Når du laver en konkurrence, er det GDPR-mæssigt to forskellige formål at afvikle konkurrencen og at sende markedsføring bagefter, og hvert formål skal have sit eget behandlingsgrundlag. Et samtykke til nyhedsbrevet skal være frivilligt, og efter artikel 7, stk. 4, skal der tages størst muligt hensyn til, om en ydelse er gjort betinget af et samtykke, der ikke er nødvendigt for den. Derfor bruger mange et separat, ikke-forhåndsafkrydset felt til nyhedsbrevet og lader folk deltage, uanset om de sætter kryds.
Konkurrencer er en af de bedste måder at få tilmeldinger og samtykker på. Men du indsamler også personoplysninger, ofte fra tusindvis af mennesker på få dage. Her gennemgår vi de spørgsmål om konkurrence og GDPR, du bør have styr på før lancering: behandlingsgrundlag, kobling af samtykke og deltagelse, hvordan du beder om samtykke, oplysningspligt, opbevaring, vinderes data og databehandlere, med særligt fokus på de danske regler.
Artiklen er generel information og ikke juridisk rådgivning. Brug den som en liste over emner, du gennemgår med din jurist.
To formål, to spørgsmål
En konkurrence behandler typisk personoplysninger til mindst to ting:
- Afvikling af konkurrencen. Registrere deltagelsen, tjekke reglerne, trække en vinder, kontakte vedkommende og levere præmien.
- Markedsføring. Nyhedsbreve, sms'er og tilbud efter konkurrencen.
Databeskyttelsesforordningens artikel 6, stk. 1, oplister behandlingsgrundlagene, blandt andet samtykke (litra a), nødvendighed for at opfylde en kontrakt (litra b) og legitime interesser (litra f). Datatilsynets vejledning om samtykke har et godt eksempel: En kunde i et indkøbscenter udfylder en blanket for at deltage i en konkurrence om biografbilletter og sætter kryds for, at oplysningerne må bruges i lodtrækningen. Det samtykke dækker konkurrencen, men kan ifølge Datatilsynet ikke udstrækkes til andre formål, fx at sende markedsføring.
Hold de to formål adskilt i formularen, i teksterne og i din dokumentation.
Hvad betyder "frivilligt"?
Artikel 7, stk. 4, siger, at der ved vurderingen af, om et samtykke er frivilligt, skal tages størst muligt hensyn til, om fx opfyldelsen af en kontrakt eller levering af en ydelse er gjort betinget af samtykke til behandling, som ikke er nødvendig for kontrakten. Datatilsynet forklarer det sådan i samtykkevejledningen: Et samtykke anses ikke for frivilligt, hvis fx køb af en vare afhænger af samtykke, selvom samtykket ikke er nødvendigt for købet.
Samtidig skriver Datatilsynet, at man i et vist omfang må motivere folk til at give samtykke med en fordel, fx rabatter i et fordelsprogram, og at fordelen ikke i sig selv udelukker, at samtykket er frivilligt. Det Europæiske Databeskyttelsesråd (EDPB) skriver i sine retningslinjer 05/2020 om samtykke, at GDPR ikke udelukker alle incitamenter, men at det er arrangøren, der skal kunne vise, at samtykket stadig var frivilligt.
Samtykke, konkurrence og nyhedsbrev: må deltagelse kræve tilmelding?
Her er der to regelsæt, der skal ses hver for sig.
Markedsføringsloven. Forbrugerombudsmandens vejledning om brug af konkurrencer til at indhente samtykke siger, at du gerne må præmiere en forbruger for at give samtykke til markedsføring med deltagelse i en konkurrence, men at det skal være tydeligt, at der indhentes et samtykke. Vejledningen tager udgangspunkt i konkurrencer, hvor samtykket er en betingelse for at deltage.
Databeskyttelsesreglerne. Samme vejledning skriver udtrykkeligt, at den ikke indeholder anbefalinger om databeskyttelsesreglerne, og henviser til Datatilsynet. Og her er artikel 7, stk. 4, og EDPB's retningslinjer strenge over for at gøre en ydelse betinget af et samtykke, der ikke er nødvendigt for den.
Fordi spørgsmålet ikke er helt afklaret, vælger mange den løsning, der rejser færrest spørgsmål: Man kan deltage uden at tilmelde sig, og nyhedsbrevet er et separat valg. Det kan give lidt færre tilmeldinger pr. deltager, men hvert samtykke står stærkere. Vil du gøre tilmelding til en betingelse, så få juridisk rådgivning først.
Sådan beder du om samtykke
Forbrugerombudsmandens vejledning har en kvikguide. Blandt punkterne:
- Tydeligt og før indtastning. Det skal oplyses, at forbrugeren giver samtykke til markedsføring, inden vedkommende indtaster sine oplysninger, og med samme meddelelseseffekt som konkurrencen.
- Aktiv handling. Samtykket må ikke være forhåndsafkrydset eller gemt i konkurrencevilkårene, privatlivspolitikken eller i bunden af siden. EDPB siger også, at forhåndsafkrydsede felter er ugyldige efter GDPR.
- Hvad, hvem og hvordan. Samtykketeksten skal vise, hvilke varer eller tjenester markedsføringen handler om, navnet på virksomheden og hvilket medium (e-mail, sms osv.), du kontakter på.
- Afsender. Det skal fremgå, hvem der står bag konkurrencen, med navn, adresse, e-mail og CVR-nr.
- Tilbagekaldelse. Det skal fremgå, at samtykket kan trækkes tilbage, og hvordan. Forbrugeren må ikke miste et allerede opnået lod, sin præmie eller rabat, når samtykket trækkes tilbage.
- Børn. Vil du sende e-mails til børn under 13 år, bør du ifølge vejledningen også sikre dig forældrenes samtykke.
