Databeskyttelsesloven og Datatilsynet: må du hoste persondata i EU?

Et kort svar til danske virksomheder, webshops og bureauer, der vil vælge hosting uden at komme på kant med reglerne om persondata.

Kort svar

  1. 1Ja. Danmark er en del af EU, så hosting i et andet EU-land (fx Tyskland eller Rumænien) er ikke en overførsel til et tredjeland.
  2. 2Databeskyttelsesloven supplerer GDPR i Danmark; Datatilsynet fører tilsyn med begge. Loven kræver ikke, at serveren står fysisk i Danmark.
  3. 3Du er stadig dataansvarlig. Du skal have en databehandleraftale med din hostingudbyder (GDPR art. 28).
  4. 4Kig efter det, der faktisk kan være en tredjelandsoverførsel: analyseværktøjer, CDN, e-mailudsendelse og betalingsløsninger uden for EU/EØS.

Hvad siger reglerne?

Grundreglerne står i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (GDPR), som gælder direkte i Danmark. Den danske databeskyttelseslov (oprindeligt lov nr. 502 af 23. maj 2018, nu bekendtgjort som lovbekendtgørelse nr. 289 af 8. marts 2024) indeholder supplerende bestemmelser til forordningen. Begge kan læses på retsinformation.dk.

Datatilsynet er den danske tilsynsmyndighed og udgiver vejledninger, bl.a. om dataansvarlige og databehandlere samt om overførsel af personoplysninger til tredjelande (opdateret april 2024).

GDPR kapitel V (art. 44-46) regulerer overførsler til lande uden for EU/EØS. Hosting i Frankfurt er en placering inden for EU og kræver derfor ikke et særligt overførselsgrundlag alene på grund af serverens placering.

Det er stadig dit ansvar

At serveren står i EU flytter ikke ansvaret over på udbyderen. Som dataansvarlig skal du indgå en databehandleraftale (art. 28), føre fortegnelse over behandlingsaktiviteter (art. 30), sikre passende sikkerhed (art. 32) og anmelde brud på persondatasikkerheden til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer (art. 33), når det er påkrævet.

Tre typiske situationer

Webshop i Aarhus med danske kunder

Shoppen kører på et VPS i Frankfurt. Selve hostingen er inden for EU. Det, der bør gennemgås, er betalingsløsning, e-mailudsendelse og analyseværktøjer, som kan have servere uden for EU/EØS.

Bureau i København med mange kundesites

Bureauet er ofte databehandler for kunderne og skal selv have underdatabehandleraftaler på plads med sin hostingudbyder.

Lokal virksomhed med kundekartotek

Kundedata ligger på et cPanel-hosting i EU. Fokus bør være på adgangsstyring, sikkerhedskopier og en opdateret privatlivspolitik.

Almindelige fejl

  • At tro, at serveren skal stå i Danmark, for at det er lovligt.
  • At tro, at hostingudbyderen "certificerer" compliance. Ansvaret er dit.
  • At mangle en databehandleraftale med udbyderen.
  • At glemme tredjepartsværktøjer på siden, der sender data uden for EU/EØS.
  • At mangle en plan for, hvem der anmelder et databrud, og hvordan.

Sådan hjælper 4hosting

Vores datacentre ligger i EU, i Frankfurt — ikke i Danmark, og det siger vi åbent. Vi indgår en databehandleraftale (DPA, GDPR art. 28), arbejder med alignment til ISO 27001 og inkluderer DDoS-beskyttelse. Moms vises separat på fakturaen.

Abonnementerne indeholder månedlige timer til DevOps og CyberSecurity, fx til hardening, adgangsgennemgang og backup. Migrering fra din nuværende udbyder er gratis. Vi udsteder ikke compliance-attester: den juridiske vurdering foretager du eller din rådgiver.

Ofte stillede spørgsmål

Skal min server stå i Danmark for at overholde databeskyttelsesloven?

Nej. Hverken GDPR eller databeskyttelsesloven kræver dansk placering. Overførsler inden for EU/EØS er frie; det er overførsler til lande uden for EU/EØS, der kræver et gyldigt overførselsgrundlag efter GDPR kapitel V.

Har jeg brug for en databehandleraftale med min hostingudbyder?

Ja, hvis udbyderen behandler personoplysninger på dine vegne, kræver GDPR art. 28 en skriftlig aftale. 4hosting indgår en databehandleraftale (DPA) med kunden.

Certificerer 4hosting, at min hjemmeside er GDPR-compliant?

Nej. 4hosting leverer infrastrukturen i EU og en databehandleraftale, men vurderingen af, om din løsning overholder reglerne, foretager du selv eller din rådgiver.

Se også

Guides til virksomheder i Danmark