# Besøgergenkendelse og GDPR: en nøgtern indplacering

> Besøgergenkendelse og GDPR i DE, AT og CH: to prøvetrin, samtykke eller legitim interesse og en tjekliste til driftsherrer.

Quelle: https://whovisit.app/da/blog/besogergenkendelse-gdpr-indplacering
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Den, der informerer sig om besøgergenkendelse, læser modstridende udsagn. De ene udbydere siger, at et samtykke altid er nødvendigt. De andre lover, at man med deres løsning slet ikke behøver noget. Begge dele er for generelle. Denne artikel viser de prøvetrin, hvormed du selv kan forberede spørgsmålet for din hjemmeside. Den er en indplacering og ingen juridisk rådgivning. Den erstatter ikke kontrollen fra dine databeskyttelsesrådgivere eller advokater.

Kildernes stand: 06.11.2026. Kontrollér den aktuelle ordlyd, før du beslutter dig.

## To adskilte prøver

Besøgergenkendelse rejser to spørgsmål, som ofte blandes sammen:

1. **Må scriptet få adgang til den besøgendes enhed?** Det regulerer i Tyskland [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html), i Østrig [§ 165 Abs. 3 TKG 2021](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678). Begge regler stammer fra e-databeskyttelsesdirektivet (ePrivacy). Der må i princippet kun gemmes eller udlæses med samtykke, medmindre adgangen er strengt nødvendig, for at en udtrykkeligt ønsket tjeneste kan fungere.
2. **Må behandlingen af dataene finde sted?** Det besvarer [GDPR](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), hvis der er tale om personoplysninger. Du har brug for et retsgrundlag efter art. 6, stk. 1, for eksempel samtykke (litra a) eller legitim interesse (litra f).

Begge prøver gælder ved siden af hinanden. En legitim interesse efter GDPR erstatter ikke et samtykke til adgangen til enheden. Omvendt gør et samtykke til scriptet ikke automatisk behandlingen lovlig, hvis den rækker ud over det, der blev samtykket til.

Et script, der slet ikke gemmer eller udlæser noget på enheden, berører under omstændigheder ikke det første spørgsmål. Om det er tilfældet, afhænger af teknikken og vurderes forskelligt. Spørg din udbyder konkret, hvad scriptet gør. Lad dig få det beskrevet skriftligt.

## Er IP-adressen en personoplysning?

Kort sagt: ofte ja. EU-Domstolen har i sagen [C-582/14 (Breyer)](https://curia.europa.eu/juris/liste.jsf?num=C-582/14) afgjort, at også en dynamisk IP-adresse kan være en personoplysning, hvis driftsherren har retlige midler til via tredjeparter (for eksempel adgangsudbyderen) at nå frem til personen. Spørgsmålet afhænger altså af det enkelte tilfælde. Myndigheder sætter tærsklen snarere lavt. Den udførlige version finder du i [IP-adresse og GDPR: er den personhenførbar?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

For besøgergenkendelse betyder det: Regn med, at allerede det øjeblik tæller, hvor adressen ankommer til serveren, også selv om den bagefter kasseres.

## Virksomhed, person, pseudonym

Besøgergenkendelse i B2B hævder kun at genkende virksomheder og ikke personer. Det er en god tilgang, men ikke et frikort:

- **Virksomhedsniveauet hjælper.** Hvis resultatet er navnet på en virksomhed, står der til sidst ingen enkeltperson. Det sænker risikoen, især ved analysen.
- **Enkeltmandsvirksomheder, freelancere og små kontorer** er virksomhed og person på én gang. Et resultat som "Schmidt Beratung" kan referere til en bestemt person.
- **Hjemmekontor.** Den, der surfer hjemmefra via en firma-VPN, dukker op som virksomhed, selv om en bestemt person står bag. Mere om det i [Hjemmekontor, VPN og mobilnet: hvem du ikke ser](https://whovisit.app/blog/homeoffice-vpn-mobilfunk-besuchererkennung).
- **Sammenkobling.** Så snart du til virksomheden søger en kontaktperson eller fører adfærden sammen med andre data, kan der opstå personhenførbarhed.
- **Pseudonymisering** er en beskyttelsesforanstaltning, ingen udvej. Pseudonymiserede data forbliver personoplysninger, så længe personen kan bestemmes med yderligere oplysninger.

Den, der bruger musevideoer eller adfærdsprofiler, rykker endnu tættere på personen. Dertil: [Session replay og databeskyttelse: brug musevideoer rigtigt](https://whovisit.app/blog/mausvideos-website-datenschutz).

