GDPR-venlige email platforms: hvem kan du stole på?
En dybdegående sammenligning af GDPR-compliance for de mest populære email marketing platforme. Data residency, DPA-status, consent management, audit trails og sub-processors per platform.
GDPR er ikke et buzzword — det er loven. Og for danske virksomheder der bruger email marketing, er det afgørende at vide præcis hvor dine kontakters data befinder sig, hvem der har adgang, og hvilke juridiske mekanismer der beskytter dem.
Denne guide giver dig det fulde billede for de mest populære email marketing platforme. Ikke juridisk rådgivning (kontakt din DPO eller advokat for det), men en praktisk gennemgang du kan bruge til at vurdere din nuværende platform eller vælge en ny.
Hvorfor data residency er vigtigt
Det centrale GDPR-spørgsmål for email marketing er: forlader dine kontakters persondata EU?
Når du importerer en email-liste i Mailchimp, sendes navne, email-adresser, tags, adfærdsdata og alt andet til servere i USA. Det er ikke ulovligt — men det kræver et juridisk grundlag, og det grundlag har en usikker historie.
Kort historik over EU-US datatransfer
| År | Mekanisme | Status |
|---|---|---|
| 2000-2015 | Safe Harbor | Underkendt af EU-Domstolen (Schrems I) |
| 2016-2020 | Privacy Shield | Underkendt af EU-Domstolen (Schrems II) |
| 2023-nu | EU-US Data Privacy Framework | Aktivt, men under pres |
EU-US Data Privacy Framework er det tredje forsøg. Det er lovligt, det bruges bredt, og de fleste virksomheder opererer under det. Men mønsteret er tydeligt: hvert forsøg holder i 4-7 år før det underkendes.
Det betyder ikke at du skal panikke. Det betyder at du skal tage en bevidst beslutning om din risikoprofil. Og at du bør have en migrationsplan.
De 5 platforme — GDPR deep-dive
Mailchimp
| Parameter | Status |
|---|---|
| Selskab | Intuit Inc. (USA) |
| Data residency | USA |
| EU data residency option | Nej |
| DPA | Ja, online |
| Juridisk grundlag for transfer | EU-US Data Privacy Framework |
| Consent management | Double opt-in, consent tracking |
| Ret til sletning | Ja (manuel eller API) |
| Audit trail | Begrænset |
| Sub-processors | 20+ (primært USA-baserede) |
| SOC 2 | Ja |
| ISO 27001 | Nej |
Vurdering: Mailchimp er lovligt at bruge under det aktuelle framework. Men data befinder sig i USA, sub-processors er primært amerikanske, og der er ingen mulighed for EU-hosting. DPA er tilgængelig som click-through aftale. Consent management er basalt — double opt-in virker, men der er ingen granulær samtykke-styring (f.eks. separate samtykker til nyhedsbrev vs. produktopdateringer).
Audit trail er begrænset: du kan se hvornår en kontakt blev tilføjet og hvornår de unsubscribede, men ikke en komplet log over alle databehandlingsaktiviteter.
Risiko: Medium-høj. Hvis EU-US Data Privacy Framework underkendes, mister du det juridiske grundlag for datatransfer.
Brevo
| Parameter | Status |
|---|---|
| Selskab | Brevo SA (Frankrig) |
| Data residency | EU (Frankrig) |
| EU data residency option | Standard |
| DPA | Ja, online |
| Juridisk grundlag for transfer | Ikke nødvendigt (EU-til-EU) |
| Consent management | Double opt-in, consent tracking, multi-list consent |
| Ret til sletning | Ja (automatiseret) |
| Audit trail | Medium |
| Sub-processors | 15+ (blanding af EU og USA) |
| SOC 2 | Nej |
| ISO 27001 | Ja |
Vurdering: Brevo er et fransk selskab med data hostet i Frankrig. Det eliminerer den transatlantiske datatransfer-problematik helt. DPA er tilgængelig, og GDPR-compliance er stærk.
En nuance: Brevo bruger nogle sub-processors der er USA-baserede (bl.a. til CDN og analytics). Det betyder at metadata potentielt kan krydse EU’s grænser, selvom kernedata (kontaktoplysninger, email-indhold) forbliver i EU.
Consent management er bedre end Mailchimps: du kan oprette separate samtykke-kategorier og lade kontakter styre deres præferencer granulært.
Risiko: Lav. EU-selskab, EU-hosting. Sub-processor-risikoen er reel men håndterbar.
