Samtykkeplatforme: sammenligning 2026

En samtykkeplatform (CMP) er kun brugbar, hvis den kan tre ting: blokere ikke-nødvendige scripts, indtil brugeren har sagt ja, gøre “afvis” præcis lige så let som “accepter”, og udlevere et brugbart bevis for hvert enkelt samtykke, når Datatilsynet spørger. Alt andet — TCF-certificering, Consent Mode, antal sprog — er sekundært. Langt de fleste bannere i Danmark fejler på det første punkt, uanset hvilken leverandør de kommer fra.

Denne gennemgang er skrevet til den, der skal vælge eller udskifte en samtykkeplatform for en dansk hjemmeside i 2026. Den beskriver, hvad reglerne faktisk kræver, hvilke kriterier der adskiller værktøjerne, og hvordan du tester en kandidat på en halv time, før kontrakten underskrives. Den beskriver ikke, hvornår samtykke er et gyldigt behandlingsgrundlag — det er dækket i gennemgangen af samtykke efter artikel 7.

Nøglepunkter

• Cookiereglerne i Danmark står i bekendtgørelse nr. 1148 af 9. december 2011 (cookiebekendtgørelsen), der gennemfører ePrivacy-direktivets artikel 5, stk. 3. Tilsynet med selve cookiereglerne ligger hos Digitaliseringsstyrelsen; Datatilsynet fører tilsyn med den efterfølgende behandling af personoplysninger.
• Datatilsynet og Digitaliseringsstyrelsen udsendte i maj 2025 en fælles vejledning, “Brug af cookies og lignende teknologier”, der er den praktiske målestok, danske løsninger bliver holdt op imod.
• Samtykket skal indhentes før der sættes eller læses ikke-nødvendige cookies. Et banner, der vises oven på allerede indlæste trackere, opfylder ikke kravet — uanset leverandør.
• Artikel 7, stk. 1 lægger bevisbyrden hos den dataansvarlige. Uden en samtykkelog med tidsstempel, valgt kombination og versionsnummer på den viste bannertekst har du intet at fremvise.
• Ingen fast holdbarhed er fastsat i loven. Den fælles vejledning peger på fornyelse cirka én gang om året og altid ved væsentlige ændringer i cookiebrugen.

Hvad skal en samtykkeplatform kunne efter GDPR og cookiereglerne?

Kravene kommer fra to regelsæt, der skal opfyldes samtidig. Cookiebekendtgørelsen kræver forudgående samtykke til at lagre eller tilgå oplysninger i brugerens terminaludstyr — det gælder ikke kun klassiske cookies, men også pixels, web beacons, fingerprinting og datahentning i apps. Databeskyttelsesforordningen bestemmer derefter, hvad et samtykke overhovedet er: artikel 4, nr. 11 kræver en frivillig, specifik, informeret og utvetydig viljestilkendegivelse afgivet ved en aktiv handling, og artikel 7 fastsætter betingelserne for at bruge det.

Oversat til funktionskrav betyder det følgende. Platformen skal kunne holde scripts tilbage til der foreligger et samtykke, ikke bare vise en tekst. Den skal give granularitet pr. formål — statistik, markedsføring og funktionalitet som adskilte valg, ikke ét samlet ja. Den skal have en afvisningsknap på første lag, med samme visuelle vægt som accept; forskel i farve, størrelse eller placering, der skubber brugeren mod accept, er netop det, den fælles vejledning kalder ikke-neutral præsentation. Ingen forudkrydsede felter, og ingen fortolkning af scroll eller fortsat brug som samtykke. Endelig skal tilbagekaldelse være lige så let som afgivelsen efter artikel 7, stk. 3 — i praksis en permanent, synlig indgang til at ændre valget, ikke en formular begravet i privatlivspolitikken.

Der er en fjerde ting, som ofte overses ved indkøbet: platformen behandler selv personoplysninger på dine vegne. Leverandøren er databehandler, og der skal indgås en databehandleraftale efter artikel 28 med underdatabehandlerliste og overførselsgrundlag, før den går i drift. En CMP, der logger IP-adresser til amerikansk infrastruktur, tilføjer en forpligtelse i stedet for at fjerne én.

Hvordan beviser du samtykket efter artikel 7, stk. 1?