## Roller og aftaler

- **Du som driftsherre af hjemmesiden** er som regel dataansvarlig i GDPR's forstand. Du beslutter, om og til hvad dataene indsamles.
- **Udbyderen af besøgergenkendelsen** behandler som regel dataene på dine vegne og er så databehandler. Dertil har du brug for en aftale efter art. 28 GDPR. Kontrollér, om udbyderen også bruger dataene til egne formål, for så ændrer rollen sig.
- **Underdatabehandlere** (hostingudbydere, databaser, udbydere af virksomhedsdata) skal være opført og bundet kontraktligt. Spørg til serverplaceringen og til, om data flyder til tredjelande.

## Oplysningspligter

Besøgende skal få at vide, hvad der sker. Privatlivspolitikken bør mindst indeholde:

- at en besøgergenkendelse anvendes, og til hvad
- hvilke data der behandles (for eksempel viste sider, tidspunkter, oprindelse, opholdstid)
- retsgrundlaget
- hvor længe dataene gemmes
- modtageren eller kategorien af modtagere, altså din udbyder
- de registreredes rettigheder: indsigt, sletning, indsigelse, klage til tilsynsmyndigheden

En generel sætning om "webanalyse" er ikke nok, hvis der står en virksomhedstilordning bagved. Beskriv den som et eget punkt.

## Schweiz

Schweiz har med den [reviderede databeskyttelseslov (revDSG)](https://www.fedlex.admin.ch/eli/cc/2022/491/de) egne regler, der gælder siden 1. september 2023. De er mindre samtykkecentrerede, til gengæld gennemsigtighedsorienterede:

- Du skal passende informere registrerede om indhentningen og behandlingen af deres personoplysninger.
- Behandlingen skal være proportional og formålsbunden.
- Gør nogen udtrykkeligt indsigelse, må vedkommendes data kun behandles videre ved en retfærdiggørelsesgrund.
- For cookies og lignende teknikker kommer oplysningspligter fra telekommunikationsretten til.

Gælder dit tilbud også for besøgende fra EU, kan GDPR desuden komme i anvendelse.

## Tjekliste for driftsherrer

1. Beskriv skriftligt, hvilke data løsningen indsamler, hvornår og hvor de gemmes.
2. Afklar, om scriptet får adgang til slutudstyret. Beslut så, om du indhenter et samtykke dertil.
3. Vælg et retsgrundlag til behandlingen, og dokumentér afvejningen.
4. Indgå en databehandleraftale, og lad dig nævne underdatabehandlerne.
5. Kontrollér serverplaceringen og mulige overførsler til tredjelande.
6. Supplér privatlivspolitikken med et eget afsnit.
7. Fastlæg opbevaringsfrister, og kontrollér, at der slettes.
8. Spær følsomme områder som kasse, konto og formularer med helbredsdata.
9. Indret en vej til at behandle ønsker om indsigt og sletning.
10. Beslut, om en konsekvensanalyse vedrørende databeskyttelse er nødvendig. Notér resultatet.
11. Før behandlingen ind i fortegnelsen over behandlingsaktiviteter.

Hvordan du lægger udvælgelsesforløbet an, viser [Sammenlign besøgergenkendelse: 12 kriterier for valget](https://whovisit.app/blog/besuchererkennung-vergleich-kriterien).

## Åbne spørgsmål til din juridiske rådgivning

Nogle punkter er ikke endeligt afklaret eller afhænger af dit tilfælde. Tag dem med:

- Rækker et samtykke til kategorien "statistik" til adgangen til enheden, eller kræves der et eget samtykke?
- Er den legitime interesse bæredygtig for en virksomhedstilordning? Hvordan falder afvejningen ud ved små virksomheder og enkeltmandsvirksomheder?
- Fra hvilken størrelse eller retsform er et resultat entydigt "ikke personhenførbart"?
- Hvor nøjagtigt skal de besøgende informeres om virksomhedstilordningen?
- Hvordan håndterer du indsigelser, når IP-adressen ikke gemmes?

Et svar findes kun i det enkelte tilfælde. Den, der generelt lover dig, at der ikke bliver nogen juridisk risiko tilbage, sælger dig en garanti, som ingen kan give.

## Hvordan en udbyder kan håndtere det

Som eksempel fra praksis: Whovisit kasserer IP-adressen efter forespørgslen, gemmer kun virksomheder og institutioner og sætter ingen cookie. Hvor dataene ligger, og hvem der er involveret, står på siden [Databeskyttelsesprincip](https://whovisit.app/datenschutz-prinzip). Hvor længe hvad gemmes, står i hjælpen under [Opbevaring og sletning](https://whovisit.app/hilfe/datenschutz-und-aufbewahrung). Om det rækker til din hjemmeside, afgør du sammen med din juridiske rådgivning.

## Kort opsummeret

Prøv besøgergenkendelse i to trin: adgang til enheden og behandling. Virksomhedsniveauet mindsker risikoen, men fjerner den ikke. Afklar roller og aftaler, informér selvstændigt og slet tidligt. Og tag de åbne spørgsmål med til en samtale med en, der kender din forretning.