Overførsel af kampagnedata til en influencer eller et bureau uden for EU: GDPR's regler for tredjelandsoverførsler

Kort svar: Ja, det er en tredjelandsoverførsel — og GDPR stiller egne krav til den

Når I sender kampagnedata — en oversigt over målgruppeindsigter, leveringsoplysninger til et gaveprodukt, eller en briefingmappe med kontaktoplysninger — til en influencer eller et bureau, der er etableret uden for EU/EØS, er det ikke bare almindelig databehandling efter GDPR's artikel 6. Det er en tredjelandsoverførsel efter GDPR's kapitel V, og den kræver sit eget, selvstændige retsgrundlag, uanset om I i forvejen har styr på artikel 6-grundlaget for selve behandlingen. Det gælder, uanset om modtageren er et stort bureau eller en enkelt influencer, og uanset om overførslen sker én gang eller løbende.

Dette er praktisk vejledning fra Make Influence, ikke juridisk rådgivning. Brug den som en tjekliste over, hvad I skal forholde jer til — få den konkrete juridiske vurdering af jeres egen overførsel hos en advokat.

Hvordan er det anderledes end den generelle GDPR-artikel?

Influencer marketing og GDPR: Det skal brands vide dækker den daglige databehandling — hvilket retsgrundlag der gælder for hvilken oplysning, hvem der er dataansvarlig, og hvornår I skal have en databehandleraftale. Den artikel nævner kort overførsel til amerikanske værktøjer og platforme under EU-U.S. Data Privacy Framework. Denne artikel dækker noget mere specifikt: selve overførslen af data til en influencer eller et bureau, der befinder sig uden for EU/EØS — altså modtageren selv, ikke et værktøj I bruger undervejs. Det er et selvstændigt regelsæt (kapitel V, artikel 44-49), der lægger sig oven på det almindelige artikel 6-grundlag, ikke i stedet for det.

Hvornår er det overhovedet en "overførsel" i GDPR's forstand?

Det europæiske databeskyttelsesråd (EDPB) har i sine retningslinjer 05/2021 om begrebet overførsel fastsat tre kumulative kriterier for, hvornår noget er en tredjelandsoverførsel:

1. Den dataansvarlige eller databehandler, der sender oplysningerne (eksportøren), er selv underlagt GDPR for den konkrete behandling.
2. Eksportøren videregiver oplysningerne — ved at sende dem eller gøre dem tilgængelige — til en anden dataansvarlig, fælles dataansvarlig eller databehandler (importøren).
3. Importøren befinder sig i et tredjeland, eller er en international organisation.

Er alle tre opfyldt, er det en overførsel — uanset om det sker via e-mail, en delt mappe, en briefingplatform eller mundtligt over et videoopkald. Nogle konkrete eksempler fra influencer marketing:

De tre måder at gøre overførslen lovlig på

Ligesom den generelle databehandling kræver et retsgrundlag, kræver selve overførslen ét af tre grundlag efter kapitel V:

Hvilke lande har lige nu en adækvansafgørelse?

Ifølge EU-Kommissionens egen liste, per denne artikels seneste opdatering (27. august 2026), har følgende lande og territorier en adækvansafgørelse: Andorra, Argentina, Brasilien (den nyeste, fra 26. januar 2026), Canada (kun kommercielle organisationer), Færøerne, Guernsey, Israel, Isle of Man, Japan, Jersey, New Zealand, Sydkorea, Schweiz, Storbritannien, USA (kun virksomheder certificeret under EU-U.S. Data Privacy Framework — ikke automatisk hele USA) og Uruguay, samt Den Europæiske Patentorganisation.

Vigtigt: listen ændrer sig løbende — Kommissionen kan tilføje, ændre eller suspendere en afgørelse. Tjek altid Kommissionens egen, opdaterede liste, før I lægger en overførsel til grund for et bestemt land — antag ikke, at et land stadig er "sikkert", fordi det stod på listen sidste år. Bemærk især USA-undtagelsen: det er ikke hele USA, der er dækket — kun de konkrete virksomheder, der reelt er certificeret under EU-U.S. Data Privacy Framework. Et amerikansk bureau, der ikke selv har certificeret sig, er ikke dækket af adækvansafgørelsen, selvom det ligger i USA.

