Cookies er ikke længere kun et spørgsmål for marketingafdelingen – det er et forret kritisk compliance-område, der kan koste dyrt på både bundlinje og omdømme. Alligevel møder vi stadig alt for mange B2B-virksomheder, der tror, at reglerne primært gælder for webshops og nyhedssites rettet mod forbrugere. Sandheden er, at hver eneste gang din hjemmeside lander på en bærbar, en mobiltelefon eller en firmabetalt tablet, træder de samme strenge cookie-krav i kraft – uanset om brugeren er indkøbschef eller privatforbruger.
GDPR, ePrivacy-direktivet og den danske cookiebekendtgørelse stiller benhårde krav til, hvordan du må måle, tracke og målrette besøgene på dit website. Analytics, account-based marketing, LinkedIn Insight Tag, Hotjar-heatmaps – alt sammen værktøjer, som mange B2B-teams lever af, men som i værste fald kan blive ulovlige, hvis samtykket ikke er indhentet korrekt.
I denne artikel dykker vi ned i både lovgrundlaget og den praktiske implementering af en compliant cookiepolitik for B2B-virksomheder. Du får konkrete råd til, hvordan du:
- Differentierer mellem nødvendige og ikke-nødvendige cookies
- Sætter en Consent Management Platform op uden dark patterns
- Dokumenterer, versionerer og fornyer samtykker
- Balancerer salgs- og marketingbehov med regulatoriske krav
Så hvis du vil undgå bøder, styrke tilliden hos både kunder og samarbejdspartnere – og samtidig bevare de data, der driver din forretning – så læs med. Vi giver dig svarene på, hvilke krav der gælder for cookiepolitik i B2B-virksomheder, og hvordan du kommer sikkert i mål.
Lovgrundlag og krav: Hvad gælder for cookies i B2B?
I Danmark er brugen af cookies reguleret af cookiebekendtgørelsen (bek. nr. 1148 af 9. december 2011), som implementerer EU’s ePrivacy-direktiv. Samtidig finder GDPR anvendelse, når en cookie (eller lignende teknologi) fører til behandling af personoplysninger, fx IP-adresser eller bruger-ID’er.
Vigtigt for B2B-virksomheder: Reglerne gælder, uanset om websitet henvender sig til andre virksomheder. Cookies placeres altid på en fysisk persons enhed (pc, mobil, tablet), og personer kan identificeres – derfor udløses både cookiebekendtgørelsen og GDPR.
2. Nødvendige vs. Ikke-nødvendige cookies
| Type | Eksempler | Samtykke? |
|---|---|---|
| Nødvendige | Sessions-ID, load-balancing, sikkerheds-cookies, indkøbskurv | Nej – må sættes uden forudgående samtykke, men skal stadig beskrives |
| Ikke-nødvendige | Analytics, ABM-platforme (f.eks. Demandbase), retargeting, LinkedIn Insight Tag, marketing automation, A/B-test, heatmaps | Ja – kræver forudgående, informeret og frivilligt samtykke |
3. Krav til gyldigt samtykke
- Forudgående – cookies (og scripts) må først aktiveres efter accept.
- Informeret – brugeren skal modtage klar og fyldestgørende information om:
- formål (statistik, markedsføring, personalisering …)
- udbydere (første- og tredjepart)
- levetid (session eller x dage/år)
- hvorvidt data sendes uden for EU/EØS
- Frivilligt – ingen dark patterns, ingen forudafkrydsede felter, og “Afvis alle” skal være lige så let tilgængelig som “Acceptér alle”.
- Granularitet – brugeren skal kunne give/afvise samtykke pr. kategori eller pr. udbyder.
4. Dokumentation, tilbagetrækning & fornyelse
- B2B-virksomheden skal logge samtykket (dato, tidspunkt, bruger-ID, version af banner/politik).
- Tilbagetrækning skal være lige så enkel som at give samtykke (f.eks. via et fast link “Ændr cookies” i footer).
- Samtykket bør fornyes efter maks. 12 måneder (EU-tendens), eller hvis formål/leverandører ændres.
5. Fælles dataansvar, tredjelande & scc
Integrerer I tredjeparts-tags (fx LinkedIn, Meta, Google) er der typisk fælles dataansvar for den behandling, som platformen foretager.
Overføres data til lande uden tilstrækkeligt beskyttelsesniveau, kræver GDPR Standard Contractual Clauses (SCC) og en TIA (Transfer Impact Assessment).
6. Cookie-walls
En “accept-eller-forlad siden” tilgang er som udgangspunkt ikke lovlig, medmindre cookies er objektivt nødvendige for den ønskede tjeneste. Alternativ adgang (uden sporing) eller betaling kan i visse tilfælde være OK, men Datatilsynet lægger en høj bar for frivillighed.
7. Tilsyn og sanktioner
- Erhvervsstyrelsen fører tilsyn med cookiebekendtgørelsen; kan udstede påbud og politianmelde.
- Datatilsynet håndhæver GDPR-delen; bøder op til 4 % af global koncernomsætning eller 20 mio. EUR.
- Forbrugere kan klage til Forbrugerombudsmanden, og markedsføringsloven kan også bringes i spil ved vildledende cookie-bannerdesign.
Med andre ord: Selvom jeres målgruppe er virksomheder, skal I behandle de besøgende som privatpersoner i cookie-sammenhæng – og overholde både cookiebekendtgørelsen og GDPR til punkt og prikke.
