Schrems II og e-maillisten – hvad overførsel ud af EU faktisk kræver

En e-mailliste er et personregister, og værktøjet, der sender den, er en databehandler. Overfører værktøjet listen ud af EU, skal overførslen have et grundlag – og omkring netop det grundlag er der sket to ting, som er værd at vide, før du vælger værktøj.

Kort svar

Overførsel ud af EU er ikke forbudt. Den kræver et overførselsgrundlag efter databeskyttelsesforordningens kapitel V, og grundlagene kommer i prioriteret rækkefølge: først Kommissionens afgørelse om tilstrækkeligt beskyttelsesniveau, i mangel af den for eksempel standardkontraktbestemmelser med tilhørende vurderinger.

Den enkleste løsning er at lade være med at overføre. Fem af de syv e-mailværktøjer, vi sammenligner, opbevarer listedata i EU, og så falder hele dette kapitel bort fra din egen dokumentation.

Hvad Schrems II-dommen afgjorde

EU-Domstolen afsagde dom i sag C-311/18 16.7.2020. To ting blev afgjort på én gang, og de peger i hver sin retning.

• Privacy Shield blev ophævet. Domskonklusionens femte punkt er entydigt: »Commission Implementing Decision (EU) 2016/1250 … is invalid.«
• Standardkontraktbestemmelserne blev stående. Ifølge fjerde punkt havde gennemgangen af afgørelse 2010/87 »disclosed nothing to affect the validity of that decision«.

Den praktiske ændring var dog ikke, at én afgørelse blev byttet ud med en anden. Det var den betingelse, Domstolen satte for brugen af standardbestemmelserne: den, der overfører, skal sikre, at de registrerede i modtagerlandet får »a level of protection essentially equivalent to that guaranteed within the European Union«, og vurderingen skal også tage hensyn til myndighedernes adgang til oplysningerne i modtagerlandet. Ansvaret flyttede altså fra Kommissionens afgørelse til den, der overfører. Samme domskonklusion pålægger tilsynsmyndigheden at suspendere eller forbyde overførslen, hvis beskyttelsen ikke kan sikres.

Hvad der erstattede Privacy Shield

Kommissionen traf 10.7.2023 gennemførelsesafgørelse (EU) 2023/1795 om EU-US Data Privacy Framework. Én detalje afgør, hvad afgørelsen betyder for dig: den gælder ikke USA som land.

Afgørelsens artikel 1 afgrænser beskyttelsesniveauet til overførsler »to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce«. Tilstrækkeligheden gælder altså pr. organisation. I praksis betyder det ét arbejdstrin: når du overvejer en amerikansk tjeneste, så tjek, om netop den organisation står på listen – og søg på selskabets officielle navn, fordi tjenesten kan stå der under moderselskabets navn.

Afgørelsen indeholder også sin egen ophævelsesklausul. Efter artikel 3, stk. 5, kan Kommissionen »suspend, amend or repeal this Decision, or limit its scope«, hvis et tilstrækkeligt beskyttelsesniveau ikke længere er sikret.

Er den nye afgørelse varig

Her er det ærlige svar: den er allerede blevet anfægtet, og én gang er en tilsvarende afgørelse faldet. Retten frifandt Kommissionen i et annullationssøgsmål 3.9.2025 i sag T-553/23 (Latombe mod Kommissionen). Ifølge Domstolens pressemeddelelse »confirms that, on the date of adoption of the contested decision, the United States of America ensured an adequate level of protection«.

Afgørelsen er appelleret til EU-Domstolen (sag C-703/25 P, appel indgivet 31.10.2025). Vi har ikke tjekket sagens status siden, og vi spår ikke om udfaldet.

For læseren følger der ét praktisk råd af dette, ikke en forudsigelse: byg ikke noget på afgørelsen om tilstrækkeligt beskyttelsesniveau, som du ikke kan afvikle. For et e-mailværktøj betyder det, at muligheden for at flytte listen ud af tjenesten er en del af risikostyringen – og det er et godt krav under alle omstændigheder.

Hvis afgørelsen ikke dækker tjenesten

Så har overførslen brug for en fornøden garanti efter databeskyttelsesforordningens artikel 46. Den mest almindelige er de standardkontraktbestemmelser, Kommissionen har vedtaget, som står i artikel 46, stk. 2, litra c. Artiklens stk. 1 stiller også en betingelse: ud over garantierne skal de registrerede have »enforceable data subject rights and effective legal remedies«.

