Fem spørgsmål der afgør hvor europæisk en tjeneste er

Modul 2: Hvad er en europæisk cloud egentlig? · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du med fem spørgsmål fastslå, hvilken lovgivning en skytjeneste hører under, og forklare hvorfor et datacenter i Europa ikke er nok til det.

Kernebegreber: hjemsted (vedtægtsmæssigt sæde), ultimativ ejer, datacenterlokation, underdatabehandler, fjernadgang, nøglestyring, EU, EØS, afgørelse om tilstrækkeligt beskyttelsesniveau, "sovereign cloud"

"Vores data ligger i Europa." Og hvad så?

Næsten enhver stor skytjeneste siger det i dag: dine data ligger i et datacenter i Frankfurt, Amsterdam eller Dublin. Det lyder betryggende, men det besvarer kun ét af de spørgsmål, der har betydning. I modul 1 så du, at den amerikanske CLOUD Act ikke ser på serverens placering, men på hvilket selskab der har dataene i sin besiddelse, forvaring eller under sin kontrol ("possession, custody, or control"). En server i Frankfurt, der tilhører et selskab, som i sidste ende er amerikansk, kan derfor alligevel være omfattet af et amerikansk pålæg.

Derfor skal du ikke kun se på ét kendetegn, men på fem. Bakkerij De Korrel fra vores eksempel (12 medarbejdere, domænet example.com) bruger i dag en amerikansk kontorpakke og vil gerne vide, hvilke alternativer der reelt er europæiske. Med disse fem spørgsmål skiller bageriet markedsføringen fra fakta.

Spørgsmål 1: hvor har selskabet sit hjemsted?

Hjemstedet er det land, hvor det selskab, der underskriver din kontrakt, juridisk er registreret: det vedtægtsmæssige sæde. Det land bestemmer, hvilken lovgivning der i første omgang gælder for selskabet, hvilken domstol der har kompetence, og hvilket tilsyn der fører kontrol.

Se ikke efter dette på hjemmesiden, men hos den kontraherende part: navnet nederst i forretningsbetingelserne, i databehandleraftalen og på fakturaen. Står der "Example Cloud Ireland Ltd.", er din kontraktpart irsk, selv om mærket er amerikansk. Det er en god start, men endnu ikke et svar. Dertil har du brug for spørgsmål 2.

Spørgsmål 2: hvem er den ultimative ejer?

Den ultimative ejer er det selskab eller den person, der står øverst i kæden af aktionærer. Et europæisk datterselskab af et amerikansk moderselskab er juridisk et europæisk selskab, men moderselskabet har indflydelse. Ifølge CLOUD Act kan en amerikansk domstol pålægge moderselskabet at udlevere data, der ligger hos et datterselskab, hvis moderselskabet reelt har "control" over det. Om det er tilfældet i en konkret sag, afhænger af, hvordan selskabet er organiseret. Jurister er uenige om det. Det er netop derfor, det er en risiko og ikke en sikkerhed.

Det kan også gå den anden vej: et selskab, der i dag er europæisk, kan blive opkøbt i morgen. I Nederlandene foregik der i 2025 og 2026 en sag om Solvinity, selskabet bag infrastrukturen til DigiD. Det amerikanske Kyndryl ville overtage selskabet; regeringen forbød opkøbet i maj 2026 efter en indstilling fra Bureau Toetsing Investeringen (det nederlandske organ for investeringsscreening). Spørg derfor også en udbyder: hvad sker der med min kontrakt ved et opkøb? Kan jeg så opsige gratis?

Hvor finder du ejeren? I selskabsregistret (i Nederlandene KVK, i Tyskland Handelsregister), i årsrapporten, eller på siden "Om os" eller "Impressum". Hos børsnoterede selskaber står det i årsregnskabet.

Spørgsmål 3: hvor ligger dataene, og backuperne?

Datacenterlokationen er fortsat vigtig. Ligger dine data i EU, er der ingen overførsel uden for EØS i GDPR'ens forstand, så længe ingen uden for kan tilgå dem. Spørg til alle steder: det primære datacenter, backup-datacentret og sikkerhedskopierne. En udbyder med servere i Nederlandene og backup i USA har bestemt en overførsel.

Vær her opmærksom på tre begreber, der ofte blandes sammen:

Schweiz og Storbritannien er altså ikke EU, men en tjeneste dér må du under GDPR gerne bruge uden yderligere kontraktbestemmelser. Afgørelsen for Schweiz stammer fra 2000 og blev bekræftet ved en revurdering i januar 2024. Afgørelsen for Storbritannien blev den 19. december 2025 forlænget til den 27. december 2031. En afgørelse om tilstrækkeligt beskyttelsesniveau kan dog blive revideret eller underkendt af EU-Domstolen: det skete to gange med aftalerne med USA (modul 1, lektion 1.4). For USA gælder nu Data Privacy Framework, men kun for amerikanske selskaber, der har tilsluttet sig det, og med den usikkerhed, du så i lektion 1.4.

Spørgsmål 4: hvem har desuden adgang? Underdatabehandlere og fjernadgang

En underdatabehandler er et andet selskab, som udbyderen gør brug af, og som derved behandler eller kan se dine data: datacentret, en backuptjeneste, et selskab til mailudlevering, en supportafdeling i et andet land, en AI-tjeneste der opsummerer mails. GDPR kræver, at udbyderen på forhånd fortæller dig, hvilke underdatabehandlere han bruger, og giver dig mulighed for at gøre indsigelse mod nye (artikel 28 i GDPR, lektion 9.2).

