I henhold til artikel 28, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (GDPR), og med det formål at regulere databehandlerens behandling af persondata, er denne Databehandleraftale (DPA) et tillæg til servicevilkårene mellem Shine Platform og abonnenten.
DPA'en anses for at være underskrevet af den dataansvarlige ved underskrivelsen af servicevilkårene.
"Databehandler" betyder Shine Platform som defineret i servicevilkårene, hvilket betyder det selskab i Shine Group, som kunden har indgået servicevilkårene med.
"Dataansvarlig" betyder kunden af Shine Platform.
Den nuværende version af dette dokument er gældende fra 2025-10-10 Tidligere versioner kan ses her.
Ved brug af ydelserne og eventuelle yderligere funktioner eller integrationer i relation til platformen (herefter kaldet "ydelserne"), vil databehandleren være ansvarlig for behandlingen af persondata på platformen.
Databehandleren behandler udelukkende persondata på baggrund af dokumenterede instruktioner fra den dataansvarlige og i overensstemmelse med databehandlerens persondatapolitik, forudsat at en sådan politik ikke er i strid med den dataansvarliges instruktioner i henhold til denne aftale eller GDPR.
Denne databehandleraftale er indgået mellem parterne for at sikre, at begge parter overholder national databeskyttelseslovgivning, herunder GDPR, samt beskyttelsen af privatlivets fred og fysiske personers grundlæggende rettigheder. Databehandleraftalen skitserer de instruktioner, som databehandleren behandler persondata på vegne af den dataansvarlige på baggrund af.
Databehandleraftalen anvender de definitioner, der er angivet i den nationale databeskyttelseslovgivning og GDPR.
Den dataansvarlige er ansvarlig for at sikre, at behandlingen af persondata sker i overensstemmelse med GDPR, jf. artikel 24, og de nationale databeskyttelsesregler.
Den dataansvarlige er berettiget og forpligtet til at træffe beslutninger om, hvilke(t) formål der, og hvilke tekniske værktøjer der skal anvendes til behandlingen af persondata. Desuden er den dataansvarlige ansvarlig for at sikre et lovligt grundlag for behandlingen og overførslen af persondata, som databehandleren er instrueret i at udføre.
Som den dataansvarlige skal de opfylde alle oplysningsforpligtelser over for de registrerede vedrørende behandlingen af deres persondata, samt give de relevante garantier i relation til alle tekniske og sikkerhedsmæssige foranstaltninger for at beskytte de registreredes persondata.
Ved at bruge platformen er den dataansvarlige alene ansvarlig for at levere de persondata, der er specificeret i bilag A, og for at begrænse behandlingen af data uden for specifikationen heri, herunder særlige kategorier af persondata som specificeret i artikel 9 i GDPR.
Den dataansvarlige giver udtrykkeligt samtykke til, at databehandleren kan fungere som en kontoinformationstjenesteudbyder (AISP), i overensstemmelse med gældende national lovgivning, der implementerer direktiv (EU) 2015/2366 om betalingstjenester i det indre marked (PSD2).
Dette samtykke er nødvendigt for, at databehandleren kan få adgang til og behandle persondata, der er hentet fra den dataansvarliges betalingskonti, udelukkende med det formål at levere de anmodede ydelser, såsom kontoaggregation, transaktionshistorik og finansielle automatiseringsfunktionaliteter.
Den dataansvarlige kan til enhver tid trække dette samtykke tilbage. Ved en sådan tilbagetrækning skal de relaterede kontoinformationstjenester automatisk ophøre, og databehandleren skal stoppe alle tilknyttede behandlingsaktiviteter, medmindre andet er tilladt eller påkrævet i henhold til gældende lov.
Databehandleren skal sikre, at adgangen til kontoinformation er begrænset til det, der er strengt nødvendigt for udførelsen af den anmodede ydelse, og at al behandling udføres i overensstemmelse med GDPR og relevant national betalingsregulering.
Databehandleren må kun behandle persondata på baggrund af dokumenterede instruktioner fra den dataansvarlige og behandler disse på vegne af den dataansvarlige. Den dataansvarlige instruerer databehandleren i at behandle persondata i) i overensstemmelse med gældende lovgivning, ii) for at opfylde sine forpligtelser angivet i aftalen mellem den dataansvarlige og databehandleren, og iii) som beskrevet i denne aftale.
