Revideret12. oktober 2026Gældende fra12. oktober 2026
Aftalen efter databeskyttelsesforordningens artikel 28, som gælder, når I bruger portalen til jeres egne kundekendskabsprocedurer og jeres egne regninger. Den siger, hvad vi må gøre med jeres data, hvad vi skal gøre, når I beder om noget — og hvad der sker med det hele, hvis I holder op.
§ 1
Parterne
Denne databehandleraftale er indgået mellem klienten som dataansvarlig og Rieck som databehandler. Klienten er den virksomhed, der har oprettet en konto i portalen.
Aftalen indgås, idet klienten opretter en konto eller på anden vis tager portalen i brug, jf. handelsbetingelsernes § 2. Den er et tillæg til handelsbetingelserne og kan ikke opsiges selvstændigt, så længe klienten bruger portalen.
§ 2
Hvornår aftalen gælder — og hvornår den ikke gør
Rieck har forskellige roller over for de oplysninger, klienten behandler i portalen, og denne aftale dækker kun én af dem. Sondringen er afgørende for, hvad klienten kan instruere os i:
Kundekendskab og regninger — aftalen gælder
Når klienten bruger portalen til sine egne kundekendskabsprocedurer efter hvidvaskloven, eller til at modtage, godkende og betale sine egne regninger og medarbejderudlæg, behandler Rieck personoplysninger på klientens vegne og efter klientens instruks. Her er Rieck databehandler, og denne aftale gælder.
Fakturering og debitorstyring — aftalen gælder ikke
Når klienten fakturerer sine kunder gennem portalen — fakturaer, påmindelser, rykkere, betalinger og kundekartotek — er Rieck selvstændig dataansvarlig for oplysningerne om klientens debitorer, jf. handelsbetingelsernes § 16. Rieck fastlægger selv, hvordan de behandles, opbevares og slettes, og besvarer selv debitorernes anmodninger om deres rettigheder.
Inkassoydelserne — aftalen gælder ikke
Når en sag overgår til inkasso, bliver Rieck selvstændig dataansvarlig. Som autoriseret inkassovirksomhed træffer vi egne beslutninger om, hvordan sagen føres, og vi er underlagt inkassolovgivningen og Rigspolitiets tilsyn. Klienten kan ikke instruere os i den behandling, og der kræves ikke en databehandleraftale for den.
Behandlingen af oplysninger om debitorer i inkassosager er beskrevet i privatlivspolitikken for inkasso. Klienten skal selv sikre sit grundlag for at videregive personoplysninger om sine debitorer til Rieck — både når klienten fakturerer gennem portalen, og når en sag oprettes.
Det samme gælder de brugsdata, Rieck indsamler om selve anvendelsen af portalen, jf. handelsbetingelsernes § 20. Dem er Rieck selvstændig dataansvarlig for.
§ 3
Behandling efter instruks
Rieck behandler kun personoplysninger efter dokumenteret instruks fra klienten. Instruksen er denne aftale, handelsbetingelserne og den brug, klienten selv foretager af portalens funktioner.
Rieck må ikke behandle oplysningerne til egne formål ud over det, aftalen tillader, og videregiver dem ikke til tredjemand uden instruks — medmindre det kræves efter EU-ret eller dansk ret. Sker det, underretter Rieck klienten om kravet, inden behandlingen finder sted, medmindre underretning er forbudt.
Rieck underretter omgående klienten, hvis en instruks efter Riecks opfattelse er i strid med databeskyttelsesreglerne.
§ 4
Fortrolighed
Rieck sikrer, at kun de medarbejdere, der har et arbejdsbetinget behov, har adgang til de personoplysninger, der behandles på klientens vegne. Adgangen fjernes, når behovet ophører.
Medarbejderne er pålagt fortrolighed, enten ved en fortrolighedserklæring eller ved en tilsvarende lovbestemt tavshedspligt. Fortroligheden gælder også efter ansættelsens ophør.
§ 5
Behandlingssikkerhed
Rieck gennemfører passende tekniske og organisatoriske foranstaltninger efter databeskyttelsesforordningens artikel 32, så sikkerhedsniveauet passer til risikoen for de registreredes rettigheder.
