GDPR og markedsføring: regler og etik for små virksomheder

Kort svar: GDPR og markedsføring hænger sammen, så snart du bruger oplysninger om rigtige mennesker til at sælge eller kommunikere. Som lille virksomhed skal du kunne forklare, hvilke persondata du indsamler og hvorfor. Du skal have samtykke, før du sætter cookies til statistik eller annoncer, og før du sender nyhedsbreve. Reklame skal markeres som reklame, du skal have rettighederne til dine billeder, og fra 2. august 2026 skal AI-billeder og -video, der kan forveksles med virkeligheden, mærkes.

Jeg skrev første version af indlægget i foråret 2026 i faget Hands-on Digital Markedsføring, hvor juridiske og etiske aspekter er et eksamensemne. Siden er der kommet nye regler, især om AI, så jeg har opdateret teksten og tjekket hver regel hos Datatilsynet, Forbrugerombudsmanden, Digitaliseringsstyrelsen og EU.

Jeg er studerende, ikke jurist. Indlægget giver overblik over de regler, jeg mener, alle der laver markedsføring for en mindre virksomhed bør kende. Står du med en konkret sag, så læs de officielle vejledninger, jeg linker til, eller spørg en advokat.

Indhold

1. Hvad er etisk markedsføring?
2. GDPR: hvilke persondata og hvilket grundlag?
3. Cookies og samtykke
4. Nyhedsbreve og spamforbuddet
5. Reklamemarkering
6. AI i markedsføring: nye regler fra 2026
7. Billeder og ophavsret
8. Dark patterns og falsk travlhed
9. Tjekliste til små virksomheder
10. Ofte stillede spørgsmål

Hvad er etisk markedsføring?

Etisk markedsføring er markedsføring, der er ærlig, gennemsigtig og respekterer modtagerens valg, også dér hvor loven ikke kræver det. Jura handler om, hvad du må. Etik handler om, hvad du bør.

I digital markedsføring ligger de to tæt, fordi næsten alt rører ved data om rigtige mennesker: kontaktformularen, nyhedsbrevet, cookies, annoncerne og de AI-værktøjer, du bruger. En kampagne kan godt være lovlig og stadig føles manipulerende. Derfor stiller jeg to spørgsmål til alt, jeg laver: Er det lovligt? Og er det fair over for den, der modtager det?

«For mig handler etisk digital markedsføring især om at skabe værdi først. Hvis indholdet hjælper brugeren, bliver markedsføringen mere troværdig.»

Sophus Sciera Nørregaard

For en lille virksomhed er det ikke kun et spørgsmål om moral. Små virksomheder har sjældent et kendt brand at læne sig op ad, så tillid skal vindes i hver eneste kontakt med kunden.

GDPR for markedsførere: hvilke persondata og hvilket grundlag?

Kort svar: Du må bruge persondata i markedsføring, hvis du har et lovligt grundlag, typisk samtykke eller en legitim interesse, og hvis du fortæller folk, hvad du gør med deres oplysninger.

En personoplysning er alt, der kan knyttes til en person: navn, e-mail, telefonnummer, IP-adresse, købshistorik og det, folk skriver i en kontaktformular. GDPR gælder, når du indsamler, gemmer, bruger eller deler dem.

Retsgrundlaget. Til direkte markedsføring kan man ofte bruge reglen om legitim interesse i GDPR artikel 6, stk. 1, litra f. Her afvejer du virksomhedens interesse mod hensynet til personen, sådan som Dansk Industri forklarer det. Men pas på: GDPR er ikke den eneste lov. Markedsføringsloven kræver samtykke til mails og sms, og cookiereglerne kræver samtykke til tracking. Har du legitim interesse efter GDPR, er det altså ikke nok til at sende et nyhedsbrev.

Det skal du have styr på:

• En privatlivspolitik, der er let at finde. Den skal forklare, hvilke oplysninger du indsamler, hvad du bruger dem til, hvor længe du gemmer dem, hvem du deler dem med, og hvordan folk får indsigt i eller sletter deres data.
• Kun de data, du har brug for. Behøver du ikke telefonnummer i kontaktformularen, så spørg ikke om det.
• Databehandleraftaler. Bruger du et nyhedsbrevsværktøj, et CRM eller en webshop-platform, behandler de data for dig. Så skal du have en databehandleraftale med dem. De fleste store værktøjer har en standardaftale, du accepterer i kontoindstillingerne.
• Retargeting og kundelister. Uploader du din kundeliste til Meta eller Google for at vise annoncer til de samme kunder, deler du persondata med en tredjepart. Det kræver et grundlag, og kunderne skal kunne se det i din privatlivspolitik. Bruger du Meta-pixlen på din hjemmeside, er du efter EU-Domstolens Fashion ID-dom fra 2019 fælles ansvarlig med Meta for den indsamling, der sker på din side.
• Ingen kundedata i AI-værktøjer uden aftale. Det er nemt at kopiere en kundemail ind i et AI-værktøj for at få hjælp til et svar. Så sender du persondata videre. Fjern navne og kontaktoplysninger først, eller brug et værktøj, din virksomhed har en databehandleraftale med.