Databehandleren er ansvarlig for at underrette den dataansvarlige, hvis en instruktion, efter databehandlerens opfattelse, er i strid med GDPR eller national databeskyttelseslovgivning.
I tilfælde af at databehandleren vurderer, at en instruktion fra den dataansvarlige er ulovlig eller i strid med gældende lovgivning, er databehandleren forpligtet til at informere den dataansvarlige, som skal rette instruktionen i tide. Hvis den dataansvarlige ikke er i stand til at rette instruktionen, er databehandleren berettiget til at ophøre med serviceaftalen mellem parterne.
Databehandleren bistår den dataansvarlige med at implementere passende tekniske og sikkerhedsmæssige foranstaltninger, under hensyntagen til behandlingens art og kategorien af persondata.
Desuden bistår databehandleren den dataansvarlige med anmodninger fra registrerede vedrørende udøvelsen af deres rettigheder i GDPR. Databehandleren besvarer ikke disse anmodninger, medmindre den dataansvarlige har bemyndiget ham til det.
På anmodning fra den dataansvarlige om information eller assistance med hensyn til den dataansvarliges sikkerhedsforanstaltninger eller behandling af persondata generelt, og hvis en sådan anmodning overstiger det, der er nødvendigt i henhold til gældende databeskyttelseslovgivning, er databehandleren berettiget til at kræve betaling for sådanne yderligere ydelser.
Databehandleren sikrer fortrolighed vedrørende behandlingen af persondata, herunder den dataansvarliges medarbejdere. Dette gælder også efter ophøret af databehandleraftalen.
Databehandleren er ikke ansvarlig for indirekte, tilfældige, specielle, følgeskader eller strafbare skader, herunder tab af fortjeneste, indtægter eller data, selvom der er blevet rådgivet om muligheden for sådanne skader.
Databehandlerens samlede ansvar, der opstår som følge af eller i forbindelse med denne aftale, uanset om det er i kontrakt, erstatning eller andet, skal begrænses til det samlede beløb, som den dataansvarlige har betalt til databehandleren under servicevilkårene i de tolv (12) måneder forud for den begivenhed, der gav anledning til kravet.
Denne begrænsning gælder uanset antallet eller arten af krav, og uanset årsagen til handlingen, undtagen i tilfælde af forsætlig forseelse eller grov uagtsomhed fra databehandlerens side, der er bevist ved en kompetent domstol.
Databehandleren skal opfylde de betingelser, der er angivet i artikel 28, stk. 2 og 4, i GDPR for at kunne bruge en anden databehandler (underdatabehandlere).
Databehandleren bruger underdatabehandlere, herunder enheder inden for Shine Group og tredjepartsudbydere inden for eller uden for EU/EØS, til at levere sine ydelser.
Databehandleren har databehandleraftaler med alle underdatabehandlere, og en udtømmende liste over disse kan findes i bilag B. Databehandleren sikrer, at alle underdatabehandlere overholder de tilsvarende forpligtelser og krav i denne databehandleraftale og databeskyttelseslovgivningen.
Denne aftale skal anses for den dataansvarliges generelle skriftlige tilladelse til brug af underdatabehandlere, i overensstemmelse med GDPR's artikel 28, stk. 2.
Databehandleren overfører data til partnere som en del af den ydelse, der leveres til den dataansvarlige. Ved at acceptere serviceaftalens vilkår informeres den dataansvarlige om, at databehandlerens partnere vil modtage persondata for at give et tilbud på den serviceanmodning fra den dataansvarlige.
Ved overførsel af persondata uden for EU/EØS, sikrer databehandleren, at sådanne overførsler udføres i overensstemmelse med GDPR's kapitel V, og at et passende beskyttelsesniveau garanteres.
Databehandleren kan støtte sig på forskellige lovlige overførselsmekanismer, der er fastsat i GDPR, herunder men ikke begrænset til:
Hvor det kræves, skal databehandleren implementere supplerende tekniske, organisatoriske og kontraktuelle foranstaltninger for at sikre, at de overførte persondata modtager et beskyttelsesniveau, der i det væsentlige svarer til det, der garanteres inden for EU/EØS.
Hvis databehandleren ændrer underdatabehandlerne, vil den dataansvarlige blive underrettet og har ret til at modsætte sig en sådan ændring af underdatabehandlere, hvis den nye underdatabehandler ikke behandler persondata i overensstemmelse med den gældende databeskyttelseslovgivning.