Foranstaltningerne er beskrevet i § 17 og på siden om sikkerhed. Rieck kan ændre dem, når teknologien eller trusselsbilledet ændrer sig, men aldrig så beskyttelsesniveauet forringes.
Klienten er selv ansvarlig for de foranstaltninger, klienten råder over: at brugerkonti tildeles de rette rettigheder, at adgange lukkes, når en medarbejder stopper, og at kontooplysninger ikke deles.
§ 6
Brug af underdatabehandlere
Klienten giver Rieck en generel godkendelse til at anvende underdatabehandlere — typisk til hosting, drift, e-mail- og brevforsendelse, betalingsformidling og support.
De aktuelle underdatabehandlere fremgår af den offentlige liste, som er en del af denne aftale. Rieck varsler tilføjelser og udskiftninger på listen med mindst 30 dages varsel, inden den nye underdatabehandler tages i brug.
Klienten kan gøre indsigelse mod en ny underdatabehandler inden fristens udløb. Kan parterne ikke finde en løsning, kan klienten opsige brugen af de berørte dele af portalen uden omkostninger. Indsigelse er ikke en ret til at standse Riecks drift for andre kunder.
Rieck indgår en skriftlig aftale med hver underdatabehandler, der pålægger samme forpligtelser som denne aftale, og hæfter over for klienten for underdatabehandlerens behandling som for sin egen.
§ 7
Overførsel til tredjelande
Personoplysninger behandles som udgangspunkt inden for EU/EØS.
Overføres oplysninger til et land uden for EU/EØS, sker det kun på et gyldigt overførselsgrundlag: en tilstrækkelighedsafgørelse fra EU-Kommissionen, Kommissionens standardkontraktbestemmelser (SCC) eller et andet grundlag efter forordningens kapitel V, suppleret med de foranstaltninger, en konkret vurdering af modtagerlandet måtte kræve.
Overførselsgrundlaget for hver enkelt underdatabehandler fremgår af listen. Klienten kan altid bede om en kopi af grundlaget.
§ 8
Bistand ved de registreredes rettigheder
Retter en registreret henvendelse direkte til Rieck om oplysninger, der behandles på klientens vegne, videresender Rieck henvendelsen til klienten uden unødigt ophold og svarer ikke selv på den.
Rieck bistår klienten med passende tekniske og organisatoriske foranstaltninger, så klienten kan opfylde sin pligt til at besvare anmodninger om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse.
Bistanden ydes uden særskilt betaling i det omfang, portalens egne funktioner rækker. Kræver en anmodning et ekstraordinært manuelt arbejde, kan Rieck fakturere de direkte omkostninger efter forudgående accept fra klienten.
§ 9
Bistand ved klientens øvrige forpligtelser
Rieck bistår klienten med at overholde forordningens artikel 32-36, i det omfang det er relevant for behandlingen i portalen, og under hensyn til behandlingens karakter og de oplysninger, Rieck råder over. Det omfatter:
Behandlingssikkerheden, jf. artikel 32 — se § 5 og § 17.
Anmeldelse af brud på persondatasikkerheden til Datatilsynet, jf. artikel 33 — se § 10.
Underretning af de registrerede om et brud, jf. artikel 34.
Konsekvensanalyser og forudgående høring, jf. artikel 35 og 36 — Rieck stiller de oplysninger om portalen til rådighed, som analysen kræver.
§ 10
Brud på persondatasikkerheden
Bliver Rieck opmærksom på et brud på persondatasikkerheden, der vedrører oplysninger behandlet på klientens vegne, underretter Rieck klienten uden unødig forsinkelse.
Underretningen indeholder, i det omfang oplysningerne er tilgængelige, karakteren af bruddet, de berørte kategorier og det omtrentlige antal registrerede, de sandsynlige konsekvenser, de foranstaltninger Rieck har truffet eller foreslår, og et kontaktpunkt hos Rieck.
Er alle oplysninger ikke tilgængelige med det samme, gives de i etaper, efterhånden som de foreligger. Rieck anmelder ikke bruddet til Datatilsynet på klientens vegne, medmindre det er særskilt aftalt.
