Compliance som valgkriterium: GDPR, markedsføringslov og platformregler

Compliance er ikke et ja/nej – det er et valgkriterium

Compliance skal være et valgkriterium på linje med pris og funktioner. Forskellen mellem “compliant nok” og “compliant på papiret” er afgørende, fordi whistleblowerordningen er et lovkrav, og tilsynet med både små og mellemstore virksomheder er skærpet.

For SMV'er med 50+ ansatte betyder det en intern kanal. Den skal kunne modtage, kvittere og følge op på indberetninger. Fristerne er typisk 7 dage til kvittering og 3 måneder til opfølgning.

Et forkert valg rammer ikke kun juraen, men også arbejdsgangene og medarbejdernes brug af løsningen. Hvis medarbejderne ikke forstår kanalen, bruger de den ikke – og så har virksomheden ingen reel whistleblowerordning.

Onboarding og sprog er derfor en del af compliance, ikke et blødt tillæg. Brugervenlighed skal vurderes sammen med de juridiske krav.

Pris alene er et dårligt valgkriterium. Kig på, om prisen er pr. organisation, pr. medarbejder eller pr. indberetning – og hvad der sker, når I vokser.

Samme logik gælder ved platformsskift i e-handel. En migrering ændrer både tekniske forhold og aftaler; de aftalemæssige sider behandles i afsnittet om databehandleraftaler.

Compliance er derfor både et aftale- og driftsspørgsmål. Hvad kan platformen dokumentere, begrænse og understøtte i den daglige brug?

Whistleblower: krav og frister

GDPR i praksis: Dataplacering, adgang og revisionsklar log

Dataplacering er ikke kun et GDPR-spørgsmål, men et spørgsmål om, hvem der har juridisk adgang til data. Hosting i EU – helst Schweiz eller Norden – er en forudsætning for at overholde GDPR og Schrems II.

Adgangsstyring er en del af selve valgkriteriet. Du skal kunne navngive rollerne – hvem kan læse en sag, hvem kan svare indberetteren, hvem kan eksportere. Kontrollér, at platformen håndhæver det teknisk, ikke kun i en politiktekst.

Loggen skal være revisionsklar. Spørg, om aktivitetsloggen er uforanderlig, om den kan vises frem ved en kontrol, og om sager kan eksporteres til revisorer, så loggen bevares.

Hvis loggen kan redigeres, eller eksporteres i et format hvor den mister sin sporbarhed, er den ikke et revisionsbevis.

Ved et platformsskifte starter datakortlægningen, før der vælges. Migrering uden datakortlægning og uden klare succeskriterier frarådes. Anbefalingerne bør kontrolleres med prøveimport og test.

Eksport, opbevaring og sletning ved exit bør derfor aftales i kontrakten: hvordan data trækkes ud, i hvilket format, og hvad der bagefter sker med dem.

Anonymitet eller pseudonymitet? Kig på hvad platformen faktisk garanterer

Anonymitet og pseudonymitet bruges ofte i flæng i leverandørmateriale, men er ikke det samme. Ægte anonymitet betyder, at hverken platformen eller arbejdsgiveren kan tilbageføre indberetningen til en person.

Forskellen bør være et valgkriterium, ikke en detalje i en databehandlingsbeskrivelse.

Derfor skal formuleringen “anonym” i en brochure efterprøves, før der vælges løsning. Bed om en teknisk redegørelse for, hvordan identiteten holdes adskilt fra sagen og fra driften af platformen – og få det bekræftet, før du underskriver.

Stil leverandøren de spørgsmål, der afgør forskellen mellem “compliant nok” og “compliant på papiret”.

En moderne whistleblower-software skal kunne understøtte anonym tovejskommunikation med indberetteren og håndtere mundtlige indberetninger. Kravene til frister og log er 7 dage til kvittering, 3 måneder til opfølgning og en uforanderlig aktivitetslog.

Overvej konsekvensen, hvis garantien er svagere, end leverandøren antyder: Medarbejderne holder op med at bruge kanalen, når de er i tvivl om, hvorvidt de kan genkendes.

Sprog og onboarding er en del af compliance af samme grund – en kanal, der ikke bruges, opfylder ikke formålet, uanset hvor mange certifikater leverandøren kan fremvise. Kontrollér derfor, hvilke metadata platformen registrerer om en indberetter, og hvem der i praksis kan se dem.

Anonymitet vs. pseudonymitet

Databehandleraftaler og datakortlægning ved platformsskift

Et platformsskifte er en aftaleøvelse, ikke kun en teknisk flytning. En migrering ændrer URL-struktur, produktdata, kategorilogik, betalingsopsætning, feeds, tracking, søgning, filtre og arbejdsgange – og ofte også databehandleraftaler og momsopsætning.

De to sidste punkter skal afklares, før data flyttes. De bestemmer, hvem der må gøre hvad med oplysningerne under og efter skiftet.