Hvis den dataansvarlige gør indsigelse mod brugen af en ny underdatabehandler på rimelige og dokumenterede databeskyttelsesgrunde, skal parterne indgå i diskussioner i god tro for at løse sagen. Hvis der ikke opnås en løsning inden for tredive (30) dage, forbeholder databehandleren sig retten til at fortsætte med at bruge underdatabehandleren, medmindre den dataansvarlige vælger at opsige den relevante del af de ydelser, der er berørt af indsigelsen.
En opsigelse giver ikke anledning til nogen kompensation, erstatning eller ansvar fra databehandlerens side.
Databehandleren er ansvarlig for at kræve, at underdatabehandlerne overholder databehandlerens forpligtelser, som angivet i denne databehandleraftale, samt GDPR.
På rimelig anmodning skal databehandleren forsyne den dataansvarlige med relevante oplysninger, der demonstrerer, at underdatabehandlerne er underlagt tilsvarende databeskyttelsesforpligtelser, herunder en opsummering eller et uddrag af databeskyttelsesklausulerne i underbehandlingsaftalerne, hvor det er nødvendigt for at demonstrere overholdelse.
Fuldstændige kopier af underbehandlingsaftaler er ikke påkrævet, medmindre det er påbudt af gældende lovgivning eller en tilsynsmyndighed.
I tilfælde af en af underdatabehandlernes brud på databeskyttelsesreglerne, er databehandleren fuldt ansvarlig for at sikre, at underdatabehandleren opfylder sine forpligtelser over for den dataansvarlige.
Den dataansvarlige anerkender og accepterer, at databehandleren kan give adgang til persondata, der behandles under denne aftale, til andre enheder inden for Shine Group, herunder datterselskaber, moderselskaber og søsterselskaber, i det omfang det er nødvendigt for udførelsen, vedligeholdelsen, sikkerheden og forbedringen af ydelserne.
Disse koncernenheder kan operere i eller uden for EU/EØS. I sådanne tilfælde sikrer databehandleren, at alle dataoverførsler overholder GDPR's kapitel V, og at passende garantier er på plads. En liste over relevante koncernenheder og deres roller kan stilles til rådighed for den dataansvarlige efter anmodning.
Adgang for koncernenheder skal ikke betragtes som brugen af nye underdatabehandlere, der kræver særskilt underretning.
Databehandleren må kun give adgang til de persondata, der behandles på vegne af den dataansvarlige, til personer under databehandlerens autoritet, der har forpligtet sig til fortrolighed.
På anmodning fra den dataansvarlige skal databehandleren demonstrere fortrolighedsforanstaltninger for de pågældende personer.
Den dataansvarlige er ansvarlig for at definere de overordnede sikkerhedskrav, og databehandleren skal implementere foranstaltninger i overensstemmelse hermed.
Databehandleren skal implementere passende tekniske og organisatoriske foranstaltninger som krævet i artikel 32, under hensyntagen til teknikkens stade, implementeringsomkostningerne og de specifikke risici forbundet med de behandlingsoperationer, den udfører på vegne af den dataansvarlige.
På dokumenteret anmodning skal databehandleren bistå den dataansvarlige, inden for rammerne af behandlingsaktiviteterne under denne aftale og i det omfang det er rimeligt muligt, med at sikre overholdelse af forpligtelserne under GDPR's artikel 32.
Databehandleren må kun overføre persondata til et tredjeland eller en international organisation baseret på dokumenterede instruktioner fra den dataansvarlige, og altid i overensstemmelse med GDPR's kapitel V.
Databehandleren kan udføre sådanne overførsler, når det er krævet i henhold til EU- eller medlemsstatslovgivning, som databehandleren er underlagt. I sådanne tilfælde skal databehandleren informere den dataansvarlige om det lovkrav, før behandlingen foretages, medmindre en sådan videregivelse er forbudt af årsager af offentlig interesse i henhold til gældende lovgivning.
