Kort svar: Ti spørgsmål afslører en it-leverandørs modenhed på dataområdet: Hvor ligger data, også backup? Hvem ejer jer? Hvem er jeres underleverandører? Har I en databehandleraftale? Hvilket overførselsgrundlag bruger I ved tredjelande? Hvilken dokumentation kan I vise? Hvordan får vi vores data ud? Hvad sker der ved ophør? Hvordan håndterer I brud? Og hvad dækker supporten, når det brænder? Send dem skriftligt, og vægt svarformen lige så højt som indholdet: klare svar i én sætning er i sig selv et kvalitetstegn.
Fagligt gennemgået: 2. oktober 2026
Arbejdet med datasuverænitet kan koges ned til én arbejdsgang: stil de rigtige spørgsmål, før du vælger leverandør, og gem svarene. Her er de ti spørgsmål som færdig tjekliste med forklaring af, hvordan et godt og et dårligt svar ser ud.
Brug listen ved nye indkøb, ved kontraktfornyelser og som årligt sundhedstjek af de leverandører, du allerede har. Den er ikke juridisk rådgivning, men et struktureret udgangspunkt, som du kan tage med til din jurist eller revisor, hvis svarene rejser tvivl.
De ti spørgsmål – og hvad svarene afslører
1. Hvor ligger vores data fysisk – både produktion og backup?
Et godt svar nævner land eller region i én sætning og skelner mellem den kørende løsning og sikkerhedskopierne. Et dårligt svar er „i skyen“ eller „hos en stor, sikker partner“. Backup glemmes ofte, selv om den indeholder præcis de samme data – læs mere i guiden til backup-geografi.
2. Hvem ejer jeres selskab, og hvilken jurisdiktion hører I under?
Dataplacering er kun halvdelen af historien. Ejes leverandøren af et selskab uden for EU, kan udenlandsk lovgivning række ind i data, selv om serverne står i Europa. Spørgsmålet afgør det, der beskrives i guiden til Cloud Act.
3. Hvem er jeres underleverandører på vores data?
Der skal findes en liste over underdatabehandlere og en fast procedure for, hvordan du får besked om ændringer. Kan leverandøren ikke udlevere listen, ved den reelt ikke selv, hvor dine data bevæger sig hen. Se, hvordan du læser listen, i guiden til subprocessorer.
4. Har I en databehandleraftale, vi kan læse nu?
Behandler leverandøren persondata på dine vegne, skal der være en databehandleraftale. Hos en moden leverandør er den et standarddokument, du kan få med det samme – ikke noget, der skal „bestilles hos juridisk“ og tager tre uger.
5. Hvis data forlader EU/EØS: på hvilket grundlag?
Overførsler til tredjelande kræver et overførselsgrundlag, typisk EU-USA-dataaftalen (DPF) eller standardkontraktbestemmelser (SCC). Leverandøren skal kunne navngive grundlaget for hver relevant underleverandør. Baggrunden står i guiden til EU-USA-dataaftalen.
6. Hvilken dokumentation kan I vise?
Det kan være en revisorerklæring, en certificering eller beskrevne og dokumenterede kontroller. Pointen er, at der findes noget på skrift. „Vi tager sikkerhed meget alvorligt“ er ikke dokumentation.
7. Hvordan får vi vores data ud – løbende og ved ophør?
Godt svar: selvbetjent eksport i standardformater som SQL, CSV, filarkiver eller mailbokse via IMAP. Dårligt svar: „det kan vi tilbyde som konsulentopgave“. Svaret er kernen i din exit-plan.
8. Hvad sker der med data ved opsigelse?
Du bør få et klart forløb: udlevering inden for en aftalt frist, derefter sletning med skriftlig bekræftelse – også af backups, når deres opbevaringsperiode udløber. Spørg, hvor længe backups lever efter ophør.
9. Hvordan håndterer og varsler I sikkerhedsbrud?
Som dataansvarlig skal du som udgangspunkt anmelde brud på persondatasikkerheden til Datatilsynet inden for 72 timer, efter du er blevet opmærksom på det. Databehandleren skal underrette dig uden unødig forsinkelse. Din frist afhænger altså af deres proces – spørg, hvem der kontakter hvem, og hvor hurtigt.
10. Hvad dækker supporten, når det brænder?
Kanal, sprog, åbningstid, svartid og pris. Test gerne supporten med et rigtigt teknisk spørgsmål, før du skriver under. Svaret siger mere om hverdagen end enhver salgspræsentation.
Gode svar og røde flag – overblikket
Tabellen samler, hvad du skal kigge efter. Et enkelt rødt flag er ikke nødvendigvis et farvel, men det skal noteres og følges op.
| Emne | Godt svar | Rødt flag |
|---|---|---|
| Placering | Land eller region for både drift og backup | „I skyen“, ingen skelnen mellem drift og backup |
| Ejerskab | Navngivet selskab og jurisdiktion | Uklart eller „det er ikke relevant“ |
| Underleverandører | Liste og varslingsprocedure | Ingen liste eller „kun på forespørgsel efter kontrakt“ |
| Databehandleraftale | Standarddokument, klar med det samme | Skal specialudarbejdes eller findes ikke |
| Tredjelande | Navngivet grundlag pr. underleverandør | „Vi overholder GDPR“ uden detaljer |
| Dokumentation | Erklæring, certificering eller beskrevne kontroller | Kun mundtlige forsikringer |
| Eksport | Selvbetjent i standardformater | Kun som betalt konsulentopgave |
| Ophør | Udlevering, sletning og bekræftelse | Intet beskrevet forløb |
| Brud | Beskrevet proces og varslingsfrist | „Det sker ikke hos os“ |
| Support | Kendt kanal, sprog og svartid | Kun formular uden svartid |
Sådan bruger du listen
Send de ti spørgsmål skriftligt. Skriftligheden gør svarene til dokumentation og sorterer useriøse leverandører fra af sig selv. Læg svarene i jeres compliance-mappe sammen med kortlægningen af leverandørkæden.