Dobbelt opt-in, hvor folk bekræfter deres e-mailadresse via et link, hjælper dig med at vise, at den, der deltog, også ejer adressen.
Den gratis samtykketekst-generator skriver teksten til afkrydsningsfeltet, mailen til dobbelt opt-in og en linje til din privatlivspolitik.
Dokumentation
Efter artikel 7, stk. 1, skal du kunne påvise, at personen har givet samtykke. Forbrugerombudsmanden skriver, at et link til konkurrencen ikke er nok, fordi siden kan ændres, og at du fx kan dokumentere med skærmprints eller en filmoptagelse af hele flowet, fra annoncen eller opslaget på sociale medier og frem til samtykket. En IP-adresse alene er heller ikke tilstrækkelig dokumentation.
Oplysningspligt (artikel 13)
Når du indsamler oplysninger direkte fra deltagerne, skal du ifølge artikel 13 blandt andet oplyse:
- Hvem du er, og hvordan du kontaktes (og eventuel databeskyttelsesrådgiver)
- Formål og behandlingsgrundlag for både konkurrencen og markedsføringen
- Modtagere, fx dit e-mailværktøj eller et fragtfirma, der leverer præmien
- Eventuel overførsel uden for EU
- Hvor længe oplysningerne opbevares, eller kriterierne for det
- Rettighederne: indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet
- Retten til at trække samtykke tilbage
- Retten til at klage til Datatilsynet
Se også vores tjekliste til konkurrencevilkår.
Hvor længe må du gemme data?
Efter artikel 5, stk. 1, litra e, må oplysninger ikke opbevares længere end nødvendigt.
- Deltagerdata: Beslut, hvornår de slettes, når konkurrencen og en eventuel klageperiode er slut.
- Samtykker: Forbrugerombudsmanden skriver, at dokumentationen for et samtykke bør gemmes, så længe du vil kontakte forbrugeren, og indtil to år efter sidste henvendelse, fordi et eventuelt strafansvar forældes efter to år.
- Vindere: Gem det, du skal bruge til at levere præmien. Tjek bogførings- og afgiftsregler med din revisor.
Vinderes data og databehandlere
Bed kun vindere om det nødvendige, og offentliggør højst fornavn og by, medmindre vinderen siger ja til mere. Læs mere i sådan trækker du en vinder fair.
Behandler et værktøj deltagerdata på dine vegne, fx konkurrenceplatformen, e-mailværktøjet eller CRM'et, er det din databehandler. Artikel 28, stk. 3, kræver en kontrakt, der blandt andet fastlægger genstand, varighed, formål, typer af oplysninger og den dataansvarliges rettigheder og forpligtelser. Sørg for en databehandleraftale med hvert værktøj.
Markedsføringslovens § 10
Markedsføringslovens § 10, stk. 1, som Forbrugerombudsmanden citerer i vejledningen, siger, at en erhvervsdrivende ikke må rette henvendelse ved brug af elektronisk post, et automatisk opkaldssystem eller telefax med henblik på direkte markedsføring, medmindre modtageren har givet sit forudgående samtykke. Inden samtykket gives, skal modtageren oplyses om, at det kan trækkes tilbage, og det skal være let og gebyrfrit at tilbagekalde. Læs mere i online konkurrencer i Danmark og EU.
Sådan understøtter Scratcher det
Intet værktøj kan gøre en kampagne lovlig for dig. Du bestemmer opsætning, tekster og vilkår. I Scratcher kan du:
- Tilføje samtykkefelter med dine egne tekster og selv vælge, hvilke felter der er obligatoriske, så nyhedsbrevet kan være frivilligt
- Sende dobbelt opt-in-mails (e-mailmodulet: inkluderet i Professional eller som tilkøb)
- Linke til dine egne vilkår og privatlivspolitik i formularen
- Bestemme, hvornår spillerdata slettes, og eksportere deltagere og vindere
- Sende tilmeldinger videre til dit e-mailværktøj eller CRM
Scratcher er din databehandler under en databehandleraftale, er certificeret efter ISO/IEC 27001:2022 og hoster data i EU. Læs mere på vores side om sikkerhed og GDPR. Se også online konkurrencer og giveaways og sådan laver du en online konkurrence.
Ofte stillede spørgsmål
Må man kræve tilmelding til nyhedsbrev for at deltage i en konkurrence?
Markedsføringsretligt siger Forbrugerombudsmanden, at du gerne må præmiere et samtykke med deltagelse, hvis det er tydeligt. Databeskyttelsesretligt er artikel 7, stk. 4, streng over for at gøre en ydelse betinget af samtykke. Den sikreste vej er et separat, frivilligt felt. Få juridisk rådgivning, hvis du vil gøre tilmelding til en betingelse.
Må samtykkefeltet være forhåndsafkrydset?
Nej. Både Forbrugerombudsmanden og EDPB siger, at samtykket kræver en aktiv handling.
Mister en deltager sit lod, hvis vedkommende afmelder sig nyhedsbrevet?
Ifølge Forbrugerombudsmandens vejledning må forbrugeren ikke miste et allerede opnået lod, sin præmie eller rabat, når samtykket trækkes tilbage.
Hvor længe skal jeg gemme dokumentation for samtykket?
Forbrugerombudsmanden anbefaler, så længe du bruger samtykket og indtil to år efter din sidste henvendelse.
Byg konkurrencer med samtykke på plads
Prøv Scratcher gratis i 14 dage uden kreditkort, eller book et møde, så viser vi, hvordan du sætter samtykke, dobbelt opt-in og sletning op.
Artiklen er generel information og ikke juridisk rådgivning. Regler ændrer sig, så tjek de aktuelle regler og få juridisk rådgivning, før du lancerer en kampagne.
