GDPR og kundefeedback i B2B: Hvad må du egentlig indsamle? [2026]

Du behøver ikke samtykke for at sende en tilfredshedsundersøgelse. Du skal have det rette behandlingsgrundlag, disciplineret dataminimering, og feedback-data du faktisk kan tage med dig. Her er hvad GDPR, og nu EU Data Act, kræver i praksis.

Skal du have samtykke for at sende en tilfredshedsundersøgelse efter GDPR?

Nej. I en eksisterende B2B-kunderelation kører en tilfredshedsundersøgelse næsten altid på legitim interesse efter art. 6, stk. 1, litra f, ikke på samtykke. En undersøgelse er ikke direkte markedsføring, du har allerede en relation, og den person du kontakter forventer med rimelighed at blive spurgt om den ydelse, de har købt.

Legitim interesse er ikke et frikort. Det kræver en dokumenteret interesseafvejning (LIA) før du sender noget som helst: navngiv interessen (at forstå og forbedre servicen), vis at behandlingen er nødvendig for den (kunne du nå målet med færre data?), og afvej den mod den registreredes rettigheder og rimelige forventninger. For undersøgelser blandt eksisterende kunder er den afvejning som regel nem at bestå, men du skal skrive den ned. Gør det én gang, og genbrug den på tværs af hele programmet.

Samtykke efter art. 6, stk. 1, litra a, har stadig en plads. Brug det når du vil genbruge feedback til noget kunden ikke forventer, for eksempel at offentliggøre et navngivet testimonial eller lægge et svar ind i et markedsføringsflow. Så indhenter du samtykke til netop det specifikke, adskilte formål.

En dansk krølle er værd at nævne: markedsføringslovens § 10 kræver forudgående samtykke ved elektronisk direkte markedsføring. En ægte tilfredshedsundersøgelse er ikke markedsføring, så § 10 gælder ikke. Men i det øjeblik din "undersøgelse" bliver et salgsfremstød eller et skub mod en anmeldelsesplatform, er du i § 10-territorium og skal have samtykke. Hold de to ting adskilt, både i hensigt og i ordlyd.

Derfor er samtykke oftest det forkerte grundlag

Her er den del, de fleste privatlivstjeklister vender på hovedet. Samtykke føles som det sikre, respektfulde udgangspunkt, så teams griber automatisk til det. Til et løbende feedbackprogram er det ofte det dårligste valg.

Samtykke efter GDPR skal være frivilligt, specifikt, informeret og utvetydigt, og det skal være lige så let at trække tilbage, som det var at give. Til et løbende relationelt NPS-program er det skrøbeligt: én trækker tilbage, og du skal fjerne vedkommende fra hver eneste fremtidig bølge, kunne bevise at du gjorde det, og håbe at dine systemer rent faktisk håndhæver det. En samtykkeport foran undersøgelsen ødelægger også stille og roligt dine tal, fordi du taber respondenter ved porten, før de overhovedet ser et spørgsmål. Det er det sidste du har brug for, når du i forvejen kæmper for en ordentlig svarprocent.

Legitim interesse, ordentligt dokumenteret, er både mere robust og mere ærligt. Du spørger eksisterende kunder om en ydelse, de betaler for. Sig det, baser din behandling på det, og gem samtykket til det der reelt er valgfrit og reelt uventet.

Hvilke data bør et B2B-feedbackprogram indsamle?

Dataminimering er art. 5, stk. 1, litra c: personoplysninger skal være tilstrækkelige, relevante og begrænset til det nødvendige for formålet. Sagt ligeud: indsaml nok til at handle, ikke alt hvad du kan komme til at opsamle. Hvert "rart at have"-felt er data, du nu skal sikre, begrunde og til sidst slette.

Så er der fælden, næsten alle falder i: fritekstfeltet. Kunder skriver hvad som helst i det. En navngiven kollega ("Anna i support var fantastisk"), et direkte mobilnummer, nogle gange helbreds- eller økonomikontekst afhængigt af din branche. Nu behandler du personoplysninger, du aldrig bad om, af og til følsomme oplysninger. To værn: skriv i feltets label at man ikke skal angive følsomme personoplysninger, og sæt dine verbatims på en slette- eller redigeringsplan, så de ikke hober sig op i det uendelige. Det betyder mest i et Voice of Customer-program, hvor fritekst er hele pointen og mængden er stor.

Hvor længe må du opbevare kundefeedback efter GDPR?

Opbevaringsbegrænsning er art. 5, stk. 1, litra e: personoplysninger må kun opbevares så længe det er nødvendigt for det angivne formål, og derefter skal de slettes eller anonymiseres. For CX betyder det, at identificerbare svar har en arbejdsperiode. Du skal bruge dem længe nok til at lukke loopet, følge en kontos udvikling og se en tendens. Derefter aggregerer du scorerne, anonymiserer fritekstsvarene og fjerner identifikatorerne.

