GDPR-kompatibel meldingstjeneste for bedrifter (2026): hva leverandørene faktisk dokumenterer

«Hvilken meldingstjeneste er GDPR-kompatibel?» er et spørsmål ingen leverandør kan svare ærlig på med «det er vi». GDPR legger pliktene på deg, den behandlingsansvarlige: du trenger en databehandleravtale (art. 28), du må vite hvor dataene ligger og om de går videre til et tredjeland, og du må kunne slette og besvare innsynsforespørsler. En meldingstjeneste kan gjøre disse pliktene mulige å oppfylle, eller la være. Et merke på en forside sier ikke noe mer enn det.

Denne guiden gjør derfor noe annet enn de vanlige listene. Den tar seks sjekker et personvernombud uansett stiller, og anvender dem på tolv tjenester: forbrukermeldingstjenestene som bedrifter faktisk bruker (WhatsApp, Signal, Telegram), forretningstjenestene fra Sveits og Tyskland (Threema Work, Teamwire, Wire, Stackfield), de selvhostede plattformene (Element, Mattermost, Rocket.Chat) og de to pakkeløsningene (Microsoft Teams, Slack). Deretter kommer InterMIND, som vi bygger selv, vurdert etter de samme kriteriene og med samme kilderegel. Hver påstand kommer fra leverandørens offentlige dokumentasjon, kontrollert i august 2026 og lenket til på slutten.

En sjuende sjekk kommer i tillegg. Den står aldri på GDPR-lister, men betyr noe hver dag i et internasjonalt team: på hvilket språk leser hvert medlem kanalen? En meldingstjeneste som bare lagrer meldinger på originalspråket, skyver oversettelsen over på den enkelte, og over på tjenester som da behandler dataene på nytt.

De seks sjekkene

Tysklands forbundskommissær for personvern (BfDI) publiserer utvalgskriterier for meldingstjenester, den mest brukbare offentlige målestokken. Kommissæren definerer ende-til-ende-kryptering som meldinger «kryptert på avsenderens enhet og først dekryptert igjen på mottakerens enhet». Kriteriene lister opp personverninnstillinger som tilgang til adresseboken, profilsynlighet, lesekvitteringer, bruksanalyse og feilrapportering, og krever kontosletting der data «slettes umiddelbart». For bedriftsbruk kommer pliktene etter art. 28 i tillegg. Samlet:

1. Databehandleravtale (DPA). Tilbyr leverandøren en, og står den i dokumentasjonen?
2. Enhet og serverlokasjon. Hvilket selskap er din avtalepart, hvor ligger dataene, og skjer det en overføring til tredjeland?
3. Kryptering. Ende-til-ende, eller transport og serverside? Begge deler er legitime, men de må oppgis.
4. Metadata og adressebok. Lastes adresseboken opp? Hvilke bruks- og enhetsdata samles inn, og hvem deles de med?
5. Sletting og lagring. Hvor ligger historikken, hvem sletter den, og hva skjer når en ansatt slutter?
6. Underleverandører. Er de publisert, inkludert tjenestene som brukes til AI-funksjoner og oversettelse?

I tillegg den sjuende: språk per medlem.

Forbrukermeldingstjenestene på jobb

WhatsApp (og WhatsApp Business-appen)

• Avtalepart: for EØS «WhatsApp Ireland Limited».
• Kryptering og lagring: meldinger er ende-til-ende-kryptert. «Vi beholder ikke meldingene dine i det ordinære arbeidet med å levere tjenestene våre til deg. Når meldingene dine er levert, slettes de fra serverne våre.» Historikken ligger dermed på de ansattes enheter og i sikkerhetskopiene deres.
• Metadata: det samles inn «informasjon om din bruk av tjenestene våre», enhetsdata («maskinvaremodell, informasjon om operativsystem, batterinivå, signalstyrke») og, valgfritt, adresseboken («opplasting av kontakter … fra enhetens adressebok med jevne mellomrom»). Data deles med «Meta-selskaper i USA og Irland» og overføres «globalt».
• DPA: appens personvernerklæring nevner ingen databehandleravtale for bedrifter (kontrollert i august 2026). Business-appen «er bygget med den lille bedriftseieren i tankene».
• Språk: siden september 2025 kan en melding oversettes med et langt trykk, på enheten («oversettelser skjer på enheten din, der WhatsApp ikke kan se dem»). Android kan oversette hele samtaler automatisk (seks språk ved lansering), og iPhone bruker Apples oversettelse på 19+ språk. Talemeldinger og samtaler er ikke en del av kunngjøringen.

