Jura · 7. november 2026 · 5 min læsning
Legitim interesse efter GDPR: de 3 prøvetrin
Art. 6, stk. 1, litra f GDPR forklaret: tretrinsprøve, eksempler fra marketing og salg, dokumentation og indsigelsesretten efter art. 21.
Den legitime interesse er det retsgrundlag, som mange virksomheder støtter sig til i marketing og salg. Det virker bekvemt, fordi hverken banner eller underskrift er nødvendigt. Men det er også det grundlag, der kræver mest eget arbejde: Du skal selv prøve, selv afveje og kunne dokumentere resultatet. Denne artikel forklarer reglen, de tre prøvetrin og de typiske snubletråde.
Hvad reglen siger
Art. 6, stk. 1, litra f GDPR tillader en behandling af personoplysninger, når den er „nødvendig for, at den dataansvarlige eller en tredjepart kan forfølge en legitim interesse“. Det gælder kun, hvis ikke den registreredes interesser eller grundlæggende rettigheder, som kræver beskyttelse af oplysninger, går forud. Myndigheder kan ikke påberåbe sig det ved udførelsen af deres opgaver. Ordlyden finder du i GDPR på EUR-Lex.
Grundlaget er ét af seks ligestillede. Det har ingen forrang for samtykket og er intet sikkerhedsnet, når samtykket mangler. Hvor loven for en proces kræver et samtykke, kan litra f ikke erstatte det. Det gælder især adgangen til slutudstyret, mere om det i Samtykke eller legitim interesse: sådan beslutter du.
De tre prøvetrin
EU-Domstolen prøver reglen i tre trin, som alle skal være opfyldt. Den har formuleret det sådan blandt andet i dommen af 4. oktober 2024 (EU-Domstolen, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).
| Trin | Spørgsmål | Typisk fejl |
|---|---|---|
| 1. Interesse | Forfølger du en legitim interesse? | Interessen kun påstået generelt („marketing“) |
| 2. Nødvendighed | Er behandlingen nødvendig dertil? | Flere data end nødvendigt, selv om det går med færre |
| 3. Afvejning | Går de registreredes interesser ikke forud? | De registreredes forventninger ikke overvejet |
Trin 1: interessen. Den skal være lovlig, klart angivet og faktisk til stede. EU-Domstolen har i den nævnte dom præciseret, at også en økonomisk interesse kan være en legitim interesse, så længe den ikke strider mod retten. Betragtning 47 nævner direkte markedsføring udtrykkeligt som en mulig legitim interesse.
Trin 2: nødvendigheden. Her spørger du, om der findes et mildere middel. Hvis du kan nå et mål med færre data, skal du tage færre data. Hvis virksomheden er nok for dig, har du ikke brug for en person. Det er princippet om dataminimering fra art. 5, stk. 1, litra c GDPR.
Trin 3: afvejningen. Du stiller din interesse over for de registreredes interesser. Målestok er ifølge betragtning 47 de registreredes rimelige forventninger, som følger af deres forhold til dig. Den, der er kunde, regner med et nyhedsbrev om lignende produkter. Den, der kun én gang har besøgt en side, regner ikke med en dossier. Jo mere følsomme dataene er, og jo dybere indgrebet er, desto snarere falder afvejningen ud imod dig.
Eksempler fra marketing og salg
De følgende tilfælde viser spændvidden. Om de holder i det enkelte tilfælde, afhænger af omstændighederne. Indplaceringen er ingen garanti.
- Postreklame til eksisterende kunder. Gælder ofte som forsvarlig, fordi kunder regner med det. Konkurrenceretten skal desuden passe.
- Svindelbekæmpelse og it-sikkerhed. Betragtning 47 nævner forebyggelse af svindel som en legitim interesse. Logs til afværgelse af angreb støtter virksomheder ofte på det.
- Virksomhedstilordning på hjemmesiden. Den, der kun slår netindehaveren op for en IP-adresse, behandler lidt og har et klart mål. Om en IP-adresse i det konkrete tilfælde er en personoplysning, forklarer IP-adresse og GDPR: er den personhenførbar?.
- Profiler af enkeltpersoner ud fra købte data. Her bliver afvejningen svær, fordi de registrerede ikke regner med det.
Ved henvendelsen efter et hjemmesidebesøg kommer konkurrenceretten til ved siden af GDPR. Hvad der dér gælder pr. land, står i Kold kundeakkvisition i B2B: hvad der er tilladt i DE, AT og CH.
Dokumentation: bevisbyrden ligger hos dig
Efter art. 5, stk. 2 GDPR skal du kunne bevise overholdelsen af principperne. For litra f betyder det i praksis:
- Angiv interessen i én sætning.
- Notér, hvorfor det ikke går med færre data.
- Skriv afvejningen op med de vigtigste argumenter, med dato og ansvarlig.
- Tag behandlingen med i din fortegnelse efter art. 30 GDPR, så vidt det er en pligt.
- Nævn den legitime interesse i privatlivspolitikken. Art. 13, stk. 1, litra d GDPR kræver ved dette grundlag angivelsen af interesserne.
- Prøv afvejningen igen, hvis formål, data eller teknik ændrer sig.
Indsigelse efter art. 21
Den, der støtter sig til litra f, skal indrømme en indsigelsesret. Der er to tilfælde (art. 21 GDPR):
- Generel indsigelse (stk. 1). Personen kan gøre indsigelse af grunde, der vedrører vedkommendes særlige situation. Du skal så afslutte behandlingen, medmindre du påviser tvingende legitime grunde, der går forud.
- Indsigelse mod direkte markedsføring (stk. 2 og 3). Her kræves ingen begrundelse. Efter en indsigelse må dataene ikke længere behandles til reklame.
Efter stk. 4 skal du senest ved den første kommunikation udtrykkeligt gøre opmærksom på denne ret, forståeligt og adskilt fra andre oplysninger.
Ofte stillede spørgsmål
Behøver jeg ingen information til de registrerede ved legitim interesse? Jo. Oplysningspligterne efter art. 13 og 14 GDPR gælder også da. Ved dette grundlag kommer det til, at du skal nævne de legitime interesser.
Rækker legitim interesse til cookies og trackingscripts? Til adgangen til slutudstyret som regel ikke. Dér gælder i Tyskland § 25 TDDDG og i Østrig § 165 Abs. 3 TKG 2021, begge kræver i princippet et samtykke. GDPR-grundlaget vedrører først den efterfølgende behandling. Mere om det i § 25 TDDDG: cookies og tracking i Tyskland.
Skal jeg nedskrive afvejningen? En fast form foreskriver GDPR ikke. På grund af bevispligten i art. 5, stk. 2 er en skriftlig dokumentation dog den sikre vej.
