Privatlivspolitik for nyhedsbrevslisten – hvad den skal oplyse
Når du indsamler abonnenter til et nyhedsbrev, opregner databeskyttelsesforordningens artikel 13 de oplysninger, abonnenten skal have allerede ved formularen – herunder retten til at klage til en tilsynsmyndighed, i Danmark Datatilsynet. E-mailværktøjet er en modtager i privatlivspolitikken, og flytter det listen ud af EU, skal overførslen oplyses særskilt. Her er punkterne artikel for artikel, direkte fra forordningens danske tekst.
En e-mailliste til et nyhedsbrev er behandling af personoplysninger på samme måde som ethvert kunderegister: hver adresse identificerer et menneske. Derfor skal abonnenten have at vide, hvem der fører listen, hvad den bruges til, og hvor den ligger. Denne side gennemgår, hvad databeskyttelsesforordningen kræver oplyst, hvornår, og hvordan dit valg af e-mailværktøj ændrer teksten. Samtykket, og hvornår det kræves, gennemgår vi i guiden til e-mailmarketing og GDPR.
Kort svar
Abonnenten skal ved formularen som minimum have oplyst den dataansvarlige, formålet med behandlingen og retsgrundlaget, modtagerne (også e-mailværktøjet), en eventuel overførsel ud af EU, opbevaringsperioden, den registreredes rettigheder, retten til at trække samtykket tilbage og retten til at klage til en tilsynsmyndighed – i Danmark Datatilsynet. Kravet står i databeskyttelsesforordningens artikel 13. Derudover skal der være en databehandleraftale med værktøjet (artikel 28), og listen skal med i din egen fortegnelse over behandlingsaktiviteter (artikel 30).
Hvornår oplysningerne gives: når adressen indsamles
Efter artikel 13, stk. 1, i databeskyttelsesforordningen gives oplysningerne »på det tidspunkt, hvor personoplysningerne indsamles«. For et nyhedsbrev er det øjeblik tilmeldingsformularen. I praksis kommer der en kort bemærkning og et link til privatlivspolitikken, hvor alle punkterne står, ved siden af formularen. Datatilsynet foreslår det samme: »Du kan med fordel give informationen i en privatlivspolitik, som ligger på din hjemmeside, og som du kan linke til, når kunden afgiver oplysninger om sig selv«. Om tilbagetrækning af samtykke er forordningen endnu mere præcis: efter artikel 7, stk. 3, gælder »Inden der gives samtykke, skal den registrerede oplyses om, at samtykket kan trækkes tilbage«, og »Det skal være lige så let at trække sit samtykke tilbage som at give det.«
Om formen siger artikel 12, at oplysningerne gives »i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog«. Datatilsynet siger det samme med egne ord: »Du skal give dem information på en måde, der er let for folk at forstå.« Bruger du senere listen til noget andet end det oplyste formål, kræver artikel 13, stk. 3, at du oplyser om det nye formål, før behandlingen begynder.
Privatlivspolitikkens punkter artikel for artikel
Tabellens venstre kolonne er forordningens krav, den højre fortæller, hvad det betyder for en nyhedsbrevsliste. Artikelhenvisningerne er fra forordningens danske tekst, læst 26.9.2026.
| Punkt | Artikel | For nyhedsbrevslisten |
|---|---|---|
| Dataansvarlig og kontaktoplysninger | 13.1 a | Virksomhedens navn og den adresse, spørgsmål om databeskyttelse sendes til |
| Databeskyttelsesrådgiver | 13.1 b | Kun en »eventuel« rådgiver, altså hvis en sådan er udpeget |
| Formål og retsgrundlag | 13.1 c | Udsendelse af nyhedsbrevet; grundlaget er som regel samtykke (6.1 a) |
| Legitim interesse | 13.1 d | Kun hvis behandlingen er baseret på legitim interesse (6.1 f) |
| Modtagere | 13.1 e | E-mailværktøjet og andre tjenester, listen havner i |
| Overførsler ud af EU | 13.1 f | Modtagerland, tilstrækkelighedsafgørelse eller garantier, og hvor de kan fås |
| Opbevaringsperiode | 13.2 a | Periode eller kriterium, der fastlægger perioden |
| Den registreredes rettigheder | 13.2 b | Indsigt, berigtigelse, sletning, begrænsning, indsigelse, dataportabilitet |
| Tilbagetrækning af samtykke | 13.2 c, 7.3 | Tilbagetrækning når som helst, fx via linket i hver besked |
| Klageadgang | 13.2 d | Tilsynsmyndighed; i Danmark Datatilsynet |
| Er det pligt at give oplysningerne | 13.2 e | Tilmelding er frivillig; oplys, hvad der sker uden adressen |
| Automatiske afgørelser | 13.2 f | Kun hvis du bruger automatiske afgørelser, herunder profilering, som omhandlet i artikel 22 |
← stryg →
Kilde: forordning (EU) 2016/679, artikel 13, EUR-Lex, læst 26.9.2026. Tabellen er ikke juridisk rådgivning; den højre kolonne er vores sammenfatning af artiklens ordlyd.
