E-mailmarketing og GDPR – hvad en dansk virksomhed faktisk skal gøre

GDPR forbyder ikke e-mailmarketing. Den kræver tre ting: at abonnenten har givet samtykke, at du kan dokumentere det bagefter, og at du ved, hvor listen fysisk er. De to første er praksis, den tredje er et værktøjsvalg – og der slår den mest almindelige antagelse fejl. I Danmark gælder databeskyttelsesforordningen direkte, og databeskyttelsesloven supplerer og gennemfører den, mens reglerne for, hvornår e-mailmarketing kræver samtykke, står i markedsføringsloven.

1. Samtykke: hvad det er, og hvad det ikke er

Forordningen definerer samtykke som »enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse«, givet »ved erklæring eller klar bekræftelse« (artikel 4, nr. 11). I praksis betyder det fire ting på formularen:

• Sig, hvad man tilmelder sig. »Tilmeld dig nyhedsbrevet« rækker, hvis det står ved siden af, hvad brevet indeholder, og hvor ofte det kommer.
• Ingen forudafkrydsede felter. Samtykket skal være en klar bekræftelse – den, der ikke gør noget, har ikke givet samtykke.
• Ingen kobling. Tilmelding til nyhedsbrevet kan ikke være en betingelse for at bestille eller downloade en guide på en måde, så tilmeldingen ikke kan springes over.
• Afmelding i hver besked. Ét klik væk, ikke bag et login. Forordningens artikel 7, stk. 3: »Det skal være lige så let at trække sit samtykke tilbage som at give det.«

Dobbelt bekræftelse (abonnenten klikker på et bekræftelseslink i mailen) er ikke påbudt, men den er den enkleste måde at opfylde dokumentationspligten på – og den holder listen fri for stavefejl og tilmeldinger lavet med andres adresse.

Reglen kommer fra to steder, og forvirringen skyldes som regel det. Kravene til samtykkets kvalitet står i databeskyttelsesforordningen, men hvornår e-mailmarketing overhovedet kræver samtykke, står i markedsføringsloven. Lovens § 10, stk. 1, lyder ordret:

»En erhvervsdrivende må ikke rette henvendelse til nogen ved brug af elektronisk post, et automatisk opkaldssystem eller telefax med henblik på direkte markedsføring, medmindre den pågældende har givet sit forudgående samtykke hertil. Inden der gives samtykke, skal den pågældende oplyses om, at samtykket kan trækkes tilbage. Den erhvervsdrivende skal give mulighed for let og gebyrfrit at tilbagekalde samtykket.«

Lovteksten er læst i lovbekendtgørelse nr. 866 af 15. juni 2022 på Retsinformation 13.9.2026.

Bemærk ordet nogen. Den danske regel beskytter ikke kun fysiske personer, men gælder enhver modtager – også en virksomheds adresse. Det er strengere end i Sverige og Norge, hvor samtykkekravet kun gælder fysiske personer, og det betyder, at markedsføring til andre virksomheder pr. e-mail også kræver samtykke i Danmark.

Undtagelsen er snævrere, end den normalt gengives

Undtagelsen for eksisterende kunder gengives ofte som »kunder må man markedsføre til«. Lovens § 10, stk. 2, gælder kun en erhvervsdrivende, »der fra en kunde har modtaget dennes elektroniske adresse i forbindelse med salg af produkter«, og kun for »egne tilsvarende produkter«. Betingelsen er, at »den erhvervsdrivende giver kunden klar og utvetydig mulighed for let og gebyrfrit at frabede sig dette både i forbindelse med afgivelsen af adressen til den erhvervsdrivende og ved hver efterfølgende henvendelse«.

Citater: markedsføringslovens § 10, stk. 2, læst 13.9.2026.

Retten til at frabede sig skal altså gives to gange: i det øjeblik adressen afgives, og i hver eneste besked, der sendes. Ordet alle afgør, og to almindelige situationer falder på det. En adresse, der er afgivet i en konkurrence eller ved download af en guide, opfylder ikke grundbetingelsen, fordi den ikke blev modtaget i forbindelse med salg. Markedsføring af en partners produkt eller dit eget nye produktområde opfylder ikke kravet om tilsvarende produkter. I begge tilfælde kræves samtykke, og det er lettere at bede om, når adressen afgives, end at reparere bagefter.

