Dataplacering i Danmark eller EU: krav, muligheder og hvad det koster

Der er ikke et generelt lovkrav om, at en dansk virksomheds data skal ligge i Danmark. Men flere regler gør placeringen vigtig: GDPR kræver et lovligt overførselsgrundlag, når personoplysninger overføres til lande uden for EU/EØS – også når support eller underleverandører tilgår data derfra. Bogføringsreglerne kræver for ikke-registrerede digitale bogføringssystemer en sikkerhedskopi på en server i et EU- eller EØS-land. Og kunder, brancheregler eller kontrakter kan kræve dansk eller europæisk placering. Valget af region kan påvirke prisen, udvalget af tjenester og svartiden – så afklar kravet, før I vælger udbyder.

Guiden hører under valg af hosting trin for trin. Indholdet er generel information, ikke juridisk rådgivning.

Tre niveauer af placering

Placering af data er ikke det samme som jurisdiktion. En udbyder med hovedsæde uden for EU kan have datacentre i EU, men stadig være underlagt lovgivning i sit hjemland. Det er derfor, dataforordningen kræver gennemsigtighed om jurisdiktion.

Dataforordningen: oplysning om jurisdiktion

Efter dataforordningen artikel 28 skal udbydere af databehandlingstjenester på deres websteder oplyse om:

• den jurisdiktion, som IKT-infrastrukturen bag de enkelte tjenester er underlagt, og
• en overordnet beskrivelse af de tekniske, organisatoriske og kontraktlige foranstaltninger, de har truffet for at forhindre ulovlig international statslig adgang til andre data end personoplysninger, der er lagret i EU.

Webstederne skal anføres i aftalerne. Brug oplysningerne som en del af vurderingen – de findes hos udbyderen, ikke hos en myndighed.

GDPR: overførsler til tredjelande

Behandles personoplysninger, gælder GDPR kapitel V for overførsler uden for EU/EØS. Overførsler kan bl.a. ske på grundlag af en tilstrækkelighedsafgørelse (art. 45) – for USA er det EU-US Data Privacy Framework for certificerede virksomheder – eller standardkontraktbestemmelser (art. 46, stk. 2, litra c). Bemærk:

• Fjernadgang fra et tredjeland (fx support) kan være en overførsel, selv om data ligger i EU.
• Underdatabehandlere skal fremgå af databehandleraftalen.
• Retsstillingen for Data Privacy Framework kan ændre sig; en appel ved EU-Domstolen (sag C-703/25 P) verserer.

Se GDPR, databehandleraftale og tredjelande.

Bogføringsloven: backup i EU/EØS

Bruger virksomheden et digitalt bogføringssystem, der ikke er registreret hos Erhvervsstyrelsen, skal den efter bekendtgørelse nr. 205 af 29. februar 2024 § 4 mindst ugentligt tage en fuld sikkerhedskopi og opbevare den hos en ikke-nærtstående part på en server i et EU- eller EØS-land. Siden 1. januar 2026 (bekendtgørelse nr. 303 af 20. marts 2025) gælder undtagelsen i § 4, stk. 3, kun virksomheder omfattet af lov om finansiel virksomhed, lov om forsikringsvirksomhed eller ATP-loven og visse af deres datterselskaber, der bruger koncernens bogføringssystem. Se NIS2 og bogføringsloven.

Hvad koster placeringen?

Prisen pr. server, GB og trafik varierer mellem regioner. Det kan gå begge veje – en dansk eller nordisk region er ikke automatisk dyrere. Andre forhold:

• Udvalg: Nye tjenester og instanstyper kommer ikke altid til alle regioner samtidig.
• Svartid: En region tæt på brugerne giver lavere svartid. For danske brugere er forskellen mellem nordeuropæiske regioner ofte lille.
• Redundans: Kræver I to regioner i EU for katastrofeberedskab, koster det ekstra servere og trafik mellem regionerne.
• Danske udbydere og driftspartnere har datacentre i Danmark, men færre tjenester end de globale udbydere.

Illustrativt: Et system koster 5.000 kr. om måneden i region A og 5.400 kr. i region B, som opfylder et kundekrav om dansk placering. Merprisen er 400 kr. om måneden – 4.800 kr. om året. Det kan sammenlignes direkte med værdien af kundekontrakten.

Backup og beredskab: placering gælder også kopierne

Et krav om placering i Danmark eller EU gælder sjældent kun produktionsdata. Spørg også, hvor backup, snapshots, logfiler og replikering til en anden region ligger. Det er almindeligt, at en løsning har produktion i én region og katastrofekopi i en anden – og den anden region kan ligge et andet sted, end man tror.

Tre typiske opsætninger og deres pris (konstrueret):

Vælg ud fra, hvor længe systemet må være nede, og hvor meget data I må miste – ikke ud fra den højeste sikkerhed som udgangspunkt. Skriv kravene ind i kravspecifikationen.

Spørgsmål til udbyderen om placering

1. I hvilket land og hvilken region ligger data, backup og logfiler?
2. Kan data flyttes til en anden region uden vores godkendelse?
3. Hvilke underleverandører har adgang, og fra hvilke lande?
4. Hvilken jurisdiktion er infrastrukturen underlagt (dataforordningen art. 28)?
5. Hvordan håndteres anmodninger fra myndigheder i tredjelande?

Ofte stillede spørgsmål

Er en dansk udbyder altid bedst egnet til persondata?

Ikke nødvendigvis. Det afgørende er, hvor data behandles, hvem der kan tilgå dem, og om databehandleraftalen og sikkerheden er i orden. En dansk udbyder kan også bruge underleverandører uden for EU.

Skal offentlige kunder have data i Danmark?

Det afhænger af opgaven og kontrakten. Læs kundens krav – de kan være strengere end loven.

Hvad med data hos en SaaS-leverandør?

De samme spørgsmål gælder: Hvor ligger data, hvem kan tilgå dem, og hvilke underleverandører bruges? For SaaS står svarene ofte i leverandørens databehandlervilkår og i listen over underdatabehandlere.

Gælder EU/EØS-kravet for alle bogføringssystemer?

Kravet i bekendtgørelse nr. 205/2024 gælder virksomheder, der bruger ikke-registrerede systemer. For registrerede standardsystemer gælder krav til udbyderen. Tjek Erhvervsstyrelsens vejledning.

Kilder og videre læsning

• Datatilsynet – vejledning om cloud og tredjelandsoverførsler
• Erhvervsstyrelsen – vejledning om ikke-registrerede digitale bogføringssystemer
• Digitaliseringsstyrelsen – dataforordningen
• Den Europæiske Unions Publikationskontor – dataforordningen (EU) 2023/2854 og GDPR (EU) 2016/679