§ 11
Dokumentation og revision
Rieck stiller de oplysninger til rådighed, der er nødvendige for at påvise, at forpligtelserne i denne aftale og i artikel 28 overholdes.
Klienten kan én gang årligt bede om dokumentation for Riecks sikkerhedsforanstaltninger. Rieck opfylder anmodningen ved at fremsende foreliggende erklæringer, revisionsrapporter eller en udfyldt sikkerhedsbesvarelse.
Er dokumentationen ikke tilstrækkelig, kan klienten forlange en inspektion. Den varsles med mindst 30 dage, gennemføres i normal arbejdstid, må ikke forstyrre driften eller give adgang til andre kunders data, og udføres af klienten selv eller af en uafhængig revisor, der er pålagt fortrolighed. Klienten afholder sine egne og Riecks omkostninger ved inspektionen, medmindre den afdækker væsentlig misligholdelse.
Datatilsynet har til enhver tid adgang efter de regler, der følger af lovgivningen.
§ 12
Sletning og tilbagelevering ved ophør
Ved ophør af klientens brug af portalen sletter eller tilbageleverer Rieck efter klientens valg de personoplysninger, der er behandlet på klientens vegne, og sletter eksisterende kopier.
Klienten kan hente sine data efter reglerne om dataportabilitet i handelsbetingelsernes § 21. Anmodningen skal fremsættes, inden sletningen gennemføres.
Har klienten ikke haft sager hos Rieck i mere end 3 måneder, kan Rieck lukke kontoen og slette oplysningerne, jf. handelsbetingelsernes § 15. Klienten er selv ansvarlig for at sikre en kopi.
§ 13
Ansvar og ikrafttræden
Parterne hæfter efter databeskyttelsesforordningens artikel 82 for skade forvoldt ved behandling, der ikke overholder forordningen. I forholdet mellem parterne gælder de ansvarsbegrænsninger, der følger af handelsbetingelsernes § 13.
Aftalen træder i kraft ved klientens oprettelse af en konto og gælder, så længe klienten bruger portalen. Bestemmelserne om fortrolighed, sletning og dokumentation gælder også efter ophør.
Er der modstrid mellem denne aftale og handelsbetingelserne om behandlingen af personoplysninger i portalen, går denne aftale forud. Aftalen er undergivet dansk ret, og tvister afgøres som fastlagt i handelsbetingelsernes § 22.
§ 14
Adgang via API
Aftalen omfatter også de personoplysninger, klienten henter ud af portalen gennem Riecks API med sin egen API-nøgle.
Henter klienten personoplysninger gennem API'et, er klienten ansvarlig for oplysningerne og for al den videre behandling af dem, efter at de har forladt Riecks platform. Det gælder, uanset hvilket system, hvilken leverandør eller hvilken medarbejder hos klienten der modtager dem.
Riecks ansvar som databehandler omfatter alene opbevaring og behandling af oplysningerne inde i portalen. Rieck er ikke databehandler for klientens behandling uden for platformen, og § 3-§ 12 gælder ikke for den.
Klienten er selv ansvarlig for:
at sikre sine API-nøgler mod uvedkommende og udskifte dem jævnligt, og straks hvis der er mistanke om, at en nøgle er kommet til uvedkommendes kendskab; og
at afgøre, hvem i klientens organisation der har adgang til API-nøglerne og til de oplysninger, de giver adgang til, og at lukke adgangen, når behovet ophører.
Rieck logger adgangen via API'et. Loggen kan indgå i Riecks bistand efter § 9 og § 10.
§ 15
Bilag A — Behandlingens karakter og formål
Formål
At stille portalen til rådighed for to af klientens egne behandlinger: (1) kundekendskabsprocedurer efter hvidvaskloven — identifikation og kontrol af legitimation, kortlægning af reelle ejere, screening mod sanktions- og PEP-lister og dokumentation af klientens afgørelse; og (2) modtagelse, godkendelse og betaling af klientens egne regninger og refusion af medarbejderes udlæg.