Signal

• Avtalepart: Signal Messenger LLC, Mountain View, California, en ideell organisasjon.
• Kryptering: «Signal kan ikke dekryptere eller på annen måte få tilgang til innholdet i meldingene eller samtalene dine.»
• Metadata: registrering med telefonnummer. Tekniske data begrenses «til det minimum som kreves for å drive tjenestene».
• DPA: ingen dokumentert i Signals juridiske dokumenter (kontrollert i august 2026).
• Språk: ingen oversettelsesfunksjon dokumentert.

Telegram

• Avtalepart og lokasjon: «Telegram Messenger Inc.», med «Telegram FZ-LLC, et gruppemedlem lokalisert i Dubai». For EU/EØS-brukere er «dataene dine lagret i datasentre i Nederland». GDPR-representanten er European Data Protection Office (EDPO) i Brussel.
• Kryptering: skysamtaler er kryptert på serversiden («alle data lagres kraftig kryptert, og krypteringsnøklene lagres i hvert tilfelle i flere andre datasentre i ulike jurisdiksjoner»), og bare hemmelige samtaler er ende-til-ende: «Hemmelige samtaler bruker ende-til-ende-kryptering.»
• DPA: ikke dokumentert i personvernerklæringen (kontrollert i august 2026).
• Språk: «Alle brukere kan oversette enkeltmeldinger». Premium-brukere «kan oversette hele samtaler, grupper og kanaler i sanntid ved å trykke på Oversett-linjen øverst».

Alle tre er verktøy som team virkelig jobber i. Det de har til felles: historikken tilhører enheten eller leverandørens sky, ikke selskapet, og DPA-en som art. 28 krever, finnes ikke i noen av de tre dokumentasjonene.

Forretningsmeldingstjenester fra Sveits og Tyskland

Threema Work

• Lokasjon: Sveits. Leverandøren oppgir at dataoverføring fra EU til Sveits er rettslig tillatt uten ytterligere vurdering.
• Metadata: Threema Work «krever ingen personopplysninger (som telefonnummer eller e-postadresse)» og «kan brukes uten tilgang til adresseboken».
• DPA: ifølge leverandøren «oppfyller Threema Work kravene til databeskyttelseskompatibel behandling på vegne av en behandlingsansvarlig etter GDPR og sveitsiske DSG».
• Prøveperiode: «30 dager, 30 brukere. Ingen automatisk fornyelse.» Priser per bruker står ikke på siden.
• Språk: ingen oversettelsesfunksjon dokumentert.

Teamwire

• Lokasjon: «tysk offentlig sky (IONOS, C5-sertifisert)», «dedikert privat sky» eller «full on-premise-hosting». «Hosting i Tyskland i stedet for USA», «ingen lagring utenfor EU».
• Sertifiseringer: «ISO 27001, BSI C5, TÜV-sertifisert». EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA og CER nevnes.
• Metadata: «ingen tilgang til adresseboken» og «ingen analyse av kommunikasjon».
• GDPR: leverandøren beskriver seg selv som «100 % GDPR-kompatibel». Det er en selvbeskrivelse som DPA-en må innfri fra sak til sak. Ingen priser på siden.
• Språk: ingen oversettelsesfunksjon dokumentert.

Wire

• Lokasjon: «sky, on-premises eller hybrid».
• Kryptering: MLS-protokoll. «Meldinger, filer og samtaler er fullt E2EE som standard». Videosamtaler «med opptil 200 deltakere», hver økt ende-til-ende-kryptert.
• Sertifiseringer: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: «fullt i samsvar med strenge databeskyttelsesregler, inkludert GDPR» (selvbeskrivelse). Ingen priser per bruker på siden.
• Språk: ingen oversettelsesfunksjon dokumentert.

Stackfield

• Lokasjon: «all databehandling er begrenset til EU, og selve dataene ligger utelukkende i tyske datasentre». Selskapet er underlagt «utelukkende jurisdiksjonen i Tyskland og EU».
• Kryptering: «ekte ende-til-ende-kryptering» for meldinger, filer og oppgaver.
• Sertifiseringer: ISO 27001, BSI C5.
• Møter: lyd- og videokonferanser inkludert.
• Språk: ingen oversettelsesfunksjon dokumentert.

De fire svarer på spørsmålene om lokasjon og kryptering så tydelig som en leverandør kan. Det ingen av dem dokumenterer, er en oversettelse som lar en polsk, en portugisisk og en tysk kollega lese den samme kanalen på sitt eget språk.

