GDPR-compliant messenger til virksomheder (2026): hvad leverandørerne faktisk dokumenterer

"Hvilken messenger er GDPR-compliant?" er et spørgsmål, som ingen leverandør ærligt kan svare på med "det er vi". GDPR lægger forpligtelserne på dig som dataansvarlig: Du skal have en databehandleraftale (art. 28), du skal vide, hvor dataene ligger, og om de forlader EU/EØS til et tredjeland, og du skal kunne slette og besvare anmodninger om indsigt. En messenger kan gøre disse forpligtelser mulige at opfylde – eller lade være. Et badge på en hjemmeside siger ikke mere end det.

Derfor gør denne guide noget andet end de sædvanlige lister. Den tager seks kontroller, som en databeskyttelsesrådgiver alligevel stiller, og anvender dem på tolv tjenester: de forbrugermessengere, som virksomheder faktisk bruger (WhatsApp, Signal, Telegram), forretningsmessengerne fra Schweiz og Tyskland (Threema Work, Teamwire, Wire, Stackfield), de selvhostede platforme (Element, Mattermost, Rocket.Chat) og de to pakkeløsninger (Microsoft Teams, Slack). Derefter kommer InterMIND, som vi selv bygger – efter de samme kriterier og med den samme kilderegel. Alle udsagn stammer fra leverandørens offentlige dokumentation, kontrolleret i august 2026 og linket til sidst.

Hertil kommer en syvende kontrol, som aldrig optræder på GDPR-lister, men betyder noget hver dag i et internationalt team: på hvilket sprog læser hvert medlem kanalen? En messenger, der kun gemmer beskeder på originalsproget, skubber oversættelsen over på den enkelte – og over på tjenester, der så behandler dataene endnu en gang.

De seks kontroller

Tysklands forbundsdatabeskyttelsesansvarlige (BfDI) udgiver udvælgelseskriterier for messengertjenester, den mest anvendelige offentlige målestok. De definerer end-to-end-kryptering som beskeder, der er "krypteret på afsenderens enhed og først dekrypteret igen på modtagerens enhed", opregner privatlivsindstillinger som adgang til adressebogen, profilsynlighed, læsekvitteringer, brugsanalyse og fejlrapportering og kræver, at kontosletning betyder, at data "slettes straks". Ved virksomhedsbrug kommer forpligtelserne efter art. 28 oven i. Samlet:

1. Databehandleraftale (DPA). Tilbyder leverandøren en – og står den i dokumentationen?
2. Enhed og serverplacering. Hvilket selskab er din kontraktpart, hvor ligger dataene, og er der en overførsel til tredjeland?
3. Kryptering. End-to-end, eller transport- og serverside? Begge dele er legitime – de skal blot nævnes ved navn.
4. Metadata og adressebog. Uploades adressebogen? Hvilke bruger- og enhedsdata indsamles, og hvem deles de med?
5. Sletning og opbevaring. Hvor ligger historikken, hvem sletter den, og hvad sker der, når en medarbejder forlader virksomheden?
6. Underdatabehandlere. Er de offentliggjort – også de tjenester, der bruges til AI-funktioner og oversættelse?

Plus den syvende: sprog pr. medlem.

Forbrugermessengerne på arbejdet

WhatsApp (og WhatsApp Business-appen)

• Kontraktpart: for EØS "WhatsApp Ireland Limited".
• Kryptering og lagring: beskeder er end-to-end-krypterede; "vi opbevarer ikke dine beskeder i det normale forløb, når vi leverer vores tjenester til dig. Når dine beskeder er leveret, slettes de fra vores servere." Historikken ligger derfor på medarbejdernes enheder og i deres backups.
• Metadata: der indsamles "oplysninger om din brug af vores tjenester", enhedsdata ("hardwaremodel, oplysninger om operativsystem, batteriniveau, signalstyrke") og eventuelt adressebogen ("upload af kontakter … fra din enheds adressebog med jævne mellemrum"). Data deles med "Meta-selskaber i USA og Irland" og overføres "globalt".
• DPA: appens privatlivspolitik nævner ingen databehandleraftale for virksomheder (kontrolleret i august 2026). Business-appen "er bygget med den lille virksomhedsejer i tankerne".
• Sprog: siden september 2025 kan en besked oversættes med et langt tryk – på enheden ("oversættelser sker på din enhed, hvor WhatsApp ikke kan se dem"). Android kan automatisk oversætte hele chats (seks sprog ved lanceringen), og iPhone bruger Apples oversættelse på 19+ sprog. Talebeskeder og opkald indgår ikke i meddelelsen.

