GDPR-hosting i EU hjælper virksomheder med at følge reglerne, men hosting gør ikke i sig selv en virksomhed compliant. Ansvaret ligger hos virksomheden, den dataansvarlige, som skal indføre passende tekniske og organisatoriske foranstaltninger. Webhotellet er typisk databehandler og behandler persondata for virksomheden, for eksempel via kontaktformularer.
Serverplacering i EU gør arbejdet lettere. Det reducerer behovet for komplekse vurderinger ved overførsel af data til tredjelande. Visse tjenester som CDN og e-mail kan alligevel trække på udenlandske underdatabehandlere, så der kræves ekstra opmærksomhed. En gyldig databehandleraftale mellem parterne er afgørende, sammen med tydelig dokumentation for sikkerhedstiltag som kryptering under transmission og faste backups.
Teknologi er kun en del af opgaven. Validering af underdatabehandlere og begrænsning af de personoplysninger, der indsamles på websitet, styrker grundlaget for compliance. Artiklen gennemgår fem udbydere med fokus på brug af EU-servere, tilgængelige DPA’er og praktiske forhold, som især er relevante for små virksomheder.
Kravene du bør tjekke for GDPR‑understøttende hosting
En databehandleraftale skal være nem at finde. Den skal kunne downloades eller sendes ved bestilling. Aftalen skal dække alle underdatabehandlere, så ansvaret er klart.
Placér servere i EU, og få præcis placering oplyst. Ikke vage formuleringer. Kend by, land og datacenterudbyder, for eksempel Amsterdam, København eller Frankfurt.
Bruger udbyderen tjenester uden for EU, så få det på skrift. Bed om en liste over CDN, e-mail og supportværktøjer med deres datalokationer. Fuld gennemsigtighed gør det lettere at vurdere risiko.
Sikkerheden skal være stram. To-faktor-autentificering på kontrolpanel, SSH og FTP. TLS-certifikater som Let’s Encrypt. DDoS-beskyttelse som standard. Mulighed for automatiske backups med tydelig opbevaringsperiode, typisk 7 – 30 dage.
Bed om kryptering af data i hvile. Det kan være disk-kryptering i datacentret eller kryptering på VM-niveau. Antag ikke noget.
Adgang skal styres stramt. Separate brugerkonti til udviklere, API-nøgler med afgrænset scope og udløb, og detaljerede revisionslogs over ændringer.
Sørg for nem dataeksport i standardformater. SQL-databaser, mbox for mail og tar/zip-filer uden ekstra gebyrer. Det giver frihed ved skift af leverandør.
Krav til gennemsigtighed gælder også drift. En offentlig sikkerhedsside og en status-side med hændelseshistorik er vigtige. Der skal stå tydelige kontaktveje ved databrud, faste svartider og klare procedurer.
Hvorfor serverplacering i EU stadig gør en forskel
Servere i EU betyder, at data hører under EU-regler og tilsyn. Det gør compliance mere overskueligt, fordi kravene er klare og ens i hele unionen. Står serverne i Amsterdam, Frankfurt eller København, følger leverandører ofte standarder som ISO 27001 og SOC 2. Det giver ro og et fast sikkerhedsniveau.
Hosting uden for EU gør alt mere komplekst. Virksomheden skal have et lovligt overførselsgrundlag som standardkontraktbestemmelser (SCC’er) og lave en konkret vurdering af risiko ved overførsel, en transfer impact assessment (TIA). Små virksomheder springer ofte trin over, men mangler her kan føre til brud på reglerne.
Support og overvågning kan ske fra lande uden for EU, selv når serverne står i EU. Udbyderen bør dokumentere adgangskontroller og beskrive, hvordan persondata beskyttes ved fjernsupport. Pseudonymisering og stram, tidsbegrænset adgang reducerer risikoen.
CDN og DNS sender ofte trafik ud af Europa uanset placering af hovedserver. EU-baserede POPs eller routing, der forbliver i Europa, holder data tættere på hjemmemarkedet og mindsker eksponering.
E-mailinfrastruktur ligger tit et andet sted end webserveren. Bekræft placeringen, så lagring uden for EU ikke kommer som en overraskelse.
Backup og logdata krydser let grænser uden tydelig information. Bed om dokumentation for, at backups opbevares i EU og ikke replikeres til tredjelande.
Tredjeparts scripts til chat eller analyse sender data til eksterne udbydere og underminerer fordelen ved EU-hosting. Lokale alternativer eller skarpe databehandleraftaler giver bedre kontrol over persondata end ekstern hosting.
Amsterdam, Frankfurt og København er stærke knudepunkter med lav latenstid, høj sikkerhed og stabil drift. De anbefales ofte til GDPR-venlig webhosting med lagring inden for EU.