Tre punkter kræver en uddybning. En modtager er efter artikel 4, nr. 9, den, som personoplysninger videregives til, »uanset om det er en tredjemand eller ej« – e-mailværktøjet hører altså med her, selvom det kun arbejder på dine vegne. Datatilsynet nævner selv »leverandører af software til udsendelse af nyhedsbreve (f.eks. Mailchimp)« som typiske databehandlere. Opbevaringsperioden overlader forordningen til dig: den kræver, at du oplyser perioden eller, hvis det ikke er muligt, »de kriterier, der anvendes til at fastlægge dette tidsrum«. Klageadgangen går i Danmark til Datatilsynet, der ifølge sin egen beskrivelse er »den centrale uafhængige myndighed, der fører tilsyn med, at reglerne om databeskyttelse bliver overholdt«. Sender du til virksomheder på grundlag af legitim interesse, tilføjer artikel 21, stk. 4, én pligt mere: retten til indsigelse skal oplyses senest ved den første kommunikation, »klart og adskilt fra alle andre oplysninger«.
Sådan ændrer e-mailværktøjet privatlivspolitikken
Værktøjet påvirker privatlivspolitikken to steder: under modtagere og under overførsler. Bliver listen i EU, er punktet om overførsler kort. Overfører værktøjet oplysninger til et tredjeland, kræver artikel 13, stk. 1, litra f, at du oplyser om overførslen, og om hvorvidt Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller om garantierne, og »hvordan der kan fås en kopi heraf«.
Et eksempel: Mailchimps databehandleraftale (punkt 6.1) tillader overførsel af oplysninger »to and in the United States and anywhere else in the world«, så en privatlivspolitik for en Mailchimp-liste skal have et punkt om overførsler. MailerLites databehandleraftale har Google Cloud i Tyskland og Nederlandene samt polske Vercom som underdatabehandlere. Hos ActiveCampaign kan EU-regionen vælges for EMEA-konti oprettet efter 14.3.2024. Dataplaceringen for de syv værktøjer, læst i deres privatlivspolitikker, finder du på siden hvor din e-mailliste faktisk ligger.
Databehandleraftalen: automatisk eller separat accept
Efter forordningens artikel 28, stk. 3, skal en databehandlers behandling »være reguleret af en kontrakt eller et andet retligt dokument«. Datatilsynet siger det ligeud: »Når du anvender en databehandler, skal du have en databehandleraftale.« I værktøjerne opstår aftalen på to måder, læst i deres egne vilkår 25.9.2026:
- En del af vilkårene: Mailchimp (»incorporated into … the Agreement«), Brevo (bilag til brugervilkårene) og MailerLite.
- Skal underskrives separat: ActiveCampaign (»You must execute a DPA«) og EmailOctopus.
- Ikke fundet: På Systeme.ios sider fandt vi hverken en offentlig databehandleraftale eller en liste over underdatabehandlere.
I aftalen er det værd at læse to punkter, som forordningen nævner: underdatabehandlerne, hvor databehandleren efter artikel 28, stk. 2, ved en generel godkendelse skal underrette dig om »eventuelle planlagte ændringer«, og sletning eller tilbagelevering af oplysningerne, når tjenesten ophører (stk. 3, litra g). Datatilsynet har en skabelon til databehandleraftale, hvis værktøjets egen aftale mangler.
Fortegnelsen over behandlingsaktiviteter er et andet dokument
Privatlivspolitikken til abonnenten og fortegnelsen over behandlingsaktiviteter efter artikel 30 blandes let sammen. Fortegnelsen er et internt dokument: efter artikel 30, stk. 4, stilles den »efter anmodning« til rådighed for tilsynsmyndigheden, og den erstatter ikke oplysningerne til abonnenten. Efter artikel 30, stk. 1, skal den blandt andet indeholde formålene, kategorierne af registrerede og personoplysninger, modtagerne, overførsler til tredjelande og fristerne for sletning. Datatilsynet har en skabelon til en fortegnelse over oplysninger om kunder.
Et foretagende med under 250 ansatte er efter artikel 30, stk. 5, fritaget, medmindre blandt andet »behandlingen ikke er lejlighedsvis«. En nyhedsbrevsliste, som du sender til regelmæssigt, er efter vores fortolkning ikke lejlighedsvis behandling, og derfor hører den med i fortegnelsen.
Hvad du skal gøre nu
- Gå tabellens 12 punkter igennem over for din egen privatlivspolitik, og tilføj dem, der mangler.
- Sæt et link til privatlivspolitikken på tilmeldingsformularen og en bemærkning om retten til at trække samtykket tilbage før tilmeldingsknappen.
- Tjek værktøjets databehandleraftale: er den en del af vilkårene, eller skal den underskrives i kontoindstillingerne?
- Beskriv overførslerne, hvis værktøjets aftale tillader behandling uden for EU, og opdatér punktet, når du skifter værktøj. Har du endnu ikke valgt værktøj, viser sammenligningen af e-mailværktøjer også dataplaceringen.
- Før listen ind i fortegnelsen over behandlingsaktiviteter, fx med Datatilsynets skabelon.