Sæt uret før du går i luften, ikke efter en indsigtsbegæring tvinger spørgsmålet frem. Et almindeligt og forsvarligt mønster: behold identificerbare svar i rullende 12 til 24 måneder til tendensanalyse og kontoopfølgning, derefter anonymiser. Vælg et tal, dokumenter det i din LIA og din privatlivsmeddelelse, og håndhæv det så rent faktisk.

En advarsel der spænder ben for folk: pseudonymiserede data er stadig personoplysninger. Det Europæiske Databeskyttelsesråd (EDPB) gentog det i sin vejledning fra januar 2025. At erstatte navne med en nøgle reducerer risikoen og er god praksis, men det tager ikke dataene ud af GDPR's anvendelsesområde. Pseudonymisering er et værn, ikke en undtagelse.

Anonym, pseudonym eller identificeret: hvad passer til B2B?

Det er her, B2C-råd om privatliv aktivt vildleder B2B-teams. I en masseundersøgelse med 40.000 forbrugere kan anonymitet give mening. I B2B, hvor du har 40 konti der hver især betyder noget, er anonymitet som regel en fejl.

Du kan ikke redde en anonym detractor. Du kan ikke koble en anonym score til opsigelsesrisiko, til et signal om kundens sundhed eller til den person der faktisk kan løse problemet. Pointen med B2B-feedback er at handle på den pr. konto, og anonymitet fjerner præcis det. Det privatlivsbevarende svar er ikke anonymitet. Det er identificeret indsamling med stram minimering, et klart behandlingsgrundlag og kort opbevaring, så du kan lukke loopet uden at hamstre data.

Anonymitet har sin plads, bare ikke her. Medarbejdertilfredshed, eNPS-lignende undersøgelser og alt der ligner whistleblowing har brug for det. Det er et andet problem med et andet svar.

Hvilken information skylder du respondenterne?

Gennemsigtighed står i art. 13 og 14. På eller før det tidspunkt du indsamler data, skal du fortælle folk hvem den dataansvarlige er, formålet, behandlingsgrundlaget (og hvis det er legitim interesse, hvad den interesse er), hvor længe du opbevarer dataene, deres rettigheder og enhver databehandler der er involveret. I praksis er det en enkelt linje med en privatlivsmeddelelse under undersøgelsen og et link til din fulde politik. Gem den ikke af vejen, og spring den ikke over. Det er billig forsikring, og det at være ærlig på forhånd har det med at øge tillid og svarprocent, ikke skade dem.

EU Data Act: dine feedback-data skal kunne flyttes nu

Siden 12. september 2025 har EU Data Act (forordning 2023/2854) været gældende i hele EU. Den rammer præcis den lock-in der plager cloud-baserede CX-værktøjer. Kunder kan skifte databehandlingstjenester, herunder SaaS, IaaS og PaaS, med to måneders varsel, skiftegebyrer udfases, og leverandører skal understøtte interoperabilitet og struktureret dataeksport. Kernebestemmelserne gjaldt fra september 2025, mens krav om interoperabilitet og den fulde fjernelse af skiftegebyrer fases ind frem mod 2027.

Den praktiske CX-konsekvens er kontant. Når du vælger eller genforhandler en feedback-leverandør, er "kan vi få vores rådata ud i et brugbart, struktureret format, på anfordring, uden straf?" nu et compliance-spørgsmål, ikke et rart-at-have. Leverandør-lock-in på dine egne kunders feedback er en risiko, du kan blive bedt om at forsvare. Få eksport-forpligtelsen på skrift, før du skriver under.

Sådan gør SurveyGauge

Vi behandler det som rådgivningsarbejde, ikke som en indstillingsside. For de fleste kunder baserer vi relationelle og transaktionelle programmer på legitim interesse, hjælper med at skrive LIA'en én gang så den dækker hele programmet, holder indsamlingen minimal som udgangspunkt, og aftaler en opbevaringsperiode med dig på forhånd i stedet for at lade fritekstsvar hobe sig op. Og fordi EU Data Act siger at dine data er dine, giver vi dig dine rå svar i en struktureret eksport når du beder om det, uden gebyr og uden lock-in. Platform og CX-rådgivning i ét abonnement, så compliance- og værdispørgsmålene bliver besvaret sammen i stedet for at falde ned mellem to leverandører.

Et hypotetisk billede: da Nordika A/S gik fra en anonym årlig undersøgelse til identificeret, minimeret relationel NPS med et dokumenteret grundlag i legitim interesse og en 24-måneders opbevaringsregel, strammede de ikke bare op på compliance. De kunne endelig handle på navngivne detractors og koble feedback til fornyelser, hvilket er hele grunden til at indsamle den.

Vil du have dit feedbackprogram på solidt juridisk grundlag uden at dræbe svarprocent eller værdi? SurveyGauge samler platformen og CX-rådgivningen i ét abonnement, og dine data er altid dine at eksportere. Book en demo eller se priser.