Gælder GDPR overhovedet for min lille virksomhed?
Ja. En udbredt misforståelse er, at undtagelsen i artikel 30, stk. 5, fritager virksomheder under 250 ansatte fra at føre en fortegnelse. Det gør den ikke i praksis. Undtagelsen gælder kun, hvis behandlingen er lejlighedsvis, ikke omfatter følsomme oplysninger og ikke udgør en risiko. Enhver virksomhed, der har medarbejdere, driver en hjemmeside med analyseværktøjer eller har et kunderegister, behandler personoplysninger regelmæssigt og skal derfor føre en fortegnelse. Størrelsen ændrer ikke på pligterne – kun på ressourcerne til at opfylde dem, og det er præcis dér, software gør forskellen.
Hvad har en SMV reelt brug for?
En SMV har ikke brug for det samme som en koncern med et privatlivsteam. Kernebehovet er:
| Funktion | Hvorfor en SMV skal have det | Nice-to-have eller must-have? |
|---|---|---|
| Fortegnelse (art. 30) | Første dokument Datatilsynet beder om | Must-have |
| Databehandleraftaler (art. 28) | Hver cloud-leverandør kræver en | Must-have |
| Indsigtsanmodninger (art. 15) | Én måneds svarfrist | Must-have |
| Brudanmeldelse (art. 33) | 72-timersfrist | Must-have |
| DPIA (art. 35) | Kun ved behandlinger med høj risiko | Situationsbestemt |
| Cookie-samtykke | Kun hvis I har en hjemmeside med tracking | Situationsbestemt |
| ISO 27001 / SOC 2 | Kun hvis kunder kræver certificering | Sjældent for SMV’er |
Pointen er, at en SMV skal betale for kernefunktionerne og undgå de brede virksomhedssuiter, hvor 80 procent af funktionerne aldrig bliver brugt. Se den fulde funktionssammenligning i GDPR-software sammenligning.
De tre kriterier der betyder mest for en dansk SMV
- Dansk output. Fortegnelsen, privatlivspolitikker og svar på indsigtsanmodninger læses af medarbejdere, kunder og Datatilsynet. En platform, der kun leverer engelsk, skaber ekstra arbejde i hvert led.
- EU-hosting. En platform hostet i USA tilføjer forpligtelser om overførselsgrundlag. En EU-baseret platform fjerner det problem – og passer til den danske databeskyttelseslov.
- Automatisering. En SMV har sjældent en fuldtids DPO. AI-drevet generering af fortegnelse og aftalegennemgang er forskellen på et program, der holdes ajour, og et der forældes.
Hvor meget koster det?
Fælder danske SMV’er falder i
- At tro at man er undtaget. Artikel 30, stk. 5, fritager næsten ingen reelt. Vurderingen bør dokumenteres, også hvis man konkluderer, at en fortegnelse ikke er nødvendig.
- At købe for stort. En virksomhedssuite med hundredvis af funktioner er sværere at bruge og dyrere end en ren GDPR-platform bygget til SMV’er.
- At glemme databehandleraftalerne. Hver leverandør – hosting, løn, e-mail, analyseværktøjer – kræver en aftale efter artikel 28. Manglende aftaler er en klassisk fejl i tilsynssager.
- At behandle det som et engangsprojekt. Fortegnelsen forældes, så snart en ny leverandør eller behandling tilføjes. Uden løbende vedligeholdelse er dokumentationen værdiløs ved et tilsyn.
Hvorfor manuel efterlevelse ikke skalerer for en SMV
En SMV har typisk 20-80 behandlingsaktiviteter og 15-40 leverandører. At holde det ajour i Excel kræver, at nogen husker at opdatere regnearket, hver gang der tilføjes en ny leverandør, ændres et formål eller udløber en sletningsfrist. I praksis sker det ikke, og fortegnelsen forældes inden for uger. En platform, der automatisk kobler behandlinger til databehandleraftaler og overvåger frister, gør forskellen på et program, der ser godt ud på papiret, og et, der holder, når Datatilsynet beder om dokumentationen. Det er derfor, den relevante sammenligning ikke er software mod ingenting, men software mod hundredvis af interne timer, som en SMV sjældent har.
Gratis værktøjer og skabeloner: hvornår er de nok?
