Hvad er GDPR? Tjekliste til din hjemmeside og webshop

GDPR er EU’s databeskyttelsesforordning, der siden 25. maj 2018 har fastlagt, hvordan virksomheder må indsamle, bruge, opbevare og dele personoplysninger, og for din hjemmeside betyder det blandt andet samtykke til statistik- og marketingcookies, en privatlivspolitik, databehandleraftaler med dine leverandører og styr på sikkerhed og sletning.

GDPR står for General Data Protection Regulation, på dansk databeskyttelsesforordningen. Den gælder for alle, der behandler personoplysninger om personer i EU, også små virksomheder med en simpel hjemmeside. Her får du det vigtigste forklaret i et almindeligt sprog og en tjekliste til din hjemmeside og webshop.

Hvad er en personoplysning?

En personoplysning er enhver oplysning, der kan kobles til en bestemt person. Det er bredere, end de fleste tror:

• Navn, e-mailadresse, telefonnummer og adresse.
• IP-adresser og cookie-ID’er, når de kan kobles til en person.
• Ordrehistorik, kundenumre og loginoplysninger.
• Billeder og videoer, hvor personer kan genkendes.

Nogle oplysninger er følsomme og kræver ekstra beskyttelse, fx helbredsoplysninger. CPR-numre har også særlige regler. Indsaml dem kun, hvis du virkelig har brug for dem.

Hvad kræver GDPR af din virksomhed?

Datatilsynet har lavet en vejledning til mindre virksomheder i syv trin. Her er essensen:

Hvad betyder GDPR for din hjemmeside?

Cookies og samtykke

Du skal indhente samtykke, før du sætter cookies og lignende teknologier til fx besøgsstatistik og markedsføring. Det står i den fælles cookievejledning fra Datatilsynet og Digitaliseringsstyrelsen fra maj 2025. Kun cookies, der er teknisk nødvendige for, at siden virker, er undtaget, fx login, indkøbskurv og valg af sprog.

Det betyder, at Google Analytics 4 kræver samtykke, før det må måle. Det er ikke nok at skrive i privatlivspolitikken, at du måler anonymt. Det samme gælder Meta-pixel, Google Ads-tags og lignende.

Sådan gør du i praksis:

• Brug en cookieløsning, der blokerer statistik- og marketingcookies, indtil besøgeren har sagt ja.
• Gør det lige så nemt at afvise som at acceptere.
• Brug Consent Mode til Google-tags, så de respekterer besøgerens valg.
• Lad besøgerne ændre eller trække samtykket tilbage, fx via et ikon eller et link i footeren.

Digitaliseringsstyrelsen fører tilsyn med cookiereglerne, mens Datatilsynet fører tilsyn med GDPR. Datatilsynet har desuden understreget, at brug af Google Analytics også kræver styr på hjemmel, databehandlerforhold og aftaler, ikke kun lovlige overførsler til USA.

Formularer og privatlivspolitik

• Spørg kun om det, du skal bruge. Et nyhedsbrev kræver en e-mailadresse, ikke en adresse og et telefonnummer.
• Link til din privatlivspolitik ved hver formular.
• Brug ikke forudafkrydsede felter til samtykke.
• Markedsføring på e-mail og SMS kræver desuden samtykke efter markedsføringsloven.

Hosting, leverandører og overførsler uden for EU

Alle de systemer, der behandler data for dig, er typisk databehandlere: hosting, e-mailplatform, CRM, bookingsystem og betalingsløsning. Du skal have en databehandleraftale med hver af dem og vide, hvor data opbevares.

Ligger data uden for EU og EØS, skal der være et lovligt overførselsgrundlag. For USA findes en aftale mellem EU og USA (EU-U.S. Data Privacy Framework), der gør det muligt at overføre oplysninger til certificerede amerikanske virksomheder under visse betingelser. Mange vælger alligevel at holde data i EU for at gøre det enkelt. Du kan læse mere om, hvorfor serverplacering betyder noget for GDPR.

Bruger du AI-værktøjer til fx kundeservice eller automatisering, gælder de samme regler. Vi har samlet de vigtigste punkter i vores artikel om AI-automatisering og GDPR.