Datatilsynet har en samlet guide til små virksomheder, GDPR-univers for små virksomheder, og en særskilt vejledning om direkte markedsføring fra juni 2023.

Cookies: spørg først, og gør “nej” lige så let som “ja”

Kort svar: Cookies til statistik, tracking og annoncer kræver samtykke, før de sættes. Nødvendige cookies, der får siden til at virke, kræver ikke samtykke.

Ifølge Datatilsynets side om cookies og GDPR skal den besøgende allerede i bannerets første lag kunne sige ja eller nej. Banneret skal oplyse, hvilke cookies der sættes, af hvem, til hvilket formål og hvor længe. Man skal kunne sige ja til nogle formål og nej til andre, og man skal altid kunne trække samtykket tilbage. Digitaliseringsstyrelsen fører tilsyn med cookiereglerne og har en udførlig cookievejledning.

Etisk er det her, de fleste bannere fejler. Hvis “Acceptér” er en stor farvet knap og “Afvis” er gemt bag “Se præferencer”, er valget ikke reelt. Det er et dark pattern, og det koster tillid.

Det letteste cookiebanner er det, du ikke behøver. Når du vælger plugins og værktøjer, så spørg, om du faktisk bruger dataene fra dem.

Nyhedsbreve: samtykke før første mail

Kort svar: Du må ikke sende markedsføring på mail eller sms uden forudgående samtykke. Undtagelsen er eksisterende kunder, som du må skrive til om dine egne, tilsvarende produkter.

Reglen er spamforbuddet i markedsføringslovens § 10. Samtykket skal gives, før du sender, og modtageren skal vide, at det kan trækkes tilbage. Det gælder også, selvom du har mailadressen fra et visitkort eller en kontaktformular.

Undtagelsen i § 10, stk. 2, er snævrere, end mange tror. Har en kunde givet dig sin mail ved et køb, må du markedsføre egne, tilsvarende produkter til kunden. Et almindeligt nyhedsbrev om hele dit sortiment er ifølge Dansk Industri tvivlsomt at kalde “tilsvarende produkter”. Er du i tvivl, så bed om samtykke.

En god tilmeldingsformular gør det tydeligt:

• hvem der sender nyhedsbrevet
• hvad modtageren får, fx tips, tilbud eller nyheder
• hvor ofte der cirka kommer mails
• om det kommer som mail, sms eller begge dele
• at man kan afmelde sig igen, og hvordan

Hver mail skal desuden tydeligt være markedsføring, vise hvem afsenderen er, og indeholde en nem måde at framelde sig på. Forbrugerombudsmanden har en grundig vejledning om spamforbuddet, som også dækker konkurrencer og “tilmeld dig og få rabat”.

Etisk set er samtykket et løfte. Lover du guides og gode råd, skal du også sende det og ikke kun tilbud.

Reklame skal ligne reklame

Kort svar: Skriv “Reklame” først i alle betalte opslag og samarbejder. Platformenes egne mærker er ofte ikke nok alene.

Skjult reklame er forbudt i alle medier, også på Instagram, TikTok, LinkedIn, i podcasts og på blogs. Det følger af markedsføringslovens § 6, stk. 4. Forbrugerombudsmanden anbefaler, at man “tydeligt og som det første i en omtale” skriver reklame. Standardmarkeringer som “Betalt partnerskab” lever ifølge Forbrugerombudsmanden ofte ikke op til kravet alene, og markeringen må ikke kræve, at man scroller eller klikker for at se den.

Det koster: I februar 2025 fik en influent en bøde på 30.000 kroner for skjult reklame. Og det rammer ikke kun influenter. Hvis en virksomhed aftaler med en medarbejder, at hun omtaler produkterne på sin egen profil, er det som udgangspunkt også reklame, der skal markeres.

AI i markedsføring: nye regler fra 2. august 2026

Kort svar: Fra 2. august 2026 skal AI-genererede billeder, lyd og video, der kan forveksles med virkeligheden, mærkes. AI-tekst om samfundsforhold skal mærkes, medmindre et menneske har redigeret og står inde for den.

Den største ændring siden min første version er, at gennemsigtighedsreglerne i EU’s AI-forordning, artikel 50, gælder fra 2. august 2026. Den såkaldte Digital Omnibus, der trådte i kraft 27. juli 2026, udskød reglerne for højrisiko-AI til december 2027, men ikke gennemsigtighedsreglerne. Det fremgår af Europa-Kommissionens spørgsmål og svar om artikel 50. Dansk Erhverv bruger et rejsebureau med AI-billeder af destinationer som eksempel på, hvem det rammer.

