GDPR för småföretag och föreningar — praktisk checklista för 2026

GDPR (Dataskyddsförordningen) gäller alla — från enmansbolaget till föreningen med femhundra medlemmar. Den största missuppfattningen är att "vi är så små att det inte gäller oss". Det gör det. Men för småföretag är reglerna oftast enklare än man tror.

Vad GDPR faktiskt kräver — kortversionen

1. Du får bara samla in data du har en rättslig grund för
2. Du måste kunna säga vad du har, varför, var det lagras och vem som har tillgång
3. Användaren har rätt till sina data — kopia, rättelse, radering
4. Du måste skydda datan tekniskt — kryptering, åtkomststyrning, säkra lösenord
5. Vid dataintrång ska du anmäla till IMY inom 72 timmar

Checklistan — 12 punkter

1. Lista över personuppgifter du hanterar

Skriv en intern tabell: vad / varför / var / hur länge.

2. Rättslig grund för varje kategori

• Avtal — du behöver e-post för att skicka fakturan
• Berättigat intresse — säkerhetsloggar
• Samtycke — nyhetsbrev, marknadsföring
• Lagligt krav — bokföringslagen kräver 7 års sparande

3. Integritetspolicy på sajten

Webbplatsen behöver en integritetspolicy. 1–2 sidor räcker. Se vår egen som exempel.

4. Cookie-banner

Marknadsförings-cookies kräver aktivt samtycke. Funktionella cookies (session, språkval) får laddas utan. Google CMP eller Cookiebot löser detta.

5. Säker hantering

• Inga delade konton
• 2FA på allt möjligt
• Inga personuppgifter i e-postbilagor
• Lösenordshanterare för teamet

6. Personuppgiftsbiträden (DPA)

Du behöver biträdesavtal med alla externa tjänster där kunders data ligger. De flesta SaaS-leverantörer har klickbara DPA.

7. Plan för dataförfrågningar

Du har 30 dagar på dig att svara. Förbered en process: vem tar emot mejlet, hur exporteras datan, mall-svar.

8. Plan för dataintrång

Inom 72 timmar: anmälan till IMY, information till drabbade, dokumentation.

9. Rensa data du inte behöver

• Fakturadata: 7 år
• Inaktiva medlemmar: 1–3 år
• Marknadsföringsmottagare: max 12 månader
• Loggar: 30–90 dagar

10. Föreningsspecifikt — medlemsregister

Medlemsregistret behövs för att fullgöra medlemsavtalet. Spara bara det relevanta — namn, kontaktuppgifter, medlemskategori. Inte personnummer om det inte behövs.

11. Backup och radering

Du måste verkligen kunna radera data, inklusive backups. 30–90 dagars rolling backup räcker.

12. Dokumentera allt

GDPR har ett accountability-krav: du måste kunna visa att du följer reglerna. En enkel intern policy-fil räcker.

Hur 1invoice.online hjälper

• EU-hosting (Supabase Frankfurt)
• Krypterad lagring + TLS 1.3
• Row-level security — ingen kan läsa andras data
• Ett-klick export till CSV+JSON ZIP
• Magic-link login — inga lösenord att läcka

Skapa konto gratis och kryssa av flera punkter idag.