Hosting i Frankfurt for norske bedrifter: kreves det databehandleravtale og overføringsgrunnlag?

Praktisk guide for norske bedrifter som velger en hostingleverandør med servere i EU. Aktuelt per 30.09.2026.

Kort svar

  1. 1Ja, du trenger en databehandleravtale: når en hostingleverandør lagrer eller behandler personopplysninger på vegne av din bedrift, er leverandøren databehandler, og forholdet skal reguleres i en skriftlig avtale etter GDPR artikkel 28. Avtalen kan være elektronisk.
  2. 2Nei, Frankfurt krever ikke et særskilt overføringsgrunnlag i seg selv. Norge er en del av EØS, og ifølge Datatilsynet kan personopplysninger innenfor EØS brukes, sendes og deles på tvers av landegrenser når det finnes et behandlingsgrunnlag.
  3. 3Overføringsgrunnlag (for eksempel en avgjørelse om tilstrekkelig beskyttelsesnivå eller standard personvernbestemmelser, SCC) trengs når opplysninger går til land utenfor EØS. Spør derfor leverandøren om underleverandører og supportkjeder utenfor EØS.
  4. 4Serverne til 4hosting står i Frankfurt, ikke i Norge. Aktuelt per 30.09.2026.

Hva må en databehandleravtale inneholde?

Datatilsynet beskriver at avtalen må være bindende og skriftlig. Den skal angi hva behandlingen gjelder, hvor lenge den varer, hva slags behandling det er og formålet, samt kategorier av opplysninger og av registrerte.

Databehandleren skal bare behandle opplysningene etter dokumenterte instrukser fra deg som behandlingsansvarlig, også når det gjelder overføring til tredjeland. Personer med tilgang skal være underlagt taushetsplikt, og leverandøren skal gjennomføre sikkerhetstiltak etter GDPR artikkel 32.

Avtalen skal også sette vilkår for bruk av underleverandører, inkludert forhåndsgodkjenning og at de samme pliktene føres videre. Databehandleren skal hjelpe deg med de registrertes rettigheter og med avviksmelding, personvernkonsekvensvurderinger og forhåndsdrøfting (artikkel 32–36). Ved opphør skal opplysningene slettes eller leveres tilbake, og leverandøren skal gi deg informasjon som trengs for å dokumentere etterlevelse og muliggjøre revisjon.

Frankfurt, EØS og overføringsgrunnlag

Reglene om overføring ut av EØS finnes for å sikre at beskyttelsen følger opplysningene når de forlater EØS-området. Ifølge Datatilsynet er en overføring til land utenfor EØS ulovlig hvis det ikke finnes et overføringsgrunnlag. Vanlige grunnlag er en avgjørelse fra EU-kommisjonen om tilstrekkelig beskyttelsesnivå, standard personvernbestemmelser (SCC), godkjente sertifiseringsordninger og atferdsnormer.

Tyskland er et EØS-land, så en server i Frankfurt er ikke en overføring «ut av EØS». Du trenger fortsatt et behandlingsgrunnlag for selve behandlingen og en databehandleravtale. Spørsmålet om overføringsgrunnlag kommer først opp hvis leverandøren eller en underleverandør gir tilgang fra et land utenfor EØS.

Serverplassering utenfor Norge er derfor ikke et rettslig problem i seg selv. Det er et spørsmål om dokumentasjon: du bør kunne vise hvor opplysningene lagres, hvem som har tilgang og på hvilket grunnlag.

Tre eksempler

Nettbutikk med kundekonto

En norsk nettbutikk lagrer navn, adresse og ordrehistorikk i en database på en VPS i Frankfurt. Butikken er behandlingsansvarlig, hostingleverandøren er databehandler. Butikken trenger databehandleravtale og en oppdatert oversikt over behandlingene, men ikke et eget overføringsgrunnlag for selve lagringen i Tyskland.

Byrå som drifter kundenes nettsteder

Et byrå drifter WordPress-nettsteder for flere kunder. Byrået er databehandler for kundene sine og bruker hostingleverandøren som underleverandør. Kundenes avtaler må tillate underleverandøren, og byrået må ha en avtale videre til leverandøren med samme plikter.

SaaS med support fra utenfor EØS

En SaaS-leverandør har lagring i Frankfurt, men en supportunderleverandør med tilgang fra et land utenfor EØS. Her oppstår spørsmålet om overføringsgrunnlag, for eksempel SCC, selv om serveren står i EØS.

Vanlige feil

  • Å tro at «servere i Norge» er et lovkrav. GDPR krever et behandlingsgrunnlag og en databehandleravtale, ikke plassering i Norge, så lenge opplysningene blir i EØS.
  • Å hoppe over databehandleravtalen fordi leverandøren «bare leier ut en server». Gir leverandøren tilgang til eller lagrer den personopplysninger på dine vegne, bør forholdet reguleres skriftlig.
  • Å glemme underleverandørene: lagring, sikkerhetskopier, e-post og support kan ligge hos andre enn den du signerer med.
  • Å blande sammen «i EØS» og «i Norge» når du skriver personvernerklæringen. Beskriv hvor opplysningene faktisk lagres.
  • Å tro at leverandøren tar over ansvaret. Behandlingsansvaret ligger fortsatt hos bedriften din.

Slik hjelper 4hosting

  • Datasenteret til 4hosting ligger i EU: Frankfurt. Serverne står ikke i Norge, og vi sier det rett ut.
  • Vi tilbyr en databehandleravtale (DPA) etter GDPR artikkel 28 og standard personvernbestemmelser (SCC) for overføringer der det er relevant. Kontakt oss for å få avtalen.
  • Infrastrukturen er innrettet etter ISO 27001. Vi har ingen ISO 27001-sertifisering, og 4hosting sertifiserer ikke at bedriften din er i samsvar med GDPR eller norsk lov.
  • Gratis flytting av eksisterende nettsted, og mva spesifisert på fakturaen. Faktureringsvalutaen er EUR.

Vanlige spørsmål

Må jeg ha databehandleravtale med hostingleverandøren?

Hvis leverandøren lagrer eller behandler personopplysninger på vegne av bedriften din, ja. Datatilsynet beskriver at avtalen skal være skriftlig og bindende, og den kan være elektronisk.

Er en server i Frankfurt en overføring ut av EØS?

Nei. Tyskland er EØS-land. Et overføringsgrunnlag trengs først hvis opplysninger overføres til eller er tilgjengelige fra et land utenfor EØS, for eksempel via en underleverandør.

Er 4hosting sertifisert etter ISO 27001?

Nei. Infrastrukturen er innrettet etter ISO 27001, men 4hosting har ingen sertifisering, og vi garanterer ikke at bedriften din oppfyller lovkrav.

Se også

Veiledere for norske bedrifter