Artikel 7, stk. 1 er kort og ubehagelig: den dataansvarlige skal kunne påvise, at den registrerede har givet samtykke. Ved et tilsyn er spørgsmålet aldrig “har I et banner”, men “vis mig, hvad denne bruger fik at se, og hvad vedkommende valgte”. Det stiller konkrete krav til logningen.

En brugbar samtykkelog indeholder som minimum et pseudonymt samtykke-id, et tidsstempel, den valgte kombination af formål, kilden (domæne og sprogversion) og — det punkt, hvor flest værktøjer er tynde — et versionsnummer på den bannertekst og den formålsbeskrivelse, brugeren rent faktisk så. Ændrer du ordlyden eller tilføjer en ny tredjepart, er de tidligere samtykker afgivet på et andet grundlag, og loggen skal kunne vise hvilket. Den fælles vejledning fra maj 2025 er eksplicit på, at dokumentationen skal dække, hvad samtykket omfattede, hvornår det blev givet, og hvilken samtykkeløsning der blev anvendt.

Bevisets levetid følger opbevaringsbegrænsningen i artikel 5, stk. 1, litra e. En praktisk regel, der holder i en tilsynssag: behold loggen, så længe samtykket er aktivt, plus den periode hvor et krav kan rejses. For de fleste danske hjemmesider lander det på to til tre år efter tilbagekaldelse eller udløb. Længere er svært at begrunde, kortere efterlader dig uden bevis for perioden umiddelbart før en klage. Læg fristen ind i jeres slettepolitik frem for at lade den ligge i leverandørens standardindstilling, og noter behandlingen i fortegnelsen efter artikel 30 — samtykkeadministration er en selvstændig behandlingsaktivitet.

IAB TCF og Google Consent Mode v2 — hvad betyder de reelt?

IAB Europe’s Transparency and Consent Framework (TCF) er en branchestandard for at videregive brugerens valg til annonceteknologiske parter i realtidsauktioner. Den er retligt omdiskuteret. Det belgiske datatilsyn (APD) fastslog i afgørelse 21/2022 af 2. februar 2022, at TC-strengen er en personoplysning, og at IAB Europe er fælles dataansvarlig for behandlingen af den; bøden var 250.000 euro. EU-Domstolen bekræftede i sag C-604/22 af 7. marts 2024 begge dele, men afgrænsede ansvaret. Den belgiske markedsdomstol indsnævrede i maj 2025 IAB Europe’s rolle til alene TC-strengen, og annullerede den 7. januar 2026 tilsynets godkendelse af handlingsplanen med hjemvisning til fornyet behandling. Status i 2026 er altså: rammen er ikke ulovlig, men den er heller ikke et fribrev. TCF er relevant, hvis I sælger programmatiske annoncer; har I ikke annoncesalg, tilfører certificeringen ingenting og gør bannerteksten længere og sværere at forstå.

Google Consent Mode v2 er noget andet og forveksles ofte med TCF. Det er ikke et retligt krav, men et teknisk krav fra Google: siden marts 2024 skal EØS-trafik sende fire signaler — ad_storage, analytics_storage, ad_user_data og ad_personalization — for at Google Ads og Google Analytics må behandle data til personalisering og konverteringsmåling. Vælger I en platform uden native Consent Mode-integration, mister I i praksis konverteringsdata på Google-kanaler. Omvendt: Consent Mode gør ikke et banner lovligt. Signalet siger kun, hvad brugeren valgte — det siger intet om, hvorvidt valget blev indhentet korrekt. Fungerer bannere i “basic” tilstand, hvor tags først indlæses efter samtykke, er du bedre stillet retligt end i “advanced” tilstand, hvor Google modtager cookieløse signaler før valget.

Hvor længe holder et samtykke, og hvornår må du spørge igen?

Hverken forordningen eller cookiebekendtgørelsen fastsætter en holdbarhed. Den danske fælles vejledning fra maj 2025 afviser en fast frist og henviser til sammenhængen, det oprindelige samtykkes omfang og brugerens forventninger — med en anbefaling om at forny cirka årligt og altid, når I ændrer hvilke cookies der bruges, formålene, eller tilføjer nye tredjeparter. Til sammenligning arbejder flere andre europæiske tilsyn med seks måneder som pejlemærke. En holdbarhed på 6-12 måneder er derfor det interval, der er let at forsvare i Danmark.