Signal

• Kontraktpart: Signal Messenger LLC, Mountain View, Californien – en nonprofitorganisation.
• Kryptering: "Signal kan ikke dekryptere eller på anden måde få adgang til indholdet af dine beskeder eller opkald."
• Metadata: registrering med telefonnummer; tekniske data er begrænset "til det minimum, der er nødvendigt for at drive tjenesterne".
• DPA: ingen dokumenteret i Signals juridiske dokumenter (kontrolleret i august 2026).
• Sprog: ingen oversættelsesfunktion dokumenteret.

Telegram

• Kontraktpart og placering: "Telegram Messenger Inc." med "Telegram FZ-LLC, et koncernmedlem beliggende i Dubai"; for brugere i EU/EØS "gemmes dine data i datacentre i Nederlandene". GDPR-repræsentanten er European Data Protection Office (EDPO) i Bruxelles.
• Kryptering: cloud-chats er krypteret på serversiden – "alle data gemmes kraftigt krypteret, og krypteringsnøglerne opbevares i hvert enkelt tilfælde i flere andre datacentre i forskellige jurisdiktioner" – og kun hemmelige chats er end-to-end: "Hemmelige chats bruger end-to-end-kryptering."
• DPA: ikke dokumenteret i privatlivspolitikken (kontrolleret i august 2026).
• Sprog: "Alle brugere kan oversætte enkeltbeskeder"; Premium-brugere "kan oversætte hele chats, grupper og kanaler i realtid ved at trykke på Translate-bjælken øverst".

Alle tre er værktøjer, som teams reelt arbejder i. Fælles for dem er, at historikken tilhører enheden eller leverandørens cloud, ikke virksomheden – og at den DPA, som art. 28 kræver, ikke står i nogen af de tre dokumentationer.

Forretningsmessengere fra Schweiz og Tyskland

Threema Work

• Placering: Schweiz. Leverandøren oplyser, at en dataoverførsel fra EU til Schweiz er lovlig uden yderligere vurdering.
• Metadata: Threema Work "kræver ingen personoplysninger (såsom telefonnummer eller e-mailadresse)" og "kan bruges uden adgang til adressebogen".
• DPA: ifølge leverandøren opfylder Threema Work "kravene til databeskyttelseskonform behandling på vegne af en dataansvarlig efter GDPR og den schweiziske DSG".
• Prøveperiode: "30 dage, 30 brugere. Ingen automatisk fornyelse." Priser pr. bruger står ikke på siden.
• Sprog: ingen oversættelsesfunktion dokumenteret.

Teamwire

• Placering: "tysk offentlig cloud (IONOS, C5-certificeret)", "dedikeret privat cloud" eller "fuld on-premise-hosting"; "hosting i Tyskland i stedet for USA", "ingen lagring uden for EU".
• Certificeringer: "ISO 27001, BSI C5, TÜV-certificeret"; EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA og CER nævnes.
• Metadata: "ingen adgang til adressebogen" og "ingen analyse af kommunikationen".
• GDPR: leverandøren beskriver sig selv som "100 % GDPR-compliant" – en selvbeskrivelse, som databehandleraftalen fra sag til sag skal stå inde for. Ingen priser på siden.
• Sprog: ingen oversættelsesfunktion dokumenteret.

Wire

• Placering: "cloud, on-premises eller hybrid".
• Kryptering: MLS-protokol; "beskeder, filer og opkald er som standard fuldt E2EE"; videoopkald "med op til 200 deltagere", hver session end-to-end-krypteret.
• Certificeringer: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "fuldt ud i overensstemmelse med strenge databeskyttelsesregler, herunder GDPR" (selvbeskrivelse). Ingen priser pr. bruger på siden.
• Sprog: ingen oversættelsesfunktion dokumenteret.

Stackfield

• Placering: "al databehandling er begrænset til EU, og selve dataene ligger udelukkende i tyske datacentre"; selskabet er underlagt "udelukkende Tysklands og EU's jurisdiktion".
• Kryptering: "ægte end-to-end-kryptering" af beskeder, filer og opgaver.
• Certificeringer: ISO 27001, BSI C5.
• Meetings: lyd- og videokonferencer er inkluderet.
• Sprog: ingen oversættelsesfunktion dokumenteret.

De fire besvarer spørgsmålene om placering og kryptering så klart, som en leverandør kan. Det, ingen af dem dokumenterer, er en oversættelse, der lader en polsk, en portugisisk og en tysk kollega læse den samme kanal på deres eget sprog.