Hvad en databehandleraftale bør indeholde, og hvor du finder den
En databehandleraftale for hostingudbydere beskriver formålet med behandlingen, varighed og hvilke datatyper der indgår. Eksempler er IP-adresser og oplysninger fra kontaktformularer. Den forklarer også, hvem de registrerede er, typisk kunder eller besøgende, samt hvilke konkrete aktiviteter udbyderen udfører med persondata.
Sikkerhed er et kernepunkt. Aftalen forklarer, hvilke tekniske og organisatoriske tiltag der beskytter data, som adgangskontrol, kryptering ved lagring og i transit, faste backup-rutiner og logning af ændringer og tilgange.
Underdatabehandlere fremgår ved navn eller som kategorier. Hostingfirmaet indhenter kundens godkendelse til brug af disse tredjeparter og informerer ved ændringer i listen.
Når samarbejdet slutter, angiver aftalen, hvordan data slettes eller leveres tilbage, frister for opgaven og håndtering af backupkopier efter opsigelse.
Ved brud på datasikkerheden indeholder aftalen tydelige retningslinjer for incident-processen. Udbyderen underretter kunden uden unødig forsinkelse gennem aftalte kontaktveje og deler relevante detaljer om hændelsen.
Revision foregår ofte via dokumentation som SOC- eller ISO-erklæringer og sikkerhedsspørgeskemaer frem for fysiske audits i delte miljøer. Kunden får indsigt i sikkerhedsforanstaltninger gennem disse rapporter.
Internationale overførsler dækkes normalt af standardkontraktbestemmelser (SCC’er). Aftalen beskriver også håndtering af myndighedsanmodninger uden for EU, i det omfang lovgivningen tillader det.
Aftaler ligger som regel tilgængelige i kundeportaler under juridiske sektioner eller sammen med ordrebekræftelser. Hvis de ikke er synlige, hjælper support med direkte links eller forklarer signeringsprocessen.
Essentielle elementer i en databehandleraftale:
- Formål, varighed og typer af behandlede data
- Sikkerhedsforanstaltninger: adgangskontrol, kryptering, backup og logning
- Underdatabehandlere: navngivet/godkendt liste og informationspligt ved ændring
- Regler for sletning/tilbagelevering ved ophør, inklusiv backuphåndtering
- Incident-håndtering: hurtig underretning og kontaktveje ved brud
- Revisionstilgang: SOC/ISO-dokumentation frem for fysisk audit på delte miljøer
- Internationale overførsler: SCC-referencer og info om myndighedsanmodninger
Top 5 hostingfirmaer der understøtter GDPR, metode og overblik
Valg af GDPR-venlig hosting handler om mere end EU-baserede servere. Der skal være tydelighed i databehandleraftaler, åbne lister over underdatabehandlere og stærke sikkerhedsforanstaltninger. Hurtige svartider og stabil drift betyder meget for små virksomheder. Support i europæiske tidsrum gør fejlretning lettere.
Udvalget rummer one.com, simply.com, Hostinger med valgbart EU-datacenter, Namecheap med samme mulighed og Dandomain. Kriterierne bag udvælgelsen er:
- Serverplacering i EU
- Nem adgang til databehandleraftale
- Åbne oplysninger om underdatabehandlere
- Sikkerhed som kryptering og adgangskontrol
- Performance målt på TTFB, oppetid og aktuelle PHP-versioner
- Klare priser uden skjulte gebyrer eller affiliate-fokus
- Support i danske eller europæiske tidszoner
Vurderingen bygger på offentligt tilgængelige kilder hos hver udbyder samt praktiske tests af bestillingsflowet. Fokus lå især på, om valg af datacenter tilbydes ved køb eller via kundeservice. Amsterdam, danske og øvrige europæiske datacentre vægtes højt, da placeringen påvirker både hastighed og lovmæssig tryghed.
Teksten giver ikke en juridisk konklusion om compliance, men vurderer om rammerne hos udbyderen gør det realistisk for virksomheder at efterleve GDPR i praksis.
1. One.com som EU‑baseret og brugervenligt valg med tydelig DPA
-ne.com er en EU-forankret host, som passer godt til danske små virksomheder med behov for en enkel opsætning. Datacentrene ligger i Europa, så webhosting, mail og backup bliver i EU. Det gør overholdelse af GDPR lettere i praksis. Placeringen af servere kan bekræftes ved bestilling eller via support, så der er klarhed om by og datacenter.
