EU-USA-dataaftalen (DPF): hvad den dækker – og hvad den ikke gør

Kort svar: EU-USA Data Privacy Framework (DPF) er den tredje aftale, der skal gøre overførsler af persondata til USA lovlige. Amerikanske virksomheder kan certificere sig, og overførsler til certificerede modtagere hviler så på EU-Kommissionens tilstrækkelighedsafgørelse fra juli 2023. Aftalen dækker kun certificerede virksomheder – for alle andre kræves fortsat fx standardkontraktbestemmelser (SCC) og en vurdering – og den fjerner ikke den underliggende spænding om amerikansk overvågningslovgivning. EU-Retten afviste i september 2025 et søgsmål mod aftalen, men sagen er anket til EU-Domstolen. Tjek derfor konkret, om dine leverandører er certificerede, og indret dig, så kritiske data ikke afhænger af aftalens skæbne.

Fagligt gennemgået: 2. oktober 2026

Efter Schrems II-dommen i 2020 var der tre års juridisk tåge om amerikanske tjenester. DPF-aftalen lettede den, men fjernede den ikke. Her er, hvad aftalen konkret gør, hvordan du bruger den i praksis – med certificeringstjekket som det vigtigste – og hvorfor det stadig er klogt at have kernedata hos europæiske leverandører.

Status er angivet pr. oktober 2026. Aftalen er under juridisk prøvelse, så tjek den aktuelle status, før du lægger nye kritiske behandlinger på den. Artiklen er ikke juridisk rådgivning.

Hvad aftalen gør

DPF bygger på amerikanske tilsagn i en præsidentiel bekendtgørelse (Executive Order 14086) om at begrænse efterretningstjenesternes adgang til data til det „nødvendige og proportionale“, og på en klagemekanisme for europæere med en særlig domstol for databeskyttelsesklager.

På den baggrund traf EU-Kommissionen i juli 2023 en tilstrækkelighedsafgørelse: overførsler til amerikanske virksomheder, der har certificeret sig under DPF og står på den officielle liste, kan ske uden yderligere overførselsgrundlag – juridisk på linje med overførsler inden for EU/EØS. Det gjorde hverdagen lettere for mange virksomheder, så længe aftalen står.

Bemærk, hvad det betyder i praksis: DPF erstatter ikke resten af GDPR. Du skal stadig have et retsgrundlag for behandlingen, en databehandleraftale med leverandøren og oplysning om overførslen i din privatlivspolitik.

1. Tjek certificeringen pr. leverandør

Arbejdsgangen pr. amerikansk leverandør i din kortlægning af leverandørkæden:

1. Slå virksomheden op på den officielle DPF-liste på dataprivacyframework.gov. Selskabsnavnet skal matche den juridiske enhed i din databehandleraftale.
2. Kontrollér, at status er aktiv. Certificeringen skal fornyes årligt, og en virksomhed kan stå på listen med inaktiv status.
3. Notér certificeringens omfang (HR-data og/eller ikke-HR-data) og datoen for dit opslag.
4. Er leverandøren ikke certificeret, er grundlaget i stedet typisk SCC. Så skal aftalen indeholde dem, og en kort vurdering af overførslen (TIA) dokumenteres, jf. guiden om Schrems-dommene.
5. Opdatér privatlivspolitikkens afsnit om overførsler, så det nævner det faktiske grundlag.

Én række pr. leverandør i et regneark er nok. Så kan du dokumentere grundlaget på få minutter, også over for tilsynsmyndigheder.

2. Kig efter underleverandørerne

Mange europæiske tjenester bruger selv amerikanske underleverandører til hosting, mail, support eller analyse. Overførslen sker så længere nede i kæden, men den er stadig din at dokumentere. Læs leverandørens liste over underdatabehandlere, jf. guiden om subprocessorer, og notér, hvilke der ligger i USA, og på hvilket grundlag.

3. Find de overførsler, du ikke tænker over

De fleste små virksomheder har flere amerikanske tjenester, end de tror. Typiske steder at kigge:

• Marketing: nyhedsbrevsplatforme, annonceplatforme, pixels og tags på hjemmesiden.
• Analyse: statistikværktøjer, heatmaps og optagelser af sessioner.
• Samarbejde: videomøder, fildeling, projektstyring og CRM.
• AI-tjenester: chatbots og skriveværktøjer, hvor medarbejdere indsætter kundedata, jf. guiden om AI-tjenester og kundedata.
• Indlejret indhold: videoer, kort, fonte og chatwidgets, der indlæses fra tredjeparter.

Gå systemerne igennem én gang, og spørg for hvert: behandler det persondata, og i så fald, hvor og under hvilket grundlag? Vær særligt opmærksom på HR-data – medarbejderoplysninger kræver, at leverandørens certificering også dækker HR-data, hvis du vil bruge DPF som grundlag.

