Hvad GDPR-software koster, kan ikke besvares med én troværdig listepris for alle danske virksomheder. Leverandørernes tilbud kan omfatte forskellige moduler, brugere, behandlingsaktiviteter, supportniveauer og opstartsarbejde. Nogle offentliggør en pris for en afgrænset pakke, mens andre afgiver et individuelt tilbud. Derfor er det mest nyttige svar at fastlægge, hvad I vil købe, bede flere leverandører prissætte det samme omfang og sammenligne den samlede kontraktomkostning med den tid, I faktisk forventer at bruge internt.
Denne guide er til indkøb af GDPR-software, ikke til rangering af leverandører. Den viser, hvordan du læser et tilbud, finder løbende og engangsbaserede omkostninger og vurderer, om et værktøj passer til jeres behandlinger. Vil du først afklare funktioner, kan du læse sammenligningen af GDPR-software og guiden til software for fortegnelsen.
Begynd med jeres opgave, før I beder om pris
Et værktøj er kun billigt, hvis det løser en opgave, I faktisk har. Skriv de arbejdsgange ned, som kræver tid i dag: vedligeholdelse af fortegnelsen over behandlingsaktiviteter, vurdering af databehandleraftaler, behandling af indsigtsanmodninger, konsekvensanalyser, hændelser og intern opfølgning. Notér hvem der opretter oplysninger, hvem der skal godkende dem, og hvor dokumentationen ligger. På den måde kan leverandøren svare på et konkret behov frem for at demonstrere alle funktioner i kataloget.
Opdel krav i nødvendige og ønskelige. En lille organisation med få systemer kan have brug for en pålidelig fortegnelse og påmindelser om aftaler. En organisation med flere dataansvarlige kan behøve adskillelse mellem enheder, roller og godkendelser. Det er ikke sikkert, at de to skal købe samme pakke. Beslut også, hvilke opgaver fortsat kræver juridisk vurdering: valg af behandlingsgrundlag, vurdering af brud og godkendelse af oplysningstekster kan ikke prissættes som fuld automatisk efterlevelse.
En god bestilling til tre leverandører beskriver de samme behandlingstyper, omtrentlige brugerkreds, nødvendige arbejdsgange, integrationsønsker, sprog og krav til eksport. Bed om en skriftlig afgrænsning af, hvad der er med i tilbuddet. Så bliver et lavt beløb uden migrering eller support ikke fejlagtigt sammenlignet med et samlet tilbud.
Hvilken enhed styrer licensprisen?
Abonnementet kan knyttes til navngivne brugere, aktive brugere, antal enheder, juridiske selskaber, behandlingsaktiviteter, moduler eller et individuelt aftalt omfang. En pris pr. bruger kan være passende til et lille centralt team, men dyrere, hvis mange faglige ejere skal kommentere eller godkende. En pris pr. behandling kan se overskuelig ud, indtil fortegnelsen bliver mere detaljeret. Få derfor leverandøren til at vise, hvad der sker med prisen, når jeres antal brugere, enheder eller behandlinger ændrer sig.
Spørg også, hvad ord som »bruger« og »enhed« betyder i kontrakten. Tæller en person med læseadgang? Tæller eksterne rådgivere? Er et koncernselskab inkluderet, eller opkræves det separat? Kan en konto flyttes ved medarbejderskift? Et tilbud bør beskrive måleenheden, den aftalte grænse og prisen for overskridelser. Det gør det muligt at lægge forskellige leverandørers model på samme regneark uden at antage, at deres overskrifter betyder det samme.
Et modul kan være inkluderet i basispakken hos én leverandør og koste ekstra hos en anden. Bed om et skema for de funktioner, I har markeret som nødvendige. Særligt håndtering af rettighedsanmodninger, leverandøroversigt, dokumenteksport og støtte til hændelser skal afklares. Sammenlign ikke en pris for fortegnelsen alene med et tilbud, som også omfatter implementering og support.
Engangsarbejdet kan være større end licensen i starten
Indførelse kræver normalt, at nogen gennemgår eksisterende registre, fjerner dubletter, fastlægger roller og tager stilling til åbne oplysninger. Spørg hvem der gør dette arbejde: jeres team, leverandøren eller en ekstern rådgiver. Et lavt opstartsbeløb kan betyde, at alle data skal indtastes manuelt af jer. Et højere beløb kan omfatte import og kvalitetssikring. Bed om leverancer, ansvar og acceptkriterier, ikke blot en linje kaldet »onboarding«.
