Emailhosting til coaches og terapeuter 2026: fortrolighed og GDPR artikel 9

En coach eller terapeut har adgang til noget af det mest personlige, et menneske kan dele: følelsesmæssige udfordringer, psykiske vanskeligheder, familiemæssige konflikter og eksistentielle spørgsmål. En stor del af den kommunikation foregår via email: aftaler, opfølgninger, klientnotater, journaler og henvisninger. Det gør valget af emailhosting til en GDPR-beslutning, der kan have alvorlige konsekvenser, hvis den træffes forkert.

Denne guide forklarer, hvilke GDPR-krav der gælder for coaches og terapeuter, hvad der er særligt følsomt, og hvad du konkret skal kræve af din emailhosting-løsning.

Coaches og terapeuter er ikke altid underlagt tavshedspligt

Det er vigtigt at skelne: autoriserede psykologer og psykoterapeuter med sundhedsfaglig autorisation er underlagt sundhedslovens tavshedspligt. Men mange coaches og terapeuter uden sundhedsfaglig autorisation er ikke underlagt den formelle tavshedspligt.

Det ændrer ikke på GDPR-situationen. GDPR gælder for alle, der behandler personoplysninger om fysiske personer, uanset om man er autoriseret eller ej. Og de oplysninger, en coach eller terapeut håndterer, falder mange steder under GDPR's strengeste regler for særlige kategorier af personoplysninger.

Hvilke data er særligt følsomme?

GDPR artikel 9 definerer særlige kategorier af personoplysninger, der nyder den stærkeste beskyttelse. For coaches og terapeuter er to kategorier relevante:

Helbredsoplysninger: Enhver oplysning om en persons fysiske eller psykiske helbred er en helbredsoplysning. Det gælder oplysninger om angst, depression, stress, udbrændthed, traumer og andre psykiske tilstande. Disse oplysninger er artikel 9-data, selv om du som coach ikke er sundhedsfaglig.

Oplysninger om psykisk tilstand: Klientnotater, sessionsreferater og opfølgningsemails der beskriver en klients psykiske tilstand, reaktioner eller adfærd, er personoplysninger af særlig følsom karakter. De behøver ikke at indeholde en diagnose for at falde ind under artikel 9.

Praktisk eksempel: Skriver du i en opfølgningsemail "Husk at arbejde videre med det, vi talte om angående din angst", er det en artikel 9-oplysning. Skriver du "Husk at øve dig i den teknik vi gennemgik", er det langt mere neutralt.

Hvad kræver artikel 9 til databehandleren?

Når din emailhosting-udbyder gemmer emails der indeholder artikel 9-data, er de din databehandler i GDPR's forstand. GDPR artikel 28 kræver:

• Underskrevet databehandleraftale (DPA): DPA'en skal specificere, hvad udbyderen må gøre med dine emails, hvem der har adgang, og om der er underdatabehandlere i tredjelande. En generisk DPA der blot nævner "personoplysninger" er ikke tilstrækkelig for artikel 9-data.
• Dokumentation for sikkerhedsforanstaltninger: Udbyderen skal kunne dokumentere, at de har passende tekniske og organisatoriske sikkerhedsforanstaltninger. Det inkluderer kryptering, adgangsstyring og logning.
• Data i EU/EØS: Overførsel af artikel 9-data til tredjelande kræver et særskilt overførselsgrundlag. Det sikreste valg er en udbyder med data i EU og europæisk ejerskab.
• Ret til sletning og eksport: Dine klienter har ret til at få slettet deres oplysninger. Du skal kunne honorere det krav, hvilket forudsætter, at din udbyder tilbyder sletning og eksport.

Klientnotater og journaler i email

Mange coaches og terapeuter sender klientnotater til sig selv, deler sessionsreferater med klienter, eller opbevarer journallignende dokumenter via email. Det rejser et specifikt spørgsmål: er det lovligt?

Det korte svar: det er lovligt, men det stiller krav. GDPR kræver ikke, at du bruger et specifikt system til klientnotater. Du må gerne bruge email. Men du skal:

• Have et gyldigt retsgrundlag for behandlingen (typisk samtykke eller kontrakt)
• Have en underskrevet DPA med din emailhosting-udbyder
• Oplyse klienten om, at oplysningerne behandles via email, og hvilken udbyder der er databehandler
• Kunne efterkomme klientens ret til indsigt, rettelse og sletning

Email er generelt ikke det bedste sted at opbevare klientnotater på lang sigt, men det er en realitet for mange solo-coaches og -terapeuter. Hvis du gør det, skal din emailhosting-løsning leve op til de krav, der er beskrevet ovenfor.

Praktisk: DPA med hosting-udbyder er obligatorisk

Det er ikke en detalje. En manglende DPA er en af de hyppigste GDPR-overtrædelser, som Datatilsynet finder hos selvstændige coaches og terapeuter. Konsekvenserne kan være en vejledning, et påbud eller i alvorlige tilfælde en bøde.

Datatilsynet har eksplicit udtalt, at alle der behandler personoplysninger som led i erhvervsaktivitet, skal have DPA med alle leverandører der behandler personoplysninger på deres vegne. Din emailhosting-udbyder er en sådan leverandør.

Kontroller i dag, om du har en underskrevet DPA med din nuværende udbyder. Hvis ikke, er det noget du bør rette op på hurtigst muligt.

Hvad Mahoje giver dig

• Databehandleraftale inkluderet: DPA er underskrevet og klar fra dag ét, tilpasset behandling af følsomme personoplysninger. Du behøver ikke bestille den separat.
• Data på EU-servere, europæisk ejerskab: Dine klienters oplysninger lagres i Frankfurt uden CLOUD Act-eksponering. Ingen tilknytning til amerikanske moderselskaber.
• Ingen AI-scanning af emails: Dine klienters følsomme oplysninger bruges ikke til at træne modeller eller forbedre tredjepartstjenester.
• Gratis migration og opsætning: Vi hjælper dig med at flytte fra din nuværende løsning og opsætte alt korrekt, herunder SPF, DKIM og DMARC.

Se vores tilbud til coaches og terapeuter: Emailhosting til coaches og terapeuter.

Er du klar til at sætte din emailhosting i orden, så den lever op til GDPR's krav? Ansøg om en betaplads eller læs vores databehandleraftale i dag.