# Consent management for car dealers: what's allowed, what does a mistake cost?

> One SMS without consent can cost DKK 10,000 per recipient — and cases against Danish dealers have ended at up to DKK 1.5M. Get consent management in one place: documented, auto-renewed and ready for the data authority.

**Source:** https://carruslink.com/en/guides/samtykke-markedsfoering-bilforhandler
**Last updated:** 2026-06-10

## Short answer

Udtrykkeligt samtykke skal til e-mail/SMS-marketing til nye leads og prospects. Eksisterende kunder må modtage e-mail om lignende produkter under markedsføringslovens § 10, stk. 2 (blødt samtykke). Double opt-in er ikke en fribillet: Forbrugerombudsmanden slog 3. juni 2026 fast, at hvis det indledende (fx mundtlige) samtykke ikke klart oplyser hvem der må kontakte, via hvilke kanaler og om hvilke produkter, er det ugyldigt — også selvom kunden bekræfter pr. SMS/e-mail bagefter. Alt skal kunne dokumenteres — tekst, tidspunkt, kanal, formål, virksomheder — og opt-out skal virke i ét klik. CARRUSLiNK leverer samtykke-flow, fornyelse og audit-log ud af boksen.

## Where dealerships typically fail

- Sender SMS til gamle leads uden gyldigt samtykke — Forbrugerombudsmanden tager typisk 10.000 kr. pr. uanmodet SMS, og det summer hurtigt op
- Genbruger købers e-mail til nyhedsbrev om hele bilflåden — bryder § 10, stk. 2, der kun dækker reelt lignende produkter
- Forhåndsafkrydsede checkbokse på obligatoriske ting — ugyldigt samtykke efter GDPR art. 7 (skal være aktiv, frivillig handling)
- Kobler markedsføringssamtykke til selve købet ("du skal acceptere markedsføring for at få bilen") — tvunget samtykke er ugyldigt
- Ingen dokumentation for hvornår, hvordan og på hvilken version af teksten samtykket blev givet — bevisbyrden ligger 100% hos forhandleren
- Deler kundedata med finansierings- eller forsikringspartnere uden særskilt samtykke
- Ignorerer udløb — samtykke har en praktisk holdbarhed på 12-24 måneder; gammelt samtykke holder ikke i en sag
- Sælger tager kundekartoteket med ved opsigelse — samtykket er givet til forhandleren, ikke til personen
- Bruger "lignende produkter"-undtagelsen for bredt (sælger en Skoda Octavia → sender nyhedsbrev om Tesla og lånebiler)
- Bruger double opt-in som teknisk fix — Forbrugerombudsmanden (3. juni 2026) kritiserede tre bilforhandlere, fordi det indledende mundtlige samtykke ikke fortalte kunden hvilke virksomheder, kanaler og produktkategorier samtykket dækkede. Bekræftelses-SMS'en redder jer ikke, hvis grundlaget er uklart
- Lader "koncern-/netværks-samtykke" dække alt — jo flere selskaber og kanaler ét samtykke skal dække, desto skarpere krav til klar tekst. Generisk "Volkswagen-koncernen og samarbejdspartnere" holder ikke
- Tror at ansvaret kan outsources til en samarbejdspartner eller forhandler i netværket — den virksomhed der sender markedsføringen bærer selv risikoen, hvis samtykket ikke holder

## 9 steps to consent that holds up in a case

### 1. Aldrig forhåndsafkrydsning på obligatoriske felter

GDPR art. 7 og Datatilsynets praksis er entydig: pre-ticked bokse er ugyldigt samtykke. Det blødt samtykke (mfl. § 10, stk. 2) er den eneste undtagelse — og kun til e-mail om lignende produkter til eksisterende kunder.

### 2. Adskil markedsføring fra kontrakt

Den obligatoriske 'jeg accepterer kontraktens betingelser' skal stå for sig. Markedsføringssamtykke skal være visuelt og tekstligt adskilt og markeret 'Frivilligt — påvirker ikke aftaleindgåelsen'. Ellers er det tvunget samtykke.

### 3. Separat checkbox pr. kanal og pr. formål

SMS, e-mail, telefon, profilering, deling med finansieringspartner — hver har sin egen toggle og sin egen tekst. Et samlet 'jeg accepterer alt' opfylder ikke GDPR's specificitetskrav.

### 4. Gem fuld dokumentation

Hvert samtykke skal logges med: præcis tekst-version, timestamp, IP, kanal hvor det blev givet, og brugeren der modtog det. Bevisbyrden ligger hos forhandleren — uden log står I tomhændet.

### 5. Opt-out i ét klik + List-Unsubscribe-header

Alle marketing-mails skal have synligt afmeldingslink, der virker uden login. List-Unsubscribe-headeren (RFC 8058) sikrer at Gmail og Outlook viser deres egen unsubscribe-knap — og er nu et de facto krav for at lande i indbakken.