Vær især opmærksom på fjernadgang. Data, der ligger i Amsterdam, men som en supportmedarbejder i et land uden for EØS kan tilgå for at løse en fejl, bliver ifølge de europæiske tilsynsmyndigheder også anset for overført. Et datacenter i Europa med en helpdesk, der overvåger døgnet rundt fra hele verden, er derfor mindre europæisk, end det ser ud til.

Hvor finder du listen? Som regel som bilag til databehandleraftalen eller på en separat side "underdatabehandlere" eller "sub-processors". Mangler listen, eller er den vag ("vi samarbejder med omhyggeligt udvalgte partnere"), er det et rødt flag.

Spørgsmål 5: hvem har nøglen?

Kryptering hjælper kun mod andre, hvis de ikke har nøglen. Hos de fleste skytjenester er dine data krypteret undervejs (https) og i hvile (på disken), men udbyderen har nøglen. Skal udbyderen udlevere data, kan han dekryptere dem. Ved ende til ende-kryptering eller kryptering med en nøgle, som kun du styrer, kan udbyderen det ikke. Det beskytter bedre, men har en pris: søgning, fælles redigering i browseren og gendannelse af en glemt adgangskode virker ofte slet ikke eller kun begrænset. Spørg derfor: hvilke dele er ende til ende-krypteret, og hvad kan jeg så ikke længere gøre?

"Sovereign cloud" fra amerikanske selskaber

De store amerikanske udbydere imødekommer efterspørgslen efter suverænitet. Et par eksempler, så du genkender begreberne:

• Microsoft EU Data Boundary: Microsoft meddelte i februar 2025, at kundedata fra Microsoft 365, Dynamics 365, Power Platform og de fleste Azure-tjenester opbevares og behandles inden for EU og EFTA-landene, inklusive supportdata. Microsoft skriver selv, at der i begrænsede tilfælde stadig behandles data uden for EU, for eksempel til sikkerhedsformål. Microsoft forbliver et amerikansk selskab. I juni 2025 forklarede den juridiske direktør for Microsoft Frankrig under ed i det franske senat, at han ikke kan garantere, at data aldrig udleveres til amerikanske myndigheder uden samtykke.
• AWS European Sovereign Cloud: generelt tilgængelig siden den 15. januar 2026, med en første region i Brandenburg (Tyskland). Den drives af et tysk selskab med personale i EU og er teknisk adskilt fra resten af AWS. Det ultimative moderselskab er Amazon. Analytikere peger på, at CLOUD Act-risikoen derfor kan være mindre, men ikke påviseligt er væk.
• Samarbejdsmodeller: i Frankrig og Tyskland findes der europæiske selskaber, der kører amerikansk cloudteknologi under licens, så det europæiske selskab har kontrollen. Om det fungerer, afhænger af aftalerne om opdateringer, administration og adgang.

Sådanne tjenester kan for nogle organisationer være et fornuftigt mellemtrin. Men stil dem de samme fem spørgsmål. Svaret på spørgsmål 2 (ejer) forbliver hos disse tjenester anderledes end hos et selskab, der er helt europæisk.

I praksis: sådan ser det ud hos en udbyder

Tag en WebOké Nextcloud som eksempel. Hjemsted og ejer: et nederlandsk anpartsselskab (bv). Datacenter: ifølge vejledningen to nederlandske datacentre fra NorthC. Software: Nextcloud, lavet af det tyske Nextcloud GmbH, open source. Nøglen til lagringskrypteringen ligger hos udbyderen; ende til ende-kryptering kan du selv slå til per mappe. Hos andre europæiske udbydere, som andre Nextcloud-udbydere, mailbox.org, Infomaniak eller IONOS, finder du de samme fem svar de samme steder: kontrakt, selskabsregister, databehandleraftale og liste over underdatabehandlere.

Opsummering

• Et datacenter i Europa besvarer kun ét af de fem spørgsmål.
• De fem spørgsmål: hjemsted, ultimativ ejer, lokation for data og backup, underdatabehandlere og fjernadgang, samt hvem der har nøglen.
• Et europæisk datterselskab af et amerikansk selskab kan alligevel være omfattet af CLOUD Act.
• Schweiz og Storbritannien er ikke EU, men har en afgørelse om tilstrækkeligt beskyttelsesniveau; EØS er EU plus Norge, Island og Liechtenstein.
• "Sovereign cloud"-tjenester fra amerikanske selskaber mindsker risici, men ændrer ikke svaret på ejerspørgsmålet.

Quiz

Opgave

Opgave A2.1: Hvem modtager og sender mail for dit domæne? Indtast dit eget domæne. Programmet finder MX-posterne og folder dit SPF-record helt ud. Du angiver, hvilke organisationer der modtager din mail, og hvem der må sende mail på dine vegne. Sådan ser du på få minutter, hvilke parter der allerede er involveret i din mail.

Opgave E2.1: De fem spørgsmål til dine egne tjenester. Vælg to tjenester, du bruger i dag (for eksempel din mail og din filopbevaring), og ét muligt europæisk alternativ. Find svarene på de fem spørgsmål for alle tre, med kilden ved siden af.

Videre læsning

Trinene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det tilsvarende.

• Nextcloud-vejledning 1.1: Hvad er Nextcloud, og hvad er en WebOké Nextcloud?
• Nextcloud-vejledning 3.1: Hvordan beskytter WebOké din Nextcloud?
• Nextcloud-vejledning 15.13: Ofte stillede spørgsmål om sikkerhed og privatliv
• Europa-Kommissionen, oversigt over afgørelser om tilstrækkeligt beskyttelsesniveau: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (data "regardless of whether" de ligger i eller uden for USA)