Mange danske SMV’er starter med gratis skabeloner – en fortegnelse-skabelon, en databehandleraftale-skabelon og en privatlivspolitik i et tekstdokument. Det er et fornuftigt udgangspunkt for en helt nystartet virksomhed med få behandlinger, og det er bedre end ingenting. Men skabeloner har en klar grænse: de er statiske. De opdaterer ikke sig selv, når en ny leverandør tilføjes, de kobler ikke behandlinger til aftaler, og de overvåger ikke sletningsfrister eller svarfrister på indsigtsanmodninger. For en virksomhed med mere end en håndfuld behandlinger bliver vedligeholdelsen af skabelonerne hurtigt en byrde, der overstiger prisen på et værktøj, der gør det automatisk. En pragmatisk vej er derfor at starte med skabeloner for at forstå strukturen og skifte til en platform, når antallet af behandlinger og leverandører gør manuel vedligeholdelse uoverskuelig – typisk allerede ved 15-20 behandlinger.
Kom i gang: en praktisk rækkefølge for en SMV
- Kortlæg jeres behandlinger og opret en fortegnelse efter artikel 30.
- Saml alle leverandører og indgå eller gennemgå databehandleraftaler.
- Fastlæg retsgrundlaget for hver behandling.
- Opret privatlivspolitikker og et arbejdsflow for indsigtsanmodninger.
- Etabl er en procedure for brudanmeldelse inden for 72 timer.
- Vælg en platform, der automatiserer trin 1-5 med dansk output.
For en overordnet forståelse af de danske rammer, se databeskyttelse i Danmark, og for rangeringen af værktøjer bedste GDPR-software.
SMV-eksempler efter branche
Behovet varierer med branchen, også blandt SMV’er:
- Håndværk og byggeri: typisk få behandlinger (medarbejdere, kunder, underleverandører), men ofte glemte databehandleraftaler med it- og lønleverandører. Kernebehovet er en simpel fortegnelse og styr på aftalerne.
- Webshop og e-handel: mange samtykker, cookie-tracking, nyhedsbreve og internationale overførsler via analyse- og betalingsleverandører. Her er automatiseret aftalegennemgang og en klar privatlivspolitik vigtigst.
- Klinikker og mindre plejevirksomheder: behandling af følsomme sundhedsoplysninger, ofte med krav om en konsekvensanalyse og skærpede sletningsfrister. Selv en lille virksomhed kan her være tæt på tærsklen for en databeskyttelsesrådgiver.
- Rådgivning og bureauer: ofte databehandler for kunder, hvilket kræver en fortegnelse over behandlinger udført på andres vegne og ryddelige databehandleraftaler i begge retninger.
Pointen er, at “SMV” ikke er én størrelse. En webshop og en klinik har vidt forskellige risikoprofiler, men fælles for dem er, at manuel håndtering hurtigt bliver uoverskuelig.
Hvornår skal en SMV opgradere til mere?
De fleste danske SMV’er kan nøjes med en ren GDPR-platform i mange år. Men der er tre situationer, hvor behovet vokser. Den første er, når kunder begynder at kræve certificeringer som ISO 27001 eller SOC 2 – typisk i forbindelse med større B2B-aftaler; her kan et multiframework-værktøj give mening som supplement. Den anden er, når virksomheden bliver omfattet af NIS2 eller DORA, fordi den vokser ind i en omfattet sektor eller passerer størrelsestærsklen; her er en platform, der kan udvides med cybersikkerheds- og leverandørmoduler, en fordel. Den tredje er, når antallet af behandlinger og medarbejdere vokser så meget, at der reelt bliver brug for en databeskyttelsesrådgiver. Det gode råd er ikke at købe for stort på forhånd, men at vælge en platform, der kan følge med, når behovet faktisk opstår.
Ofte stillede spørgsmål
Hvad koster GDPR-software til en SMV?
Har en SMV brug for en databeskyttelsesrådgiver?
Kun hvis kerneaktiviteten indebærer systematisk overvågning i stor skala eller behandling af følsomme oplysninger i stor skala. De fleste danske SMV’er er ikke omfattet, men vurderingen bør dokumenteres. Software erstatter ikke en DPO, men reducerer arbejdsbyrden markant.
Kan en lille virksomhed selv implementere GDPR-software?
Ja. De rene SMV-platforme er selvbetjente og kræver ikke konsulentbistand. Med AI-drevet import kan en eksisterende Excel-fortegnelse flyttes ind på timer frem for uger, hvilket er en af de vigtigste forskelle på SMV-værktøjer og virksomhedssuiter.