Faldgruber ved hosting og cloud – og de officielle kilder til reglerne

De dyreste fejl ved hosting og cloud er sjældent tekniske. De handler om poster, ingen har regnet med (udgående datatrafik, snapshots, glemte servere, support og licenser), kontrakter, der ikke siger noget om exit, persondata, der ender uden for EU/EØS uden overførselsgrundlag, og backup, der aldrig er testet. Denne oversigt samler faldgruberne og fortæller, hvor de officielle regler står: momsloven hos Skattestyrelsen, GDPR hos Datatilsynet, dataforordningen hos Digitaliseringsstyrelsen, NIS2 hos Styrelsen for Samfundssikkerhed og bogføringsloven hos Erhvervsstyrelsen.

Indholdet er generel information, ikke juridisk rådgivning. Tjek altid den gældende version hos kilden.

De ti hyppigste faldgruber

Regler og myndigheder – hvem gør hvad?

Datatilsynets vejledning om cloud

Datatilsynet har udgivet en "Vejledning om cloud" (marts 2022). Den gennemgår bl.a. at kende sine services (risikovurdering for databeskyttelse og behandlingssikkerhed), at kende sin leverandør (screening og databehandleraftale), tilsyn med cloudleverandøren og underleverandører, overførsler til tredjelande og behandlinger i EU hos selskaber, der kan få anmodninger fra myndigheder i tredjelande. Vejledningen er fra før EU-US Data Privacy Framework blev vedtaget i juli 2023, så afsnittet om USA skal læses sammen med den senere udvikling. Vejledningen findes under "Regler og vejledning" → "Cloud" på datatilsynet.dk.

Data Act: datoer at kende

• 12. september 2025: dataforordningen finder anvendelse (art. 50).
• Frem til 12. januar 2027: udbydere af databehandlingstjenester må kun opkræve nedsatte skiftegebyrer, der ikke overstiger deres direkte omkostninger ved skiftet (art. 29, stk. 2–3).
• Fra 12. januar 2027: ingen skiftegebyrer (art. 29, stk. 1).

EU-Kommissionen har den 19. november 2025 fremsat forslag om at forenkle dele af den digitale lovgivning (den såkaldte digitale omnibus, COM(2025) 837). Forslaget vil bl.a. indføre en lettere ordning i art. 31 for visse skræddersyede tjenester og små og mellemstore udbydere med aftaler indgået senest 12. september 2025. Ved udgangen af oktober 2026 var det ikke vedtaget. Om og hvordan det ender med at ændre reglerne om skift, bør tjekkes hos Digitaliseringsstyrelsen eller i EU-Tidende, før I lægger jer fast på en fortolkning.

Sådan bruger I kilderne i praksis

Lovtekster er ikke altid den hurtigste vej til et svar. En arbejdsgang, der virker for de fleste SMV'er:

1. Start med myndighedens vejledning – Skattestyrelsens juridiske vejledning og sider om moms, Datatilsynets vejledninger, Erhvervsstyrelsens vejledning om bogføringssystemer og Digitaliseringsstyrelsens sider om dataforordningen. De forklarer reglerne med eksempler.
2. Tjek lovteksten, når en bestemt formulering er afgørende, fx en frist eller en undtagelse. Danske love og bekendtgørelser findes på retsinformation.dk; se på status ("gældende" eller "historisk"), så I ikke læser en gammel version.
3. Læs EU-forordningen på dansk hos EU's Publikationskontor, når det gælder GDPR eller dataforordningen. Forordninger gælder direkte i Danmark.
4. Gem kilden med dato i jeres dokumentation, fx i beslutningsnotatet for valget af udbyder.

Udbydernes egne sider om compliance er nyttige, men de er skrevet af den part, der sælger tjenesten. Brug dem som oplysninger, ikke som en vurdering af jeres situation.

Den årlige gennemgang

Ud over den månedlige kontrol af regningen bør hostingløsningen gennemgås én gang om året – gerne i god tid før en bindingsperiode eller reservation udløber:

• Passer hostingformen stadig til behovet, eller er systemet vokset fra eller faldet under den?
• Er databehandleraftalen og listen over underdatabehandlere opdateret?
• Er backup testet med en reel gendannelse i løbet af året?
• Er exitplanen stadig rigtig – og kender I opsigelsesfristen?
• Er der nye regler eller vejledninger fra myndighederne, der påvirker løsningen?

Hvornår skal I have rådgivning?

• Ved migrering af forretningskritiske systemer eller store datamængder.
• Når persondata om mange personer eller følsomme oplysninger behandles i cloud.
• Hvis virksomheden er – eller kan blive – omfattet af NIS2.
• Ved komplekse licensforhold eller tvist med en udbyder.

En it-advokat, revisor eller uafhængig cloudrådgiver kan hjælpe. Spørg altid, om rådgiveren har økonomiske bånd til udbydere.

Ofte stillede spørgsmål

Hvor klager vi over en hostingudbyder?

Erhvervskunder har ikke et offentligt klagenævn for hosting. Løs uenigheder med udbyderen efter kontrakten, evt. med advokat, og i sidste ende ved domstolene eller voldgift, hvis aftalt. Brud på GDPR kan anmeldes til Datatilsynet, og spørgsmål om Data Act kan rettes til Digitaliseringsstyrelsen.

Hvor finder vi den gældende lovtekst?

På retsinformation.dk for danske love og bekendtgørelser, og hos EU's Publikationskontor for forordninger.

Ændrer reglerne sig ofte?

Ja, særligt på det digitale område. Tjek datoen på den version, I læser.

Kilder og videre læsning

• Retsinformation – momsloven, NIS2-loven, bogføringsloven, datadelingsloven
• Datatilsynet – vejledning om cloud og databehandleraftaler
• Digitaliseringsstyrelsen – tilsyn med dataforordningen
• Styrelsen for Samfundssikkerhed – NIS2
• Skattestyrelsen – moms ved handel med udlandet
• Erhvervsstyrelsen – digitale bogføringssystemer
• Den Europæiske Unions Publikationskontor – dataforordningen og GDPR