GDPR og dansk hosting: Derfor betyder serverplacering noget

Ved du, hvor din hjemmesides data fysisk ligger? Mange virksomheder gør ikke. Men når hjemmesiden indeholder persondata, og det gør langt de fleste, har serverens placering betydning i forhold til GDPR.

I dette indlæg forklarer vi, hvad GDPR siger om serverplacering, hvorfor overførsler til lande uden for EU er et særligt opmærksomhedspunkt, og hvorfor hosting kun er én del af billedet.

Hvilke persondata ligger på din hjemmeside?

Selv en helt almindelig virksomhedshjemmeside indeholder ofte flere persondata, end man tror:

• Henvendelser fra kontaktformularer med navn, e-mail og telefonnummer
• Ordrer og kundekonti i en webshop
• Tilmeldinger til nyhedsbrev
• IP-adresser i serverens logfiler
• Brugerkonti på hjemmesiden
• Backups, som indeholder alt det ovenstående

Alt dette er persondata, som er omfattet af GDPR, og som ligger på den server, hvor hjemmesiden er hostet.

Hvad siger GDPR om serverplacering?

GDPR kræver ikke, at data skal ligge i Danmark. Persondata må frit behandles inden for EU og EØS. Det afgørende er, om data overføres til lande uden for EU og EØS, såkaldte tredjelande.

Overførsler til tredjelande kræver et gyldigt overførselsgrundlag. Det kan være en afgørelse fra EU-Kommissionen om, at landet har et tilstrækkeligt beskyttelsesniveau, eller EU’s standardkontraktbestemmelser kombineret med en vurdering af risikoen ved overførslen.

Særligt om USA

Overførsler til USA har længe været et omdiskuteret emne. EU-Domstolen underkendte i 2015 og 2020 de to tidligere aftaler, Safe Harbor og Privacy Shield. I 2023 vedtog EU-Kommissionen en ny aftale, EU-US Data Privacy Framework, som gælder for amerikanske virksomheder, der er certificeret under ordningen.

Aftalen blev støttet af EU’s Ret i første instans i september 2025, men afgørelsen er anket til EU-Domstolen, hvor sagen verserer. Aftalen er altså gældende i dag, men der er fortsat usikkerhed om dens fremtid.

Dertil kommer, at amerikanske virksomheder kan være underlagt amerikansk lovgivning, der i visse tilfælde giver myndighederne adgang til data, også når serverne står i Europa. Det er en af grundene til, at mange danske virksomheder og offentlige myndigheder foretrækker europæiske leverandører.

Fordele ved dansk hosting

Dansk hosting er ikke et lovkrav, men det gør mange ting lettere:

Hos Webto står alle vores servere i Danmark hos Curanet, som lever op til EU’s krav og har høj oppetid. Læs mere om hjemmesider med ISO 27001-godkendelse og om, hvilken type hosting du skal vælge.

Hosting er kun én del af billedet

Selvom hjemmesiden ligger på en dansk server, kan data stadig blive sendt ud af EU gennem de værktøjer og tjenester, der er koblet på hjemmesiden. Det gælder fx:

• Analyse- og marketingværktøjer som Google Analytics og Meta Pixel
• Skrifttyper, der hentes fra eksterne servere, fx Google Fonts
• Indlejrede videoer og kort
• Chatwidgets og kundeserviceplatforme
• Nyhedsbrevssystemer og CRM
• Formularværktøjer og eksterne bookingsystemer
• CDN’er og sikkerhedstjenester

Et eksempel: En webshop hostet i Danmark bruger en amerikansk chatløsning, et amerikansk nyhedsbrevssystem og henter skrifttyper fra Google. Serveren står i Danmark, men persondata sendes stadig til flere leverandører uden for EU. Det kræver, at virksomheden har styr på overførselsgrundlaget for hver enkelt leverandør.

Overvejer I at flytte jeres hjemmeside til dansk hosting med support og fokus på sikkerhed? Vi hjælper med både hosting og flytning.

Tjekliste: Har du styr på dine data?

• Ved I, hvor jeres hjemmeside og backups fysisk er hostet?
• Har I en databehandleraftale med jeres hostingudbyder?
• Har I en oversigt over alle eksterne værktøjer, der er koblet på hjemmesiden?
• Ved I, hvilke af dem der sender data uden for EU, og på hvilket grundlag?
• Hostes skrifttyper lokalt i stedet for at blive hentet fra eksterne servere?
• Er jeres privatlivspolitik opdateret, så den afspejler de værktøjer, I faktisk bruger?
• Slettes gamle henvendelser og data, når I ikke længere har brug for dem?

Læs også vores introduktion til, hvad GDPR betyder.

Bemærk: Dette indlæg er en generel gennemgang og ikke juridisk rådgivning.

Efterord

“Serverplacering er ikke det eneste, der betyder noget i GDPR, men det er et af de steder, hvor man let kan gøre det enkelt for sig selv. Når data ligger i Danmark, er der ét spørgsmål mindre at bekymre sig om.”

Ofte stillede spørgsmål

Du er velkommen til at læse mere i nogle af vores andre blogindlæg