Sikkerhed

• Brug https på hele siden.
• Hold CMS, tema og plugins opdateret.
• Brug stærke adgangskoder og totrinsbekræftelse til administratorer.
• Giv kun adgang til dem, der har brug for det.
• Tag automatisk backup, og test, at den virker.
• Lad betalinger gå gennem en certificeret betalingsløsning, så du ikke selv gemmer kortdata.

Hvor længe må du gemme personoplysninger?

GDPR har ingen faste frister. Reglen er, at du ikke må gemme oplysningerne længere, end det er nødvendigt for det formål, du indsamlede dem til. Du fastsætter selv fristerne ud fra formålet og skal kunne dokumentere dem.

Andre love kan kræve, at du gemmer oplysninger i en bestemt periode. Bogføringsloven kræver fx, at regnskabsmateriale som fakturaer gemmes i fem år fra udgangen af regnskabsåret.

Hvad gør du ved et sikkerhedsbrud?

Et brud på persondatasikkerheden kan være et hack, en mail sendt til den forkerte, en mistet computer eller en fejl, der gør kundedata synlige for andre.

1. Stop bruddet og begræns skaden. Skift adgangskoder, luk hullet, og find ud af, hvad der er sket.
2. Vurder risikoen for de personer, hvis oplysninger er berørt.
3. Anmeld bruddet til Datatilsynet via virk.dk uden unødig forsinkelse og om muligt inden 72 timer efter, at du er blevet opmærksom på det. Du skal ikke anmelde, hvis det er usandsynligt, at bruddet indebærer en risiko for personernes rettigheder.
4. Underret de berørte personer, hvis bruddet sandsynligvis indebærer en høj risiko for dem.
5. Dokumentér alle brud, også dem, du ikke anmelder, og gem en kopi af anmeldelsen.

Hvad sker der, hvis du ikke overholder GDPR?

De højeste bøder efter GDPR er op til 20 mio. euro eller op til 4 % af den samlede globale årsomsætning, alt efter hvad der er højest. For en række andre overtrædelser er grænsen 10 mio. euro eller 2 %. I Danmark kan Datatilsynet ved alvorlige overtrædelser politianmelde og indstille til bøde, og det er domstolene, der afgør bøden.

I praksis er det oftere kritik, påbud og dårlig omtale, der rammer små virksomheder. Og det største tab er ofte kundernes tillid.

GDPR-tjekliste til din hjemmeside og webshop

• Jeg har overblik over, hvilke personoplysninger jeg indsamler, og hvor de ligger.
• Mit cookiebanner blokerer statistik- og marketingcookies, indtil besøgeren har sagt ja.
• Det er lige så nemt at afvise som at acceptere cookies.
• Google-tags bruger Consent Mode.
• Jeg har en opdateret privatlivspolitik, som der linkes til fra alle formularer.
• Formularerne spørger kun om det nødvendige.
• Jeg har databehandleraftaler med hosting, e-mailplatform, CRM og andre leverandører.
• Jeg ved, hvor mine data opbevares, og har et overførselsgrundlag for data uden for EU.
• Jeg har fastsat og dokumenteret sletningsfrister.
• Siden kører på https, og system og plugins er opdateret.
• Administratorer bruger stærke adgangskoder og totrinsbekræftelse.
• Jeg ved, hvad jeg skal gøre, og hvem der gør det, hvis der sker et sikkerhedsbrud.

Ofte stillede spørgsmål

Kilder: Datatilsynet: Vejledning til mindre virksomheder · Datatilsynet og Digitaliseringsstyrelsen: Cookievejledning (maj 2025) · Datatilsynet: Google Analytics · Datatilsynet: Sletning · Datatilsynet: Anmeld sikkerhedsbrud · Datatilsynet: Bødesager · GDPR artikel 83 · GDPR artikel 34

“GDPR handler i bund og grund om at behandle kundernes oplysninger, som du selv ville have, at dine blev behandlet.”

Du er velkommen til at læse mere i nogle af vores andre blogindlæg