Hvor din e-mailliste faktisk ligger – syv privatlivspolitikker side om side

Når man vælger e-mailværktøj, tænker man enten slet ikke på dataplaceringen, eller også antager man, at den er afgjort i den forkerte retning. Den mest almindelige antagelse er, at branchens værktøjer er amerikanske. Vi gennemgik syv tjenesters egne privatlivspolitikker 3.9.2026 – ikke kataloger eller andre sammenligningssiders tabeller – og resultatet er et andet: fem ud af syv opbevarer listedata i EU.

Kort svar

I EU: Brevo, GetResponse, Systeme.io, MailerLite og EmailOctopus. Uden for EU: Mailchimp og ActiveCampaign. Begge dele er lovlige at bruge, men det kræver et overførselsgrundlag og en post i din egen privatlivspolitik.

Syv tjenester side om side

Først samme sammenligningstabel som på vores andre sider. Kolonnen Data i EU er den mest relevante for denne side, og den kommer direkte fra de samme data som priserne – den skrives ikke i hånden på nogen side.

← stryg →

Priser uden moms, ved månedlig fakturering, medmindre andet er angivet.(Reklamelink) = reklamelink

• Prisen er månedsprisen for det billigste betalte niveau ved den listestørrelse. Kolonnen Gratisniveau viser, hvornår man slipper for at betale.
• EmailOctopus og ActiveCampaign: prislisten angiver kun månedsprisen ved årlig fakturering. Månedlig fakturering koster mere.
• GetResponse og ActiveCampaign: den mindste liste, der sælges, er 1 000 kontakter, så kolonnen for 500 kontakter viser den pris.

Hvad politikkerne siger om aftaleparten

Ja eller nej ovenfor fortæller ikke hele historien. Nedenfor står, hvem du indgår aftale med, og hvor data ifølge politikken befinder sig – det er den del, sammenligningstabellen ikke kan rumme.

← stryg →

Læst fra tjenesternes egne privatlivspolitikker 3.9.2026: MailerLite, Systeme.io, EmailOctopus og ActiveCampaign. For Brevo (Frankrig), GetResponse (Polen) og Mailchimp (Intuit, USA) er oplysningen læst samme dag fra tjenesternes egne politikker. Kontrollen gentages hver 90. dag.

Selskabets hjemsted er ikke det samme som dataplaceringen

Det er tabellens vigtigste række, og den, som de fleste sammenligninger springer over. Her er der tale om to forskellige spørgsmål:

• Hvem indgår du aftale med? Det afgør, hvilket lands selskab der er databehandler, og hvilket lands myndigheder det hører under.
• Hvor står serverne? Det afgør, om data fysisk forlader EU.

I vores sammenligning giver de to spørgsmål forskellige svar hos to tjenester. EmailOctopus drives af Three Hearts Digital Ltd i London, som efter brexit er et selskab uden for EU – men listerne ligger i AWS' datacenter i Irland, inden for EØS. MailerLite har sin egen irske aftalepart for EØS-kunder, MailerLite Limited, og et separat amerikansk selskab for andre kunder. Stil altså begge spørgsmål, ikke kun det ene.

Hvad du skal skrive i din egen politik

E-mailværktøjet er en databehandler, og det skal fremgå af din egen privatlivspolitik. Hvis værktøjet overfører data ud af EU, skal der stå mere – og pligten kommer direkte fra forordningen.

Databeskyttelsesforordningens artikel 13, stk. 1, litra f, pålægger dig at oplyse den registrerede om tre ting: at du agter at overføre oplysninger til et tredjeland, om Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, og – hvis overførslen bygger på garantier efter artikel 46 – en henvisning til dem og til, hvor en kopi kan fås. Den engelske version kræver oplysning om overførslen og »the existence or absence of an adequacy decision by the Commission«.

I praksis er det nogle få linjer. Forskellen mellem en EU-aktør og en aktør uden for EU er altså ikke, at den ene er forbudt, men at den ene kræver en post fra dig, som skal være rigtig og opdateret. Hovedreglen står i forordningens artikel 44: overførsel af personoplysninger til et tredjeland »må kun finde sted, hvis betingelserne i dette kapitel … opfyldes af den dataansvarlige og databehandleren«. Læst i EUR-Lex 13.9.2026.

De, der overfører til USA: hvad afgørelsen om tilstrækkeligt beskyttelsesniveau dækker

Hos to af de værktøjer, vi sammenligner, går data til USA. For dem er det afgørende spørgsmål, om Kommissionens afgørelse om tilstrækkeligt beskyttelsesniveau dækker netop det selskab – og svaret er ikke »ja, fordi det er USA«.

Kommissionens gennemførelsesafgørelse (EU) 2023/1795 blev truffet 10.7.2023, og dens artikel 1 afgrænser beskyttelsesniveauet præcist: niveauet er tilstrækkeligt for overførsler »to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce«. Afgørelsen gælder altså ikke USA som land, men enkelte organisationer, der har tilsluttet sig listen.

Listen er offentlig på dataprivacyframework.gov. Vi offentliggør ikke listestatus for enkelte tjenester på denne side, og grunden er metodisk: status kan ændre sig på en dag, og vores 90-dages runde garanterer ikke, at den er opdateret. Tjek den selv, og brug selskabets officielle navn – tjenesten kan stå på listen under moderselskabets navn, og så finder en søgning på produktnavnet ingenting. Hvis selskabet ikke står på listen, kræver overførslen en garanti efter forordningens artikel 46 – i praksis Kommissionens standardkontraktbestemmelser og den vurdering, der laves til støtte for dem.

Hvornår det har praktisk betydning

Dataplacering er ikke lige vigtig for alle, og det bør siges direkte. Tre situationer, hvor den er afgørende:

1. Du svarer på kunders databeskyttelsesspørgsmål. En erhvervskundes indkøbsskema spørger efter databehandlere og overførsler. Data, der opbevares i EU, er et svar på én linje; data uden for EU kræver et overførselsgrundlag og dokumentation af det.
2. Du behandler følsomme oplysninger eller data fra den offentlige sektor. Så har din egen organisation eller din kunde ofte taget stilling til sagen på forhånd.
3. Du vil holde dokumentationen kort. I en enkeltmandsvirksomhed er det det tungeste argument: hver post, du slipper for at lave, er en post, du slipper for at holde opdateret.

Hvis ingen af disse gælder dig, er dataplacering ét kriterium blandt flere – og ikke grund nok til at betale for et dyrere værktøj. Sammenligning af hele feltet: bedste e-mailmarketingværktøj.

Hvad denne side ikke fortæller

Tre afgrænsninger, så læseren ved, hvad der er målt her, og hvad der ikke er.

• Vi har ikke revideret nogen. Alt ovenfor er læst fra tjenesternes egne privatlivspolitikker. En politik er selskabets egen oplysning, ikke en tredjeparts bekræftelse.
• Vi siger ikke noget om underleverandører. Hver tjeneste har sine egne databehandlere, og kæden kan række ud over det sted, hvor hoveddataene ligger. Tjenesternes politikker oplister dem, og er dit krav strengt, skal kæden gennemgås.
• Vi giver ikke juridisk rådgivning. Vi fortæller, hvad der står i kilderne, og hvor de findes. At anvende det på din egen situation er dit eller din advokats arbejde.

Metoden i sin helhed, og det, vi ikke vurderer: sådan sammenligner vi. Samtykke, dokumentationspligt og databehandleraftale: e-mailmarketing og GDPR.