Tre regler til gælder hver eneste besked. § 10, stk. 3, kræver, at »markedsføringen skal klart kunne identificeres som sådan«, at »det skal fremgå, på hvis vegne markedsføringen udsendes, på en måde, der ikke er tilsløret eller holdes skjult«, og at »der skal være en adresse, som modtageren kan henvende sig til for at få standset sådanne henvendelser«. Det rammer emnefeltet og afsendernavnet: en besked, der er forklædt som et personligt svar, en faktura eller en systemadvisering, bryder denne regel, uanset om samtykket er i orden.

2. Dokumentationspligt: gem dato og kilde

Et samtykke, der ikke kan bevises, er det samme som intet samtykke. Forordningens artikel 7, stk. 1: »Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.« For hver kontakt skal der mindst findes tilmeldingsdato og oplysning om, hvilken formular tilmeldingen kom fra.

Af det følger én praktisk regel, der glemmes oftest: når du skifter værktøj, så tag tilmeldingsdato og tilmeldingskilde med i eksportfilen. Flytter du kun e-mailadresserne, står du efter flytningen med en liste, der findes, men et samtykke, der ikke kan dokumenteres på nogen måde.

3. Hvor dataene ligger – her slår antagelsen fejl

Den almindelige opfattelse er, at e-mailværktøjerne er amerikanske, og at listen automatisk havner på den anden side af Atlanten. Vi gennemgik privatlivspolitikkerne for syv værktøjer 3.9.2026, og billedet er et andet: fem af syv opbevarer listedataene i EU.

← stryg →

Kilde: hver tjenestes egen privatlivspolitik, læst 3.9.2026. Kontrolleres igen hver 90. dag – selskabsstrukturer og datacentre ændrer sig.

Bemærk én nuance: aftalepart og dataplacering er to forskellige ting. EmailOctopus er et britisk selskab, men listerne ligger i Irland; hos MailerLite indgås aftalen for EØS-kunder med et irsk selskab, selvom koncernen også har et amerikansk. Ingen af delene fortæller alene, hvor listen er – det står i politikken.

Hvad du bør tjekke i værktøjet, før du tager det i brug

1. Finder du tilmeldingsdato og -kilde i oplysningerne om en enkelt kontakt? Led efter det én gang nu, ikke i det øjeblik nogen spørger.
2. Slettes kontakten helt eller kun fra listen? Retten til sletning betyder, at oplysningerne slettes, ikke at abonnementet afsluttes.
3. Kan du få listen ud, og i hvilket format? Findes der ingen eksport, er du låst inde.
4. Findes der en databehandleraftale? Led i kontoindstillingerne eller brugervilkårene – hos nogle indgår den i vilkårene, hos andre accepteres den separat.
5. Hvor dataene er – tabellen ovenfor, eller tjenestens egen politik, hvis værktøjet ikke er med i vores sammenligning.

Værktøjer, hvor listen bliver i EU

← stryg →

Priser uden moms, ved månedlig fakturering, medmindre andet er angivet.(Reklamelink) = reklamelink

• Prisen er månedsprisen for det billigste betalte niveau ved den listestørrelse. Kolonnen Gratisniveau viser, hvornår man slipper for at betale.
• EmailOctopus: prislisten angiver kun månedsprisen ved årlig fakturering. Månedlig fakturering koster mere.
• GetResponse: den mindste liste, der sælges, er 1 000 kontakter, så kolonnen for 500 kontakter viser den pris.

Databehandleraftalen: papiret, ingen husker

Når du bruger et e-mailværktøj, behandler det abonnenternes personoplysninger på dine vegne. Dataansvarlig er du, databehandler er tjenesten – og mellem jer skal der findes en skriftlig aftale om, hvad databehandleren må gøre. På engelsk kaldes den DPA (data processing agreement).