Databehandleren skal opretholde dokumentation for den dataansvarliges instruktioner i følgende situationer:
Den dataansvarlige anerkender og accepterer, gennem underskrivelsen af denne aftale, databehandlerens brug af underdatabehandlere beliggende i tredjelande som anført i bilag B. Databehandleren skal sikre, at alle sådanne overførsler er baseret på en gyldig overførselsmekanisme under GDPR's kapitel V, som kan omfatte:
Hvor det kræves, skal databehandleren implementere supplerende tekniske, organisatoriske eller kontraktuelle foranstaltninger for at sikre, at beskyttelsesniveauet for persondata i det væsentlige er ækvivalent med det inden for EU/EØS, i overensstemmelse med gældende juridisk vejledning (f.eks. EDPB-anbefalinger og nationale tilsynsmyndigheders forventninger).
Databehandleren kan ikke holdes ansvarlig for overførsler, der er udført i overensstemmelse med den dataansvarliges instruktioner og kravene i GDPR's kapitel V, medmindre databehandleren har undladt at implementere de aftalte garantier. Eventuelle forpligtelser vedrørende vurderingen af det juridiske rammeværk i destinationslandet eller udførelsen af en overførselskonsekvensanalyse (TIA) skal koordineres i fællesskab af parterne, hvor den dataansvarlige bærer det primære ansvar for beslutningen om at fortsætte.
Databehandleren har indgået skriftlige databehandleraftaler med alle underdatabehandlere og har sikret, at alle relevante garantier og kontraktuelle forpligtelser er på plads for at garantere overholdelse af gældende databeskyttelseslovgivning i forbindelse med dataoverførsler uden for EU/EØS.
Databehandleren skal bistå den dataansvarlige, i det omfang det er rimeligt muligt og under hensyntagen til behandlingens art og den information, der er tilgængelig for databehandleren, med at opfylde den dataansvarliges forpligtelser i henhold til gældende databeskyttelseslove, herunder GDPR og relevant national lovgivning i Frankrig, Tyskland, Holland og Danmark.
En sådan bistand kan, på skriftlig og dokumenteret anmodning fra den dataansvarlige, omfatte:
Databehandleren vil ikke reagere direkte over for registrerede eller kommunikere med en tilsynsmyndighed uden udtrykkelige skriftlige instruktioner fra den dataansvarlige. Enhver bistand, der overstiger omfanget, som kræves af GDPR's artikel 28, kan være underlagt yderligere kompensation, som aftales mellem parterne.
Databehandleren skal underrette den dataansvarlige uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden, der påvirker de persondata, der behandles under denne aftale.
Underretningen skal omfatte, i det omfang det er kendt på det tidspunkt, relevant information for at hjælpe den dataansvarlige med at opfylde sine forpligtelser i henhold til artikel 33 og, hvor det er relevant, artikel 34 i GDPR.
Databehandleren skal yde rimeligt samarbejde og bistand til den dataansvarlige i efterforskningen og afbødningen af bruddet og i forberedelsen af eventuelle påkrævede meddelelser til tilsynsmyndigheder eller registrerede, under hensyntagen til behandlingens art og den information, der er tilgængelig for databehandleren.
Hvis bruddet sandsynligvis vil resultere i en høj risiko for fysiske personers rettigheder og friheder, skal databehandleren bistå den dataansvarlige med at forberede enhver kommunikation til de berørte registrerede, som krævet af gældende databeskyttelseslovgivning.
Ved ophør af den ydelse, der inkluderer behandling af persondata, er databehandleren forpligtet til at slette alle persondata, der er behandlet på vegne af den dataansvarlige, og at bekræfte over for den dataansvarlige, at persondata er blevet slettet.
Ovenstående gælder ikke, hvis EU- eller national lovgivning kræver opbevaring af persondata efter ophør af ydelsen. Endvidere gælder ovenstående ikke for persondata, som databehandleren behandler som dataansvarlig i kundeforholdet mellem parterne. Dette inkluderer opbevaring i overensstemmelse med speciel lovgivning, herunder den danske bogføringslovgivning.
Databehandleren skal, på anmodning, forsyne den dataansvarlige med de oplysninger, der er strengt nødvendige for at demonstrere overholdelse af forpligtelserne i denne aftale og under gældende databeskyttelseslovgivning, herunder GDPR.
Databehandleren skal også give adgang til kompetente tilsynsmyndigheder til sine faciliteter eller dokumentation, når det kræves af gældende lovgivning.
Databehandleren forbeholder sig retten til at ændre denne DPA til enhver tid. Den dataansvarlige skal informeres om sådanne ændringer via e-mail eller via platformen.
