Hvor e-postlisten din faktisk ligger – sju personvernerklæringer side om side

Når man velger e-postverktøy, tenker man enten ikke på datalokasjon i det hele tatt, eller så tar man for gitt at dataene havner på feil side. Den vanligste antakelsen er at verktøyene i bransjen er amerikanske. Vi gikk gjennom sju tjenesters egne personvernerklæringer 3.9.2026 – ikke kataloger eller andre sammenligningssiders tabeller – og resultatet er et annet: fem av sju lagrer listedataene i EU.

Kort svar

I EU: Brevo, GetResponse, Systeme.io, MailerLite og EmailOctopus. Utenfor EU: Mailchimp og ActiveCampaign. Begge er lovlige å bruke, men de krever et overføringsgrunnlag og en oppføring i din egen personvernerklæring.

Sju tjenester side om side

Først samme sammenligningstabell som på de andre sidene våre. Kolonnen Data i EU er den mest relevante for denne siden, og den kommer rett fra de samme dataene som prisene – den skrives ikke for hånd på noen side.

← sveip →

Priser uten mva., ved månedlig fakturering hvis ikke annet er oppgitt.(annonselenke) = reklamelenke

• Prisen er månedsprisen for det billigste betalte nivået ved den listestørrelsen. Kolonnen Gratisnivå viser når man slipper å betale.
• EmailOctopus og ActiveCampaign: prislisten oppgir bare månedsprisen ved årlig fakturering. Månedlig fakturering koster mer.
• GetResponse og ActiveCampaign: minste liste som selges er 1 000 kontakter, så kolonnen for 500 kontakter viser den prisen.

Hva erklæringene sier om avtaleparten

Ja eller nei i tabellen over forteller ikke hele historien. Under står hvem du inngår avtale med og hvor dataene ifølge erklæringen befinner seg – dette er den delen sammenligningstabellen ikke får med seg.

← sveip →

Lest fra tjenestenes egne personvernerklæringer 3.9.2026: MailerLite, Systeme.io, EmailOctopus og ActiveCampaign. For Brevo (Frankrike), GetResponse (Polen) og Mailchimp (Intuit, USA) er opplysningen lest samme dag fra tjenestenes egne erklæringer. Kontrollen gjentas hver 90. dag.

Selskapets hjemsted er ikke det samme som datalokasjonen

Dette er tabellens viktigste rad, og den de fleste sammenligninger hopper over. Det er to separate spørsmål:

• Hvem inngår du avtale med? Det avgjør hvilket lands selskap som er databehandler, og hvilket lands myndigheter det hører inn under.
• Hvor står serverne? Det avgjør om dataene fysisk forlater EU.

I sammenligningen vår gir de to spørsmålene ulike svar hos to tjenester. EmailOctopus drives av Three Hearts Digital Ltd i London, som etter brexit er et selskap utenfor EU – men listene ligger i AWS sitt datasenter i Irland, innenfor EØS. MailerLite har en egen irsk avtalepart for EØS-kunder, MailerLite Limited, og et eget amerikansk selskap for andre kunder. Still altså begge spørsmålene, ikke bare det ene.

Hva du må skrive i din egen erklæring

E-postverktøyet er en databehandler, og det føres opp i din egen personvernerklæring. Hvis verktøyet overfører data ut av EU, er det mer som skal føres opp – og plikten kommer rett fra forordningen.

Personvernforordningens artikkel 13 nr. 1 bokstav f pålegger deg å opplyse den registrerte om tre ting: at du har til hensikt å overføre opplysninger til en tredjestat, om Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå, og – hvis overføringen bygger på garantier etter artikkel 46 – en henvisning til dem og til hvor en kopi er tilgjengelig. Den engelske originalen krever opplysning om overføringen og «the existence or absence of an adequacy decision by the Commission».

I praksis er dette noen få linjer. Forskjellen mellom en EU-aktør og en aktør utenfor EU er altså ikke at den ene er forbudt – det er at den ene krever en oppføring fra deg som må være riktig og oppdatert. Forordningen gjelder som norsk lov gjennom EØS-avtalen, og hovedregelen står i artikkel 44: enhver overføring til en tredjestat «skal finne sted bare dersom den behandlingsansvarlige og databehandleren … oppfyller vilkårene i dette kapittel». Lest 13.9.2026.

De som overfører til USA: hva beslutningen om tilstrekkelig beskyttelsesnivå dekker

Hos to av verktøyene vi sammenligner, går dataene til USA. For dem er det avgjørende spørsmålet om Kommisjonens beslutning om tilstrekkelig beskyttelsesnivå dekker akkurat det selskapet – og svaret er ikke «ja, fordi USA».

Kommisjonens gjennomføringsbeslutning (EU) 2023/1795 ble truffet 10.7.2023, og artikkel 1 avgrenser beskyttelsesnivået presist: nivået er tilstrekkelig for overføringer «to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce». Beslutningen gjelder altså ikke USA som land, men enkeltorganisasjoner som har sluttet seg til listen.

Listen er offentlig på dataprivacyframework.gov. Vi publiserer ikke listestatus for enkelttjenester på denne siden, og grunnen er metodisk: statusen kan endre seg på en dag, og vår 90-dagers runde garanterer ikke at den er oppdatert. Sjekk den selv, og bruk selskapets offisielle navn – tjenesten kan stå på listen under morselskapets navn, og da finner et søk på produktnavnet ingenting. Hvis selskapet ikke står på listen, trenger overføringen en garanti etter forordningens artikkel 46 – i praksis Kommisjonens standardkontraktsklausuler og en vurdering som underbygger dem.

Når dette har praktisk betydning

Datalokasjon er ikke like viktig for alle, og det bør sies rett ut. Tre situasjoner der den avgjør:

1. Du svarer på personvernspørsmål fra kunder. En bedriftskundes innkjøpsskjema spør etter databehandlere og overføringer. Data som lagres i EU, gir et svar på én linje; data utenfor EU krever et overføringsgrunnlag og dokumentasjon av det.
2. Du behandler sensitive opplysninger eller data fra offentlig sektor. Da har din egen organisasjon eller kunden din ofte tatt stilling til saken på forhånd.
3. Du vil holde dokumentasjonen kort. I et enkeltpersonforetak er dette det tyngste argumentet: hver oppføring du slipper å gjøre, er en oppføring du slipper å holde oppdatert.

Hvis ingen av disse gjelder deg, er datalokasjon ett kriterium blant flere – og ikke grunn nok til å betale for et dyrere verktøy. Sammenligning av hele feltet: beste e-postmarkedsføringsverktøy.

Hva denne siden ikke forteller

Tre avgrensninger, slik at leseren vet hva som er målt her og hva som ikke er det.

• Vi har ikke revidert noen. Alt over er lest fra tjenestenes egne personvernerklæringer. En erklæring er selskapets egen opplysning, ikke en tredjeparts bekreftelse.
• Vi sier ingenting om underleverandører. Hver tjeneste har egne databehandlere, og kjeden kan strekke seg til andre steder enn der hoveddataene ligger. Tjenestenes erklæringer lister dem opp, og er kravet ditt strengt, må kjeden gås gjennom.
• Vi gir ikke juridisk rådgivning. Vi forteller hva som står i kildene og hvor de finnes. Å anvende det på din egen situasjon er din eller advokatens oppgave.

Metoden i sin helhet og det vi ikke vurderer: slik sammenligner vi. Samtykke, dokumentasjonsplikt og databehandleravtale: e-postmarkedsføring og GDPR.