En audit af en SaaS-leverandør samler sig om fire spørgsmål: hvordan jeres data er holdt adskilt fra andre lejeres, hvem hos leverandøren der kan se dem, om I kan få dem ud i et brugbart format, og hvilke underleverandører der står bag tjenesten. Det er de punkter, hvor I som kunde har mindst indsigt og mest at miste.
Ved SaaS ser I en brugerflade. Alt under den ligger hos leverandøren.
Ansvarsfordelingen afgør, hvad I kan kontrollere
Datatilsynet beskriver i sin vejledning om cloud de tre servicemodeller. Ved SaaS får kunden adgang til leverandørens færdigudviklede applikationer, og leverandøren har typisk det fulde ansvar for drift og vedligehold. Kunden har få eller ingen muligheder for selv at tilpasse produktet. Ved IaaS og PaaS ligger mere af ansvaret hos kunden.
Det giver en enkel konsekvens. Jo mere leverandøren har ansvaret for, jo mere skal I kontrollere gennem leverandørens dokumentation. Datatilsynet skriver i samme vejledning, at der kan være cloudtjenester, kunden efter sin risikovurdering er nødt til at fravælge, hvis de nødvendige tekniske foranstaltninger ikke kan gennemføres. Tilsynet tilføjer, at det oftest vil gælde SaaS-løsninger, fordi kunden her overlader mest kontrol til leverandøren.
Datatilsynets spørgsmål som udgangspunkt
Cloudvejledningen har en liste med spørgsmål til screening af en cloudleverandør. Blandt dem er, om leverandøren kun behandler oplysningerne efter instruks, om medarbejderne er underlagt fortrolighed, hvordan sikkerheden er indrettet set i lyset af ansvarsfordelingen, hvordan underdatabehandlere screenes, og om der findes en fuldstændig oversigt over underdatabehandlere og lande, herunder hvorfra oplysningerne kan tilgås. Listen spørger også til sletning eller tilbagelevering ved ophør og til, hvordan leverandøren bistår ved kundens tilsyn.
Listen er et godt skelet for en SaaS-audit. De fire særlige punkter nedenfor bygger videre på den.
De fire særlige kontrolpunkter
Ordene lejeradskillelse, administratoradgang og eksportformat bruges ikke i de læste kilder. Punkterne er praksis, afledt af ansvarsfordelingen, af spørgsmålet om, hvorfra data kan tilgås, og af reglerne om sletning og tilbagelevering.
Lejeradskillelse. Spørg, hvad der skiller jeres data fra de øvrige lejeres i samme tjeneste. Se efter, om erklæring eller certifikat dækker adskillelsen. Risikoen i fælles komponenter er beskrevet under adskillelse mellem kunder.
Administratoradgang. Hvem hos leverandøren kan se jeres data, fra hvilke lande, og under hvilke betingelser? Logges deres adgang, og kan I få loggen?
Eksport. Kan I få alle jeres data ud, og i hvilket format? Databeskyttelsesforordningens artikel 28, stk. 3, litra g, kræver, at databehandleraftalen fastsætter sletning eller tilbagelevering ved ophør. Hos finansielle kunder stiller DORA i artikel 30, stk. 2, litra d, krav om, at data kan tilbagesendes i et lettilgængeligt format. For andre er det en målestok.
Underleverandører. SaaS bygger ofte på en anden udbyders platform. Bed om den fuldstændige liste og om, hvordan leverandøren kontrollerer dem.
Når leverandøren bruger jeres data til egne formål
Et særligt punkt ved SaaS er, om leverandøren bruger kundernes data til andet end at levere tjenesten. Ifølge cloudvejledningen er en sådan brug uden tilladelse et brud på persondatasikkerheden for kunden, med selvstændigt ansvar for leverandøren. Står der i vilkårene et generelt forbehold om brug til egne formål, anser Datatilsynet leverandøren for dataansvarlig for alt det, kunden har overladt.
Læs derfor vilkårene med det spørgsmål for øje, og spørg leverandøren direkte.
Revisionsrapporterne
Datatilsynet forstår, at cloudleverandører sædvanligvis får gennemført revisioner af uafhængige tredjemænd, og skriver, at det normalt vil være tilstrækkeligt, at kunden gennemgår de rapporter, leverandøren årligt får udarbejdet. Kunden skal dog se, om rapporten dækker de behandlinger, der er overladt. Dækker den ikke, bør aftalen ifølge vejledningen give kunden ret til at kræve en revision med andet omfang eller anden metode.
For en SaaS-kunde bliver gennemgangen af rapporten derfor ofte den største del af kontrollen, og den fortjener tid. Styrkeforholdet over for en meget stor udbyder har sin egen artikel.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser vilkår, databehandleraftale og revisionsrapport med de fire punkter for øje, og at I prøver en eksport, før I får brug for den.
Springer I kontrollen over, ved I ikke, hvem der kan se jeres data, eller om I kan få dem med, når aftalen slutter. Ved SaaS er det svært at rette op bagefter.
Det skal I lade være med
- At tro, at SaaS ikke kræver kontrol, fordi leverandøren har ansvaret · det er netop derfor, kontrollen skal ske gennem dokumentation.
- At overse vilkår om brug af data til egne formål · de kan ændre leverandørens rolle.
- At vente med at prøve eksporten til ophøret · prøv den nu.
Det skal auditten kunne vise
- ☐ Ansvarsfordelingen mellem jer og leverandøren.
- ☐ Leverandørens beskrivelse af adskillelse mellem lejere.
- ☐ Hvem hos leverandøren har adgang til jeres data, og hvorfra.
- ☐ Resultatet af en prøveeksport af jeres data.
- ☐ Fuldstændig liste over underdatabehandlere og lande.
- ☐ Gennemgang af vilkår om brug til egne formål.
- ☐ Gennemgang af revisionsrapporten og dens dækning af jeres behandlinger.
Kilder
- Datatilsynet, Vejledning om cloud, marts 2022, kap. 2 og afsnit 3.1.1, 3.2.1 og 3.3.3, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 3, litra g, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2022/2554 (DORA), artikel 30, stk. 2, litra d, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed SaaS-leverandøren om en eksport af jeres data, og læs vilkårene for brug af data til egne formål.
Læs også: Audit af en AI-tjeneste · Kan erklæringen erstatte jeres egen audit?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
