Dataansvarlig vs databehandler i bookingsystemer

Når dine kunder booker tid online, er din virksomhed dataansvarlig for kundeoplysningerne, fordi det er dig, der bestemmer, hvorfor og hvordan de bruges. Leverandøren af bookingsystemet er databehandler: Den opbevarer og behandler oplysningerne på dine vegne og efter dine instrukser. Forholdet reguleres i en databehandleraftale.

Hvad er en dataansvarlig?

Den dataansvarlige er den, der bestemmer formålet med og midlerne til behandlingen af personoplysninger (GDPR artikel 4, nr. 7). For en salon eller klinik betyder det, at virksomheden bestemmer, hvilke oplysninger kunden skal oplyse ved booking, hvor længe de opbevares, og hvad de bruges til.

Som dataansvarlig skal du blandt andet:

• informere kunderne om, hvordan oplysningerne bruges, for eksempel i en privatlivspolitik
• have et lovligt grundlag for behandlingen, som aftale for selve bookingen og samtykke til markedsføring
• besvare anmodninger om indsigt og sletning, som hovedregel inden for en måned
• vælge leverandører, der giver tilstrækkelige garantier for sikkerhed

Læs mere i Klartes vejledning om ansvaret som dataansvarlig.

Hvad er en databehandler?

En databehandler behandler personoplysninger på vegne af den dataansvarlige (GDPR artikel 4, nr. 8). Databehandleren må ikke bruge oplysningerne til egne formål. Den skal sikre data, kun bruge godkendte underleverandører og hjælpe den dataansvarlige med blandt andet anmodninger om indsigt.

Dataansvarlig vs. databehandler: forskellen kort

• Hvem bestemmer? Den dataansvarlige bestemmer formål og midler. Databehandleren følger instrukser.
• Hvem svarer kunden? Den dataansvarlige besvarer anmodninger om indsigt. Databehandleren hjælper.
• Hvem skal have en aftale? Begge. GDPR artikel 28 kræver en databehandleraftale mellem dem.
• Eksempel: Salonen er dataansvarlig. Bookingsystemet er databehandler.

Samme virksomhed kan have begge roller for forskellige oplysninger. Klarte er for eksempel dataansvarlig for oplysninger om sine egne kontoejere, men databehandler for oplysningerne om de kunder, der booker hos virksomhederne.

Hvad bør databehandleraftalen indeholde?

Aftalen skal beskrive, hvilke oplysninger der behandles, til hvilket formål, hvor længe, hvordan de sikres, og hvilke underleverandører der bruges. Den skal også sige, hvad der sker med data, når aftalen ophører. Se Klartes databehandleraftale og listen over underleverandører.

Tjekliste for virksomheder, der modtager bookinger online

1. Indgå en databehandleraftale med din bookingleverandør.
2. Tjek, hvor dataene opbevares. Klarte opbevarer data i EU.
3. Bed kun om de oplysninger, du har brug for til at gennemføre aftalen.
4. Hold samtykke til markedsføring adskilt fra selve bookingen.
5. Have en rutine for indsigtsanmodninger.
6. Skriv ikke helbredsoplysninger eller andre følsomme oplysninger i booking-noter, hvis du ikke har grundlag for det.

Denne artikel er generel information og ikke juridisk rådgivning. Kontakt en advokat eller din nationale tilsynsmyndighed for databeskyttelse ved konkrete spørgsmål. Se også definitionerne i ordlisten.