Med undtagelse af ændringer vedrørende underdatabehandlere, der er reguleret af bilag B til DPA'en, skal ændringer i denne DPA gælde for den dataansvarlige, selvom hans engagement daterer sig før ændringerne, femten (15) dage efter at meddelelsen er blevet givet.
Hvis ændringerne materielt skader den dataansvarlige og ikke er krævet af gældende love, forordninger, direktiver, vejledninger eller afgørelser fra en europæisk databeskyttelsesmyndighed, eller af en retsafgørelse, kan den dataansvarlige gøre skriftlig indsigelse inden for femten (15) dage efter at være blevet informeret, med angivelse af årsagerne til en sådan indsigelse.
Hvis parterne ikke er i stand til at nå til enighed inden for tredive (30) dage efter modtagelsen af den dataansvarliges indsigelse, kan den dataansvarlige opsige den berørte ydelse uden straf ved at sende en skriftlig meddelelse til databehandleren.
Enhver fortsat brug af ydelsen efter meddelelsen skal anses for at være en accept af den opdaterede DPA fra den dataansvarliges side.
Parterne kan aftale andre bestemmelser vedrørende den ydelse, der leveres af databehandleren til den dataansvarlige, forudsat at sådanne bestemmelser ikke, direkte eller indirekte, er i modstrid med bestemmelserne i denne databehandleraftale vedrørende behandlingen af persondata, eller på nogen anden måde forringer de grundlæggende rettigheder for de registrerede, som er fastsat i databeskyttelseslovgivningen.
Bestemmelserne i denne databehandleraftale træder i kraft på datoen for underskrivelsen af servicevilkårene mellem parterne.
Databehandleraftalen er gældende for varigheden af serviceaftalen. I denne periode kan aftalen ikke opsiges af nogen af parterne, medmindre serviceaftalen opsiges samtidigt. Opsigelse af serviceaftalen kan ske i overensstemmelse med bestemmelsen om opsigelse i serviceaftalen.
Denne aftale er underlagt dansk lovgivning, og enhver tvist vil være underlagt dansk retsforfølgning.
A.1. Kategorier af registrerede
A.2. Kategorier af persondata
Databehandleren behandler ikke særlige kategorier af persondata, medmindre den dataansvarlige specifikt har instrueret ham i det. I tilfælde af at behandling af særlige kategorier af persondata ikke ville være en naturlig del af de ovennævnte kategorier, opfordres den dataansvarlige til at anonymisere dataene, før der gives adgang til databehandleren som angivet i denne aftale.
A.3. Formål med behandlingen af persondata
De behandlingsformål, der er beskrevet i denne aftale, forfølges konsekvent i alle de lande, hvor databehandleren opererer. Visse behandlingsaktiviteter kan dog kun udføres i jurisdiktioner, hvor de tilsvarende tjenester eller tekniske kapaciteter er tilgængelige.
Behandlingens art omfatter indsamling, opbevaring, strukturering, genfinding, brug, analyse, videregivelse ved transmission, sletning og destruktion. Persondata vil blive behandlet i kundeforholdets varighed, indtil servicevilkårene opsiges af enten den dataansvarlige eller databehandleren. Efter opsigelse af servicevilkårene vil persondata blive opbevaret i overensstemmelse med databehandlerens opbevaringsperiode.
Ud over Shine Group-selskaberne har databehandleren følgende underdatabehandlere, der behandler data på vegne af den dataansvarlige:
C.1 – Behandlingens art og formål
Databehandleren behandler udelukkende persondata baseret på dokumenterede instruktioner fra den dataansvarlige, som defineret nedenfor eller meddelt særskilt skriftligt og godkendt af begge parter.
De behandlingsaktiviteter, som udføres af databehandleren, omfatter:
Den dataansvarlige er alene ansvarlig for at bestemme det lovlige grundlag for behandlingsoperationerne, herunder i henhold til GDPR's artikler 6 og 9. Enhver behandling ud over dette omfang skal være underlagt en særskilt dokumenteret instruktion fra den dataansvarlige.
C.2 – Data- og registreredes kategorier
Kategorierne af persondata og registrerede er detaljerede i bilag A.
Særlige kategorier af data (GDPR's artikel 9) må ikke behandles, medmindre det er udtrykkeligt og formelt autoriseret af den dataansvarlige. Den dataansvarlige opfordres til at anonymisere eller pseudonymisere sådanne data, når det er muligt.
