Mange europæiske tjenester lejer deres servere hos en af de store amerikanske cloududbydere. Ejerleddet er stadig europæisk. Hostingleddet har en anden ejer, og det skal stå for sig i jeres vurdering.
Det er sjældent skjult. Det står som regel i listen over underleverandører eller underdatabehandlere, som de fleste tjenester offentliggør. Opgaven er at læse listen rigtigt og skrive ejer og hosting op hver for sig, så I kan se, hvad I faktisk vælger imellem.
Hvorfor det er så almindeligt
En stor cloud giver en lille eller mellemstor softwarevirksomhed datacentre i flere lande, backup, sikkerhed og kapacitet, som den ellers skulle bygge selv. Det er et forretningsvalg, og det siger intet om produktets kvalitet. For jer betyder det blot, at to led, der ofte bliver blandet sammen, kan pege i hver sin retning.
Sådan læser I underleverandørlisten
Listen hedder forskelligt fra tjeneste til tjeneste: underdatabehandlere, underleverandører eller tredjeparter. Den findes typisk i et bilag til databehandleraftalen eller på en side om sikkerhed.
For hver linje noterer I tre ting:
Formålet. Hvad gør underleverandøren? Hoster den selve applikationen og databasen, backup, mailafsendelse, support, overvågning, betaling eller en AI-funktion? Det er stor forskel på, om en udenlandsk underleverandør har jeres database eller sender en kvittering.
Lokationen. Hvilket land eller hvilken region står der? Står der Irland, Tyskland eller Holland, ved I, hvor data ligger. Står der blot EU eller slet ingenting, så spørg leverandøren direkte.
Ejeren af underleverandøren. Navnet på et irsk eller luxembourgsk datterselskab fortæller, hvor kontraktparten for hostingen er. Det fortæller ikke, hvor koncernen bag har hjemme. Det led slår I op for sig.
Læs også, om listen nævner, at underleverandører kan være andre selskaber i koncernen, eller at de kan ligge uden for EU og EØS. Det står ofte i en generel sætning over selve tabellen.
Hvad det ændrer for jurisdiktionen
Jurisdiktion er spørgsmålet om, hvilket lands love og myndigheder der kan stille krav til et selskab eller en server. Når ejeren er europæisk og hostingen ligger hos et selskab med en ejer uden for Europa, er der to selskaber, der kan modtage et krav. Det er ikke et juridisk svar, og hvordan reglerne virker i praksis, forklares på digital-suveraenitet.dk om leverandørkæden. Her er pointen enklere: det er to led, og de noteres hver for sig.
For cloudtjenester skal udbyderen efter Data Act (dataforordningen) art. 28 offentliggøre, hvilken stats lovgivning infrastrukturen falder ind under, og beskrive sine tiltag mod, at fremmede stater får fat i data uden for persondataområdet. Det er udbyderens egen oplysning. Brug den som udgangspunkt for jeres spørgsmål, og kontrollér den mod underleverandørlisten.
Spørgsmål til leverandøren
- Hvilken underleverandør hoster selve applikationen og databasen, og i hvilken region?
- Hvor ligger backup, og kan placeringen vælges?
- Hvorfra kommer support, og har supporten adgang til data?
- Hvordan og hvor tidligt varsles en ny underleverandør?
- Har I overvejet at flytte hostingen, og hvad ville det kræve?
Svarene skriver I ind i samme ark som resten af målestokken. Kan et svar ikke gives, noteres det som ukendt.
Når alternativet er ét led bedre
Et skifte fra en amerikansk tjeneste til en europæisk, der kører på samme amerikanske cloud, flytter ejer og kontraktpart. Det flytter ikke hostingens ejer. For nogle er det nok, fordi kravet fra en kunde eller fra ledelsen handler om netop kontraktparten. For andre løser det ikke det, de ville løse. Afklar det, før I bruger tid på en pilot.
Tænkt eksempel
En tænkt rådgivningsvirksomhed vil væk fra en amerikansk løsning til projektstyring. Den finder et europæisk produkt med et selskab i Frankrig som kontraktpart. Underleverandørlisten viser, at applikationen hostes i Frankfurt hos en amerikansk cloud, at backup ligger i samme region, og at support kommer fra Frankrig. Virksomheden skriver to led op som europæiske og hostingens ejer som amerikansk. Ledelsen beslutter, at det er godt nok for projektdata, og at kundernes kontrakter skal ligge et andet sted. Eksemplet er tænkt.
Hvad det kræver, og hvad det koster at lade være
At gennemgå underleverandørlisten for én tjeneste tager en til to timer. Det kræver, at nogen kan skelne hosting fra mailafsendelse og support, og at spørgsmålene sendes, mens I stadig er i valget.
Springer I listen over, kan I ende med at betale for et skifte, der flytter ejeren og efterlader hostingen, hvor den var. Det koster en ny runde senere, med nye brugere at lære op og nye data at flytte.
Det skal I lade være med
- At læse et europæisk navn som europæisk hosting · navnet siger noget om ejeren, listen siger noget om serverne.
- At sidestille alle linjer i listen · applikation og database vejer tungere end en tjeneste, der sender kvitteringer.
- At afvise et produkt alene på hostingens ejer · først når I ved, hvilke led der betyder noget for jer, kan I vurdere det.
Det skal valget kunne vise
- ☐ Ejer og hostingens ejer, noteret hver for sig.
- ☐ Formål og lokation for de vigtigste underleverandører.
- ☐ Hvor backup og support ligger.
- ☐ Hvordan ændringer i underleverandører varsles.
Kilder
- Forordning (EU) 2023/2854 (Data Act): art. 28.
Senest gennemgået: november 2026.
Næste skridt
Find underleverandørlisten for den tjeneste, I bruger mest i dag, og marker den linje, der hoster applikationen og databasen.
Læs også: Samme produkt, tre leverandører · Schweiz, Storbritannien og Norge
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
