Hvem har brug for en databeskyttelsesrådgiver i EU? Udbydere & priser 2026

• DPO-pligt: Offentlige myndigheder eller omfattende overvågning/særlige data (art. 37 GDPR)
• EU-repræsentant efter art. 27 GDPR for ikke-EU-virksomheder med EU-kunder eller brugere
• Bøder op til 10 mio. € eller 2 % af global omsætning ved overtrædelse (art. 83 GDPR)
• REP27: EU-repræsentant for hele EØS fra 290 €/år, inkl. certifikat & mere
• Ydelsesomfang og tillægsgebyrer varierer meget mellem udbydere
• Ikke alle behøver DPO eller EU-repræsentant – se beslutningsmatrix

Opdateret 19 October 2026 · 6 kilder tjekket

Udbydere sammenlignet

Priser som offentliggjort på hver udbyders hjemmeside den 19 October 2026, eksklusive moms medmindre andet er angivet. Hver række linker til sin kilde.

Hvad kræver GDPR? (Artiklerne 27, 37, 83)

Databeskyttelsesforordningen (GDPR) skelner mellem to centrale roller: databeskyttelsesrådgiveren (DPO) og EU-repræsentanten. Begge pligter gælder for forskellige virksomheder og situationer:

• Databeskyttelsesrådgiver (DPO, art. 37-39): En DPO er obligatorisk for offentlige myndigheder samt virksomheder, hvis kerneaktivitet omfatter omfattende, systematisk overvågning af personer eller storstilet behandling af særlige kategorier af persondata (f.eks. helbredsdata, politiske holdninger). DPO’ens opgaver er fastlagt i art. 39 GDPR og omfatter rådgivning, overvågning af overholdelse, kontaktpunkt for myndigheder og registrerede samt støtte ved konsekvensanalyser.
• EU-repræsentant (art. 27): Virksomheder uden for EU, der tilbyder varer eller tjenesteydelser til personer i EU eller overvåger EU-borgeres adfærd (f.eks. tracking, analytics), skal udpege en skriftlig EU-repræsentant. Repræsentanten fungerer som kontaktpunkt for tilsynsmyndigheder og registrerede og fører art. 30-registeret over behandlinger, hvis udbyderen påtager sig det.

Pligten til at udpege en EU-repræsentant gælder ikke, hvis behandlingen kun sker lejlighedsvis, ikke omfatter særlige data, og der ikke er risiko for registreredes rettigheder og friheder. Udpegning af DPO er for mange små virksomheder ikke påkrævet, så længe der ikke er omfattende overvågning eller behandling af særlige kategorier.

Bøder: Manglende udpegning af EU-repræsentant kan straffes med op til 10 mio. € eller 2 % af den globale årlige omsætning (art. 83, stk. 4 GDPR). Den hollandske tilsynsmyndighed idømte eksempelvis Locatefamily.com en bøde på 525.000 € for manglende EU-repræsentation.

Pligten til udpegning af DPO er reguleret i art. 37 GDPR (kilde), opgaverne i art. 39 (kilde) og bøderne i art. 83 (kilde).

Hvordan vælger man den rette udbyder? Vigtige kriterier & sammenligning

Valget af en egnet EU-repræsentant eller DPO-udbyder er afgørende for overholdelse af reglerne. Tilbuddene varierer meget i ydelsesomfang, svartider og skjulte omkostninger. Følgende kriterier bør du undersøge:

• Accepterer udbyderen skriftligt opgaverne efter art. 27 GDPR? Et ægte mandat skal eksplicit påtage sig opgaver og pligter efter art. 27. En ren postadresse er ikke tilstrækkeligt.
• Hvem fører art. 30-registeret? GDPR kræver, at repræsentanten på anmodning stiller registeret over behandlinger til rådighed. Ikke alle udbydere påtager sig denne opgave.
• Svartider ved henvendelser: Hvor hurtigt videresendes henvendelser fra tilsynsmyndigheder eller registrerede? Et ”best-efforts”-løfte uden frist er risikabelt. REP27 garanterer f.eks. videresendelse inden for 2 hverdage (standard: samme dag ved myndighedsanmodninger).
• Sprog: Håndteres henvendelser på flere EU-sprog? REP27 tilbyder et desk på 8 sprog, mange basisudbud kun på engelsk.
• Tillægsgebyrer: Er alle ydelser inkluderet i prisen, eller er der gebyrer pr. henvendelse, sprog eller for registerføring?

En direkte sammenligning:

Bed altid om udpegelsesbrevet og kontroller, at opgaverne efter art. 27 eksplicit påtages. Få ydelsesomfang og prisstruktur skriftligt bekræftet på forhånd.

Hvad er inkluderet i prisen? Hvor lurer skjulte omkostninger?

Prisstrukturer for EU-repræsentanter og DPO-tjenester varierer meget. Mange udbydere lokker med lave startpriser, men opkræver ekstra gebyrer for hver henvendelse fra registrerede eller myndigheder (typisk €25–90 pr. henvendelse). Også føring af art. 30-registeret afregnes ofte særskilt (€100–400/år). Hos REP27 er alle henvendelser inkluderet fra Standard-tarif, register føres, og der er ingen skjulte gebyrer. Tjek især:

• Om prisen gælder pr. henvendelse eller ubegrænsede henvendelser
• Om art. 30-registeret er inkluderet
• Om fornyelse bliver dyrere (hos REP27 falder prisen næste år)
• Om ekstra sprog koster ekstra

Nogle udbydere tilbyder kun en postadresse uden reel overtagelse af lovpligtige opgaver. Det er ikke i overensstemmelse med loven og kan medføre bøder. Følgende oversigt viser typiske prisfælder:

Læs det med småt og bed om fuldstændig ydelsesoversigt, før du binder dig.