C.3 – Sikkerhedsforanstaltninger
Databehandleren skal implementere, opretholde og, hvor det er nødvendigt, tilpasse passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der er passende for risikoen, i overensstemmelse med GDPR's artikel 32.
Disse foranstaltninger tager højde for teknikkens stade, implementeringsomkostningerne, behandlingens art, omfang, kontekst og formål samt risikoen for utilsigtet eller ulovlig destruktion, tab, ændring, uautoriseret videregivelse af eller adgang til persondata.
Specifikt sikrer databehandleren, at:
Uden at det berører de ovenstående forpligtelser, kan detaljerne om de specifikke implementerede sikkerhedsforanstaltninger leveres særskilt efter anmodning, med forbehold for gældende fortrolighedsbegrænsninger.
C.4 – Databevaring og sletning
Databehandleren sletter eller returnerer persondata ved afslutningen af kontraktforholdet, i overensstemmelse med de dokumenterede instruktioner fra den dataansvarlige, medmindre andet kræves i henhold til EU- eller medlemsstatslovgivning, især til regnskabs- eller skatteformål.
C.5 – Underdatabehandlere
Databehandleren har den generelle autorisation fra den dataansvarlige til at engagere de underdatabehandlere, der er opført i bilag B.
Databehandleren kan også engagere andre underdatabehandlere, forudsat at den informerer den dataansvarlige på forhånd inden for en rimelig tidsramme, før ændringen implementeres.
Den dataansvarlige kan fremsætte en begrundet indsigelse skriftligt inden for tredive (30) dage efter meddelelsen, udelukkende på legitime og dokumenterede grunde relateret til beskyttelsen af persondata. Hvis der ikke modtages nogen indsigelse, skal ændringen anses for at være accepteret.
I tilfælde af en berettiget indsigelse, er parterne enige om at samarbejde i god tro for at finde en gensidigt acceptabel løsning. Hvis der ikke findes en løsning inden for en rimelig tidsramme, forbeholder databehandleren sig retten til at fortsætte med den udpegede underdatabehandler, i hvilket tilfælde den dataansvarlige kun kan opsige de berørte ydelser, uden kompensation eller ansvar for databehandleren.
C.6 – Dataoverførsler uden for EØS
Data behandles af databehandleren inden for Det Europæiske Økonomiske Samarbejdsområde (EØS) og af dens autoriserede underdatabehandlere, der er opført i bilag B.
Overførsler af persondata uden for EØS kan forekomme i forbindelse med brugen af internationale serviceudbydere. Den dataansvarlige autoriserer udtrykkeligt sådanne overførsler, forudsat at databehandleren overholder GDPR's kapitel V og implementerer passende garantier, såsom:
C.7 – Samarbejde og overholdelsesinstruktioner
Databehandleren accepterer at:
Databehandleren vil ikke kommunikere direkte med registrerede eller tilsynsmyndigheder uden udtrykkelig skriftlig instruktion fra den dataansvarlige. Enhver bistand ud over det, der er strengt påkrævet i henhold til GDPR's artikel 28, kan være underlagt yderligere vederlag som aftalt mellem parterne.
C.8 – Adgang og revision
På den dataansvarliges anmodning og hvor der er troværdige beviser for manglende overholdelse, skal databehandleren tillade og bidrage til revisioner af de behandlingsaktiviteter, der er dækket af disse klausuler. En sådan revision kan udføres en gang per kalenderår, underlagt tres (60) dages forudgående skriftlig varsel til databehandleren.
Revisionen skal udføres på en måde, der bevarer sikkerheden og fortroligheden af databehandlerens dokumentation og procedurer. Den må ikke overstige én (1) arbejdsdag og skal finde sted i almindelig arbejdstid på databehandlerens lokaler.
Den dataansvarlige kan vælge selv at udføre revisionen eller udpege en uafhængig revisor, der er gensidigt aftalt af begge parter og bundet af en fortrolighedsforpligtelse. Databehandleren kan afvise den foreslåede revisor, hvis der er en klar interessekonflikt eller utilstrækkelig kvalifikation.
Uanset enhver bestemmelse om det modsatte, skal den dataansvarlige bære alle omkostninger og/eller udgifter, der opstår som følge af en sådan revision.