For en virksomhed, der bruger AI-værktøjer i markedsføringen, betyder det:

• Deepfakes skal mærkes. Laver du AI-billeder, -lyd eller -video, der ligner rigtige personer, steder eller begivenheder og kan opfattes som ægte, skal du tydeligt oplyse, at indholdet er AI-genereret eller manipuleret. Det skal ske senest første gang, modtageren ser det. Ved tydeligt kunstneriske, satiriske eller fiktive værker er kravet mildere, men mærkningen skal stadig være der.
• AI-tekst om samfundsforhold skal mærkes, medmindre et menneske har redigeret den. Kravet gælder tekst, der udgives for at informere offentligheden om emner af almen interesse. Tekst, som et menneske har gennemgået og har det redaktionelle ansvar for, skal ikke mærkes.
• Folk skal vide, når de taler med en maskine. Chatbots og AI-stemmer skal være lavet, så det er tydeligt, at man taler med AI. Kravet ligger primært hos udbyderen af værktøjet, men sig det selv tydeligt i din chat eller kundeservice.
• Illustrationer, der tydeligt er tegnet, som billedet øverst i dette indlæg, ligner ikke virkeligheden og er ikke deepfakes.

Markedsføringsloven gælder også for AI-indhold. Et AI-billede, der får et produkt til at se bedre ud, end det er, er vildledende på samme måde som et retoucheret foto. Læs mere om, hvornår AI-indhold skal mærkes, i Etisk markedsføring med AI. Og AI laver fejl. AI-tekst kan lyde overbevisende og stadig være forkert, så tjek fakta, tal og kilder, før du udgiver.

Billeder og ophavsret: du skal eje dem eller have lov

Du må ikke tage et billede fra Google og bruge det på din hjemmeside, i en annonce eller i et nyhedsbrev. Det samme gælder musik i videoer og grafik fra andre. Brug egne billeder, materiale med en licens, der tillader kommerciel brug, eller materiale, du har købt rettighederne til. Gem dokumentationen.

Ved AI-billeder skal du læse værktøjets vilkår for kommerciel brug og være varsom med at efterligne genkendelige personer, varemærker eller andres værker.

Dark patterns og falsk travlhed

Kort svar: Nogle dark patterns er direkte ulovlige, fx falske nedtællinger og opdigtede anmeldelser. Andre er “kun” uetiske, men koster tillid.

Dark patterns er design og formuleringer, der skubber folk til valg, de ellers ikke ville træffe. Markedsføringslovens bilag 1 er en liste over handelspraksis, der altid er forbudt. En af dem er at sige i modstrid med sandheden, at et tilbud kun gælder i meget kort tid for at presse kunden til en hurtig beslutning. En nedtælling, der starter forfra, hver gang man genindlæser siden, er et klassisk eksempel. Det er også forbudt for en virksomhed at udgive sig for at være forbruger, og opdigtede kundeanmeldelser er vildledende.

Efter markedsføringslovens § 13 skal du desuden kunne dokumentere det, du påstår. Skriver du “Danmarks billigste” eller “testvinder”, skal du kunne bevise det.

Andre greb er ikke nødvendigvis ulovlige, men de skader tilliden:

• pop-ups, der dækker siden, før man har nået at læse noget
• “Nej tak, jeg vil ikke spare penge” som afvis-knap
• afmeldingslinks, der er svære at finde
• priser, hvor gebyrerne først dukker op til sidst

Tjekliste: GDPR og markedsføring for små virksomheder

Sådan har jeg gjort på min egen side

Jeg har prøvet at følge mine egne råd på sophussciera.dk:

• Ingen sporing. Siden bruger hverken statistik- eller annoncecookies. Cookiebanneret findes, fordi jeg gemmer et valg om introanimationen i 7 dage, og fordi man skal kunne se og ændre sine valg. “Acceptér” og “Afvis” står side om side.
• Ingen kontaktformular. Man skriver til mig på mail, så jeg indsamler ikke flere oplysninger end nødvendigt.
• En privatlivspolitik, der forklarer, hvad siden gemmer, og hvordan man klager til Datatilsynet. Den ligger under Privatliv og cookies.
• AI er mærket. På forsiden kan man føre musen over mit portræt og se en AI-version af mig. Der står direkte, at det er en AI-version, jeg lavede til en eksamen i AI-marketing.

Vil du se, hvordan jeg arbejder med analyse og strategi i praksis, kan du læse mine cases.

Ofte stillede spørgsmål

Kilder

• Datatilsynet: GDPR-univers for små virksomheder, Cookies og GDPR og Ny vejledning om direkte markedsføring (juni 2023)
• Digitaliseringsstyrelsen: Cookievejledningen
• Forbrugerombudsmanden: Skjult reklame på sociale medier og Vejledning om spamforbuddet (2021)
• Markedsføringsloven, § 6, § 10, § 13 og bilag 1
• Europa-Kommissionen: Transparency obligations under Article 50 of the AI Act
• Dansk Erhverv: Bruger du AI i din markedsføring? Nye regler gælder fra 2. august 2026
• Dansk Industri: Databeskyttelse (GDPR)
• EU-Domstolen: Fashion ID, sag C-40/17 (29. juli 2019)
• Undervisningsmateriale fra Hands-on Digital Markedsføring, Zealand, F2026

Første version: forår 2026. Opdateret 13. oktober 2026 med reglerne om AI-mærkning, reklamemarkering og retsgrundlag.