GDPR-kompatibel meddelandetjänst för företag (2026): vad leverantörerna faktiskt dokumenterar

"Vilken meddelandetjänst är GDPR-kompatibel?" är en fråga som ingen leverantör ärligt kan besvara med "det är vi". GDPR lägger skyldigheterna på dig, den personuppgiftsansvarige: du behöver ett personuppgiftsbiträdesavtal (art. 28), du måste veta var data finns och om den förs över till ett tredjeland, och du måste kunna radera data och besvara registerutdrag. En meddelandetjänst kan göra de skyldigheterna möjliga att uppfylla – eller inte. En symbol på en startsida säger inte mer än så.

Den här guiden gör därför något annat än de vanliga listorna. Den tar sex kontroller som ett dataskyddsombud ändå ställer och tillämpar dem på tolv tjänster: konsumentmeddelandetjänsterna som företag faktiskt arbetar i (WhatsApp, Signal, Telegram), affärsmeddelandetjänsterna från Schweiz och Tyskland (Threema Work, Teamwire, Wire, Stackfield), de självhostade plattformarna (Element, Mattermost, Rocket.Chat) och de två paketlösningarna (Microsoft Teams, Slack). Därefter InterMIND, som vi bygger – med samma kriterier och samma källregel. Varje påstående kommer från leverantörens offentliga dokumentation, kontrollerad i augusti 2026 och länkad i slutet.

Till dessa kommer en sjunde kontroll, som aldrig förekommer på GDPR-listor men som spelar roll varje dag i ett internationellt team: på vilket språk läser varje medlem kanalen? En meddelandetjänst som bara lagrar meddelanden på originalspråket lägger översättningen på den enskilde – och på tjänster som sedan behandlar data på nytt.

De sex kontrollerna

Tysklands förbundsdataskyddsombud (BfDI) publicerar urvalskriterier för meddelandetjänster, den mest användbara offentliga måttstocken. De definierar end-to-end-kryptering som meddelanden som är "krypterade på avsändarens enhet och först dekrypteras igen på mottagarens enhet", listar integritetsinställningar som åtkomst till adressboken, profilens synlighet, läskvitton, användningsanalys och felrapportering, och kräver kontoradering där data "raderas omedelbart". För företagsbruk tillkommer skyldigheterna enligt art. 28. Sammantaget:

1. Personuppgiftsbiträdesavtal (DPA). Erbjuder leverantören ett – och finns det i deras dokumentation?
2. Juridisk person och serverplats. Vilket bolag är din avtalspart, var finns data, förekommer det en överföring till tredjeland?
3. Kryptering. End-to-end, eller transport- och serverkryptering? Båda är legitima – de måste bara anges tydligt.
4. Metadata och adressbok. Laddas adressboken upp? Vilka användnings- och enhetsdata samlas in, och med vem delas de?
5. Radering och lagringstid. Var finns historiken, vem raderar den, vad händer när en medarbetare slutar?
6. Underbiträden. Är de publicerade – inklusive tjänsterna som används för AI-funktioner och översättning?

Plus den sjunde: språk per medlem.

Konsumenttjänsterna på jobbet

WhatsApp (och appen WhatsApp Business)

• Avtalspart: för EES "WhatsApp Ireland Limited".
• Kryptering och lagring: meddelanden är end-to-end-krypterade; "vi behåller inte dina meddelanden i den normala driften av våra tjänster till dig. När dina meddelanden har levererats raderas de från våra servrar." Historiken finns alltså på medarbetarnas enheter och i deras säkerhetskopior.
• Metadata: det som samlas in är "information om din användning av våra tjänster", enhetsdata ("maskinvarumodell, information om operativsystem, batterinivå, signalstyrka") och, valfritt, adressboken ("uppladdning av kontakter … från enhetens adressbok regelbundet"). Data delas med "Meta-bolag i USA och Irland" och överförs "globalt".
• DPA: appens integritetspolicy nämner inget personuppgiftsbiträdesavtal för företag (kontrollerat augusti 2026). Business-appen "är byggd med småföretagaren i åtanke".
• Språk: sedan september 2025 kan ett meddelande översättas med ett långt tryck – på enheten ("översättningar sker på din enhet där WhatsApp inte kan se dem"); Android kan automatiskt översätta hela chattar (sex språk vid lanseringen), iPhone använder Apples översättning på 19+ språk. Röstmeddelanden och samtal ingår inte i tillkännagivandet.