Vægtningen afhænger af datatypen. For kernedata – hosting, mail og kundedata – skal alle ti svar være på plads. For perifere værktøjer uden persondata rækker spørgsmål 1, 4 og 7. Genstil spørgsmål 1–3 årligt, fordi ejerskab og underleverandører ændrer sig, også uden at du får besked.
Bedøm også formen. En leverandør, der svarer klart, hurtigt og uden en sky af forbehold, viser præcis den driftskultur, du køber ind i.
Mailskabelon, du kan kopiere
Du behøver ikke et langt spørgeskema. En kort, venlig mail med de ti spørgsmål virker bedst og giver svar, du kan sammenligne:
Tip: „Som led i vores leverandørvurdering beder vi om korte, skriftlige svar på følgende ti spørgsmål. Ét–to sætninger pr. spørgsmål er rigeligt, og henvis gerne til eksisterende dokumenter. Vi vil gerne have svarene senest [dato].“ Indsæt derefter spørgsmålene fra listen ovenfor, nummereret, så svarene kan sammenlignes punkt for punkt.
Sæt en realistisk frist på en til to uger. En leverandør, der ikke kan svare på ti grundlæggende spørgsmål inden for den tid, har allerede givet dig et svar.
Svarene hos Hostious
Listen gælder også os. Det korte svar på de første spørgsmål: Hostious.io ApS er en dansk virksomhed med adresse i Nibe, hostingen kører på servere i Europa, WordPress- og WooCommerce-hosting har daglig og manuel backup med selvbetjent gendannelse, og du får dansk support døgnet rundt.
Til de øvrige punkter – databehandleraftale, underdatabehandlere, dokumentation, eksport, ophør og brudhåndtering – er vores råd det samme som til alle andre leverandører: stil spørgsmålene og få svarene på skrift. Du kan sende listen direkte via kontaktsiden. Se også, hvad forskellen på dansk og amerikansk hosting betyder i praksis, eller læs om webhotel og email hosting hos Hostious.
Sådan bruger du svarene bagefter
Spørgsmålene er kun halvdelen. Værdien ligger i, hvad du gør med svarene. Gem dem skriftligt – en mail, ikke et telefonnotat. Leverandørens svar om dataplacering og underdatabehandlere er dokumentation, du kan lægge direkte i din GDPR-mappe og holde op mod virkeligheden senere.
Saml svarene i én oversigt pr. leverandør, så du kan sammenligne på tværs, når kontrakter skal fornys. Vægt dem efter, hvad systemet rører: et værktøj uden persondata må gerne svare tyndt på spørgsmål 7, men jeres mail-, kunde- og økonomisystemer må ikke.
Får du undvigende svar fra en vigtig leverandør, er det ikke automatisk et farvel. Men det er en linje på undtagelseslisten med dato og begrundelse og et punkt til næste genforhandling. Sådan bliver ti spørgsmål til løbende leverandørstyring i stedet for en engangsøvelse.
Brug listen som selvtest
De ti spørgsmål fungerer også internt, før I selv bliver spurgt. Kan jeres virksomhed svare på alle ti om sine egne systemer? De huller, testen afslører, er præcis dem, en kommende storkunde, en revisor eller en offentlig ordregiver finder.
Det er markant billigere at lukke hullerne i ro og mag end under et udbud med frist. Lav derfor selvtesten én gang om året, gerne samtidig med at du genstiller spørgsmål 1–3 til leverandørerne. Så bliver leverandørlisten både jeres indkøbsværktøj og jeres eget kvalitetstjek.
Læs også
- Hub: Datasuverænitet
- Hvor ligger dine data egentlig? Kortlæg din leverandørkæde
- Leverandørskifte: exit-planen, du bør have, før du skriver under
- Databehandleraftale med dit hostingfirma: det skal du tjekke
- Webhotel hos Hostious – dansk virksomhed og dansk support, servere i Europa
Ofte stillede spørgsmål om leverandørvurdering
Skal jeg stille alle ti spørgsmål til alle leverandører?
Nej, vægt efter datatype. Stil alle ti til leverandører af kernedata som hosting, mail og kundedata. For perifere værktøjer uden persondata rækker spørgsmål 1, 4 og 7.
Hvad hvis leverandøren ikke svarer?
Intet svar er også et svar. På kernedata bør det være diskvalificerende. På perifere værktøjer er det et gult flag, som du noterer og tager op igen ved næste fornyelse.
Hvor ofte skal spørgsmålene genstilles?
Spørgsmål 1–3 om placering, ejerskab og underleverandører bør genstilles årligt. Resten kan vente til kontraktfornyelse eller væsentlige ændringer hos leverandøren, fx et opkøb.
Er det et problem, hvis leverandøren bruger en amerikansk underleverandør?
Ikke automatisk, men det kræver et gyldigt overførselsgrundlag som EU-USA-dataaftalen eller standardkontraktbestemmelser. Bed leverandøren navngive grundlaget, og vurdér, om data kan holdes i EU/EØS i stedet.
Udgivet 2. september 2026Opdateret 3. oktober 2026Fagligt gennemgået 2. oktober 2026