### 6. Fornyelses-flow 30 dage før udløb

Sæt en gyldighedsperiode (24 mdr. for marketing er normen, 12 mdr. for partnerdeling). Send fornyelsesmail 30 dage før — kunden bekræfter de samtykker, de vil beholde. Resten udløber automatisk.

### 7. Begræns 'lignende produkter' til reelt lignende

Solgte I en Skoda Octavia? Så er service, forsikring og en ny Octavia 'lignende'. En Tesla, en lånebil-aftale eller et nyhedsbrev om hele forretningen er det IKKE. Snæver fortolkning beskytter mod klagesager.

### 8. Særskilt samtykke til deling med partnere

Vil I dele kundens data med en finansierings- eller forsikringspartner, skal det stå med fulde partnernavne. Generisk 'vi deler med samarbejdspartnere' holder ikke.

### 9. Audit-log + sælger-træning

Log alle samtykke-events (givet, ændret, tilbagekaldt) for revision. Træn sælgere: én ulovlig SMS koster mere end provision på en bil — og fører til omtale ingen forhandler vil have.

### 10. Brug double opt-in korrekt — eller lad være

Forbrugerombudsmandens sag fra 3. juni 2026 mod tre bilforhandlere viser, at double opt-in IKKE redder et uklart samtykke. Det indledende skridt (typisk mundtligt ved sælgerbordet eller værkstedsskranken) skal allerede dér oplyse: (1) hvilke konkrete virksomheder/CVR der må kontakte kunden, (2) hvilke kanaler (e-mail, SMS, telefon), og (3) hvilke produktkategorier. Bekræftelses-mailen er kun et bevis-spor — ikke en ny chance for at informere. Bruger I et forhandlernetværk eller koncernsamtykke: navngiv selskaberne.

## What you gain from a professional consent flow

- **Compliance ud af boksen** — Separate samtykker pr. kanal og formål, dokumentation, opt-out, fornyelse og audit-log — alt sammen del af basis-pakken. Ingen jurist-runde for hver kampagne.
- **Underskriftsflow der respekterer reglerne** — Den obligatoriske accept står for sig. Markedsføring er visuelt adskilt under 'Frivilligt — påvirker ikke aftalen'. Bløde samtykker er forhåndsafkrydset (lovligt under § 10, stk. 2), de øvrige aldrig.
- **Automatisk fornyelse** — 30 dage før udløb modtager kunden en mail med oversigt over deres samtykker. De bekræfter eller tilbagekalder. Resten udløber af sig selv. Ingen 5 år gamle samtykker, der ikke holder i en sag.
- **Permanent afmeldingsside uden login** — Linket virker fra alle mails. Kunden ser hvad de har sagt ja til, tilbagekalder enkelt eller alt — uden sælger-involvering. List-Unsubscribe-header indbygget for indbakke-leverancen.
- **Sælger-skifte uden samtykke-brud** — Samtykket er givet til forhandler-entiteten, ikke til den enkelte sælger. Sælger kan ikke trække kundekartoteket med — og I undgår både GDPR-brud og tabt kundebase.
- **Audit-log klar til Datatilsyn** — Hver visning, ændring og tilbagekaldelse er logget med bruger, IP, tid og tekst-version. Når en klage kommer, kan I trække beviset på 30 sekunder — i stedet for at lede i mails og Excel.

## Explicit consent vs. soft consent (Marketing Practices Act § 10(2))

| Aspekt | Udtrykkeligt samtykke | Blødt samtykke (mfl. § 10, stk. 2) |
| --- | --- | --- |
| Lovgrundlag | Mfl. § 10, stk. 1 + GDPR art. 6(1)(a) | Mfl. § 10, stk. 2 |
| Hvornår | Nye leads, prospects, alle SMS- og telefon-henvendelser | Eksisterende kunder, der har købt af jer |
| Krav | Aktiv afkrydsning, klart formuleret, frivilligt, specifikt | Givet ifm. salget, kun lignende produkter, klar opt-out i hver mail |
| Tilladt kanal | E-mail, SMS, telefon — afhænger af samtykkets ordlyd | Kun e-mail |
| Holdbarhed | 12-24 mdr. praksis, herefter fornyelse | Så længe kunde-relationen er aktiv |
| Bilbranche-eksempel | Lead fra Bilbasen → må kun kontaktes med eksplicit samtykke | Kunde købte en Octavia → må få e-mail om service og næste Octavia |
| Bevisbyrde | Forhandleren skal kunne dokumentere tekst, tidspunkt og kanal | Forhandleren skal kunne dokumentere salget + opt-out-mulighed i hver mail |

_Kilde: Markedsføringsloven § 10, Datatilsynet og Forbrugerombudsmandens praksis. Bekræft altid eksakt fortolkning med jurist før udsendelse i tvivlstilfælde._

## Frequently asked questions

### Hvad er forskellen på blødt og udtrykkeligt samtykke?

Udtrykkeligt samtykke er en aktiv afkrydsning, som kunden selv sætter — krævet til SMS-, telefon- og e-mail-marketing til nye leads. Blødt samtykke er undtagelsen i markedsføringslovens § 10, stk. 2: hvis kunden har købt af jer, må I sende e-mail om lignende produkter, så længe kunden har klar mulighed for at framelde sig i hver mail.

