Databehandleraftale — kex.dk

Version 1.0 · 20. oktober 2026

1. Parter og indgåelse

Denne databehandleraftale („aftalen") er indgået mellem kunden, der bruger kex.dk („den dataansvarlige"), og LynBro ApS, CVR-nr. 46321499, Rødovre Parkvej 276, 2610 Rødovre, Danmark („databehandleren"), i henhold til databeskyttelsesforordningens (GDPR) artikel 28, stk. 3.

Aftalen er en del af handelsbetingelserne („hovedaftalen") og indgås, når den dataansvarlige accepterer hovedaftalen elektronisk. Tidspunktet og den accepterede version registreres. Den dataansvarlige kan få en underskrevet kopi ved at skrive til info@lynbro.dk. Ved modstrid går denne aftale forud for hovedaftalen for så vidt angår behandling af personoplysninger; i øvrigt gælder hovedaftalen.

2. Behandlingen

Databehandleren behandler personoplysninger på den dataansvarliges vegne for at levere kex.dk efter hovedaftalen. Behandlingens formål, karakter, kategorier af registrerede og oplysninger og varighed er beskrevet i bilag A.

Den dataansvarlige er ansvarlig for, at behandlingen er lovlig, herunder at have et gyldigt behandlingsgrundlag, at oplyse de registrerede, at oplysningerne er korrekte, og for indhold, tekster og indstillinger, den dataansvarlige vælger i tjenesten — også når de er lavet ud fra skabeloner fra databehandleren. Følsomme oplysninger (GDPR art. 9 og 10) og CPR-numre må kun behandles i tjenesten, hvis kex.dk udtrykkeligt er beregnet til det, eller hvis parterne har aftalt det skriftligt.

3. Instruks

Databehandleren behandler kun personoplysninger efter dokumenteret instruks fra den dataansvarlige. Hovedaftalen, denne aftale og den dataansvarliges indstillinger og handlinger i tjenesten udgør den samlede instruks. Yderligere instruks gives skriftligt (e-mail er tilstrækkeligt); instruks, der går ud over tjenestens funktioner, kan databehandleren afvise eller udføre mod betaling efter gældende timepris.

Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens opfattelse er i strid med databeskyttelsesreglerne, men er ikke forpligtet til at foretage en juridisk vurdering af instruksen. Kræver EU-retten eller dansk ret, at databehandleren behandler oplysningerne, underretter databehandleren den dataansvarlige, medmindre loven forbyder det.

4. Fortrolighed

Databehandleren sikrer, at kun personer, der har behov for det, har adgang til oplysningerne, og at de har forpligtet sig til fortrolighed eller er underlagt lovbestemt tavshedspligt.

5. Sikkerhed

Databehandleren træffer passende tekniske og organisatoriske foranstaltninger efter GDPR art. 32, som beskrevet i bilag C. Databehandleren kan ændre foranstaltningerne, når det ikke sænker det samlede sikkerhedsniveau.

Den dataansvarlige har vurderet, at foranstaltningerne er passende for behandlingen. Den dataansvarlige er selv ansvarlig for sikkerheden i det, den dataansvarlige kontrollerer, herunder egne brugere, adgangskoder, API-nøgler, integrationer og de oplysninger, den dataansvarlige vælger at sende til tredjeparter via tjenesten.

6. Underdatabehandlere

Den dataansvarlige giver med denne aftale generel forhåndsgodkendelse af, at databehandleren anvender underdatabehandlere. De underdatabehandlere, der anvendes ved aftalens indgåelse, står i bilag B; den aktuelle liste findes altid på siden over underdatabehandlere.

Databehandleren giver den dataansvarlige besked mindst 30 dage, før en ny underdatabehandler tages i brug eller en eksisterende udskiftes, pr. e-mail til kontoens adresse og/eller i tjenesten og på listen. Den dataansvarlige kan inden for fristen gøre saglig indsigelse begrundet i databeskyttelse. Kan parterne ikke finde en løsning, kan den dataansvarlige opsige den berørte del af hovedaftalen uden omkostninger med virkning fra ændringsdagen og få forudbetalt beløb for perioden efter ophøret tilbage; det er den dataansvarliges eneste beføjelse i anledning af ændringen.

Må en underdatabehandler udskiftes hurtigere, fordi den ophører, misligholder sine forpligtelser eller udgør en sikkerhedsrisiko, kan databehandleren gøre det med kortere varsel eller straks og giver besked hurtigst muligt; den dataansvarliges ret til indsigelse og opsigelse gælder tilsvarende.

Databehandleren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og er over for den dataansvarlige ansvarlig for deres opfyldelse efter pkt. 12. Tjenester, som den dataansvarlige selv forbinder eller instruerer (fx sociale netværk, regnskabssystemer, webhooks eller egne integrationer), er ikke databehandlerens underdatabehandlere; der gælder tjenestens egne vilkår.

7. Overførsel til tredjelande

Overførsel af personoplysninger til lande uden for EU/EØS sker kun efter instruks eller via underdatabehandlere efter pkt. 6 og kun med et gyldigt overførselsgrundlag efter GDPR kapitel V, fx EU-Kommissionens afgørelse om EU-US Data Privacy Framework eller EU-standardkontraktbestemmelser. Overførselsgrundlaget for hver underdatabehandler står i bilag B. Med denne aftale bemyndiger den dataansvarlige databehandleren til på den dataansvarliges vegne at indgå EU-standardkontraktbestemmelser med underdatabehandlere, hvor det er nødvendigt.

