Schrems-dommene kort fortalt: derfor taler alle om tredjelandsoverførsler

Kort svar: Schrems-dommene er to afgørelser fra EU-Domstolen – Schrems I (6. oktober 2015) og Schrems II (16. juli 2020) – der underkendte de daværende EU-USA-ordninger Safe Harbor og Privacy Shield, fordi amerikansk overvågningslovgivning ikke gav europæere tilstrækkelig beskyttelse. Konsekvensen er, at overførsler af persondata til lande uden for EU/EØS kræver et gyldigt overførselsgrundlag og, ved standardkontrakter, en reel vurdering af beskyttelsesniveauet. Den nuværende ordning, Data Privacy Framework, blev opretholdt af EU-Retten i september 2025, men for dig gælder stadig: kend dine tredjelandsoverførsler, og byg ikke kritisk databehandling på et grundlag, der kan falde.

Fagligt gennemgået: 2. oktober 2026

Når nogen siger „det er jo Schrems“, henviser de til mere end ti års juridisk tovtrækkeri om persondata over Atlanten. Historien er værd at kende – ikke for juraens skyld, men fordi den forklarer, hvorfor dataplacering er blevet et forretningsspørgsmål.

Her får du sagerne kort fortalt, efterspillet, hvad en lovlig tredjelandsoverførsel kræver i dag – og en strategi, der gør dig mindre afhængig af den næste aftales skæbne.

Vigtigt: Fremstillingen er forenklet og er ikke juridisk rådgivning. Overførselsreglerne kan ændre sig med nye domme og afgørelser – tjek Datatilsynet og EU-Kommissionen for den aktuelle status, før du træffer beslutninger om konkrete leverandører.

Hvad er en tredjelandsoverførsel?

Et tredjeland er et land uden for EU/EØS. En tredjelandsoverførsel sker, når personoplysninger sendes til eller gøres tilgængelige for en modtager i sådan et land. Det kan være åbenlyst – en amerikansk CRM-tjeneste – eller skjult: en underleverandør med support i et tredjeland, et analysescript, der sender IP-adresser til USA, eller fonte og widgets, der hentes fra amerikanske servere.

GDPR’s kapitel V kræver, at beskyttelsen af oplysningerne følger med, når de forlader EU/EØS. Det er netop den beskyttelse, Schrems-sagerne handlede om.

Schrems I og II på to minutter

Den østrigske jurist og aktivist Max Schrems klagede over, at hans Facebook-data blev overført til USA, hvor efterretningslovgivningen – bl.a. FISA section 702 – gav myndighederne bred adgang uden europæiske retsgarantier.

Schrems I (sag C-362/14, 6. oktober 2015) underkendte Safe Harbor-ordningen. EU og USA byggede derefter Privacy Shield – og Schrems II (sag C-311/18, 16. juli 2020) underkendte også den. Kernebegrundelsen var den samme: en aftaletekst kan ikke reparere, at et lands lovgivning giver myndighederne bredere adgang, end EU’s grundrettigheder tillader, og at europæere ikke har effektive klagemuligheder.

Schrems II skærpede samtidig kravene til det mest brugte alternativ, standardkontraktbestemmelserne (SCC). De er stadig gyldige, men kun hvis beskyttelsen også virker i praksis i modtagerlandet – om nødvendigt med supplerende foranstaltninger som kryptering, hvor nøglerne bliver i EU.

Efterspillet: Analytics-sager og en ny ordning

Efter Schrems II fulgte en række nationale afgørelser, hvor flere europæiske datatilsyn fandt, at den konkrete brug af amerikanske analysetjenester uden tilstrækkelige supplerende foranstaltninger var ulovlig. Det er en væsentlig del af baggrunden for interessen for europæiske alternativer og selvhostet webanalyse.

Den 10. juli 2023 vedtog EU-Kommissionen en ny tilstrækkelighedsafgørelse, EU-USA Data Privacy Framework (DPF). Den bygger på amerikanske tilsagn om begrænsning af efterretningstjenesternes adgang og en ny klageinstans, Data Protection Review Court.

DPF blev hurtigt udfordret. Den 3. september 2025 afviste EU-Retten (Retten i første instans) et annullationssøgsmål fra det franske parlamentsmedlem Philippe Latombe og fastslog, at USA på tidspunktet for afgørelsen sikrede et tilstrækkeligt beskyttelsesniveau. Dommen kunne ankes til EU-Domstolen på retsspørgsmål, så sidste ord er ikke nødvendigvis sagt.

Mønsteret er tydeligt: ordningerne kommer, de bliver udfordret, og hver runde tager år. Derfor bør din strategi kunne holde, uanset udfaldet af næste sag.

