GDPR for små virksomheder: Det skal du vide – uden juristsnak
Mange håndværkere og små virksomhedsejere får et lille sug i maven, når ordet GDPR dukker op. Det lyder som noget for store koncerner med en hel juridisk afdeling og ikke for tømreren med tre svende eller elektrikeren med en kontaktformular på hjemmesiden. Men sandheden er, at reglerne gælder for alle, der har med kunders og medarbejderes oplysninger at gøre. Den gode nyhed er, at GDPR for små virksomheder mest handler om sund fornuft og lidt orden i papirerne. I dette indlæg gennemgår vi, hvad reglerne betyder for dig, og hvordan du kommer godt i gang.
Hvad er GDPR egentlig?
GDPR står for General Data Protection Regulation og hedder på dansk databeskyttelsesforordningen. Den trådte i kraft i maj 2018 og gælder i hele EU. I Danmark bliver den suppleret af databeskyttelsesloven, som blandt andet har særlige regler om CPR-numre. Formålet er at beskytte personoplysninger, altså alt det, der kan bruges til at identificere en person: navn, adresse, telefonnummer, mailadresse, billeder og naturligvis CPR-nummer.
En god måde at tænke på det er, at kundens oplysninger er som en husnøgle, de låner dig. Du må bruge nøglen til det arbejde, I har aftalt, men du må ikke lave kopier, lade den ligge fremme i bilen eller beholde den, når opgaven er færdig. Sådan er GDPR i en nøddeskal.
Gælder GDPR virkelig også for min lille virksomhed?
Ja. Så snart du gemmer en kundes navn og telefonnummer, sender et tilbud på mail, har ansatte på lønningslisten eller modtager henvendelser gennem en formular på hjemmesiden, behandler du personoplysninger. Der findes ingen bagatelgrænse for, hvor lille en virksomhed skal være for at slippe. Til gengæld er kravene tilpasset risikoen. En VVS-installatør med et kundekartotek skal ikke leve op til det samme som en bank eller et hospital, men grundprincipperne er de samme.
De grundlæggende principper – oversat til hverdagssprog
Det første princip er, at du kun må indsamle de oplysninger, du faktisk har brug for. Skal du lave et tilbud på en ny terrasse, har du brug for navn, adresse og en måde at kontakte kunden på. Du har ikke brug for kundens fødselsdato eller CPR-nummer.
Det andet princip er, at du skal have et lovligt grundlag for at bruge oplysningerne. Når en kunde beder om et tilbud eller bestiller en opgave, må du bruge oplysningerne til at løse opgaven og sende fakturaen. Det kræver ikke et særskilt samtykke. Vil du derimod sende nyhedsbreve og gode tilbud på mail, skal modtageren som hovedregel have sagt aktivt ja til det. Der er en undtagelse: Har en kunde købt noget af dig og givet dig sin mailadresse i den forbindelse, må du gerne markedsføre dine egne, tilsvarende ydelser til vedkommende, så længe kunden nemt kan sige nej tak. Det står i markedsføringsloven og ikke i GDPR, men de to regelsæt går hånd i hånd.
Det tredje princip handler om oprydning. Du må ikke gemme oplysninger længere end nødvendigt. Regnskabsmateriale som fakturaer skal efter bogføringsloven gemmes i fem år fra udgangen af det regnskabsår, de hører til, men gamle tilbud, der aldrig blev til noget, og mails fra kunder, du ikke har hørt fra i årevis, bør slettes. Tænk på det som værkstedet: Det fungerer bedst, når der bliver ryddet op med jævne mellemrum.
Det fjerde princip er sikkerhed. Hav kode på telefon og computer, del ikke adgangskoder mellem medarbejderne, og send aldrig personlige oplysninger som fx CPR-numre i en almindelig mail. Det er de små vaner, der gør den store forskel.