ActiveCampaign
| Parameter | Status |
|---|---|
| Selskab | ActiveCampaign LLC (USA) |
| Data residency | USA (standard), EU (Enterprise) |
| EU data residency option | Ja, Enterprise-plan |
| DPA | Ja, online |
| Juridisk grundlag for transfer | EU-US Data Privacy Framework (standard), ingen transfer nødvendig (Enterprise EU) |
| Consent management | Double opt-in, consent tracking |
| Ret til sletning | Ja (manuel eller automation) |
| Audit trail | Medium |
| Sub-processors | 25+ (primært USA-baserede) |
| SOC 2 | Ja |
| ISO 27001 | Nej |
Vurdering: ActiveCampaigns GDPR-situation er todelt. På Standard og Plus-planer (som 95% af brugerne er på) hostes data i USA under Data Privacy Framework. På Enterprise-planen kan du vælge EU-hosting.
Problemet: Enterprise-planen koster markant mere og kræver typisk en årlig kontrakt. For de fleste danske SMB’er er det ikke realistisk at betale enterprise-pris udelukkende for EU-hosting.
Consent management er funktionelt men ikke best-in-class. Du kan tracke samtykke via custom fields og tags, men der er ikke en dedikeret consent center som i Brevo.
Risiko: Medium (standard-planer). Lav (Enterprise EU). De fleste brugere er på standard-planer.
MailerLite
| Parameter | Status |
|---|---|
| Selskab | MailerLite (Litauen) |
| Data residency | EU (Litauen/Tyskland) |
| EU data residency option | Standard |
| DPA | Ja, online |
| Juridisk grundlag for transfer | Ikke nødvendigt (EU-til-EU) |
| Consent management | Double opt-in, GDPR-felter, consent log |
| Ret til sletning | Ja (automatiseret) |
| Audit trail | Basalt |
| Sub-processors | 10+ (blanding af EU og USA) |
| SOC 2 | Nej |
| ISO 27001 | Nej |
Vurdering: MailerLite er et litauisk selskab med data hostet i EU. De har et eksplicit GDPR-fokus og har bygget consent management direkte ind i platformens kontaktformularer.
MailerLites GDPR-felter i signup-formularer er smarte: du kan tilføje checkbox-baseret samtykke direkte i tilmeldingsformularen og tracke det automatisk. Det gør compliance nemmere for ikke-tekniske brugere.
Sub-processor-listen inkluderer nogle USA-baserede tjenester (bl.a. AWS, som dog har EU-regioner). MailerLite er transparente om dette i deres DPA.
Risiko: Lav. EU-selskab, EU-hosting. Lignende sub-processor-nuance som Brevo.
Hermod
| Parameter | Status |
|---|---|
| Selskab | Brokk & Sindre (Danmark) |
| Data residency | EU |
| EU data residency option | Standard (eneste option) |
| DPA | Ja |
| Juridisk grundlag for transfer | Ikke nødvendigt (EU-til-EU) |
| Consent management | Granulær, audit log, automatiseret |
| Ret til sletning | Ja (automatiseret + audit trail) |
| Audit trail | Komplet |
| Sub-processors | Minimalt (EU-fokuseret) |
| SOC 2 | Under proces |
| ISO 27001 | Under proces |
Vurdering: Hermod er bygget med GDPR som en arkitekturbeslutning, ikke en compliance-tilføjelse. Data hostes i EU og forlader aldrig Europa. Consent management er granulært — du kan definere separate samtykke-kategorier, og kontakter kan styre deres præferencer.
Audit trail er komplet: enhver ændring af kontaktdata, samtykke eller behandlingsaktivitet logges med timestamp og aktør. Det gør det muligt at dokumentere compliance over for Datatilsynet.
Som ny platform har Hermod endnu ikke SOC 2 eller ISO 27001 certificeringer. De er under proces men ikke afsluttet.
Risiko: Lav. EU-selskab, EU-hosting, GDPR-native arkitektur. Mangler formelle certificeringer.
Samlet GDPR-sammenligning
| Parameter | Mailchimp | Brevo | ActiveCampaign | MailerLite | Hermod |
|---|---|---|---|---|---|
| Selskabsland | USA | Frankrig | USA | Litauen | Danmark |
| Data i EU | Nej | Ja | Enterprise | Ja | Ja |
| DPA | Ja | Ja | Ja | Ja | Ja |
| Double opt-in | Ja | Ja | Ja | Ja | Ja |
| Granulær consent | Basalt | God | Medium | God | Avanceret |
| Audit trail | Begrænset | Medium | Medium | Basalt | Komplet |
| Ret til sletning | Manuel | Automatiseret | Manuel/auto | Automatiseret | Automatiseret |
| ISO 27001 | Nej | Ja | Nej | Nej | Under proces |
| GDPR-risiko | Medium-høj | Lav | Medium | Lav | Lav |
Hvad skal du gøre i praksis?