Praktisk implementering i B2B-virksomheder
En god cookie-compliance i en B2B-organisation handler om langt mere end at smække et samtykkebanner på hjemmesiden. Nedenfor gennemgår vi de vigtigste praktiske tiltag – fra valg af CMP (Consent Management Platform) til den daglige governance, der skal sikre, at marketing, IT og legal spiller sammen.
1. Vælg og konfigurer en cmp, der gør det rigtigt – Første gang
- Kategorier og granularitet
Opret som minimum kategorierne Nødvendige, Statistik/Analyse, Marketing og Personalisering. Overvej en ekstra Funktionelle kategori til f.eks. video-afspillere. - “Accept alle” / “Afvis alle”-knapper
Begge knapper skal være lige synlige (samme farve og størrelse) for at undgå dark patterns. - Forhåndsblokering
CMP’en skal kunne blokere alle ikke-nødvendige scripts indtil brugeren har givet samtykke, inkl. tags, pixels og lokale storage-teknologier. - Granulært samtykke
Brugeren skal kunne sætte hak ved enkelte formål eller leverandører – dét bliver ofte et krav i DPA’s afgørelser. - Sprog og tilgængelighed
Banner og politik skal som minimum være på dansk og engelsk; WCAG 2.1-krav skal også tænkes ind.
2. Hvad skal stå i en fyldestgørende cookiepolitik?
| Element | Beskrivelse / bedste praksis |
|---|---|
| Kategori | Nødvendige, Statistik, Marketing, Personalisering osv. |
| Formål | Beskriv hvorfor cookien sættes (f.eks. ABM, LinkedIn Insight Tag, Google Analytics eller kundelogin-session). |
| Leverandør | Angiv både eget domæne og tredje-parter (Google, HubSpot, Drift, Hotjar m.fl.). |
| Varighed | Session, 30 dage, 24 måneder … Husk at opdatere løbende. |
| Retsgrundlag | Samtykke (art. 6 (1)(a)) eller legitim interesse for nødvendige cookies (art. 6 (1)(f)). |
| Datalokation / overførsler | Tredjelande, SCC’er, Schrems II-vurdering, evt. Transfer Impact Assessment. |
| Deling | Angiv om data deles med andre koncernenheder, partnere, annoncenetværk. |
| Kontakt | DPO eller privacy-teamets e-mail samt fysisk adresse. |
| Ændring / tilbagetrækning | Link til CMP’s præferencecenter samt instruks til at slette cookies manuelt. |
3. Logning, versionering og bevisbyrden
- Samtykkelogs: Gem timestamp, anonymiseret IP, bruger-ID (hvis muligt), valgt præference og CMP-version.
- Versionering: Enhver ændring i formål, leverandører eller bannerdesign udløser en ny versionskode.
- Retention: Bevar logs i max fem år eller så længe du kan forvente tilsyn; sørg for kryptering og adgangsstyring.
4. Scanningsrutiner og løbende governance
- Månedlig scan af domæner og subdomæner – automatisk i CMP eller via fx Cookiebot eller Onetrust.
- Tværfaglig cookie-board: Marketing ejer tag-manageren, IT leverer teknik, Legal/DPO validerer formål og retsgrundlag.
- Change management: Nye kampagnepixels skal igennem en mini-DPIA før de lægges i tag-manageren.
- Vendor management: Databehandleraftaler og SCC’er med alle tredjeparter, inkl. ABM-platforme og CDN-leverandører.
5. Særlige b2b-scenarier
- ABM-platforme (6sense, Demandbase): Klassificér som Marketing; kræver samtykke og fælles dataansvar.
- LinkedIn Insight Tag & Meta-pixel: Brug Enhanced Conversions? Så skal datadeling beskrives eksplicit.
- Session-replay og heatmaps: Få en DPIA på plads – de fleste B2B-sites har login-områder, hvor det er ekstra følsomt.
- Salgsportaler / kundelogin: Adskil cookies til SSO og sikkerhed (nødvendige) fra cookies til “Hvem så produktet” (marketing).
- E-mail tracking i CRM (HubSpot/Marketo): Hvis åbninger spores via pixel, gælder de samme samtykkekrav.
6. Tværdomæne- og subdomæne-styring
B2B-virksomheder har ofte .com, .dk, support.company.com og separate landing-sites. Samme CMP bør skyde ind på alle miljøer. Brug document.cookie = “SameSite=Lax; Secure” for at undgå utilsigtet deling, og test, at “afvis alle” virkelig sletter cookies fra alle domæner.
7. Sikkerheds-/driftscookies og serverlogs
- Load balancer-cookies, CSRF-tokens, log-in-session-ID’er: Klassificér som strengt nødvendige; ingen samtykke, men oplysning er stadig påkrævet.
- Server-/access-logs: Faldet uden for cookiebekendtgørelsen, men GDPR gælder – minimér retention (typisk 30 dage) og pseudonymisér IP’er.
8. Hurtig tjekliste til b2b-compliance
- CMP implementeret med kategorier og blokering før samtykke.
- “Accept alle/afvis alle”-knapper med ligeværdigt valg.
- Opdateret cookiepolitik med alle leverandører og formål.
- Samtykkelogs gemmes, versioneres og revideres kvartalsvist.
- Månedlig scriptscan + tværfagligt review board.
- Databehandleraftaler og SCC’er på plads for hver vendor.
- Særlige B2B-techs (ABM, session replay) er DPIA-vurderet.
Når ovenstående er på plads, står virksomheden stærkt både over for Datatilsynet og kunderne – og marketing får de data, de rent faktisk må bruge.