### Må vi sende SMS til en kunde, der har købt en bil hos os?

Nej, ikke uden udtrykkeligt samtykke til SMS. Det bløde samtykke (§ 10, stk. 2) dækker kun e-mail. SMS kræver altid en aktiv afkrydsning fra kunden — også selvom de er eksisterende kunder.

### Hvad koster det at sende én SMS uden samtykke?

Forbrugerombudsmandens praksis er typisk 10.000 kr. pr. uanmodet SMS eller e-mail. Beløbet stiger ved gentagelse eller bevidsthed om bruddet. Konkrete sager mod danske virksomheder er endt på 100.000 til 1.500.000 kr. — og GDPR-loftet er 4% af global omsætning eller 20 mio. EUR.

### Skal samtykker fornyes?

Ja. Der er ingen lovbestemt udløbsdato, men Datatilsynet og praksis peger på 12-24 måneder for marketing-samtykker. Gammelt samtykke holder ikke i en sag, hvis det er givet for længe siden. Sæt en gyldighedsperiode og kør automatisk fornyelsesflow 30 dage før udløb.

### Må sælgeren tage kundekartoteket med?

Nej. Samtykket er givet til forhandler-entiteten (CVR'et), ikke til den enkelte sælger. Tager sælger kunderne med, er det både GDPR-brud (uautoriseret databehandling) og potentielt markedsføringslovs-brud, hvis ny arbejdsgiver kontakter dem. Brug et system, hvor kundedata ikke ligger i sælgerens egen Outlook.

### Hvad er 'lignende produkter' i bilbranchen?

Snæver fortolkning. Solgte I en familiebil? Så er service, dæk, forsikring og en nyere model af samme type 'lignende'. En lånebil-aftale, en sportsvogn eller et generelt nyhedsbrev om hele forretningen er det IKKE. Tvivlssager falder typisk ud til kundens fordel.

### Kan man bruge legitim interesse til markedsføring?

Begrænset. GDPR art. 6(1)(f) tillader legitim interesse, men markedsføringsloven § 10 er en speciallov, der kræver samtykke til elektronisk markedsføring uanset GDPR-grundlag. Legitim interesse kan bruges til intern analyse og servicekommunikation — ikke til kommerciel push.

### Hvad skal vi gemme som dokumentation?

Mindst: præcis tekst-version af samtykket, timestamp, IP-adresse, kanal hvor samtykket blev givet (signeringsside, online-formular, e-mail), formålet det dækker, og evt. partner-navne. Plus log over hver ændring og tilbagekaldelse. Uden dette står I tomhændet over for Datatilsynet.

### Er double opt-in nok til at gøre et samtykke gyldigt?

Nej. Forbrugerombudsmanden orienterede 3. juni 2026 tre bilforhandlere om, at deres double opt-in-model (mundtligt samtykke fulgt op af SMS/e-mail-bekræftelse) ikke i sig selv gjorde samtykket gyldigt. Hvis kunden ved det første skridt ikke fik klar information om hvilke virksomheder der måtte kontakte, via hvilke kanaler og om hvilke produktkategorier, er hele samtykket ugyldigt — uanset hvor pænt bekræftelses-flowet er. Kilde: Kromann Reumert / Forbrugerombudsmanden, 3.-4. juni 2026.

### Vi er en del af et forhandlernetværk eller en koncern — hvem har ansvaret?

Den virksomhed der sender markedsføringen. Forbrugerombudsmanden var i 2026-sagen helt eksplicit: ansvaret kan ikke outsources til den forhandler eller samarbejdspartner, der oprindeligt indhentede samtykket. Hvis I sender en kampagne baseret på et samtykke et søsterselskab eller en autoriseret partner har indhentet, og det viser sig at være ugyldigt, er det jer der får bøden. Tjek altid samtykkets ordlyd og dokumentation før udsendelse.

### Må vi bruge ét fælles samtykke til hele bil-koncernen?

Kun hvis ordlyden er specifik. Et bredt 'samtykke til markedsføring fra koncernen og samarbejdspartnere' opfylder ikke kravet om informeret samtykke. Forbrugerombudsmanden lagde i 2026-sagen netop vægt på, at samtykket dækkede et 'meget stort antal virksomheder og flere kommunikationskanaler' — og det skærper kravene til klar og præcis information. Løsningen er enten at navngive selskaberne (og evt. linke til en altid opdateret liste) eller at indhente separate samtykker pr. selskab.

## Få samtykke-modulet forevist på 30 minutter

Vi viser hele flowet — fra underskriftssiden, over fornyelsesmail, til den permanente afmeldingsside og audit-loggen. Og hvordan I bliver compliant uden ekstra arbejde for sælgerne.

— CARRUSLiNK · https://carruslink.com/en/guides/samtykke-markedsfoering-bilforhandler