Emailhosting for advokater og revisorer: hvad loven kræver i 2026

Klientkommunikation er hjertet i en advokat- eller revisorkontors daglige arbejde. Og den foregår i vid udstrækning via email. Det gør valget af email-hosting til noget mere end en teknisk beslutning: det er et juridisk og etisk ansvar. GDPR, brancheorganisationernes retningslinjer og klientfortrolighedsreglerne sætter klare krav til, hvordan I håndterer den kommunikation.

Klientdata er følsomme oplysninger

Advokater håndterer privilegeret kommunikation, der i mange tilfælde er beskyttet af tavshedspligt. Revisorer arbejder med skatteopgørelser, årsrapporter og finansielle oplysninger, der kan udgøre personfølsomme data efter GDPR artikel 6 og i visse tilfælde artikel 9.

Det betyder, at den løsning, der gemmer og leverer jeres emails, skal behandle disse oplysninger med samme ansvarlighed, som I gør det selv. Mange virksomheder vælger deres email-hosting på baggrund af pris og brugervenlighed. For advokater og revisorer bør compliance-kravene veje mindst ligeså tungt.

5 ting din email-hosting skal opfylde

Her er de fem krav, som enhver advokatkontor eller revisionsvirksomhed bør stille til sin email-hosting:

• Databehandleraftale (DPA): Lovpligtig efter GDPR artikel 28 når I bruger en ekstern email-udbyder. DPA'en skal specificere, hvad udbyderen må bruge jeres data til, hvem der har adgang, og om der er underdatabehandlere.
• Data i EU/EØS: Schrems II-afgørelsen fra 2020 underkende Privacy Shield og skabte juridisk usikkerhed om overførsler til USA. Data i EU-datacenter er den sikreste og enkleste løsning.
• Adgangsstyring og logning: I skal kunne dokumentere, hvem der har haft adgang til jeres emails. En audit-log er afgørende for GDPR-compliance og nyttig ved eventuelle brud.
• Krypteret transport (TLS): Emails skal krypteres under transport. TLS er standarden og bør altid være aktiveret.
• Eksport og sletning: I skal til enhver tid kunne eksportere jeres data og slette dem hos udbyderen, hvis I skifter. Det er en del af jeres ret som dataansvarlig.

Hvad de populære udbydere leverer

One.com er populær blandt danske SMV'er, men DPA er et tilkøb og data kan befinde sig delvist uden for EU. Det er en udfordring for advokater og revisorer, der behandler fortrolige klientdata.

Google Workspace tilbyder en DPA og har datacenter-muligheder i EU, men Google scanner emails til brug for sine egne tjenester. Det er i bedste fald uklart, om det er foreneligt med advokatens tavshedspligt.

Mahoje Hosting leverer DPA som standard uden tillæg. Data lagres på servere i Frankfurt, Tyskland (EU). Der er ingen AI-scanning af emails og ingen deling med tredjepart til markedsformål.

Advokatsamfundets og FSR's retningslinjer

Advokatsamfundet anbefaler generelt, at advokater sikrer, at IT-systemer lever op til GDPR, og at der foreligger en databehandleraftale med alle systemleverandører, der behandler persondata. FSR, der organiserer revisorer, er inde på samme linje: compliance med GDPR er ikke valgfrit for virksomheder i den finansielle sektor.

Datatilsynet har udsendt vejledninger om, hvad en DPA skal indeholde, og hvad der kræves ved brug af cloud-tjenester. Det anbefales at gennemgå disse vejledninger, inden man vælger email-udbyder.

Kom godt i gang: en checkliste

• Tjek om din nuværende udbyder har en DPA, du faktisk har underskrevet
• Verificer at data ligger i EU/EØS og ikke i USA eller andre tredjelande
• Kontroller at emails krypteres under transport (TLS)
• Sørg for, at du kan eksportere alle emails ved en eventuel opsigelse
• Spørg udbyderen om de anvender AI-scanning på emailindhold

Vil du have email-hosting med DPA inkluderet og data i EU? Se vores dedikerede sider til advokater og revisorer, eller prøv gratis i 14 dage.