To indstillinger fejlkonfigureres næsten altid. For det første: et afslag skal huskes lige så længe som en accept. Et banner, der viser sig igen ved næste sidevisning efter et “afvis”, er den klassiske form for pres, og den bliver læst som en omgåelse af frivillighedskravet. For det andet: samtykkets levetid må ikke forveksles med cookiens levetid. En analysecookie med 24 måneders udløb, der hviler på et samtykke, I fornyer årligt, er en uoverensstemmelse, en tilsynsmyndighed finder på fem minutter. Kontrollér, at platformen kan sætte begge værdier uafhængigt — flere kan ikke.

De reelle udvælgelseskriterier

Kriterium	Hvorfor det afgør valget	Sådan tester du det
Blokering før samtykke	Uden den er banneret kosmetik	Åbn siden i inkognito, se netværksfanen før klik
Afvis på første lag	Direkte krav i den fælles vejledning	Tæl klik til “afvis alle” mod “accepter alle”
Granularitet pr. formål	Artikel 4, nr. 11 kræver specifikt samtykke	Prøv at sige ja til statistik og nej til marketing
Eksporterbar samtykkelog	Beviset efter artikel 7, stk. 1	Bed om en CSV/API-udtræk i prøveperioden
Versionering af bannertekst	Viser hvad brugeren så, ikke bare hvad de valgte	Ændr en formålstekst, se om loggen skelner
EU/EØS-hosting	Undgår kapitel V-forpligtelser i selve værktøjet	Spørg om hostingregion og underdatabehandlere
Dansk output	Banner, formålstekster og cookiedeklaration	Kontrollér oversættelsen, ikke kun sprogvalget
Tag manager-integration	Uden den bliver blokeringen manuel	Test samtykketilstande i Google Tag Manager

Det fjerde og femte punkt er dem, indkøb typisk springer over, og dem tilsynet spørger til først. Bed om et udtræk fra samtykkeloggen i prøveperioden, ikke et skærmbillede af dashboardet. Kan leverandøren ikke levere et maskinlæsbart udtræk med tidsstempel og versionsreference, kan du heller ikke løfte bevisbyrden — og så er valget reelt truffet.

Leverandørerne i kategorien (juli 2026)

Følgende beskrivelser er øjebliksbilleder fra juli 2026; funktioner og prismodeller i denne kategori ændres hurtigt, så bekræft alt i en aktuel demo. Ingen af værktøjerne er “GDPR-compliant” i sig selv — de kan konfigureres i overensstemmelse med reglerne, og de kan konfigureres i strid med dem.

Cookie Information er dansk, hostet i EU og bygget med de nordiske tilsynskrav som udgangspunkt; stærk på dansk formålstekst og cookiedeklaration, mindre bred på tværs af globale privatlivslove. Cookiebot (nu del af Usercentrics) er den mest udbredte i Norden, med automatisk cookiescanning og en moden Consent Mode-integration; skanningen katalogiserer, men blokerer ikke af sig selv — blokeringen skal opsættes. Usercentrics dækker både TCF- og ikke-TCF-scenarier og har omfattende A/B-test af bannerdesign, hvilket er nyttigt og samtidig den funktion, der lettest fører til ikke-neutral præsentation. Didomi og Axeptio er franske, EU-hostede og stærke på henholdsvis mediehuse med TCF-behov og små virksomheder med enkel opsætning. OneTrust har det bredeste modulapparat og er hyppigst valgt af store koncerner, der i forvejen bruger suiten; sammenligningen af den slags suiter mod et europæisk alternativ er gennemgået i Legiscope vs OneTrust. CookieYes ligger i det billige segment og er tilstrækkeligt for enkle sites uden annoncesalg.

Prismodellerne følger tre mønstre: pris pr. sidevisning eller unik besøgende pr. måned (mest udbredt), pris pr. domæne, og faste virksomhedsaftaler med årlig binding. De første to skalerer forudsigeligt for en typisk dansk virksomhed; den tredje kræver forhandling. Regn med at lægge implementeringstid oveni — det er ikke licensen, men opsætningen af blokeringen, der koster. Til at sammenholde med de øvrige compliance-værktøjer i budgettet kan du bruge oversigten over hvad GDPR-software koster og gennemgangen af de bedste GDPR-værktøjer.

