Hva skal en databehandleravtale inneholde?

GDPR artikkel 28 stiller konkrete krav til innholdet i en databehandleravtale. Avtalen skal blant annet beskrive formålet med behandlingen, hvilke typer personopplysninger som behandles, hvilke kategorier registrerte som omfattes, hvilke sikkerhetstiltak som skal være på plass, regler for bruk av underdatabehandlere, hvordan avvik skal håndteres, og hvordan personopplysninger skal slettes eller tilbakeleveres når avtalen avsluttes.