8. Bistand til den dataansvarlige

Databehandleren bistår så vidt muligt den dataansvarlige med at besvare anmodninger fra registrerede (GDPR art. 12-22) og med at overholde art. 32-36, under hensyn til behandlingens karakter og de oplysninger, databehandleren har adgang til. Tjenestens funktioner til at søge, eksportere, rette og slette oplysninger er den primære bistand.

Modtager databehandleren en anmodning direkte fra en registreret, videresendes den uden unødig forsinkelse til den dataansvarlige; databehandleren besvarer den ikke selv, medmindre den dataansvarlige instruerer om det. Bistand, der går ud over tjenestens funktioner og almindelig drift, betales efter medgået tid til gældende timepris.

9. Brud på persondatasikkerheden

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og så vidt muligt senest 48 timer efter at være blevet bekendt med et brud på persondatasikkerheden, der vedrører den dataansvarliges oplysninger. Underretningen indeholder de oplysninger, databehandleren har på det tidspunkt, jf. art. 33, stk. 3, og suppleres, efterhånden som flere oplysninger foreligger.

Det er den dataansvarlige, der vurderer og foretager anmeldelse til Datatilsynet og underretning af de registrerede. Databehandleren træffer straks rimelige foranstaltninger for at begrænse bruddet.

10. Dokumentation og tilsyn

Databehandleren stiller på anmodning de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, primært i form af en skriftlig beskrivelse af behandlingen og sikkerhedsforanstaltningerne.

Er de oplysninger ikke tilstrækkelige, kan den dataansvarlige højst én gang om året og med mindst 30 dages skriftligt varsel lade en uafhængig revisor med tavshedspligt foretage tilsyn. Tilsynet må ikke give adgang til andre kunders oplysninger eller forstyrre driften unødigt. Den dataansvarlige afholder egne omkostninger og betaler databehandlerens medgåede tid efter gældende timepris, medmindre tilsynet viser væsentlig misligholdelse. Tilsyn fra en myndighed gennemføres efter myndighedens krav.

11. Ophør, sletning og tilbagelevering

Ved hovedaftalens ophør kan den dataansvarlige i 30 dage eksportere sine oplysninger med tjenestens funktioner; ønskes en anden form for tilbagelevering, betales den efter medgået tid. Herefter sletter databehandleren oplysningerne inden for yderligere 30 dage. Kopier i sikkerhedskopier slettes i takt med den normale backupcyklus og senest 90 dage efter ophør. Databehandleren må opbevare oplysninger, hvis EU-retten eller dansk ret kræver det, og kun så længe det kræves.

12. Ansvar

Hver part er ansvarlig efter dansk rets almindelige regler med de begrænsninger, der følger af hovedaftalen. Databehandlerens samlede ansvar efter denne aftale og hovedaftalen er tilsammen begrænset som angivet i hovedaftalen (beløbet, den dataansvarlige har betalt for tjenesten i de 12 måneder før den skadegørende begivenhed), og databehandleren er ikke ansvarlig for indirekte tab. Begrænsningerne gælder ikke ved forsæt eller grov uagtsomhed. GDPR art. 82 om ansvar over for de registrerede berøres ikke.

Den dataansvarlige holder databehandleren skadesløs for krav, bøder og rimelige omkostninger fra tredjemand, herunder registrerede og myndigheder, der skyldes, at den dataansvarlige ikke har overholdt sine forpligtelser som dataansvarlig, eller at behandlingen er sket efter den dataansvarliges instruks.

13. Varighed, ændringer og overdragelse

Aftalen gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige, og ophører derefter automatisk.

Databehandleren kan ændre aftalen med 30 dages varsel efter hovedaftalens regler om ændringer, når det skyldes ændrede regler, en myndigheds afgørelse, nye standardbestemmelser eller ændringer i tjenesten; ændringer, der sænker beskyttelsen af oplysningerne, kræver den dataansvarliges samtykke. Underdatabehandlere ændres efter pkt. 6.

Overdragelse. Databehandleren kan overdrage denne aftale, herunder rettigheder og forpligtelser og de personoplysninger, der behandles i forbindelse med tjenesten, til en anden virksomhed som led i en overdragelse af tjenesten eller den del af virksomheden, der driver den. Den dataansvarlige får skriftlig besked senest 30 dage før overdragelsen med den nye databehandlers navn og CVR-nummer. Den nye databehandler indtræder i alle forpligtelser efter denne aftale. Den dataansvarlige kan inden for fristen gøre indsigelse og opsige aftalen og den berørte del af hovedaftalen uden omkostninger med virkning fra overdragelsesdagen.

14. Lovvalg og værneting

Aftalen er underlagt dansk ret. Tvister afgøres ved Københavns Byret som første instans.

Bilag A — Behandlingen

Bilag B — Underdatabehandlere ved aftalens indgåelse

Ændringer sker efter pkt. 6. Den aktuelle liste: https://kex.dk/underdatabehandlere.

Bilag C — Sikkerhedsforanstaltninger

• Krypteret forbindelse (TLS) til tjenesten og mellem systemer over offentlige net.
• Adgang til servere kun via nøgler for et begrænset antal personer, mindste nødvendige rettigheder og logning af administrative handlinger.
• Adskillelse af kunders data i applikationen og adgangskontrol efter roller.
• Sikkerhedsopdateringer, firewall, beskyttelse mod brute force og automatiseret misbrug samt overvågning af drift og fejl.
• Regelmæssige sikkerhedskopier med begrænset opbevaring.
• Adgangskoder gemt som hash; hemmeligheder som API-nøgler og adgangsoplysninger til integrationer gemt krypteret, hvor tjenesten opbevarer dem.
• Procedurer for håndtering af brud på persondatasikkerheden og for sletning ved ophør.