Databehandleraftale med dit hostingfirma: det skal du tjekke

Kort svar: Dit hostingfirma opbevarer persondata for dig (kundedata i databasen, formularindsendelser, logs og backups) og er derfor din databehandler – og GDPR artikel 28 kræver en skriftlig databehandleraftale, der også kan være elektronisk. Tjek fem ting: at aftalen findes og gælder dig, hvor data (inklusive backups) fysisk ligger, listen over underdatabehandlere og varsling ved ændringer, sikkerhedsforanstaltningerne – og hvad der sker ved ophør. Mangler aftalen, er det dig som dataansvarlig, der står med ansvaret.

Fagligt gennemgået: 2. oktober 2026

Databehandleraftalen er den mest oversete kontrakt i webdrift: alle har hørt om den, færre ved, hvor deres ligger, og næsten ingen har læst den. Men det er den aftale, der fastlægger, hvad leverandøren må gøre med dine kunders data – og hvad der sker, når noget går galt.

Her er, hvad aftalen skal indeholde, hvad du konkret skal tjekke hos din hostingudbyder, og hvornår en manglende aftale bør få dig til at skifte. Guiden er en praktisk gennemgang af GDPR artikel 28 – ikke juridisk rådgivning. Datatilsynets vejledninger er den autoritative kilde.

1. Rollerne: dataansvarlig og databehandler

Du bestemmer formål og midler for behandlingen af dine kunders data – så du er dataansvarlig. Hostingfirmaet behandler data på dine vegne (opbevaring, backup, drift) – så det er databehandler.

Samme rollefordeling gælder typisk dit mailsystem, din fragtplatform, dit statistikværktøj og dit nyhedsbrevssystem. Din betalingsgateway kan derimod være selvstændigt dataansvarlig for selve betalingen. Rollen afgøres af, hvad leverandøren faktisk gør med data – ikke af, hvad kontrakten kalder den.

Ansvaret kan ikke outsources. Vælger du en databehandler uden styr på tingene, er det stadig dit problem – derfor er aftalen og tilsynet med den dit arbejde som dataansvarlig.

2. Hvad aftalen skal indeholde

GDPR artikel 28, stk. 3 sætter minimumskravene. Aftalen skal beskrive behandlingens genstand, varighed, karakter og formål, typen af personoplysninger og kategorierne af registrerede – og forpligte databehandleren på disse punkter:

Krav i artikel 28	Hvad det betyder i praksis for hosting
Kun efter dokumenteret instruks	Udbyderen må ikke bruge dine data til egne formål
Fortrolighed	Medarbejdere med adgang er underlagt tavshedspligt
Sikkerhed (artikel 32)	Konkrete foranstaltninger som adgangsstyring, kryptering, logning og backup
Underdatabehandlere	Kun med din godkendelse, og samme forpligtelser videre ned i kæden
Bistand ved de registreredes rettigheder	Hjælp, når en kunde beder om indsigt eller sletning
Bistand ved brud og konsekvensanalyser	Hjælp med anmeldelse af brud og vurderinger af risiko
Sletning eller tilbagelevering ved ophør	Hvad der sker med data og backups, når aftalen slutter
Oplysninger og revision	Du kan få dokumentation og lade aftalen kontrollere

Aftalen skal være skriftlig, men det kan være elektronisk. En standardaftale, du accepterer digitalt ved oprettelsen, er derfor fint, så længe indholdet dækker kravene, og du kan finde og gemme den.

3. Skabeloner: Datatilsynets og EU’s standardbestemmelser

Du behøver ikke opfinde aftalen selv. Datatilsynet har en skabelon til databehandleraftaler, og EU-Kommissionen har vedtaget standardkontraktbestemmelser mellem dataansvarlige og databehandlere (gennemførelsesafgørelse 2021/915). Begge er bygget til at opfylde artikel 28, og Datatilsynet har beskrevet, hvornår man kan bruge hvilken.

Mange hostingudbydere bruger deres egen standardaftale. Det er lovligt, men så skal du selv tjekke, at punkterne ovenfor er dækket. Sammenligner du med en af skabelonerne, ser du hurtigt, hvis noget mangler – fx exit-vilkår eller regler for underdatabehandlere.

4. De fem tjek hos din hostingudbyder

1. Findes aftalen – og gælder den DIG? Find den, gem en kopi, notér datoen og versionen. „Den ligger nok på deres site“ er ikke dokumentation.
2. Hvor ligger data – inklusive backup? Produktionsdata i EU er ikke nok, hvis backup replikeres andetsteds. Spørg konkret efter land; se også guiden om backup-geografi.
3. Underdatabehandlere: Er listen tilgængelig, og varsles ændringer, så du kan gøre indsigelse? Se guiden om subprocessorer.
4. Sikkerheden: Beskrives konkrete foranstaltninger – og findes der en revisorerklæring eller certificering? Se guiden om ISAE-erklæringer.
5. Exit: Hvad udleveres i hvilket format, og hvornår slettes alt – også backups? Uklare exit-vilkår er fremtidens lock-in.