En prøveimport er ofte mere oplysende end en salgspræsentation. Vælg et repræsentativt udsnit af jeres fortegnelse med forskellige formål, datakategorier og leverandører. Se, hvad der importeres korrekt, hvad der kræver manuel afklaring, og hvordan fejl kan rettes. Hvis leverandøren tilbyder automatisk dokumentindlæsning eller AI-støtte, skal I stadig kontrollere, om de foreslåede felter passer til jeres faktiske behandling. En automatisk udfyldt fortegnelse er ikke et bevis for, at de juridiske valg er korrekte.
Konfiguration af roller, skabeloner, godkendelser og påmindelser tager også tid. En organisation med flere ansvarlige enheder bør afprøve, om en bruger kun ser den rette enheds oplysninger. Har I en aftalt overgang fra regneark, så medtag tiden til at afstemme gamle og nye poster. Fastlæg hvem der godkender, at migreringen er færdig, og hvordan manglende bilag håndteres.
Support, sprog og aftalens praktiske vilkår
Læs, hvad der sker efter implementeringen. Hvilke kanaler bruges til support, hvornår er de åbne, og hvilke opgaver er inkluderet? Er rådgivning om konkret retlig vurdering del af ydelsen, eller leverer virksomheden alene softwarehjælp? Bed om et eksempel på et supportforløb for en fejl i eksport eller adgangsstyring. Et løfte om »dedikeret support« siger lidt uden beskrivelse af omfang og kontaktform.
Hvis medarbejdere skal arbejde på dansk, så afprøv både brugerflade og de dokumenter, der sendes til registrerede. Dansk menutekst er ikke det samme som en forståelig dansk privatlivspolitik eller et korrekt svar på en anmodning. Spørg om sprogtilpasning er inkluderet, hvem der vedligeholder skabelonerne, og om I kan ændre formuleringer efter intern juridisk gennemgang.
Undersøg bindingsperiode, fornyelse, prisregulering, opsigelse og håndtering ved kontraktophør. Kan data eksporteres i et brugbart format, og hvad koster hjælp til eksport? Hvornår slettes eller tilbageleveres personoplysninger? Disse spørgsmål hører sammen med databehandleraftalen, hvis leverandøren behandler oplysninger på jeres vegne. En lav pris i første aftaleperiode kan være mindre attraktiv, hvis forlængelsen er uklar eller udtræden kræver omfattende manuelt arbejde.
Beregn totalomkostningen på samme måde for alle tilbud
Lav ét regneark med fem rækker: årlig licens for jeres aftalte omfang, engangsopsætning fordelt over den periode I ønsker at sammenligne, tilkøb og integrationer, forventet intern tid til drift og vedligehold, samt omkostning til opsigelse og dataflytning. Skriv leverandørens dokumenterede beløb i de første rækker og jeres egne vurderinger i de interne rækker. Hold antagelser tydeligt adskilt fra et bindende tilbud. Hvis en leverandør ikke kan angive prisen for et nødvendigt modul, står feltet åbent; udfyld det ikke med en gættet markedspris.
Lav derefter mindst to brugsscenarier. Det første svarer til jeres nuværende antal brugere og behandlinger. Det andet viser en sandsynlig ændring, fx at flere afdelinger skal bidrage til fortegnelsen. Bed leverandøren regne begge scenarier med samme kontraktvilkår. På den måde kan I opdage, om en lav indgangspris bliver dyr, når værktøjet faktisk tages i brug.
Mål også den interne tid før og efter et afgrænset forsøg. Hvor lang tid tager det at opdatere én behandling, finde en aftale, registrere en hændelse eller samle materiale til et svar? Først når disse opgaver er observeret i jeres organisation, kan en tidsbesparelse bruges som grundlag for en indkøbsbeslutning. Generelle påstande om, at software sparer en bestemt procentdel eller et bestemt antal timer om året, er ikke et pålideligt budgettal for jer.
Sikkerhed og overførsler kan påvirke den samlede indsats
GDPR-software kan selv indeholde beskrivelser af følsomme behandlinger, kontaktoplysninger og kontraktbilag. Bed derfor om dokumentation for adgangsstyring, logging, backup, hændelseshåndtering og brug af underdatabehandlere. Vurder de konkrete foranstaltninger efter artikel 32 og jeres risici. En certificering eller revisorerklæring kan være relevant dokumentation, men er hverken et automatisk bevis for GDPR-efterlevelse eller noget, du skal antage, at en navngiven leverandør har.
