Schrems II og US Cloud Act: Hvad det betyder for din virksomheds cloud i 2026
Hvis I bruger Microsoft 365, Google Workspace eller andre amerikanske cloud-tjenester, er Schrems II og US Cloud Act to begreber, I bør forstå. De har direkte konsekvenser for, hvordan I lovligt må behandle persondata – og hvor stor risikoen for GDPR-bøder er.
Kort fortalt
- • Schrems II (2020) – overførsel af persondata til USA er ikke længere automatisk lovlig
- • CLOUD Act (2018) – amerikanske myndigheder kan kræve data fra US-leverandører, uanset hostingland
- • Datatilsynet har givet bøder og anbefaler EU-baserede alternativer for følsomme data
- • EU-only stak (fx Nextcloud + Mailbox.org) eliminerer både risici
Hvorfor rammer det danske SMV'er?
Selv hvis Microsoft hoster jeres M365-data i EU, kan amerikanske myndigheder via CLOUD Act kræve dem udleveret. Det er ikke teoretisk – det er sket flere gange. For virksomheder, der behandler følsomme persondata (sundhed, jura, HR, kunder), er det en konkret compliance-risiko.
Ofte stillede spørgsmål
Hvad er Schrems II?
Schrems II er en EU-domstolsafgørelse fra 2020, der erklærede USA's Privacy Shield ugyldig. Dommen betyder, at virksomheder ikke automatisk må sende persondata til USA, fordi amerikansk lovgivning (FISA 702, Executive Order 12333) tillader masseovervågning af ikke-amerikanere.
Hvad er US Cloud Act?
CLOUD Act er en amerikansk lov fra 2018, der giver amerikanske myndigheder ret til at kræve data fra amerikanske cloud-leverandører – uanset hvor i verden data fysisk er hostet. Det rammer alle data hos Microsoft, Google, Amazon, Meta og andre amerikanske udbydere.
Må jeg så bruge Microsoft 365 eller Google Workspace?
Ja, men det kræver en risikovurdering, supplerende garantier (SCC, transfer impact assessment) og typisk kryptering, hvor kun I har nøglen. Datatilsynet har givet bøder for utilstrækkelig vurdering – og anbefaler EU-baserede alternativer til følsomme data.
Hvilke virksomheder rammes hårdest af Schrems II?
Læger, klinikker, advokater, kommuner, undervisning og enhver virksomhed der behandler persondata efter GDPR artikel 9 (følsomme data) eller arbejder med offentlig sektor. For dem er en EU-only stak typisk det rigtige valg.
Hvordan undgår jeg Schrems II- og Cloud Act-risikoen?
Den enkleste vej er en EU-baseret cloud-leverandør uden amerikansk ejerskab. Nextcloud (tysk) hostet hos Hetzner (Tyskland) eller et dansk datacenter, kombineret med Mailbox.org eller Proton, eliminerer både risici.
Vil I væk fra Schrems II-risikoen?
Vi flytter jer fra Microsoft 365 eller Google Workspace til en EU-only stak med Nextcloud og Mailbox.org. Læs også om databeskyttelse og dokumentation og EU-hostet cloud.
Relaterede emner
Dyk dybere ned i de emner, denne artikel berører – og se hvordan vi hjælper virksomheder med dem.
Relaterede ydelser: GDPR & IT-sikkerhed, IT-sikkerhed til SMV'er, Sikkerhedskonsulent, Office 365 til virksomheder, Cloud-IT-løsning.
Læs også: GDPR-cloud — sådan vælger du · Nextcloud i Danmark · 5 alternativer til M365 · NIS2-direktivet.
Om forfatteren
Michael Wolf
Stifter & IT-tekniker · IT-Hjælpen
Certificeret IT-tekniker med 10+ års erfaring inden for IT-sikkerhed, drift og support til danske SMV'er. Michael har hjulpet hundredvis af virksomheder med alt fra cybersikkerhed til Microsoft 365-migrering.