100 % EU-hostet. 100 % GDPR-kompatibelt.
erhverv.ai bruger nøjagtigt samme hosting og databeskyttelse som skoleelev.ai. Hele platformen — kode, database, filer, AI og e-mails — kører hos Hetzner i Falkenstein/Nürnberg (DE), krypteret daglig backup i Helsinki (FI), managed via Elestio (IE). Ingen kursistdata krydser Atlanten. Det er dét, der gør os til det realistiske EU-alternativ til Microsoft 365 og Google Workspace for handelsskoler og merkantile erhvervsskoler.
Data-rejsen — og hvor den ikke kommer hen
Ingen mellemstationer i USA. Hver hop er kortlagt i vores DPA.
Det vi ikke gør: Vi sender ikke kursistdata til USA. Vi bruger ikke Azure us-east, AWS us-east eller GCP us-central. Vi bruger ikke amerikansk e-mail-infrastruktur. Vi bruger ikke Cloudflare-noder uden for EU.
Underdatabehandlere — alle i EU
Vi varsler 30 dage før ændringer. Listen er en del af din DPA — og er identisk med den, der gælder for skoleelev.ai.
| Leverandør | Rolle | Lokation | Aftalegrundlag |
|---|---|---|---|
| Hetzner | App- og filhosting | Hetzner fsn1 (Falkenstein, Tyskland) · nbg1 (Nürnberg, DE) replica | EU SCC + DPA |
| Supabase | Database, auth, edge functions | eu-central-1 (Frankfurt, DE) | EU SCC + DPA |
| Elestio | Managed self-hosted Supabase (driftslag) | Irland (EU) | EU SCC + DPA |
| Cloudflare | CDN og DDoS-beskyttelse (EU-only routing) | EU-edge (Frankfurt, Amsterdam, København) | EU SCC + DPA |
| OpenAI | AI-tekst (gpt-4o, o3-mini) på pseudonymiserede data | EU residency (Frankfurt) + Zero Data Retention | EU DPA + ZDR |
| Google Gemini | Billedgenerering (Gemini 3.1 Flash) på underviser-prompts | EU-region | EU SCC + DPA |
| Resend | Transaktionelle e-mails | EU (Frankfurt) | EU DPA |
GDPR-rettigheder — operationaliseret i platformen
Ikke kun en politik. Hver rettighed har en konkret handling i appen.
Os vs. Microsoft 365 vs. Google Workspace vs. Google Classroom
Skåret til ledere og DPO'er på handelsskoler og merkantile erhvervsskoler.
| Område | Os | Microsoft 365 | Google Workspace | Google Classroom (gratis) |
|---|---|---|---|---|
| Datalokation | EU (DE + FI), aldrig USA | Globalt — EU Data Boundary med undtagelser | Globalt — Workspace lagrer i EU, men metadata strømmer til USA | Globalt — ingen datalokations-garanti i gratis-tier |
| CLOUD Act-eksponering | Minimal — dansk ejet, europæisk ejede datacentre, al lagring i EU/EØS | Ja — moderselskab er amerikansk | Ja — moderselskab er amerikansk | Ja — samme amerikanske moderselskab (Alphabet) |
| Schrems II | Ingen tredjelandsoverførsel — Schrems II ikke relevant | Kræver TIA + supplerende foranstaltninger | Kræver TIA + supplerende foranstaltninger | Kræver TIA — Datatilsynet har frarådet brug uden risikovurdering |
| DPA medfølger kontrakten | Ja — underskrives sammen med abonnementet | Separat aftale, krævende formulering | Separat aftale | Skolen klikker selv 'Accept' online — Datatilsynet har kritiseret denne model |
| AI-træning på kursistdata | Nej — ZDR + pseudonymisering | Copilot trænes ikke, men telemetri opsamles. Opt-out kompliceret | Gemini Education trænes ikke, men opt-out for andre tjenester kompliceret | Fundamentals dækker kerne — 'Additional services' (YouTube m.fl.) er forbrugerbetingelser pr. kursist |
| Datatilsynet-præcedens | Bygget efter Datatilsynets vejledning fra 2022 og 2024 | Tilbagekaldt brug i flere kommuner (bl.a. Helsingør, 2022) | Tilbagekaldt brug i flere kommuner (bl.a. Aarhus-vurderingen) | Forbudt eller suspenderet i bl.a. Helsingør (2022) — direkte navngivet i afgørelsen |
| Underdatabehandlere fastlagt | Komplet liste i DPA — varslet 30 dage før ændring | Hundredvis af underdatabehandlere globalt | Stort omfang af underdatabehandlere | Samme omfang som Workspace + ingen lokal admin-kontrol i gratis-tier |
| NIS2 leverandørkæde-risiko | Lav — datacentrene er europæisk ejede, al lagring i EU/EØS, EU-support | Høj — CLOUD Act + US-moder gør leverandørkæden svær at risikovurdere | Høj — CLOUD Act + US-moder, samme leverandørkæde-eksponering | Meget høj — forbrugervilkår, ingen leverandøraftale på fri version |
Sammenligning baseret på offentligt tilgængelig produkt- og kontraktdokumentation pr. 2026 samt Datatilsynets afgørelser. Verificér altid den aktuelle aftaletekst.
