Emailhosting til ejendomsmæglere 2026: GDPR, finansielle data og sikker kommunikation

En ejendomsmægler sidder med nogle af de mest personfølsomme oplysninger, en privat virksomhed kan håndtere: CPR-numre på sælgere og købere, oplysninger om gæld og formue, bankudskrifter, skøder og kommunikation om privatøkonomiske forhold. Meget af den kommunikation foregår via email. Det gør valget af emailhosting til en compliance-beslutning, der er reguleret af GDPR og underlagt krav fra Erhvervsstyrelsen.

Alligevel bruger mange mæglerkontorer i dag Gmail eller en standardhosting fra en udenlandsk udbyder, uden at have forholdt sig til, om løsningen opfylder lovens krav. Denne guide forklarer, hvad der er på spil, og hvad du konkret bør kræve af din emailhosting.

Hvilke data behandler en ejendomsmægler?

For at forstå risikoen er det nyttigt at kortlægge, hvilke typer personoplysninger en ejendomsmægler typisk behandler via email:

• Køber- og sælgeroplysninger: Fulde navne, adresser, CPR-numre og kontaktoplysninger indgår i næsten alle handleer. CPR-nummeret er et særligt følsomt identifikationsnummer, der kræver et specifikt retsgrundlag under GDPR og databeskyttelseslovens § 11.
• Finansielle data: Bankudskrifter, lånetilbud, gældsbreve og oplysninger om økonomi deles jævnligt via email i forbindelse med finansiering og handlens gennemførelse. Disse oplysninger falder under GDPR som almindelige personoplysninger, men er af særlig følsom karakter.
• Oplysninger fra tinglysning og skøde: Skøder og tingbogsoplysninger indeholder ejendoms- og ejerskabsoplysninger, der kobler direkte til fysiske personers adresse og formueforhold.
• Kommunikation med advokater og banker: I handlens gennemførelse koordineres der med advokater, pengeinstitutter og eventuelt kommunen. Disse emails indeholder typisk mange af de ovenstående oplysninger i kombination.

Summen af disse oplysninger gør en ejendomsmæglers emailkonto til et attraktivt mål for hackere og identitetstyveri. Det er ikke en teoretisk risiko. Phishing-angreb mod mæglere, der forsøger at omdirigere handelsbeløb, er veldokumenterede i Danmark.

GDPR-risici ved Gmail og cloud-mail

Mange mæglerkontorer bruger Gmail, Outlook.com eller Microsoft 365 til emailkommunikation. For private formål er disse løsninger udmærkede. For professionel brug, hvor der behandles personfølsomme oplysninger, er der tre centrale problemer:

Manglende eller utilstrækkelig DPA: Gmail til privat brug har ingen databehandleraftale. Google Workspace tilbyder en DPA, men den er generisk og dækker ikke altid den specifikke behandling af CPR-numre og finansielle data, der foregår i et mæglerkontors hverdag. Datatilsynet kræver, at DPA'en er specifik og underskrevet.

Data uden for EU: Google og Microsoft er amerikanske selskaber, der er underlagt CLOUD Act. Det betyder, at amerikanske myndigheder under visse betingelser kan kræve adgang til dine kunders oplysninger, selv om de fysisk befinder sig på EU-servere. Det er ikke foreneligt med GDPR's krav om, at data ikke overføres til tredjelande uden tilstrækkeligt beskyttelsesgrundlag.

Scanning af emailindhold: Google scanner emailindhold til brug for sine egne tjenester, selv i Workspace-versionen. Det er i bedste fald uklart, om det er foreneligt med GDPR's krav om, at oplysninger kun behandles til det formål, de er indsamlet til, og med de særlige krav om fortrolighed, der gælder for CPR-numre og finansielle data.

Erhvervsstyrelsen og mæglernes forpligtelser

Ejendomsmæglere er erhvervslicenserede af Erhvervsstyrelsen og underlagt lov om formidling af fast ejendom. Loven stiller krav om ordentlig behandling af klientmidler og dokumentation, men den stiller ikke eksplicitte krav til emailhosting. GDPR derimod gøres gældende fuldt ud.

Erhvervsstyrelsen fører tilsyn med mægleres generelle compliance, og et databrud med klientoplysninger kan have konsekvenser ud over en GDPR-bøde: det kan påvirke din erhvervslicens og din mulighed for at tegne ansvarsforsikring, som er obligatorisk for autoriserede ejendomsmæglere.

Datatilsynet har i de seneste år øget fokus på SMV'er i liberale erhverv, herunder ejendomsmæglere. Et databrud med CPR-numre eller finansielle data fra en handel er anmeldelsespligtigt inden 72 timer og kan udløse en tilsynssag.

Fordele ved dansk hosting for ejendomsmæglere

At vælge en dansk eller EU-baseret emailhosting-løsning giver ejendomsmæglere tre konkrete fordele:

Juridisk klarhed: En dansk udbyder med DPA inkluderet og data i EU giver dig et klart og dokumenterbart overførselsgrundlag. Du kan svare på Datatilsynets spørgsmål om, hvor dine kunders oplysninger befinder sig, og du kan vise, at der er en gyldig DPA. Det er den dokumentation, du skal bruge, hvis der opstår en tilsynssag.

Ingen CLOUD Act-eksponering: En europæisk udbyder uden amerikanskejt moderselskab er ikke underlagt CLOUD Act. Dine kunders finansielle oplysninger og CPR-numre kan ikke kræves udleveret til amerikanske myndigheder. Det er den enkleste og sikreste løsning.

Professionel support på dansk: Når din email ikke virker midt i en handel, er dansk support afgørende. En engelsksproget chatbot giver dig ikke den hjælp, du har brug for, når en salgsdato er truet. Dansk support fra en udbyder, der kender dit setup, er en reel driftsmæssig fordel.

Hvad du skal kræve af din emailhosting

Uanset hvilken udbyder du vælger, bør du som ejendomsmægler stille disse krav:

• Underskrevet DPA der dækker CPR-numre og finansielle data: DPA'en skal specificere, at udbyderen behandler disse datakategorier, og hvad de må bruge dem til. En generisk DPA der blot nævner "personoplysninger" er ikke tilstrækkelig.
• Data i EU/EØS, europæisk moderselskab: Både serverplacering og ejerskab er afgørende. Et amerikanskejt selskab er CLOUD Act-underlagt, uanset hvor serverne fysisk befinder sig.
• TLS-kryptering og SPF/DKIM/DMARC: Emails skal krypteres under transport. SPF, DKIM og DMARC hindrer spoofing og sikrer, at dine emails leveres korrekt.
• Adgangslog: Du skal kunne dokumentere, hvem der har haft adgang til systemet, både til GDPR-compliance og til din ansvarsforsikring.
• Eksport og sletning ved opsigelse: Du skal til enhver tid kunne hente alle emails ud og kræve sletning hos udbyderen, hvis du skifter.

Hos Mahoje Hosting er DPA inkluderet i alle planer uden tillæg. Data lagres på EU-servere i Frankfurt, der er ingen AI-scanning af emails, og ingen tilknytning til amerikanske moderselskaber. Vi hjælper dig med flytningen fra din nuværende udbyder gratis. Se vores databehandleraftale eller ansøg om en betaplads i dag.

Se vores tilbud til ejendomsmæglere: Emailhosting til ejendomsmæglere.