Signal

• Avtalspart: Signal Messenger LLC, Mountain View, Kalifornien – en ideell organisation.
• Kryptering: "Signal kan inte dekryptera eller på annat sätt komma åt innehållet i dina meddelanden eller samtal."
• Metadata: registrering sker med telefonnummer; tekniska data begränsas "till det minimum som krävs för att driva tjänsterna".
• DPA: inget dokumenterat i Signals juridiska dokument (kontrollerat augusti 2026).
• Språk: ingen översättningsfunktion dokumenterad.

Telegram

• Avtalspart och plats: "Telegram Messenger Inc.", med "Telegram FZ-LLC, en koncernmedlem i Dubai"; för användare inom EU/EES "lagras dina data i datacenter i Nederländerna". GDPR-representant är European Data Protection Office (EDPO) i Bryssel.
• Kryptering: molnchattar är krypterade på serversidan – "alla data lagras kraftigt krypterade och krypteringsnycklarna lagras i varje enskilt fall i flera andra datacenter i olika jurisdiktioner" – och bara hemliga chattar är end-to-end: "Hemliga chattar använder end-to-end-kryptering."
• DPA: inte dokumenterat i integritetspolicyn (kontrollerat augusti 2026).
• Språk: "Alla användare kan översätta enskilda meddelanden"; Premium-användare "kan översätta hela chattar, grupper och kanaler i realtid genom att trycka på översättningsfältet högst upp".

Alla tre är verktyg som team verkligen arbetar i. Det de har gemensamt: historiken tillhör enheten eller leverantörens moln, inte företaget – och det personuppgiftsbiträdesavtal som art. 28 kräver förekommer i ingen av de tre dokumentationerna.

Affärsmeddelandetjänster från Schweiz och Tyskland

Threema Work

• Plats: Schweiz. Leverantören anger att en dataöverföring från EU till Schweiz är rättsligt tillåten utan ytterligare prövning.
• Metadata: Threema Work "kräver inga personuppgifter (såsom telefonnummer eller e-postadress)" och "kan användas utan åtkomst till adressboken".
• DPA: enligt leverantören "uppfyller Threema Work kraven för dataskyddskompatibel behandling för en personuppgiftsansvarigs räkning enligt GDPR och den schweiziska DSG".
• Testperiod: "30 dagar, 30 användare. Ingen automatisk förnyelse." Priser per användare finns inte på sidan.
• Språk: ingen översättningsfunktion dokumenterad.

Teamwire

• Plats: "tyskt publikt moln (IONOS, C5-certifierat)", "dedikerat privat moln" eller "fullständig on-premise-hosting"; "hosting i Tyskland i stället för USA", "ingen lagring utanför EU".
• Certifieringar: "ISO 27001, BSI C5, TÜV-certifierad"; EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA och CER nämns.
• Metadata: "ingen åtkomst till adressboken" och "ingen analys av kommunikation".
• GDPR: leverantören beskriver sig själv som "100 % GDPR-kompatibel" – en självbeskrivning som personuppgiftsbiträdesavtalet måste infria från fall till fall. Inga priser på sidan.
• Språk: ingen översättningsfunktion dokumenterad.

Wire

• Plats: "moln, on-premises eller hybrid".
• Kryptering: MLS-protokollet; "meddelanden, filer och samtal är fullt E2EE som standard"; videosamtal "med upp till 200 deltagare", varje session end-to-end-krypterad.
• Certifieringar: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "fullt kompatibel med stränga dataskyddsregler, inklusive GDPR" (självbeskrivning). Inga priser per användare på sidan.
• Språk: ingen översättningsfunktion dokumenterad.

Stackfield

• Plats: "all databehandling är begränsad till EU, och själva data finns uteslutande i tyska datacenter"; bolaget lyder "uteslutande under Tysklands och EU:s jurisdiktion".
• Kryptering: "äkta end-to-end-kryptering" för meddelanden, filer och uppgifter.
• Certifieringar: ISO 27001, BSI C5.
• Möten: ljud- och videokonferenser ingår.
• Språk: ingen översättningsfunktion dokumenterad.

De fyra besvarar frågorna om plats och kryptering så tydligt som en leverantör kan. Det ingen av dem dokumenterar: en översättning som låter en polsk, en portugisisk och en tysk kollega läsa samma kanal på sitt eget språk.

Självhostade plattformar

Element (Matrix)

• Kryptering: "hela plattformen är end-to-end-krypterad som standard" – inklusive Element Call för röst och video.
• Drift: Community gratis, självhostad; Enterprise per plats och månad, självhostad; Sovereign per driftsättning, air-gapped.
• Språk: ingen översättningsfunktion dokumenterad – med end-to-end-kryptering finns det ingen plats på serversidan för en sådan.

