Fejl, aftalevilkår, GDPR og officielle kilder
GDPR og databehandleraftale i CRM: hvad skal du tjekke hos leverandøren?
Jeres CRM er fyldt med personoplysninger. Sådan vurderer du databehandleraftalen, underdatabehandlere, overførsel uden for EU, sletning og registreredes rettigheder.
Et CRM indeholder næsten altid personoplysninger: navne, e-mails og telefonnumre på kontaktpersoner, noter fra samtaler og historik over køb. Jeres virksomhed er dataansvarlig, og CRM-leverandøren er databehandler. Derfor skal der være en databehandleraftale, der opfylder GDPR artikel 28. Tjek især fem ting: hvilke underdatabehandlere leverandøren bruger, om data overføres uden for EU/EØS og på hvilket grundlag, hvordan sikkerheden er beskrevet, hvordan data slettes eller udleveres ved ophør, og hvordan leverandøren hjælper jer med registreredes rettigheder og brud på sikkerheden. Derudover skal I selv have styr på lovligt grundlag, oplysningspligt og slettefrister for data i CRM'et.
Guiden hører under CRM-fejl og officielle kilder. Indholdet er generel information, ikke juridisk rådgivning.
Roller: hvem er hvad?
| Rolle | Hvem | Ansvar |
|---|---|---|
| Dataansvarlig | Jeres virksomhed | Bestemmer formål og midler. Lovligt grundlag, oplysningspligt, sletning, rettigheder |
| Databehandler | CRM-leverandøren | Behandler data efter jeres instruks. Sikkerhed, fortrolighed, hjælp til jer |
| Underdatabehandler | Fx hostingudbyder, e-mailtjeneste, AI-leverandør | Bruges af leverandøren. Skal godkendes og stå i aftalen |
Bruger I en integrationsplatform eller en partner, der har adgang til data, er de også databehandlere eller underdatabehandlere.
Databehandleraftalen: tjekliste
Databehandleraftalen er ofte et standarddokument fra leverandøren. Datatilsynet har udgivet en skabelon og vejledning, som kan bruges som sammenligningsgrundlag. GDPR artikel 28, stk. 3, kræver bl.a., at aftalen beskriver genstand, varighed, formål, typer af oplysninger og kategorier af registrerede, og at leverandøren kun behandler efter dokumenteret instruks, sikrer fortrolighed, opfylder sikkerhedskravene i artikel 32, bistår jer, sletter eller tilbageleverer data ved ophør og giver mulighed for revision. Gennemgå især:
- Instruks: Behandler leverandøren kun data efter jeres dokumenterede instruks – også ved fx produktforbedring og AI?
- Underdatabehandlere: Er der en liste? Ved en generel godkendelse skal leverandøren underrette jer om planlagte ændringer, så I kan gøre indsigelse (artikel 28, stk. 2).
- Overførsel til tredjelande: Hvor ligger data, og hvor kan support tilgå dem fra? Hvilket grundlag efter GDPR kapitel V bruges – fx Kommissionens afgørelse om EU-USA-databeskyttelsesrammen (EU-U.S. Data Privacy Framework) for certificerede virksomheder i USA, eller standardkontraktbestemmelser? Rammen gælder fortsat: Retten frifandt Kommissionen i sag T-553/23 (Latombe) den 3. september 2025, men dommen er anket til Domstolen (sag C-703/25 P), og ankesagen verserer stadig pr. oktober 2026. Spørg derfor, hvilket grundlag leverandøren bruger, hvis rammen falder bort.
- Sikkerhed: Kryptering, adgangsstyring, to-faktor-login, logning, backup.
- Brud på persondatasikkerheden: Leverandøren skal underrette jer uden unødig forsinkelse (artikel 33, stk. 2). Står der en konkret frist i aftalen? I skal selv kunne anmelde til Datatilsynet inden for fristen.
- Registreredes rettigheder: Kan I nemt finde, udlevere, rette og slette data om en person?
- Ophør: Slettes eller tilbageleveres data, og inden for hvilken frist?
- Revision og kontrol: Får I adgang til revisionserklæringer eller certificeringer?
