GDPR hosting i Danmark

Kort svar: GDPR stiller ikke krav om, at serveren står i Danmark. Kravene er, at persondata behandles sikkert, at data bliver i EU/EØS eller overføres på et gyldigt grundlag, at du har en databehandleraftale med din hostingudbyder, og at backup, adgangsstyring og sletning virker i praksis. Hosting løser infrastrukturen – formularer, cookies, plugins og brugerroller er stadig dit ansvar.

Fagligt gennemgået: 2. oktober 2026

Når du vælger hosting til en WordPress-side eller WooCommerce-shop med personoplysninger, er det ikke nok, at serveren er hurtig. Du skal også kunne dokumentere, hvor data ligger, hvem der behandler dem, og hvordan de beskyttes. Det gælder backup, sikker dataoverførsel, beskyttelse mod angreb og hurtig hjælp, når noget skal afklares.

“GDPR hosting i Danmark” bliver ofte brugt som et salgsord. I denne guide får du det, der faktisk står i forordningen om hosting, hvad du skal kræve af din udbyder – og hvad du selv har ansvar for, uanset hvor siden ligger.

Hvad kræver GDPR egentlig af din hosting?

GDPR nævner ikke webhoteller direkte, men flere artikler rammer hostingen meget konkret. Din hostingudbyder opbevarer og behandler persondata på dine vegne, og det gør udbyderen til databehandler, mens du er dataansvarlig.

Det betyder i praksis:

• Databehandleraftale (artikel 28): Der skal være en skriftlig aftale, der beskriver, hvad udbyderen må gøre med data, hvilke sikkerhedsforanstaltninger der gælder, og hvilke underdatabehandlere der bruges.
• Passende sikkerhed (artikel 32): Data skal beskyttes med tiltag, der passer til risikoen – fx kryptering i transit, adgangsstyring, backup og evnen til at gendanne data i tide.
• Brud på persondatasikkerheden (artikel 33): Et brud skal som udgangspunkt anmeldes til Datatilsynet inden for 72 timer. Udbyderen skal give dig besked uden unødig forsinkelse, hvis bruddet sker hos dem.
• Overførsler til tredjelande (kapitel V): Ligger data eller backups uden for EU/EØS, skal der være et gyldigt overførselsgrundlag, fx en afgørelse om tilstrækkeligt beskyttelsesniveau eller standardkontraktbestemmelser.

Ingen af kravene siger, at serveren skal stå i Danmark. EU/EØS er nok, så længe resten af kæden også er i orden.

Hvorfor persondata på hjemmesiden gør hostingen vigtig

Næsten alle virksomhedssider behandler persondata. Det er ikke kun webshops med ordrer og adresser. En kontaktformular, et nyhedsbrevsfelt, et login til kundeområdet eller en jobansøgning er nok til, at der ligger personoplysninger i databasen.

Hosting er relevant, fordi den bestemmer:

• hvor databasen og filerne fysisk står
• hvor backups bliver opbevaret, og hvor længe
• hvem hos udbyderen der har teknisk adgang
• hvilke logfiler der gemmes, fx IP-adresser i adgangslogs
• hvor hurtigt du kan gendanne data efter et angreb eller en fejl

Det er især vigtigt, hvis din side håndterer kundeoplysninger, ordredata eller e-mailkommunikation, hvor stabil drift og sikker behandling ikke må blive et svagt led.

Databehandleraftale og underdatabehandlere

Databehandleraftalen er det dokument, Datatilsynet typisk spørger efter først. Den skal ligge klar, før du lægger persondata hos en udbyder – ikke når et tilsyn eller en kunde beder om den. Læs mere om, hvad den skal indeholde, i guiden til databehandleraftale med dit hostingfirma.

Kig især efter listen over underdatabehandlere. Det er de leverandører, din host selv bruger – fx datacenter, backup-lager, e-mailtjenester eller supportsystemer. Hvis en af dem ligger uden for EU, gælder reglerne om tredjelandsoverførsler også for dig. Se, hvordan du læser listen, i guiden om subprocessorer.

Backup, logning og sletning er en del af GDPR

Backup er både et sikkerhedskrav og en GDPR-udfordring. Du skal kunne gendanne data efter et uheld, men backups indeholder også persondata og skal derfor beskyttes og have en udløbsdato.

• Placering: Backups skal ligge samme sted som de øvrige data eller på et gyldigt overførselsgrundlag. Læs mere om backup-geografi.
• Opbevaringstid: En fast rotation sikrer, at slettede kundedata også forsvinder fra backuppen efter en periode.
• Test: En backup, der aldrig er gendannet, er ikke dokumentation for, at du kan gendanne data.
• Logning: Adgangs- og fejllogs indeholder typisk IP-adresser. De er nyttige til fejlsøgning og sikkerhed, men bør ikke gemmes længere end nødvendigt.

Sletning er den del, der oftest bliver glemt. Gamle ordrer, formularindsendelser og inaktive brugerkonti bør ryddes op efter en fast politik. Jo færre data der ligger, jo mindre kan der lække.