Udbyderen stiller en standard databehandleraftale (DPA) til rådighed. Den ligger typisk i kontrolpanelet under juridiske dokumenter. Aftalen indgås uden gebyr, så compliance ikke drukner i administration. Kontrolpanelet er let at finde rundt i, og der er to-faktor-autentificering samt Let’s Encrypt-certifikater. Begge dele styrker adgangskontrol og krypteret dataoverførsel.
Daglige, automatiske backups giver løbende kopier med typisk opbevaring i 7 – 14 dage eller mere. Det giver tryghed, og retention-perioden er let at dokumentere i fortegnelsen over behandlingsaktiviteter. Hostingmiljøet kører på opdaterede PHP-versioner og understøtter HTTP/2 og HTTP/3. Det løfter ydeevnen og mindsker eksponering for kendte sårbarheder.
Der er klare procedurer for incident-håndtering, som beskrives på statussiden og i hjælpecentret. Her står der information om svartider og kontaktveje ved brud eller driftsproblemer. Det gør det muligt at dokumentere sikkerhedsarbejdet over for tilsyn og kunder.
Sikkerhed omfatter:
- To-faktor-autentificering (2FA)
- TLS-kryptering via Let’s Encrypt
- Automatiske daglige backups
- Opdaterede PHP-versioner og moderne protokoller
Samlet set leverer one.com solid værdi for pengene med en tydelig EU-forankring og brugbar dokumentation for GDPR-overholdelse. For virksomheder med behov for GDPR-venlig hosting uden kompliceret opsætning eller skjulte gebyrer fremstår one.com som et sikkert standardvalg.
2. Simply.com som dansk valg med EU‑datacentre og klare GDPR‑rammer
Simply.com er en dansk webhost, som tager GDPR og lokal forankring seriøst. Kunder får klare svar om dataplacering og navne på underdatabehandlere, så ansvaret er tydeligt. Det skaber ro, når persondata ikke flyder rundt uden overblik.
Aftalen om databehandling underskrives digitalt og dækker både web og mail. Mindre papirarbejde, hurtigere efterlevelse. Vedrørende placering oplyses præcis lokation som Amsterdam, Frankfurt eller København, og virksomheder får mulighed for at vælge eller få nøjagtige detaljer for deres løsning.
Sikkerheden er stram med to-faktor, SSH-nøgler og gratis TLS-certifikater. Backup kører fast efter plan, og dokumentation for frekvens og gendannelse er let at følge. Ingen gætterier, selv når noget går galt.
Supporten er på dansk i normale åbningstider, hvilket gør fejlretning og spørgsmål om adgangsrettigheder lettere. Lokal hjælp giver ofte mere ro end skifteholdscentre i udlandet.
Ydelsen er stabil med lave TTFB-tider og høj oppetid. Moderne PHP-versioner er på plads, og caching fås via opgraderinger. Hurtige sider uden spildtid.
En offentlig statusside giver aktuel driftsinfo, som hjælper med dokumentation i DPIA’er og fortegnelser over behandlingsaktiviteter. Den gennemsigtighed løfter compliance-arbejdet.
Samlet set er simply.com et solidt valg blandt danske udbydere med fokus på GDPR. Tydelige rammer, lokal support og stærke tekniske løsninger passer godt til små og mellemstore websites, hvor databeskyttelse vægter højt.
3.Hostinger og 4. Namecheap kan bruges med aktivt valg af EU‑server i Amsterdam
Hostinger og Namecheap kan bruges i en GDPR-kontekst, hvis brugeren selv vælger et EU-datacenter ved bestilling, typisk Amsterdam, eller flytter til EU bagefter. Det sker ikke af sig selv, så uden bevidst valg ender hosting let uden for EU.
Placeringen af mail, backups og logdata skal kontrolleres i praksis. Begge udbydere giver bekræftelse via kontrolpanel eller support. En databehandleraftale ligger i deres juridiske sektion, og nogle kræver særskilt accept af standardkontraktbestemmelser (SCC’er) ved tredjelands-support eller CDN.
Standardopsætningen hos begge udbydere aktiverer ofte CDN, WAF eller analyseværktøjer uden for EU. Det giver risiko for overførsel til tredjelande. Slå dem fra, eller vælg varianter med kun europæiske POPs, når valget findes.
Supporten kører globalt, hvilket stiller krav til adgangsstyring. Spørg til om medarbejdere uden for EU får adgang til persondata, og om data i supportsager er pseudonymiseret eller anonymiseret. Svarene viser om beskyttelsesniveauet er højt nok.
Amsterdam giver typisk lav latenstid og stabil drift for nordiske brugere. Test alligevel svartider fra målgruppen med værktøjer som Pingdom eller RIPE Atlas. Netværksruter og lokal infrastruktur påvirker oplevet hastighed markant.
