Schrems II och e-postlistan – vad överföring utanför EU faktiskt kräver

En e-postlista är ett personregister, och verktyget som skickar den är ett personuppgiftsbiträde. Om verktyget överför listan utanför EU måste överföringen ha en grund – och kring just den grunden har två saker hänt som är värda att känna till innan du väljer verktyg.

Kort svar

Överföring utanför EU är inte förbjuden. Den kräver en överföringsgrund enligt dataskyddsförordningens kapitel V, och grunderna kommer i prioritetsordning: först kommissionens beslut om adekvat skyddsnivå, i brist på det till exempel standardklausuler med tillhörande bedömningar.

Den enklaste lösningen är att inte överföra. Fem av de sju e-postverktyg vi jämför lagrar listdatan i EU, och då faller hela det här kapitlet bort ur din egen dokumentation.

Vad Schrems II-domen avgjorde

EU-domstolen meddelade dom i mål C-311/18 16.7.2020. Två saker avgjordes på en gång, och de pekar åt olika håll.

• Privacy Shield ogiltigförklarades. Domslutets femte punkt är entydig: ”Commission Implementing Decision (EU) 2016/1250 … is invalid.”
• Standardklausulerna stod kvar. Enligt fjärde punkten hade prövningen av beslut 2010/87 ”disclosed nothing to affect the validity of that decision”.

Den praktiska förändringen var ändå inte att ett beslut byttes mot ett annat. Det var villkoret domstolen ställde för användningen av standardklausulerna: den som överför måste säkerställa att de registrerade i mottagarlandet får ”a level of protection essentially equivalent to that guaranteed within the European Union”, och bedömningen måste också beakta myndigheternas tillgång till uppgifterna i mottagarlandet. Ansvaret flyttades alltså från kommissionens beslut till den som överför. Samma domslut ålägger tillsynsmyndigheten att avbryta eller förbjuda överföringen om skyddet inte kan säkerställas.

Vad som ersatte Privacy Shield

Kommissionen antog 10.7.2023 genomförandebeslut (EU) 2023/1795 om EU–US Data Privacy Framework. En detalj avgör vad beslutet betyder för dig: det gäller inte USA som land.

Beslutets artikel 1 avgränsar skyddsnivån till överföringar ”to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce”. Adekvansen gäller alltså per organisation. I praktiken betyder det ett arbetsmoment: när du överväger en amerikansk tjänst, kontrollera om just den organisationen finns på listan – och sök på bolagets officiella namn, eftersom tjänsten kan stå där under moderbolagets namn.

Beslutet innehåller också sin egen upphävandeklausul. Enligt artikel 3.5 kan kommissionen ”suspend, amend or repeal this Decision, or limit its scope” om en adekvat skyddsnivå inte längre säkerställs.

Är det nya beslutet bestående

Här är det ärliga svaret: det har redan prövats, och en gång har ett motsvarande beslut fallit. Tribunalen ogillade en talan om ogiltigförklaring 3.9.2025 i mål T-553/23 (Latombe mot kommissionen). Enligt domstolens pressmeddelande ”confirms that, on the date of adoption of the contested decision, the United States of America ensured an adequate level of protection”.

Avgörandet har överklagats till EU-domstolen (mål C-703/25 P, överklagande ingivet 31.10.2025). Vi har inte kontrollerat målets status efter det, och vi förutspår inte utgången.

För läsaren följer ett praktiskt råd av det här, inte en förutsägelse: bygg inget på beslutet om adekvat skyddsnivå som du inte kan avveckla. För ett e-postverktyg betyder det att möjligheten att flytta listan ut ur tjänsten är en del av riskhanteringen – och det är ett bra krav i vilket fall som helst.

Om beslutet inte täcker tjänsten

Då behöver överföringen en lämplig skyddsåtgärd enligt dataskyddsförordningens artikel 46. Den vanligaste är de standardklausuler kommissionen antagit, som står i artikel 46.2 c. Artikelns punkt 1 ställer också ett villkor: utöver skyddsåtgärderna måste de registrerade ha ”enforceable data subject rights and effective legal remedies”.