Tekniske garantier
AES-256 at rest
Storage-buckets og database er krypteret med AES-256.
TLS 1.3 in transit
Al trafik er end-to-end-krypteret med moderne ciphers.
Row-Level Security
Postgres access control sikrer at hver rolle kun ser sine egne rækker — kursist, underviser, leder eller praktiksted.
Granulær revisionslog
Hvert opslag i et følsomt område logges — klar til DPO-eftersyn og udbudssvar.
Pseudonymisering før AI
Kursistnavne erstattes med „Kursist A“, „Kursist B“ før prompten sendes til OpenAI eller Gemini.
Dansk ejet, dansk drevet
SkoleElev ApS, CVR-registreret i Danmark, supportteam i København.
Alt det, et offentligt udbud kræver — klar fra dag ét
Spørgsmål ledere og DPO'er på handelsskoler stiller
Hvad med Schrems II?+
Vi foretager ingen rutinemæssig overførsel af personoplysninger ud af EU — al behandling og lagring sker i EU/EØS. Hvor en leverandør har et moderselskab uden for EU/EØS, er EU-standardkontraktbestemmelser indgået som sikkerhedsnet for undtagelsesvis supportadgang. Overførselsvurderingen (TIA) medfølger den underskrevne aftale, så skolen ikke selv skal lave én.
Er I berørt af US CLOUD Act?+
SkoleElev ApS er dansk ejet, og datacentrene bag platformen (Hetzner i Tyskland og Finland, driftet af Elestio i Irland) er europæisk ejede. Al behandling og lagring sker i EU/EØS. Nogle leverandører — fx e-mail og CDN — har moderselskab uden for EU/EØS; de anvendes gennem deres EU-enhed med lagring i EU, og EU-standardkontraktbestemmelser dækker undtagelsesvis supportadgang. Det fulde overblik med ejerforhold står i Bilag B i databehandleraftalen.
Hvordan håndteres Ungedatabasen (UDB) og Elevplan?+
STIL-flowet bruges via wsaIMPORT v8 til Unilogin og Elevplan, og UDB-aktivitetskoder (3110 HHX, 3120/3121 EUD Merkantil, 3130 EUX Business, 3140 EPX) genereres og opbevares EU-side. Indberetninger logges i revisionssporet og kan eksporteres til DPO og UVM.
Hvordan håndteres AUB-elevrefusion og praktikplads-data?+
Praktikaftaler, AUB-elevrefusionsdata og virksomhedskontakter ligger i EU-databasen. Når AI bruges (f.eks. til feedback på praktikrapporter), pseudonymiseres kursistnavnet til „Kursist A“ før prompten sendes, og OpenAI kører på Zero Data Retention.
Hvad sker der med kursistdata ved holdafslutning eller skoleskifte?+
Skolen kan eksportere kursisten som en transfer-bundle (ZIP med stamkort, læringshistorik, VARK, karakterer, praktikrapporter). Den gamle skoles kopi anonymiseres efter 30 dage. Backups roterer ud efter 35 dage. UVM-pligtige indberetninger opbevares efter gældende retningslinjer.
Hvordan håndteres MitID og Unilogin?+
MitID bruges til underviser-, leder- og forældre-MFA via Nets/Naviair-DK. Unilogin (STIL) bruges til kursister — vi understøtter både OIDC og wsaIMPORT v8 til SOAP-grunddata. Ingen credentials gemmes hos os.
Hvor finder DPO og udbud jeres dokumentation?+
Vi vedligeholder DPA, DPIA, ROPA og sub-processor-liste i en kunde-portal. Skolens eller kommunens DPO kan tilgå dem direkte uden at skulle bede om aktindsigt — ofte et krav i offentlige udbud på erhvervsuddannelses-området.
Få DPA, DPIA og sub-processor-liste sendt i dag
30 minutter med vores DPO — vi gennemgår, hvor jeres kursistdata ligger, hvad I skriver under på, og hvordan I dokumenterer det overfor skolens DPO, bestyrelse og ved offentlige udbud.