Mattermost

• Drift: Professional och Enterprise som självhostade årslicenser, pris på begäran; Mattermost Cloud Enterprise som single-tenant-erbjudande.
• Språk: automatisk kanalöversättning (beta, sedan v11.5) i Enterprise Advanced: backend är "LibreTranslate: en självhostad maskinöversättningsmotor med öppen källkod" eller "Agents: använder pluginet Mattermost Agents med en konfigurerad LLM-backend"; en användares målspråk "bestäms av deras visningsspråk i Mattermost". Översättningen körs på din server.

Rocket.Chat

• Drift: planen Starter är gratis, "självhanterad, självhostad", "för teknisk utvärdering eller små team med upp till 50 användare"; betalplanerna är Commercial, Government och Defense – on-premises, privat moln eller air-gapped, pris på begäran.
• Språk: Auto-Translate per rum – "varje användare får översättningar baserade på sitt eget valda språk" – via DeepL, Google Translate, Microsoft Translator eller LibreTranslate, med en API-nyckel som administratören tillhandahåller. Meddelandetexten går alltså till den leverantör du valt – om det inte är LibreTranslate på din egen värd.

Nextcloud Talk hör hemma i samma grupp: "en helt självhostad, on-premises ljud-/video- och chattkommunikationstjänst", med liveutskrift och översättning på din egen hårdvara (detaljer i jämförelsen av teamkommunikationsverktyg).

Paketlösningarna: Microsoft Teams och Slack

Microsoft Teams

• DPA: "När du prenumererar på en produkt enligt villkoren på webbplatsen Product Terms definieras villkoren för databehandling och säkerhet i Microsoft Online Services Data Protection Addendum (DPA)."
• Plats: Teams-data finns "i den geografiska region som är kopplad till din Microsoft 365- eller Office 365-organisation"; landsspecifik lagring (Tyskland, Frankrike, Italien, Norge, Polen, Sverige, Schweiz med flera) gäller "endast för nya tenants", befintliga EU-tenants stannar i EMEA-regionen. EU Data Boundary förbinder Microsoft att lagra och behandla kunddata för Microsoft 365 inom EU/EFTA – "med förbehåll för begränsade omständigheter" med dokumenterade undantag; kunder med Multi-Geo omfattas inte.
• Språk: chatt- och kanalmeddelanden översätts på begäran eller automatiskt ("Teams kan automatiskt översätta mottagna meddelanden"), 100+ språk, ingen licens nämns; i möten kräver översatta undertexter arrangörens Teams Premium- eller Copilot-licens, och Interpreter-agenten (10 språk) kräver en Copilot-licens per lyssnare, 20 timmar i månaden. Detaljer: Teams livetranslation.

Slack

• DPA: "Slack erbjuder ett Data Processing Addendum som kompletterar kundens användarvillkor" – ingås via ett formulär, inte automatiskt inkluderat.
• Plats: dataresidens från Business+: Frankfurt, Paris, Stockholm, Zürich, London. Omfattas: meddelanden, canvases, filer och sökindexet; omfattas inte: medlemsprofiler och användningsanalys. Free-planen behåller 90 dagars meddelandehistorik.
• Språk: "Translate message" i Business+ och Enterprise+, på begäran per meddelande; "översättningar syns bara för dig, så andra ser alltid originalmeddelandet."

InterMIND

Vi bygger ett kommunikationsutrymme där varje medlem läser möten, chatt, dokument och sin historik på sitt eget språk – och mäter det mot samma sju kontroller:

1. DPA: undertecknat per kund – biträdesvillkor enligt art. 28 med 30 dagars varsel vid nya underbiträden och ett fönster på 72 timmar för personuppgiftsincidenter; en undertecknad kopia finns för inköp (/legal/dpa).
2. Juridisk person och plats: drivs av ett estniskt OÜ; körmiljön finns i EU i varje led – röst- och chattöversättning på vår egen motor på dedikerade servrar i Frankrike, mötesorkestrering i Paris, databas i Frankfurt, lagring och analys inom EU. Kartan, leverantör för leverantör: var ett InterMIND-möte egentligen körs.
3. Kryptering: transportkryptering – ljud och video över DTLS/SRTP, chatt och filer över HTTPS/WSS och krypterade i vila på våra servrar. Ingen end-to-end-kryptering: översättning är behandling, och den sker på vår motor, inte hos en tredje part. Om E2EE går före allt annat för dig passar Element, Wire eller Threema bättre – det säger vi öppet.
4. Metadata och adressbok: ingen uppladdning av adressbok; deltagare ansluter via länk, utan konto och utan telefonnummer.
5. Radering och lagringstid: kriteriet för lagringstid står i integritetspolicyn – data finns kvar tills du eller din teamägare raderar den; när ett konto raderas raderas dess data. Vi har granskat vår egen kod mot GDPR-skyldigheterna och dokumenterat det vi åtgärdade: GDPR-granskning.
6. Underbiträden: publicerade, med funktion och hemvist per leverantör. Språkmodellsstegen (sammanfattning, dokumentsammanfattningar, skrivassistent, Ask AI) körs på den AI-gateway som organisationen väljer – Azure OpenAI i EU Data Zone som standard, Vertex AI EU eller Amazon Bedrock Frankfurt som val – i InterMINDs egen tenant utan datalagring och utan träning på kundinnehåll; leverantörerna är amerikanska bolag som driver EU-regioner, vilket anges på förtroendesidan. Dokumentöversättning körs via DeepL som uttryckligt EU-underbiträde.
7. Språk per medlem: chatt och anteckningar på 23 språk, dokument på 30, live-tal för varje deltagare på det egna språket – som rummets standardbeteende, utan tillägg eller licenser per lyssnare. Kvaliteten publiceras varje månad per språkpar: /benchmark.

Det vi inte påstår: ett ISO-certifikat som vi ännu inte har. Vårt svar på checklistan är arkitektoniskt och verifierbart i koden; certifieringar finns på färdplanen.

Översikten

Vilken meddelandetjänst för vilket fall

• End-to-end-kryptering är ditt första kriterium och översättning spelar ingen roll: Threema Work (Schweiz, inget telefonnummer), Wire (MLS, samtal inkluderade), Stackfield (tyska datacenter) eller Element (självhostad, gratis i Community-utgåvan).
• Allt måste köras på dina egna servrar, och du har personalen: Rocket.Chat (gratis upp till 50 användare, översättning via din leverantörsnyckel), Mattermost Enterprise Advanced (kanalöversättning i beta på din LibreTranslate eller LLM), Nextcloud Talk.
• Du är kund hos Microsoft eller Slack ändå: båda dokumenterar ett personuppgiftsbiträdesavtal och EU-residens – Teams via tenant-region och EU Data Boundary, Slack från Business+. Översättning sker per läsare, på begäran; mötesspråket i Teams hänger på Copilot-licenser.
• Teamet arbetar i WhatsApp, Signal eller Telegram: tjänster dokumenterade för privat kommunikation, delvis end-to-end-krypterade – men utan dokumenterat personuppgiftsbiträdesavtal, med historiken på enheter eller i leverantörens moln, och i WhatsApp med användnings- och enhetsdata som går till Meta-bolag i USA. Ett dataskyddsombud kommer att ställa frågor som dokumentationen inte besvarar.
• Själva kanalen är flerspråkig – kollegor och kunder som svarar varandra på tre språk, gäster utan dina licenser och ett efterlevnadsteam som vill kunna ange platsen: det är vad vi bygger InterMIND för – varje medlem läser utrymmet på sitt eget språk, gäster kommer in via länk utan dina licenser; EU i varje led, personuppgiftsbiträdesavtal per kund och publicerade underbiträden är den enda raden för dataskyddsombudet.

Se det i stället för att läsa om det

• Prova liveDemon – ingen registrering; tala, och hör rummet översatt per lyssnare på något av 23 språk.
• Se benchmarken – översättningskvalitet per språkpar, varje månad, på verklig trafik, med öppen metodik.
• Läs underbiträdena – funktion och hemvist per leverantör, ingen begäran behövs.

Vanliga frågor

Vilka meddelandetjänster är GDPR-kompatibla?

Ingen är det i sig – skyldigheterna ligger hos företaget. Det som kan kontrolleras är om leverantören gör dem möjliga att uppfylla: ett personuppgiftsbiträdesavtal dokumenteras av Microsoft Teams (via Product Terms), Slack (via ett formulär), Threema Work (leverantören: GDPR-/DSG-kompatibel behandling) och InterMIND (per kund, art. 28); Teamwire och Wire beskriver sig själva som GDPR-kompatibla. För WhatsApp, Signal och Telegram nämner dokumentationen inget personuppgiftsbiträdesavtal (kontrollerat augusti 2026). Självhostade tjänster – Element, Mattermost, Rocket.Chat, Nextcloud – flyttar frågan in i din egen drift.