1. Tjek din nuværende DPA
Har du underskrevet en databehandleraftale med din email platform? Hvis ikke, gør det nu. Det er lovpligtigt. De fleste platforme har en click-through DPA i deres account settings.
2. Dokumentér dit juridiske grundlag
Hvis du bruger en USA-hostet platform, skal du kunne dokumentere at du baserer datatransfer på EU-US Data Privacy Framework (eller Standard Contractual Clauses). Gem denne dokumentation.
3. Vurdér din risikoprofil
Spørg dig selv: hvad sker der hvis EU-US Data Privacy Framework underkendes?
- Lav risiko: Du bruger allerede en EU-hostet platform (Brevo, MailerLite, Hermod). Ingen handling nødvendig.
- Medium risiko: Du bruger Mailchimp eller ActiveCampaign, har en lille liste, og kan migrere inden for 3 måneder. Acceptabel risiko for de fleste.
- Høj risiko: Du bruger en USA-hostet platform, har en stor liste (50.000+), komplekse automations, og migration ville tage 6+ måneder. Overvej at migrere proaktivt.
4. Implementér granulær consent
Uanset platform: sørg for at dine signup-formularer indsamler eksplicit samtykke. “Ja, jeg vil gerne modtage nyhedsbreve” er et minimum. Bedre: separate samtykker til forskellige kommunikationstyper.
Læs vores guide til consent management for den fulde gennemgang.
5. Rens din liste
GDPR kræver dataminimering. Kontakter der ikke har interageret i 12+ måneder bør enten genbekræftes eller fjernes. Det er ikke kun god GDPR-praksis — det forbedrer også din deliverability.
Sub-processors: det oversete risikopunkt
Når du vælger en email platform, vælger du ikke kun den platform. Du vælger også deres sub-processors — de tredjeparter der behandler data på platformens vegne.
Mailchimp bruger 20+ sub-processors, primært USA-baserede: AWS, Google Cloud, Twilio, Cloudflare, etc. Hver sub-processor er et potentielt punkt hvor data kan tilgås eller eksponeres.
Brevo og MailerLite bruger færre sub-processors, og flere af dem er EU-baserede. Men begge bruger nogle USA-baserede tjenester til specifikke formål (CDN, monitoring).
Hermod minimerer sub-processors og fokuserer på EU-baserede tjenester. Men som en mindre platform er de afhængige af cloud-infrastruktur der ultimativt ejes af store tech-selskaber.
Pointen er: 100% EU data residency er ekstremt svært i praksis. Men der er en væsentlig forskel mellem en platform der hoster kernedata i EU med enkelte US-baserede hjælpetjenester, og en platform der sender alt til USA.
Consent management per platform
Consent management handler om mere end double opt-in. Det handler om at give dine kontakter kontrol over hvad de har sagt ja til, og at dokumentere det.
Mailchimp: Double opt-in og unsubscribe. Ingen granulær samtykke-styring. Du kan bruge groups som en workaround, men det er ikke bygget til consent.
Brevo: Consent tracking med multiple lister og kategorier. Kontakter kan styre præferencer via preference center. Bedre end Mailchimp, men kræver opsætning.
ActiveCampaign: Consent via custom fields og tags. Ingen dedikeret consent center out-of-the-box, men kan bygges med automations. Funktionelt men manuelt.
MailerLite: GDPR-felter i signup-formularer med automatisk consent tracking. Simpelt og effektivt for basale behov. Mangler granulær præference-styring.
Hermod: Granulær consent management med separate kategorier, audit log per samtykke-ændring, og automatiseret compliance. Det mest GDPR-native consent system i denne sammenligning.
Konklusion
GDPR-compliance i email marketing er ikke binært. Det er et spektrum fra “teknisk lovligt under nuværende regler” til “GDPR-native i arkitekturen”.
For danske virksomheder der vil minimere risiko, er EU-hostede platforme (Brevo, MailerLite, Hermod) det sikreste valg. Mailchimp og ActiveCampaign er lovlige at bruge, men bærer en risiko der afhænger af EU-US Data Privacy Frameworks fremtid.
Det vigtigste er at tage en bevidst beslutning. Vide hvor dine data er. Have en DPA. Dokumentere dit samtykke. Og have en plan for hvad du gør hvis reglerne ændres.
Læs mere i vores guide til GDPR og email marketing eller se vores sammenligning af de bedste platforme for danske virksomheder.