Lovligt grundlag for data i CRM'et
| Formål | Typisk grundlag | Bemærkning |
|---|---|---|
| Administrere kundeforholdet | Opfyldelse af kontrakt / legitim interesse | Kun nødvendige oplysninger |
| Kontaktpersoner hos B2B-kunder | Legitim interesse | Informér om behandlingen |
| Nyhedsbreve | Samtykke efter markedsføringsloven § 10 | GDPR og markedsføringsloven skal begge overholdes |
| Opkaldsoptagelse | Afhænger af formål – vurdér konkret | Se Datatilsynets vejledning |
| Lead-scoring og profilering | Legitim interesse eller samtykke | Vurdér om behandlingen er forventelig |
Oplysningspligt: Kontaktpersoner skal informeres om, at I behandler deres oplysninger. Det sker typisk i jeres privatlivspolitik og i den første henvendelse.
Hvad må stå i noterne?
Fritekstfelter er en klassisk faldgrube. Sælgere skriver ting som helbred, familieforhold eller personlige vurderinger. Sæt regler:
- Skriv kun det, der er nødvendigt for kundeforholdet.
- Aldrig følsomme oplysninger (helbred, fagforening, politisk eller religiøs overbevisning) eller CPR-numre, medmindre der er et klart grundlag.
- Skriv, som om kunden læser med – en registreret kan anmode om indsigt i data om sig selv.
Sletning og opbevaring
Fastsæt slettefrister for de typer data, CRM'et indeholder:
| Data | Eksempel på frist (fastsæt jeres egen) |
|---|---|
| Leads, der aldrig blev kunder | Fx 12–24 måneder efter seneste kontakt |
| Tidligere kunder | Så længe der er et sagligt behov, fx garanti eller reklamation |
| Afmeldinger og frabedelser | En minimal "spærreregistrering", så længe den er nødvendig for at respektere frabedelsen |
| Bogføringsdata | Ligger i bogføringssystemet, som har sine egne krav efter bogføringsloven |
Mange CRM-systemer kan automatisere sletning eller anonymisering. Spørg, om det er med i jeres pakke.
AI-funktioner og databehandling
Hvis CRM'et har AI-funktioner, der opsummerer mails eller skriver tekster, så tjek:
- hvilken underdatabehandler der leverer AI-modellen,
- om data bruges til træning af modeller,
- hvor data behandles geografisk.
Det skal fremgå af databehandleraftalen eller dens bilag.
Regneeksempel: tid til GDPR-opsætning
Illustrativt: Gennemgang af databehandleraftale 4 timer, slettepolitik og oplysningstekster 6 timer, opsætning af automatisk sletning 4 timer. I alt 14 timer × 400 kr. = 5.600 kr. intern tid. Tag det med i TCO-beregneren som en engangsomkostning.
Se også samtykke til e-mail og sms, NIS2 og it-sikkerhed og cookies og sporing.
Hvornår skal I have rådgivning?
Hvis I behandler følsomme oplysninger, laver omfattende profilering, overfører data til lande uden for EU/EØS uden klart grundlag, eller har haft et sikkerhedsbrud, bør I tale med en advokat eller databeskyttelsesrådgiver.
Ofte stillede spørgsmål
Er det nok at acceptere leverandørens standardvilkår?
Ofte indeholder standardvilkårene en databehandleraftale. Den skal dog gennemgås, så I ved, hvilke underdatabehandlere og overførsler I accepterer. Det er jer som dataansvarlige, der har ansvaret.
Må vi bruge et amerikansk CRM?
Ja, hvis overførslen sker på et gyldigt grundlag efter GDPR kapitel V – fx EU-USA-databeskyttelsesrammen (artikel 45) eller standardkontraktbestemmelser (artikel 46) – og aftalen beskriver det. Rammens gyldighed er til prøvelse i ankesagen C-703/25 P. Tjek leverandørens oplysninger og Datatilsynets vejledning om overførsel til tredjelande.
Skal vi anmelde et sikkerhedsbrud i CRM'et?
Et brud på persondatasikkerheden skal anmeldes til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at I er blevet bekendt med det, medmindre det er usandsynligt, at bruddet indebærer en risiko for de registrerede. Kommer anmeldelsen senere, skal den begrundes (GDPR artikel 33, stk. 1). Leverandøren skal underrette jer uden unødig forsinkelse.
Kilder
- Datatilsynet – vejledning og skabelon til databehandleraftaler, anmeldelse af brud
- Retsinformation – databeskyttelsesloven (gældende version: LBK nr. 289 af 8. marts 2024)
- EUR-Lex – databeskyttelsesforordningen (GDPR), forordning 2016/679
- Det Europæiske Databeskyttelsesråd – vejledninger om databehandlere og overførsler