Før indkøb eller migrering bør du kortlægge: hvilke personoplysninger flyttes, hvor de kommer fra og skal hen, hvilke integrationer der læser eller skriver til dem, og hvem der er dataansvarlig undervejs. Afklar data, integrationer, redirects og lancering.

Migrering uden ejerskab, uden datakortlægning og uden klare succeskriterier frarådes. Læg ikke flytningen midt i højsæsonen.

Leverandørkæden skal ses som flerleddet. Hosting, AI-baseret generering, planlægningsværktøjer, betalingsløsninger og analytics behandler typisk data hver for sig, og hver part i kæden skal kunne placeres i forhold til din egen rolle.

Før du underskriver, bør du se, hvilke underleverandører der indgår, hvor de behandler data, og hvordan ændringer i underleverandører varsles.

Tilpas anbefalingerne til din virksomhed, og kontrollér dem med prøveimport og test.

Platformsskifte: rækkefølge før flytning

Markedsføringsregler som valgkriterium: dokumentation, søgeord og greenwashing

Miljøudsagn og produktpåstande bør være en funktion, du vælger efter – ikke en tekst, marketingafdelingen skriver. Skærpede EU-regler fra 2026 og en streng dansk praksis betyder, at brede miljøudsagn kræver solid dokumentation og klar kontekst. UK's Green Claims Code og ASA-afgørelser viser samme linje.

Virksomheder bør sikre LCA-baseret evidens, tydelige afgrænsninger og uafhængig verifikation.

Greenwashing er svært at opdage, fordi det ofte sker ved udeladelser af relevante oplysninger. Adfærden handler om, hvorvidt virksomheder overholder markedsføringsloven.

Derfor bør dokumentationen ligge i værktøjet, hvor påstanden bliver til – ikke i et arkiv, der først åbnes, når klagen kommer.

Konsekvensen for valg af marketingværktøj er tredelt: Værktøjet skal kunne knytte dokumentation til den enkelte påstand, begrænse hvem der må publicere hvad, og fastholde et godkendelsesflow, så kampagner ikke går live, før påstand og kontekst er godkendt. Bed om at se flowet som rolle- og rettighedsstyret, og efterprøv det, inden I skalerer antallet af kampagner.

Søgeord er en anden regel, der bør styres teknisk. Sø- og Handelsretten fastslog i sagen om Debitor Registret A/S, at brugen af konkurrenten Experian A/S' varemærker “RKI” og “Ribers” som søgeord i Google AdWords var i strid med markedsføringslovens § 1 om god markedsføringsskik. Brugen af et varemærke som AdWord fandtes derimod ikke at være en krænkelse af varemærkeloven.

Retten bemærkede samtidig, at forholdet var begået af Debitor Registrets reklamebureau, for hvem Debitor Registret hæfter. Søgeordene blev fjernet efter en henvendelse fra Experian.

Dommen læses som et generelt forbud efter markedsføringslovens § 1 mod at bruge konkurrenters varemærker som Google AdWords, uanset om varemærket er nævnt i annonceteksten.

Uanset rækkevidden er den praktiske konsekvens for værktøjsvalget den samme: Muligheden for at bruge konkurrenters navne som søgeord skal kunne begrænses centralt, og bureauers kampagneopsætning bør ligge med kontraktlig hæftelse over for jer.

Sø- og Handelsretten har også sat tal på overtrædelser: Quick Shoes blev fundet at krænke fire EU-designs tilhørende Skechers og pålagt forbud, destruktion og i alt 150.000 kr. i vederlag og erstatning. Nærgående efterligning efter markedsføringsloven blev afvist.

Platformregler: API-adgange, automatisk publicering og menneskelig kontrol

Automatisk publicering afhænger af tekniske adgange, ikke af hvor godt værktøjet er. Instagram kræver typisk en professionel konto og specifikke API-tilladelser for fuld automatisering. LinkedIn kræver godkendt API-adgang eller et godkendt planlægningsværktøj. Uden adgangen kan platformen ikke levere den automatisering, der står i tilbuddet.

AI bør derfor vælges som et lag til udkast og tilpasning, ikke som endelig udgiver. Menneskelig gennemgang er stadig nødvendig for at sikre den rette tone, korrekte fakta og overholdelse af platformenes regler. Et redaktionelt overblik i et værktøj som Google Sheets eller Notion er en god ramme for planlægning og godkendelse, inden indholdet går ud automatisk.

Værdien af automatiseringen er til at måle. Det tager typisk 30 til 45 minutter manuelt at omskrive, formatere og publicere ét blogindlæg til de forskellige kanaler. To indlæg om dagen løber hurtigt op i halvanden time dagligt.