Ingen adækvans? SCC'erne har fire moduler — vælg det rigtige

Er modtagerlandet ikke på adækvanslisten — hvilket dækker de fleste lande, influencer marketing typisk arbejder med uden for Europa, som Indien eller de fleste asiatiske markeder — er standardkontraktbestemmelserne (SCC'er) det mest almindelige grundlag. EU-Kommissionens gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021 opstiller fire moduler, afhængigt af hvilken rolle hver part har:

• Modul 1 (dataansvarlig til dataansvarlig): passer typisk, når en influencer eller et selvstændigt bureau selv bestemmer, hvordan de bruger dataene til deres eget indhold — de er ikke jeres databehandler.
• Modul 2 (dataansvarlig til databehandler): passer, når bureauet handler efter jeres instruks — for eksempel et administrationsbureau, der udelukkende styrer betalinger og logistik på jeres vegne.
• Modul 3 og 4 dækker mere komplekse kæder med flere databehandlere eller underdatabehandlere og er sjældnere relevante for en almindelig influencer-kampagne.

Efter EU-Domstolens Schrems II-dom er det ikke nok blot at underskrive SCC'erne — I skal også konkret vurdere, om modtagerlandets egen lovgivning (fx adgang for offentlige myndigheder) reelt undergraver den beskyttelse, klausulerne giver, og om nødvendigt supplere med tekniske foranstaltninger som kryptering. Det kaldes en transfer impact assessment (TIA), og den skal dokumenteres, ikke bare antages.

Undtagelserne i artikel 49 — kun til lejlighedsvis brug

Er en SCC-aftale ikke praktisk mulig — for eksempel til en enkeltstående, lille kampagne med en enkelt influencer i et land uden adækvans — kan én af undtagelserne i artikel 49 komme i spil. De mest relevante for influencer marketing er typisk:

• Udtrykkeligt samtykke fra den registrerede selv, efter at være informeret om de specifikke risici ved overførslen (ikke bare et generelt samtykke til at samarbejde)
• Nødvendighed for at opfylde en aftale med den registrerede — fx at influenceren selv skal modtage sine egne kontaktoplysninger tilbage som led i selve samarbejdsaftalen

Både Datatilsynet og EDPB understreger, at artikel 49-undtagelserne er tænkt som undtagelser, ikke som en fast erstatning for SCC'er ved en løbende eller gentagen relation. Bruger I den samme influencer eller det samme bureau i et land uden adækvans måned efter måned, bør I have en SCC-aftale på plads i stedet for at læne jer på samtykke hver gang.

Beslutningsramme

HVIS modtagerlandet står på Kommissionens aktuelle adækvansliste → ingen yderligere kontraktlige skridt kræves ud over jeres almindelige artikel 6-grundlag.

HVIS I sender data til et amerikansk bureau eller en amerikansk influencer, der ikke selv er certificeret under EU-U.S. Data Privacy Framework → adækvansen dækker ikke automatisk, selvom USA delvist er på listen — tjek certificeringen konkret, eller brug SCC'er.

HVIS modtagerlandet ikke er dækket af nogen adækvansafgørelse, og relationen er løbende → indgå en SCC-aftale med det relevante modul, og dokumentér en transfer impact assessment.

HVIS det er en enkeltstående, lejlighedsvis overførsel, og en SCC-aftale ikke er praktisk mulig → vurdér, om en af artikel 49-undtagelserne — typisk udtrykkeligt, informeret samtykke — kan bære netop denne ene overførsel.

Praktisk tjekliste, før I briefer en influencer eller et bureau uden for EU

• Kortlæg præcis, hvilke personoplysninger der reelt sendes — navn, adresse, skatteoplysninger, kontaktlister, eller kun aggregerede tal, der slet ikke udløser reglerne
• Slå op, om modtagerlandet står på Kommissionens aktuelle adækvansliste — ikke sidste års liste
• Er modtageren i USA: tjek konkret, om netop den virksomhed er certificeret under EU-U.S. Data Privacy Framework, ikke bare at den ligger i USA
• Ingen adækvans og en løbende relation: få en SCC-aftale med det rette modul underskrevet, før den første overførsel sker
• Dokumentér en transfer impact assessment, hvis SCC'er bruges
• Vurdér, om barnedata er involveret (fx en family-creators egne børn) — det skærper kravene til grundlaget yderligere, se familie-vlogging og sharenting

Hypotetisk eksempel

Eksemplet nedenfor er opdigtet og kun til illustration — ikke en reel Make Influence-kunde.

Et dansk brand indgår en kampagne gennem et boutique talent-bureau baseret i Los Angeles, som repræsenterer fem amerikanske lifestyle-creatorer. Bureauet er ikke selv certificeret under EU-U.S. Data Privacy Framework — det er en lille, uafhængig aktør, ikke en stor platform. Brandet sender en briefingmappe med kampagnedetaljer samt hver creators postadresse til afsendelse af produkt, og skal desuden dele skatterelevante oplysninger til honorarudbetaling.

