[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:da:gdpr-overfoersler-til-tredjelande-for-en-softwarevirksomhed-de-17-afgoerelser-om-tilstraekkelighed-de-fire-scc-moduler-og-en-side-der-vaelger-mekanismen":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"da","gdpr-overfoersler-til-tredjelande-for-en-softwarevirksomhed-de-17-afgoerelser-om-tilstraekkelighed-de-fire-scc-moduler-og-en-side-der-vaelger-mekanismen","GDPR-overførsler til tredjelande for en softwarevirksomhed: de 17 afgørelser om tilstrækkelighed, de fire SCC-moduler, hvad en amerikansk, britisk eller indisk underdatabehandler skal bruge, og en side, der vælger mekanismen","Enhver hostingudbyder, supportfunktion, ethvert analyseværktøj og enhver lønservice uden for EØS er en overførsel efter kapitel V. Kommissionens liste over afgørelser om tilstrækkelighed, læst den 12. september 2026, rummer 17 poster: 16 lande og territorier, fra Andorra til Uruguay, og Den Europæiske Patentorganisation, med Det Forenede Kongerige fornyet i december 2025, Brasilien tilføjet i januar 2026 og USA kun dækket for virksomheder certificeret under Data Privacy Framework. Alt andet kræver standardkontraktbestemmelserne i afgørelse (EU) 2021\u002F914, hvis fire moduler følger eksportørens og importørens roller, med vurderingen af lokal ret efter bestemmelse 14 før den første overførsel; undtagelserne i artikel 49 er til den enkeltstående lejlighed, aldrig til et produkt i brug. Læst mod kataloget, med en gratis side, der vælger mekanismen og skriver den.","2026-09-12",{"who":10,"when":11,"do":12},"En softwarevirksomhed etableret i Unionen, der sender personoplysninger ud af EØS: sine egne kundeoplysninger til et CRM, sine kunders oplysninger til en hosting-, support- eller AI-leverandør, sine ansattes oplysninger til et løn- eller HR-værktøj; som dataansvarlig for det første og databehandler for det andet, og de kunder, der i databehandlervilkårene spørger, hvor oplysningerne går hen.","Fra den første overførsel; listen over tilstrækkelighed er et øjebliksbillede fra den 12. september 2026, og Kommissionen gennemgår og fornyer sine afgørelser, så den mekanisme, en modtager hviler på, læses igen, når listen ændres; bestemmelserne i afgørelse (EU) 2021\u002F914 har været Kommissionens eneste bestemmelser, siden de gamle sæt udløb i december 2022.","Opfør hver modtager uden for EØS i fortegnelsen over behandlingsaktiviteter med dens land; for hver den afgørelse om tilstrækkelighed, der bærer den, eller SCC-modulet underskrevet med sine bilag og vurderingen efter bestemmelse 14; bed en amerikansk importør om dens certificering under Data Privacy Framework og en britisk eller japansk om intet mere; den gratis side vælger mekanismen ud fra destinationen og de to roller.","\nForordningens kapitel V er den del, en softwarevirksomhed møder den dag, den tilmelder sig en hostingregion, en supportfunktion eller et analyseværktøj, der drives fra uden for Det Europæiske Økonomiske Samarbejdsområde. Artikel 44 sætter princippet: en overførsel af personoplysninger til et tredjeland eller en international organisation finder kun sted, hvis den dataansvarlige og databehandleren overholder kapitlets betingelser, også ved videreoverførsler, og alle dets bestemmelser anvendes, så det beskyttelsesniveau, forordningen garanterer, ikke undermineres. Denne artikel læser kapitlet mod det [katalog](\u002Fgdpr\u002Fduties), StandardOS fører over forordningen, og mod Kommissionens egen liste over afgørelser om tilstrækkelighed, med den [gratis side](\u002Fgdpr\u002Ftransfers), der vælger mekanismen ud fra destinationen og de to roller.\n\n## Første spørgsmål: er det overhovedet en overførsel\n\nEn modtager i en af de 27 medlemsstater eller i Island, Liechtenstein eller Norge er ikke i et tredjeland: forordningen gælder der direkte, gennem traktaterne og EØS-aftalen, og kapitel V er ikke i spil. Fortegnelsen over behandlingsaktiviteter nævner stadig modtageren (artikel 30, stk. 1, litra d)), men ingen mekanisme er nødvendig. Alt uden for disse 30 stater er et tredjeland, uanset om modtageren er en kendt virksomhed eller ej, om oplysningerne er krypteret undervejs eller ej, og om modtageren kalder sig GDPR-kompatibel eller ej. Spørgsmålet afgøres af landet for den etablering, der behandler oplysningerne, ikke af flaget på importørens hjemmeside.\n\n## Andet spørgsmål: er der en afgørelse om tilstrækkelighed\n\nArtikel 45, stk. 1, lader en overførsel til et land, som Kommissionen har afgjort sikrer et tilstrækkeligt beskyttelsesniveau, finde sted uden specifik godkendelse. Kommissionens side om tilstrækkelighed for lande uden for EU, læst den 12. september 2026, siger, at den indtil nu har anerkendt 17: Andorra, Argentina, Brasilien, Canada, Færøerne, Guernsey, Israel, Isle of Man, Japan, Jersey, New Zealand, Republikken Korea, Schweiz, Det Forenede Kongerige, USA, Uruguay og Den Europæiske Patentorganisation. Elleve af dem blev vedtaget efter direktiv 95\u002F46\u002FEF og gennemgået i Kommissionens rapport af 15. januar 2024; resten efter artikel 45, og de nyeste retsakter, siden opfører, er afgørelsen om Brasilien