Et nyt blogindlæg kan udløse sociale opslag inden for få minutter efter publicering. Formaterne tilpasses kanalen, fx en LinkedIn-tekst på 200 til 300 ord og 15 til 20 hashtags til Instagram.

Ved valget af værktøj bør du derfor efterprøve fire ting: Kan platformen koble godkendelse på før publicering? Kan rollerne styres, så kun godkendte personer udgiver? Kan versioner og ændringer dokumenteres? Og hvad sker der, hvis API-adgang eller kontokrav ændrer sig?

Sidstnævnte er en driftsrisiko, som bør have en beskrevet manuel eller halvautomatisk proces som reserve.

En teknisk gennemførlig arbejdsgang er, at WordPress udløser en automatisering, hvor AI genererer kanalspecifikke varianter, som sendes videre til et planlægningsværktøj. HubSpot understøtter automatisk deling af blogindlæg, så sociale opslag kan udsendes i forlængelse af publicering.

EU-Domstolen har afklaret, at Bronner-betingelserne ikke gælder for åbne digitale platforme. Dominerende udbydere kan pålægges interoperabilitet eller udvikling.

Tjekliste: Spørgsmål du bør stille leverandøren – og dig selv

Stil de samme spørgsmål til hver leverandør, og skriv svarene ned, så de kan sammenlignes. Grundstammen er de syv spørgsmål nedenfor, suppleret med kontrolpunkter for migrering og platformregler.

– Kan platformen levere ægte anonym tovejskommunikation, og hvad er forskellen på den anonymitet og pseudonymitet, I tilbyder?

– Kan den dokumentere og overvåge fristerne – typisk 7 dage til kvittering og 3 måneder til opfølgning – og hvordan varsles de?

– Kan den producere en uforanderlig aktivitetslog, og kan sager eksporteres til en revisor på en måde, der bevarer loggen?

– Kan adgangen begrænses, så kun relevante personer ser følsomme oplysninger?

– Hvor hostes data – i EU, Schweiz eller Norden – og er der ISO 27001-hosting?

– Hvem har juridisk adgang til data, og kan ordningen drives af en ekstern part, så indberetninger ikke ender hos den, sagen handler om?

– Kan platformen håndtere mundtlige indberetninger, og er sprog og onboarding på dansk?

Prisen skal spørges ind i modellen, ikke kun i beløbet. Kend forskellen på, om prisen er pr. organisation, pr. medarbejder eller pr. indberetning, og hvad der sker, når virksomheden vokser. Pris alene er et dårligt valgkriterium – de skjulte omkostninger ligger typisk i, hvad der skal til, når brugen stiger.

Ved et platformsskifte kommer de operationelle spørgsmål oveni: Hvilke data flyttes, og hvem er dataansvarlig for hvert led? Hvilke integrationer læser og skriver til dataene? Hvordan håndteres redirects, momsopsætning og databehandleraftaler? Og hvordan testes det hele, før lancering – med prøveimport og test som aftalt kontrolpunkt?

Spørg også til automationens grænser: Kræver publicering en professionel konto eller specifikke API-tilladelser? Kan godkendelse sættes ind før udgivelse? Og hvordan begrænses brugen af konkurrenters varemærker som søgeord? Afslut med at spørge dig selv, om I har ejerskab til projektet, klare succeskriterier og en plan for den efterfølgende drift.

Tjekliste til leverandørvalg

Sådan vægter du compliance uden at lamme beslutningen

Del kravene op i to: minimumskrav og konkurrenceparametre. Minimumskrav er de lovfastsatte krav med frister og sanktioner. Konkurrenceparametre er det, der gør én leverandør bedre end en anden inden for samme lovkrav.

Hvor højt listen skal lægges, afhænger af datafølsomhed, marked og platform. Jo følsommere oplysninger og jo skarpere tilsyn, desto tættere kommer compliance på et minimumskrav frem for en parameter.

Ved platformsskift i e-handel betyder det, at datakortlægning, integrationer, redirects, momsopsætning og databehandleraftaler skal være afklaret, før flytningen begynder. Flytningen bør ikke lægges midt i højsæsonen eller gennemføres uden ejerskab og klare succeskriterier.

Regn på helheden, ikke på licensprisen. Beskriv de problemer, skiftet skal løse, sammenlign med at forbedre den nuværende løsning, afprøv de afgørende krav, og beregn både omkostningerne ved flytningen og den efterfølgende drift. Bed om, at prisen angives som pr. organisation, pr. medarbejder eller pr. indberetning, og hvad der sker ved vækst.

Compliance er en løbende driftsopgave: De valgte krav skal overvåges og kunne dokumenteres. Påstande i markedsføringen skal have dokumentation og godkendelse, før de publiceres.

AI kan tage udkast og tilpasning, men den menneskelige gennemgang af tone, fakta og platformregler skal blive liggende som et fast trin i processen – også efter at beslutningen om platform er taget.

Compliance i beslutningsmodellen