Selvhostede platforme

Element (Matrix)

• Kryptering: "hele platformen er som standard end-to-end-krypteret" – også Element Call til tale og video.
• Drift: Community gratis, selvhostet; Enterprise pr. plads pr. måned, selvhostet; Sovereign pr. deployment, air-gapped.
• Sprog: ingen oversættelsesfunktion dokumenteret – med end-to-end-kryptering findes der ikke noget sted på serversiden til en sådan.

Mattermost

• Drift: Professional og Enterprise som selvhostede årslicenser, pris efter aftale; Mattermost Cloud Enterprise som single-tenant-tilbud.
• Sprog: automatisk kanaloversættelse (beta, siden v11.5) på Enterprise Advanced: backend er "LibreTranslate: en selvhostet open source-maskinoversættelsesmotor" eller "Agents: bruger Mattermost Agents-pluginet med en konfigureret LLM-backend"; en brugers målsprog "bestemmes af deres Mattermost-visningssprog". Oversættelsen kører på din server.

Rocket.Chat

• Drift: Starter-planen er gratis, "selvadministreret, selvhostet", "til teknisk evaluering eller små teams på op til 50 brugere"; de betalte planer er Commercial, Government og Defense – on-premises, privat cloud eller air-gapped, pris efter aftale.
• Sprog: Auto-Translate pr. rum – "hver bruger modtager oversættelser baseret på sit eget valgte sprog" – via DeepL, Google Translate, Microsoft Translator eller LibreTranslate med en API-nøgle, som administratoren leverer. Beskedteksten går derfor til den udbyder, du har valgt – medmindre det er LibreTranslate på din egen host.

Nextcloud Talk hører til i samme gruppe: "en fuldt selvhostet, on-premises lyd-/video- og chatkommunikationstjeneste", med live-transskription og -oversættelse på din egen hardware (detaljer i sammenligningen af værktøjer til teamkommunikation).

Pakkeløsningerne: Microsoft Teams og Slack

Microsoft Teams

• DPA: "Når du abonnerer på et produkt under vilkårene på Product Terms-webstedet, er vilkårene for databehandling og sikkerhed defineret i Microsoft Online Services Data Protection Addendum (DPA)."
• Placering: Teams-data ligger "i den geografiske region, der er knyttet til din Microsoft 365- eller Office 365-organisation"; landespecifik residens (Tyskland, Frankrig, Italien, Norge, Polen, Sverige, Schweiz m.fl.) gælder "kun for nye tenants", eksisterende EU-tenants forbliver i EMEA-regionen. EU Data Boundary forpligter Microsoft til at lagre og behandle kundedata for Microsoft 365 inden for EU/EFTA – "med forbehold for begrænsede omstændigheder" med dokumenterede undtagelser; kunder med Multi-Geo er ikke omfattet.
• Sprog: chat- og kanalbeskeder oversættes efter anmodning eller automatisk ("Teams kan automatisk oversætte modtagne beskeder"), 100+ sprog, ingen licens nævnt; i meetings kræver oversatte undertekster arrangørens Teams Premium- eller Copilot-licens, og Interpreter-agenten (10 sprog) kræver en Copilot-licens pr. lytter, 20 timer om måneden. Detaljer: live-oversættelse i Teams.

Slack

• DPA: "Slack tilbyder en Data Processing Addendum, der supplerer kundens servicevilkår" – indgås via en formular og indgår ikke automatisk.
• Placering: dataresidens fra Business+: Frankfurt, Paris, Stockholm, Zürich, London. Omfattet: beskeder, canvases, filer og søgeindekset; ikke omfattet: medlemsprofiler og brugsanalyse. Free-planen beholder 90 dages beskedhistorik.
• Sprog: "Translate message" på Business+ og Enterprise+, efter anmodning pr. besked; "oversættelser er kun synlige for dig, så andre vil altid se den oprindelige besked."

InterMIND

Vi bygger et kommunikationsrum, hvor hvert medlem læser meetings, chat, dokumenter og sin historik på sit eget sprog – og måler det med de samme syv kontroller:

1. DPA: underskrevet pr. kunde – databehandlervilkår efter art. 28 med 30 dages varsel om nye underdatabehandlere og et brudvindue på 72 timer; en underskrevet kopi kan fås til indkøb (/legal/dpa).
2. Enhed og placering: drives af et estisk OÜ; runtime er i EU i hvert led – tale- og chatoversættelse på vores egen motor på dedikerede servere i Frankrig, meeting-orkestrering i Paris, database i Frankfurt, lagring og analyse i EU. Kortet, leverandør for leverandør: hvor et InterMIND-meeting faktisk kører.
3. Kryptering: transportkryptering – lyd og video over DTLS/SRTP, chat og filer over HTTPS/WSS og krypteret i hvile på vores servere. Ingen end-to-end-kryptering: oversættelse er behandling, og den sker på vores motor, ikke hos en tredjepart. Hvis E2EE vejer tungere end alt andet for dig, er Element, Wire eller Threema det bedre valg – det siger vi åbent.
4. Metadata og adressebog: ingen upload af adressebog; deltagere kommer ind via link, uden konto og uden telefonnummer.
5. Sletning og opbevaring: opbevaringskriteriet står i privatlivspolitikken – data bliver, indtil du eller din teamejer sletter dem; sletning af en konto sletter dens data. Vi har gennemgået vores egen kode op mod GDPR-forpligtelserne og dokumenteret, hvad vi har lukket: GDPR-audit.
6. Underdatabehandlere: offentliggjort med funktion og hjemsted for hver leverandør. Sprogmodeltrinnene (recap, dokumentresuméer, skriveassistent, Ask AI) kører på den AI-gateway, organisationen vælger – som standard Azure OpenAI i EU Data Zone, efter valg Vertex AI EU eller Amazon Bedrock Frankfurt – i InterMINDs egen tenant uden dataopbevaring og uden træning på kundeindhold; leverandørerne er amerikanske virksomheder med EU-regioner, hvilket fremgår af trust-siden. Dokumentoversættelse kører via DeepL som navngiven EU-underdatabehandler.
7. Sprog pr. medlem: chat og noter på 23 sprog, dokumenter på 30, live tale til alle deltagere på deres eget sprog – som rummets standardadfærd, uden tilkøb eller licenser pr. lytter. Kvaliteten offentliggøres månedligt pr. sprogpar: /benchmark.

Det, vi ikke påstår: et ISO-certifikat, vi endnu ikke har. Vores svar på tjeklisten er arkitektonisk og kan verificeres i koden; certificeringer står på køreplanen.

Overblikket

Hvilken messenger til hvilket tilfælde

• End-to-end-kryptering er dit første kriterium, og oversættelse er ligegyldig: Threema Work (Schweiz, intet telefonnummer), Wire (MLS, opkald inkluderet), Stackfield (tyske datacentre) eller Element (selvhostet, gratis i Community-udgaven).
• Alt skal køre på dine egne servere, og du har folkene til det: Rocket.Chat (gratis op til 50 brugere, oversættelse via din udbydernøgle), Mattermost Enterprise Advanced (beta-kanaloversættelse på din LibreTranslate eller LLM), Nextcloud Talk.
• Du er alligevel Microsoft- eller Slack-kunde: begge dokumenterer en DPA og EU-residens – Teams via tenant-region og EU Data Boundary, Slack fra Business+. Oversættelse sker pr. læser, efter anmodning; meeting-sproget i Teams hænger på Copilot-licenser.
• Teamet arbejder i WhatsApp, Signal eller Telegram: tjenester dokumenteret til privat kommunikation, delvist end-to-end-krypterede – men uden dokumenteret DPA, med historikken på enheder eller i leverandørens cloud og, hos WhatsApp, bruger- og enhedsdata på vej til Meta-selskaber i USA. En databeskyttelsesrådgiver vil stille spørgsmål, som dokumentationen ikke besvarer.
• Selve kanalen er flersproget – kolleger og kunder, der svarer hinanden på tre sprog, gæster uden dine licenser og et compliance-team, der vil kunne nævne placeringen ved navn: det er det, vi bygger InterMIND til – hvert medlem læser rummet på sit eget sprog, gæster kommer ind via link uden dine licenser; EU i hvert led, DPA pr. kunde og offentliggjorte underdatabehandlere er den ene linje til databeskyttelsesrådgiveren.

Se det i stedet for at læse om det

• Prøv livedemoen – uden tilmelding; tal, og hør rummet oversat pr. lytter på et af 23 sprog.
• Se benchmarken – oversættelseskvalitet pr. sprogpar, måned for måned, på reel trafik, med åben metode.
• Læs underdatabehandlerne – funktion og hjemsted for hver leverandør, uden at du behøver bede om det.

FAQ

Hvilke messengere er GDPR-compliant?

Ingen er det i sig selv – forpligtelserne ligger hos virksomheden. Det, der kan kontrolleres, er, om leverandøren gør dem mulige at opfylde: En DPA er dokumenteret af Microsoft Teams (via Product Terms), Slack (via en formular), Threema Work (leverandør: GDPR/DSG-konform behandling) og InterMIND (pr. kunde, art. 28); Teamwire og Wire beskriver sig selv som GDPR-compliant. For WhatsApp, Signal og Telegram nævner dokumentationen ingen DPA (kontrolleret i august 2026). Selvhostede tjenester – Element, Mattermost, Rocket.Chat, Nextcloud – flytter spørgsmålet ind i din egen drift.

