SaaS og GDPR i 2026: Hvad skal din virksomhed vide?

GDPR er ikke et engangsprojekt – det er en løbende forpligtelse der stiller krav til alle aspekter af din virksomheds databehandling, herunder de SaaS-platforme du bruger. Mange virksomheder er i 2026 fortsat usikre på præcis hvad GDPR kræver i relation til cloud-software og SaaS-tjenester. I denne artikel giver vi dig et klart og praktisk overblik over kravene og hvad du konkret skal gøre for at sikre compliance.

Hvorfor er SaaS og GDPR en særlig udfordring?

Når du bruger en SaaS-løsning der behandler personoplysninger om dine kunder, medarbejdere eller prospekter, opfylder din SaaS-leverandør rollen som databehandler. Det betyder at du som dataansvarlig (din virksomhed) har ansvaret for at sikre at leverandøren behandler data i overensstemmelse med GDPR – og at du har en skriftlig databehandleraftale på plads.

Udfordringen er at mange SaaS-platforme, særligt de store amerikanske, historisk set har haft udfordringer med GDPR-compliance i forhold til tredjelandsoverførsler, datalokalitet og transparens om underleverandører. Situationen er forbedret markant siden GDPR-ikrafttrædelsen, men der er stadig vigtige ting at være opmærksom på.

Bøder for GDPR-overtrædelser kan i 2026 komme op på 4% af den globale årsomsætning eller 20 millioner euro – hvad der er størst. Det er ikke en risiko du ønsker at løbe som følge af manglende SaaS-compliance.

Databehandleraftalen: Din vigtigste GDPR-beskyttelse

En databehandleraftale (DPA – Data Processing Agreement) er et juridisk bindende dokument der regulerer forholdet mellem dig som dataansvarlig og din SaaS-leverandør som databehandler. GDPR kræver at du har en sådan aftale på plads med alle leverandører der behandler personoplysninger på dine vegne.

Aftalen skal minimum indeholde: behandlingens genstand og varighed, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede, den dataansvarliges forpligtelser og rettigheder, krav om at databehandleren kun handler på instruks fra den dataansvarlige, krav om fortrolighed, sikkerhed og mulighed for at slette data.

De fleste store SaaS-leverandører har standardiserede DPA'er som du kan underskrive – typisk tilgængeligt via din kontoadministrationsportal. Det er et krav at dette er på plads, og det er dit ansvar som dataansvarlig at sikre at aftalen er underskrevet.

Tredjelandsoverførsler: USA og Schrems II

En af de mest komplekse GDPR-udfordringer i relation til SaaS er overførsler af personoplysninger til tredjelande – lande uden for EU/EØS der ikke har et tilstrækkeligt beskyttelsesniveau ifølge GDPR. USA er det mest relevante tredjeland for de fleste europæiske virksomheder, da mange af de store SaaS-platforme (Salesforce, HubSpot, Google, Microsoft, Zoom, etc.) er amerikanske.

EU-U.S. Data Privacy Framework, der trådte i kraft i 2023, har gjort det lettere at overføre data til certificerede amerikanske virksomheder. Men det er vigtigt at verificere at din SaaS-leverandør faktisk er certificeret under dette framework – og at du dokumenterer det i din GDPR-dokumentation.

Alternativt til EU-U.S. Data Privacy Framework kan man anvende EU's standardkontraktbestemmelser (SCCs) som overførselsgrundlag, men dette kræver en transfer impact assessment der dokumenterer at personoplysningerne er tilstrækkeligt beskyttede i modtagerlandet.

Datalokalitet: Skal data gemmes i EU?

GDPR kræver ikke nødvendigvis at data gemmes fysisk i EU – men det anbefales af mange compliance-eksperter som den sikreste løsning. De fleste store SaaS-platforme tilbyder i dag mulighed for at vælge EU som dataregion, så dine data primært gemmes i europæiske datacentre.

Tjek aktivt om din SaaS-leverandør tilbyder EU-dataregion og aktiver det hvis det er muligt. Dokumentér dit valg og begrundelsen for det i din GDPR-dokumentation. For særligt følsomme data – sundhedsdata, CPR-numre, finansielle oplysninger – er EU-dataregion en stærk anbefaling.

Hvad du skal kræve af dine SaaS-leverandører

Transparens om underleverandører

De fleste SaaS-platforme bruger selv underleverandører (sub-processors) til f.eks. hosting, support og analyse. GDPR kræver at din leverandør informerer dig om disse underleverandører og giver dig mulighed for at gøre indsigelse mod brug af nye underleverandører. Tjek om din leverandørs DPA dækker dette og om de har en offentlig liste over sub-processors.

Ret til sletning og dataportabilitet

Din SaaS-leverandør skal give dig mulighed for at slette data ved ophør af samarbejdet og eksportere data i et maskinlæsbart format. Disse rettigheder bør fremgå tydeligt af DPA'en og bør testes inden du afskriver dig mulighed for at skifte platform.

Sikkerhedsstandards og certifikationer

Kræv at dine SaaS-leverandører har relevante sikkerhedscertifikationer som ISO 27001 og SOC 2 Type II. Disse certifikationer dokumenterer at leverandøren har implementeret og løbende auditerer sine sikkerhedskontroller. De fleste enterprise SaaS-platforme har disse certifikationer i 2026, men det er dit ansvar at verificere det.

GDPR-tjekliste til SaaS-compliance

Her er en praktisk tjekliste du kan bruge til at verificere din SaaS GDPR-compliance: Har du en underskrevet DPA med alle SaaS-leverandører der behandler personoplysninger? Er overførselsgrundlaget for data til tredjelande dokumenteret? Har du valgt EU-dataregion der hvor det er muligt? Er du informeret om alle underleverandørers identitet og placering? Er dine brugeres rettigheder (adgang, sletning, indsigelse) understøttet af dine SaaS-platforme? Er dine SaaS-leverandørers sikkerhedscertifikationer verificeret og dokumenteret?

Hos Magnora Marketing implementerer vi alle digitale løsninger med GDPR-compliance som standard og hjælper virksomheder med at navigere de komplekse krav i relation til SaaS og cloud-tjenester. Kontakt os på mail@magnoramarketing.dk for at sikre at din virksomheds digitale setup er fuldt compliant.