Kortlæg faktisk behandlingssted og adgang, ikke kun leverandørens hjemsted. Hvis en leverandør eller supportpartner får adgang fra et tredjeland, må I vurdere kapitel V og den konkrete overførsel. Spørg leverandøren hvilke underdatabehandlere der bruges, hvorfra de kan få adgang, og hvilke garantier der gælder. Indregn tiden til vurdering og eventuel kontraktgennemgang. Undlad at tilføje en fast »overførselsafgift« uden et faktisk tilbud eller internt ressourceestimat.
Når et værktøj også sælges som løsning til NIS2, DORA eller andre rammer, skal I skelne mellem fælles dokumentationsfunktioner og konkrete lovpligter. Et modulnavn viser ikke, at organisationen er omfattet af en bestemt lov, eller at alle pligter er dækket. Bed om en demonstration af de arbejdsgange, I har brug for, og vurder det på samme måde som GDPR-funktionerne.
Sammenlign en demonstration med jeres egne data
Giv leverandørerne den samme, anonymiserede opgave: opret en behandling, forbind den til en leverandør og aftale, tilføj en risikovurdering, og vis hvordan en indsigtsanmodning eller en brudhændelse følges op. Bed dem vise, hvem der kan ændre en beslutning, hvordan en rettelse spores, og hvordan dokumentation eksporteres. Det gør forskellen mellem en flot oversigt og en arbejdsgang, som medarbejderne faktisk kan bruge, synlig.
Et salgsmøde bør ikke afgøre, om et produkt har en bestemt certificering eller en konkret automatiseringsgrad. Bed om det aktuelle dokument, en beskrivelse af dækningsområdet og en dato. Det samme gælder priser: brug et dateret, skriftligt tilbud for jeres omfang, ikke en løs sammenligning med andre leverandører. En leverandørsammenligning kan inspirere til spørgsmål, men jeres egen kontrakt skal bære beslutningen.
Bed om en pris, der kan sammenholdes med en acceptprøve
Forbind tilbuddets poster med det, I vil acceptere som leveret. Hvis migrering koster ekstra, så beskriv hvor mange eksisterende poster og bilag der skal overføres, hvem der retter fejl, og hvornår arbejdet er godkendt. Hvis oplæring indgår, så aftal hvilke roller der får den, og hvordan nye medarbejdere lærer arbejdsgangen senere. Hvis et modul er nødvendigt, skal det stå på prisarket og demonstreres. Ellers kan et billigt tilbud efterlade netop den opgave, I ville købe jer hjælp til.
Et konkret beslutningsnotat kan have tre kolonner: krav, demonstreret resultat og kontraktpris. En fjerde kolonne kan angive resterende internt arbejde. Denne opstilling gør det lettere at sammenligne et værktøj med få stærke funktioner med en bredere suite. Den synliggør også, hvis jeres egne processer skal forbedres før et softwarekøb giver værdi.
Hvad hvis I fortsætter uden software?
Manuel håndtering kan være forsvarlig, hvis ejerskab, frister og dokumentation fungerer. Et regneark kan være tilstrækkeligt for en afgrænset fortegnelse, men skal stadig opdateres. En fælles mailbox kan håndtere rettighedsanmodninger, hvis ansvar, identitetskontrol og svarfrist er tydelige. Beslut ikke, at I behøver software alene fordi GDPR findes. Beslut, hvilke nuværende fejl eller tidsforbrug et værktøj skal afhjælpe, og hvordan I vil måle resultatet.
Bøder er heller ikke en forsikringspræmie, som kan lægges ind som en standardbesparelse. Datatilsynets oversigt over bødesager skelner mellem tilsynets indstillinger og domstolenes afgørelser; sagerne afhænger af konkrete forhold. Software kan støtte arbejdet med dokumentation og opfølgning, men fjerner ikke organisationens ansvar for lovlige behandlinger. Sammenlign derfor værktøjets omkostning med jeres dokumenterede arbejdsbehov, ikke med et opdigtet forventet bødebeløb.
Afprøv prisen ved et leverandørskifte
En indkøbsbeslutning omfatter også det tidspunkt, hvor I ikke længere vil bruge værktøjet. Bed om en prøveeksport fra demonstrationsmiljøet: kan poster, bilag, relationer og historik overføres i et forståeligt format, eller får I blot en flad liste uden sammenhæng? Spørg hvem der hjælper ved ophør, om hjælpen koster ekstra, og hvor længe der er adgang efter opsigelse. Hvis en leverandør ikke kan demonstrere dette, kan I ikke beregne den fulde skifteomkostning.