Det løser hostingen – og det gør den ikke

En god hostingløsning gør infrastrukturen mere sikker og driften mere robust. Men du har fortsat ansvar for blandt andet indholdet på siden, brugerrettigheder, formularopsætning, cookies, slettepolitik og de plugins eller integrationer, du selv vælger at bruge.

Område	Hostingudbyderen	Dig som sideejer
Serverdrift og opdatering af serversoftware	Ja	Nej
Placering af servere og backups	Ja	Vælger udbyderen
Databehandleraftale	Stiller den til rådighed	Indgår og opbevarer den
WordPress, plugins og tema opdateret	Afhænger af aftalen	Ja
Formularer, cookies og samtykke	Nej	Ja
Brugerroller og adgangskoder	Nej	Ja
Sletning af gamle kundedata	Nej	Ja
Tredjepartsscripts og integrationer	Nej	Ja

Især integrationer bliver overset. Nyhedsbrevsværktøjer, chat, analyse og fragtmoduler kan sende data ud af EU, selv om selve hostingen ligger i Europa. Kortlæg kæden med guiden hvor ligger dine data egentlig?

Skal hostingen være dansk for at være GDPR-korrekt?

Nej. GDPR gælder i hele EU/EØS, og en server i Tyskland eller Holland er lige så lovlig som en dansk. Det, der betyder noget, er, om udbyderen og dens underleverandører er underlagt lovgivning, der kan give myndigheder uden for EU adgang til data.

Her spiller ejerskab en rolle. En amerikansk ejet udbyder kan være omfattet af amerikansk lovgivning, selv om serveren står i Europa. Læs mere om Cloud Act og den reelle forskel på dansk eller amerikansk hosting.

En dansk udbyder har andre fordele: support på dansk, aftaler efter dansk ret og en kontakt, der kender danske krav til dokumentation. Det gør det lettere at få svar, når en kunde eller revisor spørger.

Tjekliste: sådan vurderer du en GDPR-venlig hostingudbyder

1. Kan du få en databehandleraftale, før du flytter data?
2. Står der præcist, i hvilke lande servere og backups ligger?
3. Er listen over underdatabehandlere tilgængelig, og får du besked ved ændringer?
4. Er udbyderen ejet af et selskab uden for EU, som kan være omfattet af fremmed lovgivning?
5. Får du gratis SSL, så data krypteres mellem besøgende og server?
6. Tages der automatisk backup, og kan du selv gendanne?
7. Hvordan og hvor hurtigt bliver du orienteret ved et sikkerhedsbrud?
8. Kan du få hjælp på dansk, når noget skal dokumenteres eller afklares?

Har din virksomhed særlige indkøbskrav til dataplacering, underdatabehandlere eller dokumentation til intern compliance, bør det afklares tidligt i dialogen med udbyderen.

GDPR hosting hos Hostious

Hostious er en dansk virksomhed med dansk support døgnet rundt og servere i Europa. WordPress hosting og WooCommerce hosting kører på LiteSpeed og NVMe med daglig og manuel backup, selvbetjent gendannelse og gratis SSL fra Let’s Encrypt. Fra WP StartUp og Woo StartUp får du staging, så opdateringer kan testes uden at røre live-data.

Skal du flytte en eksisterende side, er migreringen gratis. Har du spørgsmål om databehandleraftale eller dokumentation, så kontakt os, før du flytter – så er papirerne på plads fra første dag.

Læs også

• Hub: Datasuverænitet – alle guides om dataplacering og GDPR samlet ét sted
• Databehandleraftale med dit hostingfirma: det skal du tjekke
• Hvor ligger dine data egentlig? Kortlæg din leverandørkæde
• Kundedata i WooCommerce: sletning, indsigt og eksport efter GDPR
• WordPress hosting hos Hostious – servere i Europa, daglig backup og dansk support

Ofte stillede spørgsmål om GDPR og hosting

Hvad kræver GDPR af min hosting?

At persondata behandles sikkert og inden for EU/EØS eller på gyldigt overførselsgrundlag, at der findes en databehandleraftale, og at backup, adgangsstyring og sletning fungerer i praksis – ikke kun på papir.

Skal serveren stå i Danmark for at være GDPR-korrekt?

Nej, EU/EØS er nok. Det vigtigste er, at både servere, backups og underdatabehandlere er på plads, og at udbyderen ikke er underlagt lovgivning, der giver myndigheder uden for EU adgang til data.

Hvad er en databehandleraftale, og har jeg brug for den?

Ja, hvis din side behandler persondata – og det gør selv en kontaktformular. Aftalen fastlægger, hvordan hostingudbyderen må behandle data på dine vegne, og den skal ligge klar, før tilsynet spørger.

Kan plugins sende data ud af EU, selv om hostingen ligger i Europa?

Ja. Nyhedsbrevsværktøjer, chat, analyse, fonte fra eksterne CDN’er og fragtmoduler kan sende persondata til leverandører uden for EU. Gennemgå derfor dine integrationer og deres databehandleraftaler, ikke kun hostingen.