af 26. januar 2026, fornyelsen af afgørelsen om Det Forenede Kongerige den 19. december 2025, afgørelsen om Den Europæiske Patentorganisation af 15. juli 2025 og den første gennemgang af afgørelsen om Republikken Korea den 23. juli 2026. To afgørelser har et anvendelsesområde, en softwarevirksomhed skal kontrollere: Canadas dækker kommercielle organisationer, og USA's dækker kun kommercielle organisationer, der deltager i EU-USA-databeskyttelsesrammen, så en amerikansk importør er tilstrækkelig, hvis den er certificeret, og en tredjelandsimportør som enhver anden, hvis den ikke er. Siden holder den liste som data, med den dato, den blev læst, og [overførselsværktøjet](\u002Fgdpr\u002Ftransfers) stiller spørgsmålet om anvendelsesområde, hvor en afgørelse har et.\n\n## Tredje spørgsmål: hvilken garanti, og hvilket modul\n\nUden en afgørelse kræver artikel 46, stk. 1, fornødne garantier, der giver de registrerede rettigheder, som kan håndhæves, og effektive retsmidler, og artikel 46, stk. 2, opregner seks, der ikke kræver specifik godkendelse: et retligt bindende instrument mellem offentlige myndigheder, bindende virksomhedsregler, standardbestemmelser om databeskyttelse vedtaget af Kommissionen, bestemmelser vedtaget af en tilsynsmyndighed og godkendt af Kommissionen, en godkendt adfærdskodeks og en godkendt certificering. For en softwarevirksomhed er svaret det tredje: standardkontraktbestemmelserne i Kommissionens gennemførelsesafgørelse (EU) 2021\u002F914 af 4. juni 2021, hvis bilag har fire moduler efter parternes roller. Modul et er dataansvarlig til dataansvarlig, virksomheden, der sender sine egne kundeoplysninger til en partner, der beslutter, hvad der skal ske med dem; modul to er dataansvarlig til databehandler, virksomheden, der sender sine egne oplysninger til et CRM, en lønservice eller en e-mailudbyder; modul tre er databehandler til databehandler, virksomheden, der sender sine kunders oplysninger til sin hosting-, support- eller AI-underdatabehandler; modul fire er databehandler til dataansvarlig, det sjældne tilfælde, hvor en databehandler returnerer oplysninger til en dataansvarlig uden for EU. At underskrive modulet er ikke hele garantien: bestemmelse 14 kræver, at parterne før overførslen har vurderet, om lovene og praksis i importørens land forhindrer den i at overholde bestemmelserne, hvilket er den vurdering, Domstolen krævede i Schrems II, og bestemmelse 15 fastsætter importørens pligter, når en offentlig myndighed beder om oplysningerne. Vurderingen dokumenteres og opbevares til tilsynsmyndigheden. Bindende virksomhedsregler efter artikel 47 er til en koncern og kræver en myndigheds godkendelse; en kodeks eller en certificering hjælper kun, hvor en findes for importøren.\n\n## Fjerde spørgsmål: er dette en særlig situation\n\nArtikel 49, stk. 1, tillader en overførsel uden tilstrækkelighed eller garantier på en af syv betingelser: udtrykkeligt samtykke efter oplysning om risiciene, opfyldelse af en kontrakt med den registrerede, en kontrakt i den registreredes interesse, vigtige samfundsinteresser, retskrav, vitale interesser eller et offentligt register. Dets andet afsnit tilføjer den overførsel, der er nødvendig af hensyn til vægtige legitime interesser, som ikke må gentages, kun må vedrøre et begrænset antal registrerede, skal vurderes og dokumenteres og skal meddeles tilsynsmyndigheden. Intet af det beskriver et produkt i brug: en hostingudbyder behandler hver kundes oplysninger hver dag, og et samtykke, der skulle indhentes fra hver slutbruger hos hver af virksomhedens kunder, er ikke en mekanisme. Undtagelserne er til den enkeltstående lejlighed, den ene fil, der sendes én gang, og en virksomhed, der bygger sin arkitektur på dem, har ingen mekanisme.\n\n## Hvad man skal gøre med det\n\nTag fortegnelsen over behandlingsaktiviteter og dens kolonne med modtagere, og giv hver modtager uden for EØS et land og en mekanisme: den afgørelse om tilstrækkelighed, der bærer den, med anvendelsesområdet kontrolleret for en amerikansk eller canadisk importør, eller SCC-modulet underskrevet med sine bilag og vurderingen efter bestemmelse 14 dateret. Bed en amerikansk importør om dens certificering under Data Privacy Framework og kontrollér den på Department of Commerces liste; bed en britisk eller japansk importør om intet mere end kontrakten; bed en indisk, australsk eller singaporeansk importør om de underskrevne bestemmelser og dens egen liste over underdatabehandlere, da videreoverførsler forbliver under kapitel V. Sæt mekanismen ind i de [databehandlervilkår](\u002Fgdpr\u002Fprocessor-terms), en kunde sender, fordi artikel 28, stk. 4, pålægger en underdatabehandler de samme forpligtelser som databehandleren, og i [fortegnelsen](\u002Fgdpr\u002Frecord-of-processing), fordi artikel 30, stk. 1, litra e), spørger om overførslerne og deres garantier. [Overførselssiden](\u002Fgdpr\u002Ftransfers) træffer bestemmelsen ud fra destinationen og de to roller og skriver den; [bestemmelsen af forpligtelserne](\u002Fgdpr\u002Fduties) siger, om overførsler overhovedet er blandt virksomhedens forpligtelser.\n",1789383972777]