Hvad aftalen ikke gør

Den dækker ikke virksomheder uden certificering, og den ophæver ikke CLOUD Act eller den underliggende amerikanske overvågningslovgivning. Aftalen bygger garantier oven på den lovgivning – den erstatter den ikke.

Kritikerne anfægter netop, om tilsagnene er robuste nok. Den franske parlamentariker Philippe Latombe anlagde sag ved EU-Retten, som 3. september 2025 frifandt Kommissionen og dermed opretholdt aftalen (sag T-553/23). Afgørelsen er anket til EU-Domstolen (sag C-703/25 P), og andre organisationer har varslet, at de overvejer egne søgsmål.

Historikken maner til ædru planlægning: Safe Harbor fra 2000 blev underkendt i 2015, og Privacy Shield fra 2016 blev underkendt i 2020. Ingen kan sige, om DPF holder længere – kun at konsekvenserne ved et fald rammer dem hårdest, der har bygget alt på den.

Hvis aftalen falder: hvad sker der så?

Underkendes tilstrækkelighedsafgørelsen, falder overførsler til certificerede virksomheder tilbage på andre grundlag, typisk SCC med en konkret vurdering af risikoen – som efter Schrems II. Mange store leverandører har allerede SCC i deres standardaftaler som reserve, men vurderingen skal du stadig selv kunne dokumentere.

Spørg derfor dine vigtigste amerikanske leverandører nu: hvilket grundlag bruger de, hvis DPF bortfalder, og står det i aftalen? Svaret hører hjemme i din overførselsliste.

Din praksis: brug den – uden at læne dig op ad den

Den pragmatiske linje for en dansk SMV er at bruge aftalen til de tjenester, hvor amerikanske løsninger reelt er svære at erstatte – med certificeringstjek og dokumentation. Men læg fundamentet, så det ikke afhænger af aftalen:

• Site, kundedata og mail hos europæiske leverandører, fx webhotel hos en dansk virksomhed med servere i Europa og mail i EU.
• Måling, der kan køre på egen hosting, jf. guiden om Matomo og Plausible.
• En exit-plan for de tunge afhængigheder.

Så er et aftalefald en nyhed, du læser – ikke et projekt, du skal brandslukke.

Sådan indretter du dig på usikkerheden

Den kloge position er hverken panik eller ligegyldighed. Brug gerne DPF-certificerede tjenester, hvor de giver mest værdi, men indret dig, så et bortfald ikke vælter forretningen. Vælg europæisk for kernen – site, mail, backup og kundedata – hvor alternativerne er modne, og lad amerikanske tjenester ligge i randen, hvor de reelt er svære at erstatte. Så rammer et nyt Schrems-chok marketingværktøjerne, ikke driften.

Før samtidig en kort liste over jeres overførsler: hvilke systemer sender persondata til USA, på hvilket grundlag (DPF eller SCC), og hvad er plan B for hvert af dem? Listen tager typisk en time at lave, mens alt er roligt, og gør jer til dem, der kan justere uden hast, den dag nyhederne igen handler om aftalen.

System	Grundlag	Status tjekket	Plan B
Fx nyhedsbrevsplatform	DPF (aktiv, ikke-HR)	Dato for opslag	Europæisk alternativ eller SCC
Fx analyseværktøj	SCC + TIA	Dato for vurdering	Selvhostet måling

Tabellen er et eksempel på formen; udfyld den med jeres egne systemer.

Læs også

• Hub: Datasuverænitet
• Schrems-dommene kort fortalt: derfor taler alle om tredjelandsoverførsler
• Cloud Act forklaret: hvad amerikansk lov betyder for danske data
• Leverandørskifte: exit-planen, du bør have, før du skriver under
• Webhotel hos Hostious – dansk virksomhed med servere i Europa

Ofte stillede spørgsmål om EU-USA-dataaftalen

Er det lovligt at bruge amerikanske cloudtjenester nu?

Ja, til DPF-certificerede virksomheder på grundlag af tilstrækkelighedsafgørelsen, og ellers typisk med standardkontraktbestemmelser og en vurdering. Tjek certificeringen konkret, og dokumentér grundlaget.

Hvor tjekker jeg en DPF-certificering?

På den officielle DPF-liste på dataprivacyframework.gov. Selskabsnavnet skal matche den juridiske enhed i din databehandleraftale, og status skal være aktiv, fordi certificeringen skal fornyes årligt.

Hvad sker der, hvis aftalen underkendes?

Så falder overførsler tilbage på andre grundlag, typisk standardkontraktbestemmelser med skærpede vurderinger – som efter Schrems II. Virksomheder med kernedata hos europæiske leverandører mærker det mindst.

Er DPF blevet prøvet ved domstolene?

Ja. EU-Retten afviste 3. september 2025 et søgsmål mod aftalen og opretholdt den. Afgørelsen er anket til EU-Domstolen, så den endelige afklaring udestår pr. oktober 2026.