Det er ikke nok blot at underskrive bestemmelserne. Det Europæiske Databeskyttelsesråds henstillinger 01/2020 (version 2.0, vedtaget 18.6.2021) beskriver seks trin. Fire af dem er reelt arbejde for den, der overfører, og det femte er formelle procedurer, som en supplerende foranstaltning kan kræve:

1. Kend dine overførsler. Kortlæg, hvilke personoplysninger der overføres hvorhen – henstillingen kalder det første trin og påpeger, at det ofte er en svær øvelse.
2. Tjek overførselsværktøjet. Hvis Kommissionens afgørelse dækker modtageren, kræves der ikke andet end at følge med i, at afgørelsen stadig gælder – og for USA betyder det organisationen, ikke landet.
3. Vurder modtagerlandets lovgivning og praksis. Det er overførselsvurderingen: svækker retstilstanden i modtagerlandet garantiernes virkning i netop din overførsel.
4. Indfør supplerende foranstaltninger, hvis vurderingen kræver det, og revurder situationen med jævne mellemrum.

To punkter i henstillingen bør læses ordret. Dokumentation: »You should conduct this assessment with due diligence and document it thoroughly. Your competent supervisory and/or judicial authorities may request it and hold you accountable for any decision you take on that basis.« Og situationen, hvor intet er nok: »In those cases where no supplementary measure is suitable, you must avoid, suspend or terminate the transfer.«

Hvad det betyder, når du vælger e-mailværktøj

Her bliver juraen til en købsbeslutning, og resultatet er enklere, end teksten ovenfor giver indtryk af.

Fem af de syv værktøjer, vi sammenligner, opbevarer listedata i EU: Brevo, GetResponse, Systeme.io, MailerLite og EmailOctopus. For dem kræves der slet ikke noget overførselsgrundlag efter kapitel V, fordi der ikke sker nogen overførsel. De to resterende, Mailchimp og ActiveCampaign, overfører data ud af EU – lovligt, men med overførselsgrundlag og poster. Situationen pr. tjeneste: e-mailmarketing og GDPR; alle syv politikker side om side og dateret: dataplacering hos e-mailværktøjer.

Det betyder ikke, at et værktøj uden for EU er det forkerte valg. Det betyder, at dets pris indeholder et arbejdstrin, som EU-aktørens pris ikke indeholder – og i en enkeltmandsvirksomhed er det trin dyrere end nogle få euros månedlig forskel.

Fire ting, en lille virksomhed bør gøre

1. Find ud af, hvor din liste er. Svaret står i tjenestens egen privatlivspolitik, ikke på markedsføringssiden. Spørg om både aftalepart og datacentrets placering – de kan ligge i forskellige lande.
2. Før databehandleren ind i din egen privatlivspolitik. Sker der overførsel ud af EU, kræver artikel 13, stk. 1, litra f, at du oplyser om overførslen, og om der findes en afgørelse om tilstrækkeligt beskyttelsesniveau eller ej.
3. Indgå databehandleraftale. Det er noget andet end overførselsgrundlaget og kræves under alle omstændigheder, også med en EU-aktør. Hvad aftalen skal indeholde.
4. Overfører du med standardkontraktbestemmelser, så dokumentér vurderingen. Databeskyttelsesrådets henstilling siger direkte, at myndigheden kan bede om at se den.

Forordningen selv sammenfatter det samme kort. Hovedreglen i artikel 44: overførsel af personoplysninger til et tredjeland »må kun finde sted, hvis betingelserne i dette kapitel med forbehold af de øvrige bestemmelser i denne forordning opfyldes af den dataansvarlige og databehandleren«. Læst i EUR-Lex 13.9.2026.

Hvad denne side ikke er

Det her er ikke juridisk rådgivning. Vi fortæller, hvad der står i originalkilderne, og hver af dem er linket i teksten: domsteksten, Kommissionens afgørelse, forordningens artikler og Databeskyttelsesrådets henstilling. At anvende det på din egen situation er dit eller din advokats arbejde.

Vi offentliggør heller ikke Data Privacy Framework-status for enkelte tjenester. Grunden er metodisk: status kan ændre sig uden varsel, og vores 90-dages kontrolrunde ville ikke garantere, at den er opdateret. Listen er offentlig, og det er hurtigere at tjekke den end at læse den hos os. Metoden i sin helhed: sådan sammenligner vi.