Fejlen der gør de fleste bannere ugyldige uanset leverandør

Langt de fleste ikke-overensstemmende cookiebannere i Danmark fejler ikke på tekst eller design. De fejler, fordi scriptene allerede kører, når banneret vises. Årsagen er næsten altid den samme: platformen er installeret som et selvstændigt tag i Google Tag Manager ved siden af analyse- og marketingtags i stedet for foran dem, så samtykketilstanden ankommer efter, at de andre tags er udløst. Resultatet er et banner, der ser upåklageligt ud, mens Google Analytics, Meta Pixel og et halvt dusin annoncenetværk har sat identifikatorer, før brugeren har rørt noget.

Testen tager to minutter og kræver ingen værktøjer: åbn siden i et nyt privat vindue, åbn netværksfanen i browserens udviklerværktøjer, og se hvad der kaldes, inden du klikker. Er der kald til analyse- eller annoncedomæner før dit første klik, er løsningen ikke lovlig, uanset hvor mange certificeringer leverandøren har. Rettelsen ligger i tag-opsætningen, ikke i CMP’ens brugerflade. Det er også grunden til, at databeskyttelse gennem design hører hjemme i implementeringsfasen og ikke i indkøbsfasen — standardindstillingen skal være, at intet indlæses.

En sidste organisatorisk pointe: samtykke lever ikke isoleret. Det skal kunne kobles til den behandling, det legitimerer, og til de øvrige forpligtelser i dokumentationen. En compliance-platform som Legiscope er nyttig her, fordi den holder samtykkegrundlaget, fortegnelsen og databehandleraftalerne i samme dokumentation, hvilket sparer den manuelle sammenkobling, som ellers laves i regneark, hver gang der skal svares på et tilsynsbrev.

Ofte stillede spørgsmål

Skal en dansk hjemmeside bruge en samtykkeplatform?

Ikke nødvendigvis. Sætter siden kun strengt nødvendige cookies — sessionsstyring, sprogvalg, indkøbskurv — kræver cookiebekendtgørelsen intet samtykke, og et banner er overflødigt. Så snart der er statistik, indlejrede videoer, chatværktøjer eller annoncering, skal samtykket indhentes forudgående, og det er i praksis ikke realistisk at administrere uden en platform.

Er en CMP i sig selv nok til at overholde reglerne?

Nej. Værktøjet leverer mekanikken; ansvaret for kortlægning af cookies, formålsbeskrivelser, blokering og logopbevaring ligger hos jer. Datatilsynets tilsynspraksis og bødeniveau viser konsekvent, at det er konfigurationen og dokumentationen, der bedømmes — ikke leverandørnavnet. Se også oversigten over Datatilsynets rolle og beføjelser.

Kan vi bruge legitim interesse til statistikcookies i stedet for samtykke?

Nej, ikke til selve lagringen. Cookiebekendtgørelsen kræver samtykke uafhængigt af, hvilket behandlingsgrundlag der senere anvendes efter forordningen, med undtagelse for de strengt nødvendige. Den nuance forklares i sammenhæng i den generelle guide til databeskyttelse i Danmark.

Hvad skal vi kunne fremvise, hvis Datatilsynet henvender sig?

Fire ting: cookiedeklarationen med formål og levetider, den bannerversion der var i drift på tidspunktet, et udtræk fra samtykkeloggen for den relevante periode, og databehandleraftalen med CMP-leverandøren. Kan I levere de fire uden at kontakte leverandøren, er dokumentationen på plads.

Konklusion

Valget af samtykkeplatform afgøres af tre ting: om værktøjet reelt blokerer før samtykke, om det kan udlevere et bevis, der lever op til artikel 7, stk. 1, og om det kan konfigureres til en neutral præsentation med afvisning på første lag. Test kandidaterne i den rækkefølge, med jeres egen tag-opsætning og i inkognitovindue, før I ser på pris. En billig platform, der er korrekt implementeret, klarer et tilsyn bedre end en dyr, der er sat op ved siden af tagsene i stedet for foran dem.

Kilder: cookiebekendtgørelsen (BEK nr. 1148 af 09/12/2011), Datatilsynets og Digitaliseringsstyrelsens fælles cookievejledning, databeskyttelsesforordningen og EDPB’s rapport fra Cookie Banner Taskforce (17. januar 2023).