Det räcker inte att bara underteckna klausulerna. Europeiska dataskyddsstyrelsens rekommendationer 01/2020 (version 2.0, antagen 18.6.2021) beskriver sex steg. Fyra av dem är verkligt arbete för den som överför, och det femte är formella förfaranden som en kompletterande åtgärd kan kräva:

1. Känn dina överföringar. Kartlägg vilka personuppgifter som överförs vart – rekommendationen kallar det första steget och påpekar att det ofta är en svår övning.
2. Kontrollera överföringsverktyget. Om kommissionens beslut täcker mottagaren behövs inget annat än att följa att beslutet fortfarande gäller – och för USA betyder det organisationen, inte landet.
3. Bedöm mottagarlandets lagstiftning och praxis. Det här är överföringsbedömningen: försvagar rättsläget i mottagarlandet skyddsåtgärdernas effekt i just din överföring.
4. Inför kompletterande åtgärder om bedömningen kräver det, och ompröva läget regelbundet.

Två punkter i rekommendationen bör läsas ordagrant. Dokumentation: ”You should conduct this assessment with due diligence and document it thoroughly. Your competent supervisory and/or judicial authorities may request it and hold you accountable for any decision you take on that basis.” Och läget där inget räcker: ”In those cases where no supplementary measure is suitable, you must avoid, suspend or terminate the transfer.”

Vad det här betyder när du väljer e-postverktyg

Här blir juridiken ett köpbeslut, och resultatet är enklare än texten ovan ger intryck av.

Fem av de sju verktyg vi jämför lagrar listdatan i EU: Brevo, GetResponse, Systeme.io, MailerLite och EmailOctopus. För dem behövs ingen överföringsgrund enligt kapitel V alls, eftersom ingen överföring sker. De två återstående, Mailchimp och ActiveCampaign, överför data utanför EU – lagligt, men med överföringsgrund och dokumentation. Läget per tjänst: e-postmarknadsföring och GDPR; alla sju policyer sida vid sida och daterade: datalagring hos e-postverktyg.

Det betyder inte att ett verktyg utanför EU är fel val. Det betyder att dess pris innehåller ett arbetsmoment som EU-aktörens pris inte innehåller – och i ett enmansföretag är det momentet dyrare än några euros månadsskillnad.

Fyra saker ett litet företag bör göra

1. Ta reda på var din lista finns. Svaret står i tjänstens egen integritetspolicy, inte på marknadsföringssidan. Fråga om både avtalspart och datacentrets placering – de kan ligga i olika länder.
2. För in biträdet i din egen integritetspolicy. Om överföring utanför EU sker kräver artikel 13.1 f att du informerar om överföringen och om det finns ett beslut om adekvat skyddsnivå eller inte.
3. Ingå biträdesavtal. Det är en annan sak än överföringsgrunden och behövs i alla fall, även med en EU-aktör. Vad avtalet måste innehålla.
4. Om du överför med standardklausuler, dokumentera bedömningen. Dataskyddsstyrelsens rekommendation säger rakt ut att myndigheten kan begära att få se den.

Förordningen själv sammanfattar detsamma kort. Huvudregeln i artikel 44: överföring av personuppgifter till ett tredjeland ”får bara ske under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet, med förbehåll för övriga bestämmelser i denna förordning, uppfyller villkoren i detta kapitel”. Läst i EUR-Lex 13.9.2026.

Vad den här sidan inte är

Det här är inte juridisk rådgivning. Vi berättar vad som står i originalkällorna, och var och en av dem är länkad i texten: domens text, kommissionens beslut, förordningens artiklar och dataskyddsstyrelsens rekommendation. Att tillämpa det på din egen situation är ditt eller din jurists jobb.

Vi publicerar inte heller Data Privacy Framework-status för enskilda tjänster. Skälet är metodiskt: statusen kan ändras utan förvarning, och vår 90-dagars kontrollrunda skulle inte garantera att den är aktuell. Listan är offentlig, och det går fortare att kontrollera den än att läsa den hos oss. Metoden i sin helhet: så jämför vi.