Hvordan foregår udpegningen? Trin-for-trin guide & beslutningsmatrix

Udpegning af EU-repræsentant eller DPO følger hos seriøse udbydere en klar proces. Så sikrer du, at alle lovkrav opfyldes:

1. Undersøg, om du har brug for EU-repræsentant eller DPO (se matrix nedenfor).
2. Sammenlign udbydere og bed om udpegelsesbrev til gennemgang.
3. Udfyld onboardingformular (oplysninger om virksomhed, databehandling, kontaktpersoner).
4. Modtag modtegning og certifikat (hos REP27 inden for 24 timer).
5. Offentliggør repræsentantens kontaktoplysninger i din privatlivspolitik (art. 13/14 GDPR).
6. Hav art. 30-registeret klar (eller lad udbyderen føre det).
7. Om nødvendigt: Gennemfør gratis schweizisk repræsentationskontrol (REP27).

Beslutningsmatrix:

Denne matrix hjælper med at undgå fejlinvesteringer og vælge den rette compliance-løsning præcist.

Dagens tjekliste:

1. Undersøg, om du falder under art. 27 eller art. 37 GDPR.
2. Sammenlign mindst tre udbydere (ydelser, pris, tillægsgebyrer).
3. Bed om udpegelsesbrev og kontroller opgaveovertagelse.
4. Spørg til føring af art. 30-register og svartider.
5. Bestil tjenesten og dokumentér udpegningen.
6. Opdater din privatlivspolitik og interne processer.

Hvad udbydere ofte ikke fortæller: Undtagelser, opsigelse, ansvar

Mange udbydere undlader vigtige detaljer i markedsføringen, som er afgørende i praksis:

• Ingen juridisk rådgivning: En EU-repræsentant må ikke yde juridisk rådgivning som led i repræsentationen. Juridiske spørgsmål kræver separat advokat eller DPO.
• Ansvar forbliver hos kunden: Ifølge art. 27(5) GDPR forbliver ansvaret for databeskyttelsesovertrædelser altid hos den dataansvarlige eller databehandleren. Repræsentanten er kun kontaktpunkt og hæfter ikke for kundens fejl.
• Opsigelsesvarsler og automatisk forlængelse: Opsigelsesbetingelser varierer. Hos REP27 kan opsigelse ske med 30 dages varsel før forlængelse. Undersøg, hvordan overdragelse af henvendelser og registre håndteres.
• Gebyrer pr. henvendelse: Mange udbydere opkræver ekstra gebyrer for hver henvendelse fra registrerede eller myndigheder, som står i det med småt. Hos REP27 Standard og Multi er alle henvendelser inkluderet.
• Sprog og desk: Et EU-omfattende tilbud er ofte kun på engelsk. REP27 tilbyder desk på 8 sprog, hvilket letter opfyldelse af lovkrav.
• Ingen overtagelse af særlig produktansvar: Rollen som GPSR-ansvarlig eller CE-autoriseret repræsentant er kun inkluderet i REP27 Multi, ikke i Basis-tariffen.

Læs betingelser og udpegelsesbrev grundigt. Kontroller, om udbyderen garanterer overdragelse af dokumenter ved skift.

Tre realistiske scenarier: Sådan opfylder du pligten korrekt

1. US SaaS-udbyder med EU-kunder: Et amerikansk softwarefirma tilbyder en cloud-løsning til EU-kunder. Der behandles ikke særlige data, men brugernes aktiviteter overvåges (f.eks. login, brugstatistik). Resultat: EU-repræsentant efter art. 27 GDPR er påkrævet. DPO er kun nødvendig ved omfattende overvågning eller behandling af særlige data. Den billigste og lovlige løsning: REP27 Standard – alle henvendelser inkluderet, register føres, desk på 8 sprog.
2. Kinesisk Amazon-sælger: En sælger fra Kina sælger via Amazon.de til EU-kunder. Han har brug for en EU-repræsentant (art. 27 GDPR) og evt. en GPSR-ansvarlig for produktkonformitet. DPO er ikke påkrævet, så længe der ikke er omfattende overvågning eller behandling af særlige data. Kompletløsningen: REP27 Multi – EU-repræsentant og GPSR-ansvarlig i én kontrakt, én kontaktperson, ét certifikat.
3. UK webshop uden EU-kunder: En britisk webshop sælger udelukkende til kunder i Storbritannien og behandler ikke data om EU-borgere. Resultat: Ingen pligt til at udpege EU-repræsentant eller DPO. Pligten opstår først ved målrettet henvendelse eller levering til EU-kunder.

Disse scenarier viser, hvor vigtigt det er at undersøge sin forretningsmodel. Den, der målrettet henvender sig til EU-kunder eller overvåger deres adfærd, skal udpege en EU-repræsentant – uanset virksomhedens størrelse.