovgivningen kræver det.

11. Revision og tilsyn

GE4 giver kunden de oplysninger, der er nødvendige for at vise, at aftalen overholdes. På anmodning sender vi én gang om året en skriftlig redegørelse for vores sikkerhed og overholdelse af aftalen.

Kunden, eller en uafhængig revisor kunden udpeger, kan foretage inspektion med mindst 30 dages varsel. Inspektionen sker for kundens regning og må ikke bringe andre kunders data i fare. Datatilsynet har altid adgang efter lovgivningen.

12. Varighed, ansvar og ændringer

Aftalen gælder, så længe GE4 behandler personoplysninger på kundens vegne. Pligterne om fortrolighed og sletning gælder også efter ophøret.

Parternes ansvar over for hinanden følger handelsbetingelserne, medmindre ufravigelige regler i GDPR siger andet. Ansvarsbegrænsningen gælder ikke over for de registrerede.

GE4 kan opdatere aftalen og bilagene med mindst 30 dages varsel, fx når lovgivningen eller vores underdatabehandlere ændrer sig. Ændringer må ikke sænke beskyttelsen af personoplysningerne.

Bilag A: Behandlingen

Kategorier af registrerede: kundens medarbejdere, kunder, leverandører, brugere, besøgende på hjemmesider og andre, kunden korresponderer med.

Typer af personoplysninger: de oplysninger, kunden selv vælger at opbevare, typisk kontaktoplysninger, kommunikation, brugerkonti og ordrer. Behandler kunden følsomme oplysninger (GDPR artikel 9) eller oplysninger om strafbare forhold (artikel 10), skal kunden fortælle os det, så vi kan vurdere, om der er brug for særlige foranstaltninger.

Varighed: så længe aftalen om ydelserne løber, og derefter indtil sletning efter afsnit 10.

Sted: GE4's egne servere i Danmark. Sekundær DNS og backup-mailserver hos underdatabehandleren i bilag B.

Bilag B: Underdatabehandlere

Bilag C: Sikkerhedsforanstaltninger

• Servere og netværk: egne servere i et datacenter i Danmark. Serverne er forbundet via et privat netværk, og databaseserveren og backupserveren kan ikke nås fra internettet. Firewall på hver server tillader kun de nødvendige forbindelser.
• Kryptering: HTTPS med certifikater på hjemmesider, kontrolpanel og webmail. Filoverførsel via SFTP eller FTPS. Backup er krypteret.
• Adskillelse: hver hjemmeside kører som sin egen bruger og kan kun tilgå sine egne filer.
• Backup: daglig backup af filer og databaser til en separat backupserver. Vi gemmer 7 daglige, 4 ugentlige og 6 månedlige kopier.
• Adgangskontrol: administration via navngivne brugerkonti; direkte log-ind som root er slået fra. Adgangskoder og nøgler opbevares i en adgangskodemanager. Kontrolpanelet understøtter totrinslogin og logger log-ind og vigtige handlinger.
• Beskyttelse mod angreb: automatisk blokering af gentagne mislykkede log-ind, scanning for malware på webserveren og automatiske sikkerhedsopdateringer af styresystemet.
• Overvågning: servere og tjenester overvåges automatisk hvert 5. minut.