Overvej også hvem der ejer den daglige datakvalitet. En licens uden ansvarlige medarbejdere bliver hurtigt et dyrt arkiv. Afsæt tid til at gennemgå nye behandlinger, kontrollere forslag fra automatiske funktioner og lukke opgaver. Det er intern drift, som skal med i budgettet, uanset om leverandøren fakturerer pr. bruger eller pr. modul. Den mest relevante pris pr. år er derfor den, der omfatter både kontrakten og de mennesker, der får arbejdsgangen til at fungere.
Spørgsmål til det skriftlige tilbud
Bed om at få følgende besvaret i samme format fra hver leverandør:
- Hvilke brugere, juridiske enheder, behandlinger og moduler er inkluderet, og hvad udløser en ændret pris?
- Hvilket arbejde med import, opsætning og oplæring indgår, og hvad skal vi selv levere?
- Hvordan prissættes support, integrationer, ekstra lagerplads og ændringer efter start?
- Hvad er binding, fornyelse, prisregulering og vilkår for dataeksport og ophør?
- Hvilke sikkerhedsoplysninger og databehandlervilkår får vi til juridisk og teknisk vurdering?
Et svar kan godt være »fastlægges efter afklaring«, men så er omfanget endnu ikke sammenligneligt. Bed om afklaringen før beslutningen, og notér hvad der stadig er en antagelse. Vælg derefter den løsning, der opfylder de nødvendige arbejdsgange til en forståelig samlet omkostning og med vilkår, I kan administrere gennem hele aftaleperioden.
Hvem skal godkende indkøbet?
Indkøbsteamet kan sammenligne tilbud og kontraktvilkår, men den daglige ejer bør bekræfte, at arbejdsgangene virker. Sikkerhedsteamet bør vurdere adgang, logging og hændelseshåndtering. En DPO kan rådgive om databeskyttelsesspørgsmål, hvis organisationen har en, men den dataansvarlige skal fortsat træffe de endelige valg. Lav en kort acceptbeslutning med åbne spørgsmål og ansvarlig for hvert spørgsmål, før aftalen underskrives.
Hvis tilbuddet ser billigt ud, fordi en del af arbejdet flyttes til egne medarbejdere, skal den tid have en ejer og plads i planen. Hvis en leverandør lover automatisk udarbejdelse af tekster, skal en person kontrollere dem før udsendelse. Hvis et modul kan købes senere, så bed om pris og virkning ved tilkøb allerede nu, men køb det først, når behovet er påvist. Disse valg er forskellige måder at fordele arbejde og omkostning på, ikke bevis for at en bestemt leverandør er bedst.
Et skriftligt beslutningsgrundlag bør også angive, hvad der skal måles efter indførelse: færre manglende felter i fortegnelsen, hurtigere genfinding af dokumenter eller mere rettidig opfølgning. De valgte mål skal kunne observeres i jeres organisation. Så kan et senere fornyelsesvalg bygge på faktisk brug og faktiske udgifter frem for en gammel salgspræsentation.
Ofte stillede spørgsmål
Kan jeg finde en pålidelig gennemsnitspris for GDPR-software?
Ikke uden at definere sammenligningsgrundlaget. Pakker og aftaler dækker forskellige funktioner, brugere og tjenester, og en offentlig startpris kan være for et andet omfang end jeres. Brug daterede tilbud med samme krav og beregn totalomkostningen for begge.
Er den billigste licens også den billigste løsning?
Det afhænger af implementering, intern tid, tilkøb og kontraktens vilkår. En billig licens kan være rigtig, hvis teamet selv kan udføre opsætningen. En dyrere licens kan være rimelig, hvis den sparer dokumenteret arbejde eller dækker nødvendige funktioner. Afprøv de konkrete opgaver før I lægger en forventet besparelse i budgettet.
Kan software gøre os GDPR-kompatible automatisk?
Nej. Værktøjet kan støtte registrering, opfølgning og dokumentation, men den dataansvarlige skal stadig fastlægge formål og grundlag, vurdere risici, besvare registrerede og kontrollere leverandører. Automatiske forslag skal kontrolleres før de bruges som beslutning eller offentlig tekst.
Konklusion
Prisen på GDPR-software er den samlede betaling og interne indsats for jeres konkrete omfang. Definér opgaven, indhent sammenlignelige tilbud, afprøv en repræsentativ arbejdsgang og læs vilkår for vækst og ophør. Uden aktuelle, dokumenterede leverandørpriser er et generelt interval mindre nyttigt end en metode, som viser, hvad I faktisk kommer til at betale.