Hjemmesiden – her kigger mange først
For mange små virksomheder er hjemmesiden det sted, hvor GDPR bliver mest synligt. Har du en kontaktformular, skal du fortælle de besøgende, hvad du bruger deres oplysninger til. Det gør du i en privatlivspolitik, som skal være let at finde, typisk med et link i bunden af siden. Bruger du statistik- eller marketingcookies, skal den besøgende give samtykke, før de bliver sat, og her kommer cookiebanneret ind i billedet. Endelig skal hjemmesiden være sikret med et SSL-certifikat, så oplysningerne sendes krypteret. Du kan se det på den lille hængelås ved siden af adressen i browseren.
Husk også, at du skal have en databehandleraftale med de leverandører, der behandler oplysninger på dine vegne. Det gælder fx dit webhotel, din mailudbyder og dit regnskabsprogram. De fleste store leverandører har en standardaftale liggende, som du blot skal acceptere.
Når kunden spørger: Hvad ved I om mig?
Alle har ret til at få at vide, hvilke oplysninger en virksomhed har om dem. Det kaldes indsigtsretten, og du skal som udgangspunkt svare inden for en måned. Kunden kan også bede dig om at rette forkerte oplysninger eller slette dem, hvis du ikke længere har brug for dem. Det lyder måske som en formalitet, men en ubesvaret henvendelse er en af de mest almindelige årsager til, at en klage havner hos Datatilsynet. Har du styr på, hvor dine oplysninger ligger, tager det sjældent mere end en kop kaffe at svare.
Hvad sker der, hvis det går galt?
GDPR giver mulighed for bøder på op til 20 millioner euro eller fire procent af den globale omsætning. De store beløb er dog forbeholdt de største virksomheder og de groveste sager. I Danmark fungerer det lidt anderledes end i resten af EU. Her er det domstolene, der fastsætter bøderne. Datatilsynet indstiller til en bøde og politianmelder virksomheden, hvorefter sagen afgøres i retten. Kun i enkle sager, hvor virksomheden erkender overtrædelsen, kan Datatilsynet selv sende et bødeforelæg, som virksomheden kan vælge at betale i stedet for at gå i retten. For små virksomheder, der samarbejder og retter op på fejlene, ender mange sager med vejledning eller kritik frem for bøder.
Sker der et sikkerhedsbrud, fx hvis en medarbejder mister en ukrypteret telefon med kundedata, eller din mail bliver hacket, skal du som hovedregel anmelde det til Datatilsynet inden for 72 timer, hvis bruddet kan udgøre en risiko for de berørte personer.
Er der nye regler på vej?
EU-Kommissionen fremlagde i november 2025 en pakke af forslag, kaldet Digital Omnibus, som blandt andet skal gøre GDPR lettere at håndtere for mindre virksomheder. Forslagene indeholder for eksempel længere frist for at anmelde sikkerhedsbrud og færre cookiebannere. Forslagene forhandles stadig i EU og er endnu ikke vedtaget, så indtil videre gælder de nuværende regler fuldt ud.
Sådan kommer du godt i gang med GDPR
Start med at skabe dig et overblik over, hvilke oplysninger du har, og hvor de ligger. Er det i mailen, i regnskabsprogrammet, i en mappe på computeren eller i notesbogen i bilen? Gennemgå derefter din hjemmeside, så privatlivspolitikken er opdateret, kontaktformularen fortæller, hvad oplysningerne bruges til, og cookiebanneret virker, som det skal. Tjek også, at du har databehandleraftaler med dine leverandører, og sæt en fast dato i kalenderen en gang om året, hvor du rydder op i gamle oplysninger. Så er du rigtig langt.
Vi hjælper med hjemmesiden
GDPR behøver ikke at være uoverskueligt, men det kan være svært at vide, om hjemmesiden lever op til reglerne. Hos Randers Hjemmesider hjælper vi gerne med at gennemgå din privatlivspolitik, dit cookiebanner og din kontaktformular, så du kan koncentrere dig om dit fag. Vi er ikke jurister, men vi kender hjemmesiderne indefra og ved, hvor skoen typisk trykker. Vores servicetime koster 850 kr., og vi afregner pr. påbegyndt kvarter, så du betaler kun for den tid, vi rent faktisk bruger. Kontakt os, så tager vi en snak om din hjemmeside.