Tidslinjen

År	Begivenhed
2000	Safe Harbor-ordningen vedtages
2015	Schrems I underkender Safe Harbor
2016	Privacy Shield vedtages
2020	Schrems II underkender Privacy Shield og skærper kravene til SCC
2021	EU-Kommissionen vedtager nye standardkontraktbestemmelser
2023	Data Privacy Framework vedtages (10. juli)
2025	EU-Retten opretholder DPF i Latombe-sagen (3. september)

Hvad en lovlig overførsel kræver

En tredjelandsoverførsel kræver ét af disse grundlag:

• Tilstrækkelighedsafgørelse: EU-Kommissionen har vurderet, at landet – eller for USA’s vedkommende de DPF-certificerede virksomheder – har et tilstrækkeligt beskyttelsesniveau.
• Standardkontraktbestemmelser (SCC) eller andre passende garantier, kombineret med en vurdering af beskyttelsesniveauet i modtagerlandet (TIA – transfer impact assessment) og om nødvendigt supplerende foranstaltninger.
• De snævre undtagelser i GDPR artikel 49, fx udtrykkeligt samtykke til en konkret overførsel. De er ikke beregnet til løbende, systematiske overførsler.

I praksis for en mindre virksomhed:

1. Tjek, om den amerikanske leverandør er aktivt certificeret under DPF – og om certificeringen dækker den type data, du sender.
2. Hvis ikke: bruger leverandøren SCC, og har du en kort TIA?
3. Læs underdatabehandlerlisten for skjulte overførsler.
4. Notér grundlaget i din kortlægning af leverandørkæden og i din privatlivspolitik.

Kan et grundlag ikke findes eller forklares, er overførslen dit problem som dataansvarlig – ikke leverandørens.

Bevisbyrden ligger hos dig

Sagernes vigtigste arv i hverdagen er ikke paragrafferne, men bevisbyrden. Det er dig som dataansvarlig, der skal kunne forklare, hvorfor en overførsel er i orden.

Øvelsen er konkret: kend dine overførsler, kend grundlaget for hver, og skriv det ned i én oversigt. Et regneark med kolonnerne tjeneste, land/modtager, overførselsgrundlag og plan B dækker langt for de fleste små virksomheder.

Læg også mærke til, hvor problemerne typisk opstår: i de „usynlige“ overførsler – analyseværktøjet, webfontene, chatwidgetten – snarere end i de bevidste leverandørvalg. Det er derfor oplagt at starte med netop måling, fonte og nyhedsbrev.

Strategien: byg mindre afhængigt af aftalerne

Læren af mere end ti års frem og tilbage er strategisk: overførselsgrundlag kan ændre sig fra den ene dom til den næste, mens leverandørens jurisdiktion er mere stabil. Byg derfor så lidt kritisk databehandling som muligt på grundlag, der kan falde:

• Hold kundedata, mails og website hos leverandører i EU/EØS, når det er praktisk muligt.
• Vælg europæiske alternativer, hvor de løser opgaven lige så godt, fx til nyhedsbreve og webanalyse.
• Reservér tredjelandstjenester til de opgaver, hvor de reelt er det bedste valg – med dokumenteret grundlag og en plan B.

Hostious er en dansk virksomhed med servere i Europa. Uanset hvor dit site hostes, skal du dog selv kortlægge de plugins, scripts og tjenester, det bruger – det er dér, de fleste overførsler gemmer sig.

Skulle en ny afgørelse falde i morgen, er opskriften den samme: åbn oversigten, se hvilke rækker der rammes, og sæt plan B i gang for netop dem – roligt og dokumenteret.

Læs også

• Hub: Datasuverænitet
• EU-USA-dataaftalen (DPF)
• Cloud Act forklaret
• Subprocessorer: sådan læser du listen
• Webhotel hos Hostious – dansk virksomhed med servere i Europa

Ofte stillede spørgsmål om Schrems og overførsler

Hvad handlede Schrems-dommene om?

Om EU-USA-ordningerne beskyttede europæiske persondata godt nok mod amerikansk overvågningslovgivning. EU-Domstolen sagde nej to gange: Safe Harbor i 2015 og Privacy Shield i 2020.

Må jeg bruge amerikanske tjenester i dag?

Ja, med et gyldigt grundlag, fx en aktiv DPF-certificering eller SCC med en vurdering af beskyttelsesniveauet. Men byg ikke kritisk databehandling på ét grundlag alene – ordningerne har historik for at blive udfordret.

Hvad er en TIA (transfer impact assessment)?

Vurderingen af, om beskyttelsen reelt holder i modtagerlandet, når du overfører på SCC – inklusive behovet for supplerende foranstaltninger som kryptering. Dokumentér den kort pr. leverandør.

Gælder Data Privacy Framework stadig?

Tilstrækkelighedsafgørelsen fra juli 2023 er ikke annulleret, og EU-Retten afviste i september 2025 et søgsmål mod den. Sagen kan dog stadig ende ved EU-Domstolen, så tjek den aktuelle status hos Datatilsynet eller EU-Kommissionen.