Selvhostede plattformer

Element (Matrix)

• Kryptering: «hele plattformen er ende-til-ende-kryptert som standard», inkludert Element Call for tale og video.
• Drift: Community gratis, selvhostet. Enterprise per sete per måned, selvhostet. Sovereign per utrulling, air-gapped.
• Språk: ingen oversettelsesfunksjon dokumentert. Med ende-til-ende-kryptering finnes det ikke noe sted på serversiden å gjøre det.

Mattermost

• Drift: Professional og Enterprise som selvhostede årslisenser, pris på forespørsel. Mattermost Cloud Enterprise som tilbud med én leietaker.
• Språk: automatisk kanaloversettelse (beta, siden v11.5) på Enterprise Advanced. Backend er «LibreTranslate: en selvhostet maskinoversettelsesmotor med åpen kildekode» eller «Agents: bruker Mattermost Agents-pluginen med en konfigurert LLM-backend». Brukerens målspråk «bestemmes av Mattermost-visningsspråket deres». Oversettelsen kjører på din server.

Rocket.Chat

• Drift: Starter-planen er gratis, «selvadministrert, selvhostet», «for teknisk evaluering eller små team på opptil 50 brukere». Betalte planer er Commercial, Government og Defense, med on-premises, privat sky eller air-gapped, pris på forespørsel.
• Språk: Auto-Translate per rom («hver bruker får oversettelser basert på sitt eget valgte språk») via DeepL, Google Translate, Microsoft Translator eller LibreTranslate, med en API-nøkkel administratoren oppgir. Meldingsteksten går dermed til leverandøren du har valgt, med mindre det er LibreTranslate på din egen vert.

Nextcloud Talk hører hjemme i samme gruppe: «en fullt selvhostet, on-premises lyd-/video- og chattekommunikasjonstjeneste», med live transkripsjon og oversettelse på din egen maskinvare (detaljer i sammenligningen av kommunikasjonsverktøy for team).

Pakkeløsningene: Microsoft Teams og Slack

Microsoft Teams

• DPA: «Når du abonnerer på et produkt under vilkårene på Product Terms-siden, er vilkårene for databehandling og sikkerhet definert i Microsoft Online Services Data Protection Addendum (DPA).»
• Lokasjon: Teams-data ligger «i den geografiske regionen som er knyttet til Microsoft 365- eller Office 365-organisasjonen din». Landsresidens (Tyskland, Frankrike, Italia, Norge, Polen, Sverige, Sveits og andre) gjelder «kun for nye tenants», og eksisterende EU-tenants blir i EMEA-regionen. EU Data Boundary forplikter Microsoft til å lagre og behandle kundedata for Microsoft 365 innenfor EU/EFTA, «med forbehold for begrensede omstendigheter» med dokumenterte unntak. Kunder med Multi-Geo faller utenfor.
• Språk: chat- og kanalmeldinger oversettes på forespørsel eller automatisk («Teams kan oversette mottatte meldinger automatisk»), 100+ språk, ingen lisens nevnt. I møter krever oversatte undertekster arrangørens Teams Premium- eller Copilot-lisens, og Interpreter-agenten (10 språk) krever en Copilot-lisens per lytter, 20 timer i måneden. Detaljer: Teams live translation.

Slack

• DPA: «Slack tilbyr et Data Processing Addendum som supplerer kundens bruksvilkår», inngått via et skjema og ikke innlemmet automatisk.
• Lokasjon: dataresidens fra Business+: Frankfurt, Paris, Stockholm, Zürich, London. Dekket: meldinger, canvases, filer og søkeindeksen. Ikke dekket: medlemsprofiler og bruksanalyse. Free-planen beholder 90 dagers meldingshistorikk.
• Språk: «Translate message» på Business+ og Enterprise+, på forespørsel per melding. «Oversettelser er bare synlige for deg, så andre vil alltid se originalmeldingen.»

InterMIND

Vi bygger et kommunikasjonsrom der hvert medlem leser møter, chat, dokumenter og historikken sin på sitt eget språk, og vi måler oss mot de samme sju sjekkene:

1. DPA: signert per kunde, med databehandlervilkår etter art. 28, 30 dagers varsel om nye underleverandører og 72 timers frist for avviksmelding. En signert kopi er tilgjengelig for innkjøp (/legal/dpa).
2. Enhet og lokasjon: drevet av et estisk OÜ. Driften skjer i EU i hvert ledd: tale- og chatoversettelse på vår egen motor på dedikerte servere i Frankrike, møteorkestrering i Paris, database i Frankfurt, EU-basert lagring og analyse. Kartet, leverandør for leverandør: hvor ett InterMIND-møte faktisk kjører.
3. Kryptering: transportkryptering. Lyd og video går over DTLS/SRTP, chat og filer over HTTPS/WSS og er kryptert i hvile på serverne våre. Ingen ende-til-ende-kryptering: oversettelse er behandling, og den skjer på vår motor, ikke hos en tredjepart. Hvis E2EE veier tyngre enn alt annet for deg, passer Element, Wire eller Threema bedre, og det sier vi rett ut.
4. Metadata og adressebok: ingen opplasting av adressebok. Deltakere blir med via lenke, uten konto og uten telefonnummer.
5. Sletting og lagring: lagringskriteriet står i personvernerklæringen. Data blir værende til du eller teameieren din sletter dem, og sletting av en konto sletter dataene dens. Vi har revidert vår egen kode mot GDPR-pliktene og dokumentert hva vi lukket: GDPR-revisjon.
6. Underleverandører: publisert, med funksjon og hjemsted per leverandør. Språkmodelltrinnene (oppsummering, dokumentsammendrag, skriveassistent, Ask AI) kjører på AI-gatewayen organisasjonen velger: som standard Azure OpenAI i EU Data Zone, etter valg Vertex AI EU eller Amazon Bedrock Frankfurt. De kjører i InterMINDs egen tenant uten datalagring (zero data retention) og uten trening på kundeinnhold. Leverandørene er amerikanske selskaper som driver EU-regioner, oppgitt på trust-siden. Dokumentoversettelse går via DeepL som navngitt EU-underleverandør.
7. Språk per medlem: chat og notater på 23 språk, dokumenter på 30, live tale for hver deltaker på eget språk, som romets standardoppførsel, uten tilleggsprodukter eller lisenser per lytter. Kvaliteten publiseres månedlig per språkpar: /benchmark.

Det vi ikke påstår: et ISO-sertifikat vi ikke har ennå. Svaret vårt på sjekklisten er arkitektonisk og verifiserbart i koden. Sertifiseringer står på veikartet.

Oversikten

Hvilken meldingstjeneste for hvilket tilfelle

• Ende-til-ende-kryptering er det første kriteriet ditt, og oversettelse spiller ingen rolle: Threema Work (Sveits, uten telefonnummer), Wire (MLS, samtaler inkludert), Stackfield (tyske datasentre) eller Element (selvhostet, gratis i Community-utgaven).
• Alt må kjøre på dine egne servere, og du har folkene til det: Rocket.Chat (gratis til 50 brukere, oversettelse via leverandørnøkkelen din), Mattermost Enterprise Advanced (beta-kanaloversettelse på din LibreTranslate eller LLM), Nextcloud Talk.
• Du er uansett Microsoft- eller Slack-kunde: begge dokumenterer en DPA og EU-residens, Teams via tenant-region og EU Data Boundary, Slack fra Business+. Oversettelsen skjer per leser, på forespørsel. Møtespråket i Teams henger på Copilot-lisenser.
• Teamet jobber i WhatsApp, Signal eller Telegram: tjenester dokumentert for privat kommunikasjon, delvis ende-til-ende-kryptert, men uten dokumentert DPA, med historikken på enheter eller i leverandørens sky, og i WhatsApp med bruks- og enhetsdata som går til Meta-selskaper i USA. Et personvernombud vil stille spørsmål som dokumentasjonen ikke besvarer.
• Selve kanalen er flerspråklig: kolleger og kunder som svarer hverandre på tre språk, gjester uten dine lisenser, og et compliance-team som vil kunne navngi lokasjonen. Det er dette vi bygger InterMIND for: hvert medlem leser rommet på sitt eget språk, og gjester kommer inn via lenke uten dine lisenser. EU i hvert ledd, DPA per kunde og publiserte underleverandører er den ene linjen til personvernombudet.

Se det i stedet for å lese om det

• Prøv live-demoen: uten registrering. Snakk, og hør rommet oversatt per lytter på et av 23 språk.
• Se benchmarken: månedlig oversettelseskvalitet per språkpar på ekte trafikk, med åpen metodikk.
• Les underleverandørene: funksjon og hjemsted per leverandør, uten at du må be om det.

FAQ

Hvilke meldingstjenester er GDPR-kompatible?

Ingen er det i seg selv, for pliktene ligger hos selskapet. Det som kan kontrolleres, er om leverandøren gjør dem mulige å oppfylle. En DPA er dokumentert av Microsoft Teams (via Product Terms), Slack (via et skjema), Threema Work (leverandør: GDPR/DSG-kompatibel behandling) og InterMIND (per kunde, art. 28). Teamwire og Wire beskriver seg selv som GDPR-kompatible. For WhatsApp, Signal og Telegram nevner dokumentasjonen ingen DPA (kontrollert i august 2026). Selvhostede tjenester (Element, Mattermost, Rocket.Chat, Nextcloud) flytter spørsmålet inn i din egen drift.