Behandlingens karakter
Indsamling, registrering, opbevaring, systematisering, sammenstilling med offentlige registre og med sanktions- og PEP-lister, brug, ændring, klargøring af betalinger, som klienten godkender, videregivelse efter instruks og sletning — udført automatiseret i portalen og manuelt, når klienten selv indtaster eller supporten bistår.
Kategorier af registrerede
Klientens kunder og potentielle kunder, som klienten gennemfører kundekendskab om, samt deres reelle ejere, ledelsesmedlemmer, tegningsberettigede og repræsentanter.
Klientens leverandører, når de er fysiske personer eller enkeltmandsvirksomheder, og kontaktpersoner hos leverandørerne.
Klientens egne medarbejdere — som brugere af portalen og som modtagere af refusion for udlæg.
Kategorier af personoplysninger
Almindelige oplysninger
Navn, adresse, fødselsdato, statsborgerskab, e-mail, telefonnummer, virksomhed, stilling og rolle, ejerandele, tegningsret og fuldmagter samt uploadede dokumenter og deres indhold.
Legitimationsoplysninger
MitID-identifikator og sikringsniveau samt legitimationsdokumentets maskinlæsbare felter og billede.
Økonomiske oplysninger
Regninger og kvitteringer, beløb, forfaldsdatoer, bankkonto og betalingsstatus.
CPR-nummer
Kan registreres om fysiske personer som led i kundekendskab. Opbevares krypteret.
Særlige kategorier og strafbare forhold
Oplysning om, at en person er politisk eksponeret, og resultatet af screening mod sanktionslister. Behandles på klientens hjemmel efter hvidvaskloven.
Brugeroplysninger
Login, rolle, rettigheder og aktivitetslog for klientens egne brugere.
Ud over oplysningen om politisk eksponering må klienten ikke registrere særlige kategorier af personoplysninger efter artikel 9 i portalens fritekstfelter. Gør klienten det alligevel, sker det uden for instruksen og på klientens eget ansvar.
Varighed
Behandlingen løber, så længe klienten har en konto, og ophører efter § 12.
§ 16
Bilag B — Underdatabehandlere
De godkendte underdatabehandlere fremgår af den offentlige liste, der opdateres løbende og udgør bilag B til denne aftale. Listen angiver for hver leverandør, hvad den bruges til, hvor behandlingen finder sted, og på hvilket grundlag oplysninger eventuelt overføres uden for EU/EØS.
Ændringer varsles efter § 6.
§ 17
Bilag C — Tekniske og organisatoriske foranstaltninger
Rieck har som minimum gennemført følgende foranstaltninger. De uddybes på siden om sikkerhed.
Adgangsstyring
Rolle- og behovsbaseret adgang, personlige konti, obligatorisk to-faktor på administrative adgange og logning af adgang til kundedata.
Kryptering
Trafik krypteres under transport (TLS). Data krypteres, når de ligger lagret, herunder sikkerhedskopier.
Adskillelse
Klienternes data er logisk adskilt, så en klient aldrig kan tilgå en anden klients oplysninger. Udviklings- og testmiljøer bruger ikke produktionsdata.
Sikkerhedskopiering
Regelmæssig sikkerhedskopiering med afprøvet gendannelse og dokumenteret beredskab ved nedbrud.
Logning og overvågning
Drifts- og sikkerhedslogning med overvågning for unormal adfærd og fastlagt procedure for håndtering af sikkerhedshændelser.
Leverandørstyring
Databehandleraftaler med alle underdatabehandlere og løbende kontrol af deres sikkerhedsniveau.
Medarbejdere
Tavshedspligt, oplæring i databeskyttelse og øjeblikkelig lukning af adgange ved fratræden.
Fysisk sikkerhed
Driften ligger i datacentre med adgangskontrol, overvågning og redundant strøm- og netforsyning.
Spørgsmål til vilkårene
Skal vi gennemgå dem med jer, før I skriver under?
Ring, så tager en rådgiver dem igennem med jer — også dem, der ikke er i jeres favør. Det er bedre, I ved det nu end i den første sag.
Tal med en rådgiver
Ring på hverdage eller skriv — vi svarer inden for 2 timer på alle hverdage.