Aftalen træder ikke altid i kraft af sig selv: hos nogle tjenester indgår den i brugervilkårene, hos andre skal den accepteres separat i kontoindstillingerne. Vi har ikke gennemgået hver tjenestes aftale i sammenligningen på kontoniveau og påstår derfor ikke noget om den for alle – tjek det, samtidig med at du tager værktøjet i brug, ikke i det øjeblik en kunde spørger.

Det samme gælder din egen fortegnelse over behandlingsaktiviteter. Forordningens artikel 30, stk. 5, fritager foretagender, der beskæftiger under 250 personer, fra at føre fortegnelse, men undtagelsen bortfalder af tre grunde: hvis behandlingen sandsynligvis vil medføre en risiko for de registreredes rettigheder, hvis behandlingen ikke er lejlighedsvis, eller hvis den omfatter særlige kategorier af oplysninger. En marketingliste, der vedligeholdes jævnligt, rammer den midterste, så undtagelsen gælder ikke den.

Tre ting, du bør læse i aftalen:

• Underdatabehandlere. Databehandleren bruger sine egne underleverandører (datacenter, supportværktøjer, AI-tjenester). Listen ligger som regel på en separat side, og den ændrer sig – tjenesten skal varsle ændringer, og du skal opdatere din egen politik i overensstemmelse med dem.
• Overførsler ud af EU/EØS. Aftalen fortæller, på hvilket grundlag oplysninger overføres til tredjelande. Det er det punkt, der er kortest hos de tjenester, der opbevarer i EU.
• Hvad der sker efter opsigelse. Hvor længe oplysningerne beholdes, efter at kontoen er lukket, og om du kan få dem ud inden da.

En praktisk huskeregel: skifter du værktøj, skiftes databehandleren – og databehandleren står ved navn i din egen privatlivspolitik. Politikken opdateres i samme arbejdsgang, ikke senere.

Afmelding med ét klik er ikke længere kun et lovkrav

Loven kræver, at markedsføringen let og gebyrfrit kan frabedes i hver besked. Fra februar 2024 er det samme også et teknisk krav fra postkasserne, og det er en interessant kombination: samme greb opfylder både lovpligten og betingelsen for leveringsdygtighed.

Google og Yahoo kræver af dem, der sender mindst 5 000 beskeder i døgnet, at marketingbeskeder understøtter afmelding med ét klik efter RFC 8058. I praksis betyder det, at afmeldingen sker direkte fra knappen i e-mailprogrammet, og at modtageren ikke kan afkræves en separat bekræftelse på en landingsside. Yahoo sætter desuden en frist: afmeldingen skal være gennemført inden for to dage. Begge kræver også, at andelen af spamklager holdes under 0,30 procent.

For læseren følger ét tjek af det: se, hvad dit eget afmeldingslink gør. Fører det til en side, hvor man stadig skal logge ind eller bekræfte valget, er det et lovproblem og et leveringsproblem på én gang. Kravene, og hvad de betyder for værktøjsvalget, er gennemgået i sammenligningen: hvad Gmail og Yahoo kræver af afsenderen.

De fire mest almindelige fejl

• Gammel liste direkte ind i nyt værktøj. Afmeldte og døde adresser, der følger med, skader leveringsdygtigheden, netop når den nye afsender bygger omdømme.
• Samtykke indsamlet til ét formål, brugt til et andet. Deltagelse i en konkurrence er ikke tilmelding til et nyhedsbrev, medmindre det er sagt udtrykkeligt.
• Afmeldingslink, der kræver login. Afmeldingen skal lykkes med ét klik.
• Værktøjet skiftet, politikken ikke. Databehandleren står ved navn i politikken; når værktøjet skiftes, opdateres politikken i samme arbejdsgang.

Hvad denne side ikke er

Dette er en praktisk tjekliste, ikke juridisk rådgivning. Reglerne for elektronisk markedsføring kommer fra markedsføringsloven og databeskyttelsesforordningen, og hvordan de anvendes, afhænger af, hvem du markedsfører til, og hvordan adresserne er indsamlet. I tvivlstilfælde er kilderne Forbrugerombudsmanden (markedsføringsloven) og Datatilsynet (databeskyttelsesforordningen) – og fortolkningerne opdateres.