Är Signal GDPR-kompatibelt?

Signal dokumenterar end-to-end-kryptering ("Signal kan inte dekryptera eller på annat sätt komma åt innehållet i dina meddelanden eller samtal") och tekniska data begränsade till minimum; avtalsparten är Signal Messenger LLC i Kalifornien, registrering sker med telefonnummer. De juridiska dokumenten nämner inget personuppgiftsbiträdesavtal för företag. Privat användning är en annan bild än företagsanvändning, som måste uppfylla art. 28.

Är WhatsApp GDPR-kompatibelt för företagsbruk?

WhatsApp Ireland dokumenterar end-to-end-kryptering och att levererade meddelanden raderas från dess servrar – och samtidigt användnings- och enhetsdata, valfri uppladdning av adressbok och delning med "Meta-bolag i USA och Irland". Integritetspolicyn nämner inget personuppgiftsbiträdesavtal för appen; Business-appen är enligt leverantören byggd för småföretagare. Den som använder WhatsApp i ett företag måste själv motivera dessa punkter inför dataskyddsombudet.

Är Telegram GDPR-kompatibelt?

Telegram uppger att EU-data lagras i Nederländerna och anger en EU-representant (EDPO, Bryssel); molnchattar är krypterade på serversidan med nycklar "i flera andra datacenter i olika jurisdiktioner", bara hemliga chattar är end-to-end. Inget personuppgiftsbiträdesavtal är dokumenterat. Det är en dokumenterad datasituation, inte GDPR-efterlevnad i art. 28-mening.

Är Microsoft Teams GDPR-kompatibelt?

Microsoft dokumenterar DPA som en del av Product Terms, lagring av Teams-data i tenantens region – landsspecifik residens bara för nya tenants – och EU Data Boundary för Microsoft 365-kunder baserade i EU/EFTA, med dokumenterade undantag. För företag som redan använder Teams är det en solid grund; översättningsfunktionerna i möten beror på Copilot-licenser per arrangör och lyssnare.

Vad måste en GDPR-kompatibel meddelandetjänst för företag erbjuda?

Sex dokumenterade svar i stället för en symbol: ett personuppgiftsbiträdesavtal enligt art. 28, en angiven juridisk person och serverplats utan oförklarad överföring till tredjeland, en angiven krypteringsmodell, kontroll över adressbok och metadata, ett raderingskoncept som täcker när en medarbetare slutar, och en publicerad lista över underbiträden – inklusive AI- och översättningstjänsterna. För internationella team tillkommer en sjunde punkt: en meddelandetjänst som bara lagrar kanalen på originalspråket lägger översättningen på varje enskild person.

Finns det en gratis GDPR-kompatibel meddelandetjänst för företag?

Gratis och självhostade: Rocket.Chat Starter (upp till 50 användare) och Element Community – GDPR-skyldigheterna ligger då helt i din egen drift. Threema Work erbjuder 30 dagar för 30 användare utan betalningsuppgifter. Med InterMIND är deltagande gratis för varje deltagare – anslut via länk utan konto – och liveDemon kräver ingen registrering; värden betalar för rummet.

Källor: BfDI — Urvalskriterier för meddelandetjänster (tyska), WhatsApp — Integritetspolicy (EES), WhatsApp — Integritetspolicy, WhatsApp-bloggen — Introducing message translations, WhatsApp Business-appen, Signal — Terms & Privacy Policy, Telegram — Privacy Policy, Telegram-bloggen — Real-time translation, Threema — GDPR-kompatibel meddelandetjänst (tyska), Teamwire — GDPR-kompatibel meddelandetjänst (tyska), Wire — Wire vs. MS Teams (tyska), Stackfield — Alternativ till Microsoft Teams (tyska), Element — Priser, Mattermost — Priser, Mattermost — Set up Auto-translation (Beta), Rocket.Chat — Våra planer, Rocket.Chat — Auto-Translate messages, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Location of data in Microsoft Teams, Microsoft Learn — What is the EU Data Boundary?, Microsoft — Translate a message in Microsoft Teams, Microsoft — Interpreter in Teams meetings and calls, Slack — Data Processing Addendum, Slack — Data residency for Slack, Slack — Priser, Slack — Guide to AI features in Slack. Leverantörer ändrar planer, platser, funktioner och självbeskrivningar över tid; kontrollera deras sidor för aktuellt läge. Alla fakta kontrollerade augusti 2026.