GDPR ved hosting og cloud: databehandleraftale, underdatabehandlere og overførsler

Gemmer eller behandler en hosting- eller cloududbyder personoplysninger for jer – kundedata i en webshop, medarbejderdata i et fagsystem, e-mails eller logfiler med IP-adresser – er udbyderen typisk databehandler, og I er dataansvarlige. Så kræver GDPR artikel 28 en databehandleraftale med bestemt indhold, I skal kunne godkende eller gøre indsigelse mod underdatabehandlere, og I skal føre tilsyn med udbyderen. Overføres oplysninger til lande uden for EU/EØS – også via fjernadgang fra support – skal der være et overførselsgrundlag efter kapitel V, fx EU-US Data Privacy Framework eller standardkontraktbestemmelser. Datatilsynets "Vejledning om cloud" gennemgår processen.

Guiden hører under faldgruber og officielle kilder. Indholdet er generel information, ikke juridisk rådgivning.

Er hostingudbyderen databehandler?

Som udgangspunkt ja, når udbyderen opbevarer eller på anden måde behandler personoplysninger på jeres vegne. Det gælder også ren infrastruktur, hvor udbyderen ikke "kigger" på data, fordi opbevaring er en behandling. Store cloududbydere har ofte standardiserede databehandlervilkår, som er en del af kundeaftalen. Små udbydere og driftspartnere bruger ofte egne aftaler eller Datatilsynets skabelon.

Databehandleraftalens indhold (art. 28, stk. 3)

Aftalen skal bl.a. fastlægge:

1. Genstand, varighed, karakter og formål med behandlingen, typer af personoplysninger og kategorier af registrerede.
2. At databehandleren kun behandler efter dokumenteret instruks – også ved overførsler til tredjelande.
3. Fortrolighed for de personer, der behandler oplysningerne.
4. Sikkerhedsforanstaltninger efter art. 32.
5. Vilkår for brug af underdatabehandlere.
6. Bistand til den dataansvarlige med de registreredes rettigheder og med sikkerhed, brud og konsekvensanalyser.
7. Sletning eller tilbagelevering af alle personoplysninger, når tjenesten ophører.
8. Adgang til oplysninger, der viser overholdelse, og mulighed for revision og inspektion.

Punkt 7 hænger sammen med exit: Når I skifter udbyder, skal data både kunne eksporteres og slettes – se skift af cloududbyder efter Data Act.

Underdatabehandlere (art. 28, stk. 2 og 4)

Udbyderen må kun bruge underdatabehandlere med jeres forudgående specifikke eller generelle skriftlige godkendelse. Ved en generel godkendelse skal udbyderen underrette jer om planlagte ændringer, så I kan gøre indsigelse. Underdatabehandleren skal pålægges de samme databeskyttelsesforpligtelser.

I praksis:

• Få den aktuelle liste over underdatabehandlere med land og funktion.
• Abonnér på ændringsmeddelelser.
• Vurdér, hvad I gør, hvis en ny underdatabehandler ikke kan accepteres – det er ofte reelt kun opsigelse.

Tilsyn med udbyderen

Den dataansvarlige skal føre tilsyn med databehandleren. Datatilsynets vejledning om cloud beskriver, at tilsynets intensitet og hyppighed afhænger af risikoen ved behandlingen. For standardiserede cloudtjenester sker tilsynet typisk ved gennemgang af udbyderens revisionserklæringer, certificeringer og dokumentation frem for fysiske besøg.

Overførsler til tredjelande (kapitel V)

Overførsel af personoplysninger til et land uden for EU/EØS kræver et grundlag i GDPR kapitel V. De mest brugte:

Status for Data Privacy Framework: EU-Retten frifandt den 3. september 2025 Kommissionen i et søgsmål mod rammen (sag T-553/23). Afgørelsen blev den 31. oktober 2025 appelleret til EU-Domstolen (sag C-703/25 P), og appellen verserede stadig i oktober 2026. Retsstillingen kan altså ændre sig. Hav en plan for, hvad I gør, hvis grundlaget falder bort – fx en EU-region, standardkontrakter som reserve, eller en udbyder uden overførsler.

Fjernadgang er også overførsel: Selv om data ligger i en EU-region, kan support eller drift fra et tredjeland være en overførsel. Spørg udbyderen, hvorfra der gives support, og hvordan adgangen begrænses.

Hvad det koster

GDPR-arbejdet giver sjældent en linje på hostingregningen, men det giver omkostninger:

• Tid til at gennemgå databehandlervilkår og underdatabehandlere – illustrativt 4–10 timer ved et nyt valg.
• Merpris for EU-region eller en udbyder uden tredjelandsoverførsler – se dataplacering i Danmark og EU.
• Rådgivning ved følsomme oplysninger eller store mængder data.

Illustrativt: 8 timer à 900 kr. = 7.200 kr. i engangsomkostning til gennemgang, plus en mindre årlig opfølgning.

Kæder af underdatabehandlere

En almindelig konstruktion: I indgår aftale med en dansk driftspartner, som driver jeres systemer i en global offentlig cloud, som igen bruger egne underleverandører til support. Så er driftspartneren jeres databehandler, cloududbyderen er underdatabehandler, og cloududbyderens supportselskaber kan være underdatabehandlere i flere led. Datatilsynets vejledning om cloud beskriver, hvem der har ansvaret for overførselsgrundlaget, når en underdatabehandler befinder sig uden for EU/EØS. Bed driftspartneren om hele kæden på skrift.

Dokumentér valget

GDPR kræver, at den dataansvarlige kan påvise, at reglerne overholdes. Gem derfor: den underskrevne eller accepterede databehandleraftale med dato, listen over underdatabehandlere, jeres vurdering af overførselsgrundlaget og jeres risikovurdering. Det tager kort tid, når valget træffes, og meget lang tid at genskabe bagefter.

Sikkerhedsbrud

Opdager udbyderen et brud på persondatasikkerheden, skal den underrette jer uden unødig forsinkelse (art. 33, stk. 2). I skal som dataansvarlige anmelde bruddet til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at I er blevet opmærksomme på det, medmindre det er usandsynligt, at bruddet indebærer en risiko (art. 33, stk. 1). Aftal i databehandleraftalen, hvordan og hvor hurtigt udbyderen giver besked.

Ofte stillede spørgsmål

Kan vi bruge udbyderens standardvilkår?

Ja, hvis de opfylder art. 28. Gennemgå dem mod listen ovenfor, og gem den version, der gjaldt, da I indgik aftalen.

Er krypterede data stadig personoplysninger?

Ja, så længe nogen kan dekryptere dem. Kryptering er en vigtig sikkerhedsforanstaltning, men fjerner ikke kravet om databehandleraftale.

Hvor finder vi en skabelon?

Datatilsynet har en skabelon til databehandleraftale under "Blanketter og skabeloner" på datatilsynet.dk.

Kilder og videre læsning

• Datatilsynet – Vejledning om cloud (marts 2022), skabelon til databehandleraftale og overførsler til tredjelande
• Den Europæiske Unions Publikationskontor – GDPR, forordning (EU) 2016/679, art. 28, 33 og kapitel V
• Retsinformation – databeskyttelsesloven (LBK nr. 289 af 8. marts 2024)