5. Underdatabehandlere og dataplacering

Hostingfirmaets egne leverandører – datacenter, DNS, overvågning, supportsystem – er dine underdatabehandlere. GDPR kræver, at databehandleren kun bruger dem med din forudgående skriftlige godkendelse. Den kan være specifik (pr. leverandør) eller generel, men ved en generel godkendelse skal du varsles om ændringer og kunne gøre indsigelse.

Kæden er kun så stærk som det svageste led. En dansk udbyder på infrastruktur fra en amerikansk koncern giver en anden overførselsvurdering end en udbyder, hvis hele kæden ligger i EU/EØS. Det er her, „dansk hosting“ bliver konkret jura frem for markedsføring – hele spørgsmålet har sin egen hub: Datasuverænitet.

For de fleste mindre virksomheder er den praktiske regel: vælg leverandører, hvor dataplaceringen kan besvares i én sætning – inklusive land, backup og underleverandører.

6. Når noget går galt: brud på persondatasikkerheden

Databehandleraftalen bliver for alvor relevant ved et sikkerhedsbrud. Databehandleren skal underrette dig uden unødig forsinkelse, når den bliver opmærksom på et brud. Du som dataansvarlig skal som udgangspunkt anmelde bruddet til Datatilsynet inden for 72 timer, medmindre det er usandsynligt, at det indebærer en risiko for de registrerede.

Tjek derfor, hvordan aftalen beskriver underretningen: hvem kontaktes, hvordan, og hvilke oplysninger følger med? En underretning til en mailadresse, ingen læser, hjælper ikke. Sørg for, at kontaktoplysningerne hos udbyderen er aktuelle, og at mindst to personer hos dig modtager den slags beskeder. Læs også Hacket WordPress hjemmeside: hvad gør du?

7. I praksis: saml aftalerne ét sted

Opret én mappe med databehandleraftaler for hosting, mail, betaling, fragt, statistik og nyhedsbrev – med dato og version. Det er en overskuelig opgave, og det er præcis den dokumentation, en henvendelse fra en myndighed typisk starter med at bede om.

Opdatér mappen, når du skifter leverandør, og lad den nye leverandørs aftale være et VALGKRITERIUM, ikke en eftertanke. En udbyder, der ikke kan svare klart på de fem tjek, har svaret alligevel.

8. Efter underskriften: aftalen skal leve

En databehandleraftale er ikke et arkivdokument, men et løbende forhold. Tre små rutiner holder den levende:

• Tilmeld dig udbyderens varslinger om ændringer i underdatabehandlere – og tag stilling, når de kommer. Tavshed er også et valg.
• Gem den daterede aftale sammen med dine øvrige leverandørdokumenter, så den kan fremvises på fem minutter.
• Genlæs den kort, når dit eget setup ændrer sig. Nye datatyper, nye lande og nye integrationer kan ændre, hvad aftalen skal dække.

Brug også aftalen aktivt i din egen kæde. Er du selv leverandør (bureau, konsulent, SaaS), er din hosts databehandleraftale et af de dokumenter, DINE kunder vil se. Vid, hvad der står i den, før de spørger – så svarer du sikkert i stedet for at love noget, papiret ikke holder. Se også bureauets GDPR-ansvar.

Læs også

• Hub: Lovkrav til hjemmesider og webshops
• Subprocessorer: sådan læser du listen
• Revisorerklæringer (ISAE 3402/3000)
• Privatlivspolitik: punkt for punkt
• 10 spørgsmål om dataplacering til enhver leverandør
• Webhotel hos Hostious – dansk virksomhed, dansk support døgnet rundt og servere i Europa

Ofte stillede spørgsmål om databehandleraftaler

Er en databehandleraftale lovpligtig?

Ja – når nogen behandler persondata på dine vegne (hosting, mail, statistik), kræver GDPR en skriftlig aftale, der kan være elektronisk. Ansvaret for, at den findes, ligger hos dig som dataansvarlig.

Er mit hostingfirma altid databehandler?

Som hovedregel ja for dine sites data – databasen, filerne, logs og backups. For enkelte oplysninger kan udbyderen være selvstændigt dataansvarlig, fx de kundedata, den har om dig som kunde.

Hvad gør jeg, hvis leverandøren ikke har en databehandleraftale?

Bed om den skriftligt – og får du ikke et brugbart svar, så planlæg et skifte. En leverandør uden styr på databehandleraftaler har sjældent styr på resten af databeskyttelsen.

Må jeg bruge Datatilsynets skabelon?

Ja. Datatilsynet har en skabelon til databehandleraftaler, og EU-Kommissionen har standardkontraktbestemmelser til samme formål. Bruger udbyderen sin egen aftale, kan du sammenligne med skabelonen for at se, om noget mangler.

Hvor hurtigt skal hostingfirmaet fortælle mig om et sikkerhedsbrud?

Databehandleren skal underrette dig uden unødig forsinkelse. Du skal som udgangspunkt anmelde bruddet til Datatilsynet inden for 72 timer, så aftalen bør beskrive en hurtig og konkret underretning.