Når arbejdsklausuler skal kontrolleres: må leverandøren udlevere medarbejderoplysninger?

Når man bruger arbejdsklausuler i den type kontrakter, opstår der jævnligt et helt konkret spørgsmål i hverdagen: Når ordregiver beder om dokumentation for overholdelse af klausulen (typisk løn- og timesedler, ansættelseskontrakter, opholdstilladelser m.v.), må leverandøren så overhovedet udlevere de personoplysninger til ordregiver efter GDPR reglerne?

Det er præcis det spørgsmål, Datatilsynet adresserer i sin udtalelse af 20. november 2025.

Datatilsynets udgangspunkt: leverandøren bruger typisk GDPR artikel 6, stk. 1, litra f

Datatilsynet vurderer, at leverandører som udgangspunkt må finde hjemmel til videregivelsen i GDPR artikel 6, stk. 1, litra f (legitim interesse). Datatilsynet peger samtidig på, at arbejdsklausulernes formål normalt indebærer tungtvejende legitime interesser, så litra f ofte kan bære videregivelsen, medmindre der konkret foreligger særlige omstændigheder, der taler imod.

Det centrale her er, at litra f ikke er en “standardløsning”, man bare kan læne sig op ad.

Den kræver, at man kan forklare, hvorfor videregivelsen er nødvendig og rimelig, og at man holder sig til det nødvendige.

Hvorfor ikke GDPR artikel 6, stk. 1, litra e?

Datatilsynet tager også stilling til den situation, hvor en offentlig ordregiver kan være underlagt en retlig forpligtelse til at sikre arbejdsklausuler. Selv i de tilfælde kan leverandøren som udgangspunkt ikke bruge GDPR artikel 6, stk. 1, litra e (opgave i samfundets interesse/offentlig myndighedsudøvelse) som hjemmel til at videregive personoplysningerne.

Begrundelsen er, at hjemlen i litra e skal være forankret i EU-ret eller national ret, som den dataansvarlige er underlagt, og i denne sammenhæng er leverandøren typisk en privat virksomhed, der ikke er direkte omfattet af den bagvedliggende regulering, som pålægger ordregiver at sikre klausulen.

Det er en vigtig afklaring, fordi den fjerner en del misforståelser i praksis: ordregivers eventuelle pligt gør ikke automatisk leverandørens videregivelse til en “myndighedshjemmel”.

Hvad afgør, hvilke oplysninger der kan udleveres?

Datatilsynet fremhæver især to forhold, som i praksis bliver styrende for både leverandør og ordregiver.

For det første skal videregivelsen være nødvendig.

Datatilsynet beskriver netop, at ordregivere ofte efterspørger dokumentation i form af løn- og timesedler, ansættelseskontrakter m.v., og at det giver anledning til spørgsmål om hjemmel. Pointen er, at hjemlen knytter sig til det, der er relevant for kontrollen, og man skal derfor kunne afgrænse, hvorfor netop disse oplysninger er nødvendige for at kontrollere arbejdsklausulen.

For det andet skal der foretages en interesseafvejning. Datatilsynet lægger vægt på, at arbejdsklausulernes formål normalt indebærer tungtvejende legitime interesser, men at vurderingen kan falde anderledes ud, hvis der konkret foreligger særlige omstændigheder.

Det er også værd at bemærke, at Datatilsynets udtalelse tager udgangspunkt i videregivelse af almindelige personoplysninger om medarbejdere.

Databeskyttelseslovens § 12

Datatilsynet forholder sig til, at der kan være scenarier, hvor ordregiver har en retlig forpligtelse i baggrunden, men udtalelsens hovedlinje er, at leverandørens hjemmel til selve videregivelsen som udgangspunkt findes i GDPR artikel 6, stk. 1, litra f.

Hvad betyder det for den daglige leder og andre, der bestiller ydelserne?

For den daglige leder eller andre der bestiller ydelserne betyder udtalelsen især, at arbejdsklausuler fortsat kan anvendes og kontrolleres, men at kontrollen skal tilrettelægges, så leverandøren faktisk kan efterleve GDPR på en forsvarlig måde.

Hvis ordregiver beder bredt om “al dokumentation”, risikerer man i praksis at modtage mere, end der er nødvendigt, og det gør det vanskeligere for leverandøren at gennemføre en korrekt interesseafvejning og afgrænsning. Omvendt vil en præcis og formålsnær anmodning typisk gøre det lettere at få den dokumentation, der er relevant, og samtidig reducere databeskyttelsesrisikoen.

Udtalelsen er derfor også et indirekte signal til ordregivere om at tænke kontrollen ind som en konkret, afgrænset proces, hvor man kun indsamler det, man reelt har brug for til at vurdere overholdelsen af klausulen. Det er netop den type dokumentationskrav, der i praksis ofte anvendes i arbejdsklausuler.

Hvad betyder det for leverandøren?

For leverandøren ligger opgaven i at kunne forankre videregivelsen i GDPR artikel 6, stk. 1, litra f og samtidig sikre, at materialet er begrænset til det nødvendige for formålet. Datatilsynet beskriver netop, at spørgsmålene ofte opstår i forbindelse med udveksling af løn- og timesedler og ansættelseskontrakter som bevis for overholdelse af arbejdsklausuler, og det understreger behovet for at kunne udlevere dokumentation på en kontrolleret og afgrænset måde.

I praksis er det en fordel, at leverandøren tænker dokumentationskrav ind tidligt og ikke først, når ordregiver beder om materiale.

Når der kan blive tale om at udlevere løn- og ansættelsesoplysninger som led i dokumentation for arbejdsklausuler, bør leverandøren derfor allerede ved ansættelsen gøre medarbejderen opmærksom på, at sådanne oplysninger kan blive videregivet til en ordregiver i forbindelse med kontraktens kontrol.

Der er ikke et krav om samtykke, og det ændrer ikke ved, at videregivelsen skal være nødvendig og begrænset til det relevante. Men tidlig og tydelig information understøtter medarbejderens forventninger til behandlingen, reducerer risikoen for konflikter og gør det lettere at håndtere henvendelser, når en kontrol faktisk gennemføres.

Praktisk kan det indarbejdes i virksomhedens databeskyttelsesinformation til medarbejdere (fx i ansættelsespakken eller personalehåndbogen), hvor det kort beskrives, at oplysninger om løn- og arbejdstid i visse tilfælde kan blive videregivet til offentlige ordregivere med henblik på dokumentation for overholdelse af arbejdsklausuler, og at videregivelsen sker efter en konkret vurdering og kun i det omfang, det er nødvendigt.

Afrunding

Datatilsynets udtalelse giver et klart svar på det praktiske hovedspørgsmål: Leverandøren kan som udgangspunkt godt videregive medarbejderoplysninger til ordregiver som dokumentation for overholdelse af arbejdsklausuler, men hjemlen er typisk GDPR artikel 6, stk. 1, litra f, og vurderingen kræver, at videregivelsen er nødvendig, afgrænset og rimelig i den konkrete situation.