Fordi bureauet ikke er certificeret, dækker USA's delvise adækvansafgørelse ikke overførslen automatisk. Da relationen er tænkt som en løbende, flerkampagne-aftale — ikke en enkeltstående overførsel — er artikel 49's undtagelser heller ikke det rette grundlag. Brandet indgår i stedet en SCC-aftale med bureauet under modul 1 (dataansvarlig til dataansvarlig, fordi bureauet selv bestemmer, hvordan det administrerer sine egne creatorers data), og dokumenterer en kort transfer impact assessment, der noterer, at ingen af de konkrete oplysninger, der overføres (kontaktdata, skattenummer), vurderes særligt udsatte for amerikansk myndighedsadgang i denne sammenhæng.

Almindelige fejl

• At antage, at "amerikansk = dækket af adækvans." Kun virksomheder, der selv er certificeret under EU-U.S. Data Privacy Framework, er dækket — ikke automatisk hele USA.
• At bruge samtykke som fast grundlag for en løbende relation. Artikel 49-undtagelserne er tænkt til lejlighedsvis, ikke gentagen brug.
• At underskrive SCC'er uden en transfer impact assessment. Klausulerne alene er ikke nok efter Schrems II — vurderingen af landets lovgivning skal også dokumenteres.
• At overse, at aggregerede, ikke-personhenførbare tal slet ikke udløser reglerne. Ikke al data, I deler med et udenlandsk bureau, er nødvendigvis personoplysninger — men når tvivlen opstår, bør I behandle det, som om den er.

Make Influence's operationelle perspektiv

I vores erfaring bliver tredjelandsoverførsler ofte overset af præcis samme grund som den generelle GDPR-behandling — det føles ikke som "rigtig" dataoverførsel, det er "bare" en briefingmappe eller en leveringsadresse sendt til et bureau, I allerede har en kommerciel aftale med. Men kommerciel tillid og et juridisk overførselsgrundlag er to forskellige ting. Vores anbefaling: gør spørgsmålet "er modtageren uden for EU/EØS, og har vi et grundlag for det?" til et fast punkt i onboardingen af ethvert internationalt bureau eller enhver international creator — på linje med det, I allerede bør spørge om databehandleraftaler, se influencer marketing og GDPR.

FAQ

Gælder dette også, når vi bare betaler en influencer i udlandet, uden at dele andre data?

Selve betalingsoplysningerne (bankoplysninger, adresse) er personoplysninger, så ja — send dem til en modtager uden for EU/EØS, og reglerne i denne artikel gælder. Se sådan betaler du internationale influencers for selve betalingsmekanikken, som er et separat spørgsmål fra dataoverførslen.

Er en influencer selv en "databehandler," når vi sender data til dem?

Normalt nej — som den generelle GDPR-artikel forklarer, er en influencer typisk en selvstændig dataansvarlig for sit eget indhold, ikke en databehandler for brandet. Det betyder, at SCC-modul 1 (dataansvarlig til dataansvarlig) som regel er det rette valg, ikke modul 2.

Skal vi bruge SCC'er, selv hvis modtagerlandet har en adækvansafgørelse?

Nej. Har landet en gyldig adækvansafgørelse, kan I overføre data, som var modtageren i EU/EØS, uden yderligere kontraktuelle skridt — men tjek Kommissionens liste hver gang, da en afgørelse kan blive ændret eller trukket tilbage.

Hvad hvis bureauet også har et EU-kontor?

Så afhænger det af, hvilket kontor der reelt modtager og behandler dataene. Går overførslen udelukkende til EU-kontoret, som selv er underlagt GDPR direkte, er det ikke en tredjelandsoverførsel i denne artikels forstand — men vurdér det konkret, ikke ud fra hvor bureauets hovedkontor formelt ligger.

Er det anderledes, hvis vi sender data til en influencer i Storbritannien?

Storbritannien har sin egen adækvansafgørelse fra EU-Kommissionen, så en overførsel dertil kan ske uden yderligere skridt, på samme måde som til et EU/EØS-land — men tjek altid, at afgørelsen stadig er gyldig, da den kan blive genvurderet.

Hvad har det med cookiesamtykke at gøre?

Ingenting direkte — det er to forskellige regelsæt. Denne artikel handler om at sende kampagnedata til en udenlandsk modtager; cookiesamtykke handler om at sætte en cookie i en besøgendes browser. Se Consent Mode og influencer tracking i EU for det separate spørgsmål.