Er Signal GDPR-compliant?

Signal dokumenterer end-to-end-kryptering ("Signal kan ikke dekryptere eller på anden måde få adgang til indholdet af dine beskeder eller opkald") og tekniske data begrænset til det nødvendige minimum; kontraktparten er Signal Messenger LLC i Californien, og registreringen sker med telefonnummer. De juridiske dokumenter nævner ingen databehandleraftale for virksomheder. Privat brug er et andet billede end virksomhedsbrug, som skal opfylde art. 28.

Er WhatsApp GDPR-compliant til erhvervsbrug?

WhatsApp Ireland dokumenterer end-to-end-kryptering og at leverede beskeder slettes fra serverne – og samtidig bruger- og enhedsdata, valgfri upload af adressebog og deling med "Meta-selskaber i USA og Irland". Privatlivspolitikken nævner ingen DPA for appen; Business-appen er ifølge leverandøren bygget til små virksomhedsejere. Den, der bruger WhatsApp i en virksomhed, må selv kunne begrunde disse punkter over for databeskyttelsesrådgiveren.

Er Telegram GDPR-compliant?

Telegram oplyser, at EU-data gemmes i Nederlandene, og nævner en EU-repræsentant (EDPO, Bruxelles); cloud-chats er krypteret på serversiden med nøgler "i flere andre datacentre i forskellige jurisdiktioner", kun hemmelige chats er end-to-end. Ingen DPA er dokumenteret. Det er en dokumenteret datasituation, ikke GDPR-compliance i art. 28-forstand.

Er Microsoft Teams GDPR-compliant?

Microsoft dokumenterer DPA'en som en del af Product Terms, lagring af Teams-data i tenantens region – landespecifik residens kun for nye tenants – og EU Data Boundary for Microsoft 365-kunder i EU/EFTA, med dokumenterede undtagelser. For virksomheder, der allerede bruger Teams, er det et solidt grundlag; oversættelsesfunktionerne i meetings afhænger af Copilot-licenser pr. arrangør og lytter.

Hvad skal en GDPR-compliant messenger til virksomheder tilbyde?

Seks dokumenterede svar i stedet for et badge: en DPA efter art. 28, en navngiven enhed og serverplacering uden uforklaret tredjelandsoverførsel, en navngiven krypteringsmodel, kontrol over adressebog og metadata, et sletningskoncept, der dækker en medarbejders afgang, og en offentliggjort liste over underdatabehandlere – også AI- og oversættelsestjenesterne. For internationale teams kommer et syvende punkt til: en messenger, der kun gemmer kanalen på originalsproget, skubber oversættelsen over på hver enkelt.

Findes der en gratis GDPR-compliant messenger til virksomheder?

Gratis og selvhostet: Rocket.Chat Starter (op til 50 brugere) og Element Community – GDPR-forpligtelserne ligger så helt i din egen drift. Threema Work tilbyder 30 dage for 30 brugere uden betalingsoplysninger. Med InterMIND er deltagelse gratis for alle deltagere – kom ind via link uden konto – og livedemoen kræver ingen tilmelding; det er værten, der betaler for rummet.

Kilder: BfDI – Udvælgelseskriterier for messengertjenester (tysk), WhatsApp – Privatlivspolitik (EØS), WhatsApp – Privatlivspolitik, WhatsApp-blog – Introducing message translations, WhatsApp Business-appen, Signal – Vilkår og privatlivspolitik, Telegram – Privatlivspolitik, Telegram-blog – Real-time translation, Threema – GDPR-compliant messenger (tysk), Teamwire – GDPR-compliant messenger (tysk), Wire – Wire vs. MS Teams (tysk), Stackfield – Alternativ til Microsoft Teams (tysk), Element – Priser, Mattermost – Priser, Mattermost – Set up Auto-translation (Beta), Rocket.Chat – Vores planer, Rocket.Chat – Auto-Translate messages, Nextcloud Talk, Microsoft – Products and Services Data Protection Addendum, Microsoft Learn – Location of data in Microsoft Teams, Microsoft Learn – What is the EU Data Boundary?, Microsoft – Translate a message in Microsoft Teams, Microsoft – Interpreter in Teams meetings and calls, Slack – Data Processing Addendum, Slack – Data residency for Slack, Slack – Priser, Slack – Guide to AI features in Slack. Leverandører ændrer med tiden planer, placeringer, funktioner og selvbeskrivelser; tjek deres sider for den aktuelle status. Alle fakta er kontrolleret i august 2026.