Er Signal GDPR-kompatibel?

Signal dokumenterer ende-til-ende-kryptering («Signal kan ikke dekryptere eller på annen måte få tilgang til innholdet i meldingene eller samtalene dine») og tekniske data begrenset til et minimum. Avtalepart er Signal Messenger LLC i California, og registrering skjer med telefonnummer. De juridiske dokumentene nevner ingen databehandleravtale for bedrifter. Privat bruk er et annet bilde enn bedriftsbruk, som må oppfylle art. 28.

Er WhatsApp GDPR-kompatibel for forretningsbruk?

WhatsApp Ireland dokumenterer ende-til-ende-kryptering og at leverte meldinger slettes fra serverne, men samtidig også bruks- og enhetsdata, valgfri opplasting av adressebok og deling med «Meta-selskaper i USA og Irland». Personvernerklæringen nevner ingen DPA for appen, og Business-appen er ifølge leverandøren bygget for små bedriftseiere. Den som bruker WhatsApp i en bedrift, må selv begrunne disse punktene overfor personvernombudet.

Er Telegram GDPR-kompatibel?

Telegram oppgir at EU-data lagres i Nederland og navngir en EU-representant (EDPO, Brussel). Skysamtaler er kryptert på serversiden med nøkler «i flere andre datasentre i ulike jurisdiksjoner», og bare hemmelige samtaler er ende-til-ende. Ingen DPA er dokumentert. Det er en dokumentert datasituasjon, ikke GDPR-samsvar i art. 28-forstand.

Er Microsoft Teams GDPR-kompatibel?

Microsoft dokumenterer DPA-en som en del av Product Terms, lagring av Teams-data i tenantens region (landsresidens bare for nye tenants) og EU Data Boundary for Microsoft 365-kunder basert i EU/EFTA, med dokumenterte unntak. For selskaper som allerede bruker Teams er det et solid grunnlag. Oversettelsesfunksjonene i møter avhenger av Copilot-lisenser per arrangør og lytter.

Hva må en GDPR-kompatibel meldingstjeneste for bedrifter tilby?

Seks dokumenterte svar i stedet for et merke: en DPA etter art. 28, en navngitt enhet og serverlokasjon uten uforklart tredjelandsoverføring, en navngitt krypteringsmodell, kontroll over adressebok og metadata, et slettekonsept som dekker at en ansatt slutter, og en publisert liste over underleverandører, inkludert AI- og oversettelsestjenestene. For internasjonale team kommer et sjuende punkt i tillegg: en meldingstjeneste som lagrer kanalen bare på originalspråket, skyver oversettelsen over på hver enkelt.

Finnes det en gratis GDPR-kompatibel meldingstjeneste for bedrifter?

Gratis og selvhostet: Rocket.Chat Starter (opptil 50 brukere) og Element Community. GDPR-pliktene ligger da helt i din egen drift. Threema Work tilbyr 30 dager for 30 brukere uten betalingsopplysninger. Med InterMIND er deltakelse gratis for alle deltakere (bli med via lenke uten konto), og live-demoen krever ingen registrering. Verten betaler for rommet.

Kilder: BfDI — Utvalgskriterier for meldingstjenester (tysk), WhatsApp — Personvernerklæring (EØS), WhatsApp — Personvernerklæring, WhatsApp-blogg — Introducing message translations, WhatsApp Business-appen, Signal — Vilkår og personvernerklæring, Telegram — Personvernerklæring, Telegram-blogg — Sanntidsoversettelse, Threema — GDPR-kompatibel meldingstjeneste (tysk), Teamwire — GDPR-kompatibel meldingstjeneste (tysk), Wire — Wire vs. MS Teams (tysk), Stackfield — Alternativ til Microsoft Teams (tysk), Element — Priser, Mattermost — Priser, Mattermost — Sett opp automatisk oversettelse (beta), Rocket.Chat — Våre planer, Rocket.Chat — Auto-Translate-meldinger, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Plassering av data i Microsoft Teams, Microsoft Learn — Hva er EU Data Boundary?, Microsoft — Oversett en melding i Microsoft Teams, Microsoft — Interpreter i Teams-møter og -samtaler, Slack — Data Processing Addendum, Slack — Dataresidens for Slack, Slack — Priser, Slack — Guide til AI-funksjoner i Slack. Leverandører endrer planer, lokasjoner, funksjoner og selvbeskrivelser over tid, så sjekk sidene deres for gjeldende status. Alle fakta kontrollert i august 2026.