Dokumentation er nøglen i compliance-arbejdet. Gem skærmbilleder af valgte datacentre, noter aftale-ID’er for DPA’er, og før en ajourført liste over underdatabehandlere. Læg materialet i GDPR-mappen som bevis ved audits.
Risici ved standardindstillinger:
- Automatisk aktiverede CDN/WAF/analytics uden for EU
- Supportadgang fra tredjelande uden klar pseudonymisering
- Manglende kontrol af dataplacering efter ændringer
- Overset krav om særskilt accept af SCC’er
Hostinger og Namecheap opfylder de tekniske krav, men sætter brugeren i førersædet. Aktivt valg af EU-lokation og løbende kontrol er nødvendigt for at undgå utilsigtede overførsler til tredjelande.
5. Dandomain er anvendelig men med lavere performance i vores test
Dandomain er en dansk hostingudbyder med tydelig EU-tilknytning, som giver virksomheder lokal support og klare databehandleraftaler. Dansk kundeservice gør det let at få styr på dokumentationen og tage en direkte snak om GDPR-spørgsmål. Små virksomheder værdsætter ofte den korte vej til svar.
Ydelsen halter dog lidt efter konkurrenter i samme prisleje, for eksempel one.com og simply.com. TTFB ligger højere, og ressourcegrænser rammer hurtigere, især ved krævende websites eller webshops. Hastighed bliver derfor et reelt valgparameter for en del brugere.
Dandomain tilbyder moderne PHP-versioner og cache, men de billigste pakker har begrænsninger. Fuld udnyttelse kræver typisk en opgradering, og prisen stiger, mens andre udbydere inkluderer flere funktioner fra start.
Backupsystemet er ok med gendannelse. Tjek hvor længe kopier gemmes, og hvor hurtigt data kan hentes tilbage. Webshops bør lægge vægt på kort restore-tid, da nedetid koster penge.
Sikkerheden dækker basisbehov som to-faktor og gratis TLS fra Let’s Encrypt. Kunder bør gennemgå logningsniveau og adgangsstyring ved flere brugere for at sikre tilstrækkelig kontrol over persondata.
Databehandleraftalen ligger nemt tilgængelig med klare oplysninger om underdatabehandlere. Bekræft også om internationale værktøjer eller tredjepartsservices indgår i support eller arbejdsgange for fuldt overblik.
Samlet set fremstår Dandomain som et juridisk brugbart valg inden for EU’s GDPR-krav via lokal placering og ordnede aftaler. Hvis hastighed og rå teknisk kapacitet vejer tungere, leverer andre udbydere typisk højere ydelse til nogenlunde samme pris.
Sådan vælger du en GDPR‑venlig host trin for trin
At vælge hosting med fokus på GDPR kræver konkrete skridt, som gør arbejdet med persondata overskueligt og dokumenterbart. Guiden her giver praktiske trin baseret på artiklens vigtigste pointer. Ingen juridiske løfter, kun handling.
- Kortlæg præcist hvilke persondata websitet behandler: kontaktformularer, cookies, logfiler og e-mail. Skriv datatyper og formål ned.
- Vælg en udbyder med servere i EU og en tydelig databehandleraftale (DPA). Gem link, version og dato for accept i fortegnelsen over behandling.
- Vælg den konkrete EU-lokation under bestilling, fx Amsterdam, København eller Frankfurt. Tag skærmbilleder som bevis.
- Gennemgå underdatabehandlere nøje. Fravælg unødvendige tredjepartstjenester, eller find EU-hostede alternativer.
- Aktivér to-faktor (2FA) i kontrolpanelet, opret separate brugerkonti eller API-nøgler med begrænset adgang, brug gratis TLS-certifikater, og slå automatiske backups til.
- Vælg privatlivsvenlige værktøjer, fx analytics hostet i EU og lokale webfonts. Vis kun cookie-banner hvis det kræves af funktionalitet eller lovgivning.
- Ved overførsel til tredjelande, fx ved global support, lav en kort transfer impact assessment (TIA). Gem standardkontraktbestemmelser (SCC’er) og udbyderens sikkerhedsforanstaltninger.
- Planlæg vedligeholdelse løbende. Tjek DPA’er og underdatabehandlere årligt, test gendannelse af backups jævnligt, og opdatér privatlivspolitikken når forhold ændrer sig.
Saml al dokumentation ét sted. Det gør revisioner og efterfølgende spørgsmål langt lettere. Revurdér valg med faste intervaller, især når leverandører ændrer vilkår eller teknik, så bliver styringen af GDPR-krav mere kontrolleret uden ekstra bøvl.
Skriv et svar