Schrems II är EU-domstolens dom i mål C-311/18, meddelad 16 juli 2020. Domen ogiltigförklarade Privacy Shield — det ramverk som dittills legitimerade överföring av personuppgifter till USA — med motiveringen att amerikansk övervakningslagstiftning (bland annat FISA 702 och Executive Order 12333) inte ger EU-medborgare ett skydd som är väsentligen likvärdigt med GDPR. Standardavtalsklausuler förblev giltiga men fick ett nytt krav: den som exporterar data måste göra en egen bedömning av mottagarlandets rättsläge och vid behov lägga till kompletterande skyddsåtgärder.

Domen är uppkallad efter den österrikiske juristen Max Schrems och följde på Schrems I (2015), som fällde föregångaren Safe Harbor. EU och USA antog 2023 ett nytt ramverk, Data Privacy Framework, som fortsatt gäller. EU:s tribunal ogillade 3 september 2025 den första direkta talan mot ramverket (Latombe mot kommissionen) och lät adekvansbeslutet stå kvar.

Domen överklagades till EU-domstolen 31 oktober 2025 och prövas där som mål C-703/25 P på fyra rättsliga grunder; överklagandet togs upp, något förhandlingsdatum var inte utsatt under första halvåret 2026 och bedömare väntar ett avgörande tidigast i slutet av 2026. Parallellt har noyb och Max Schrems aviserat en ny attack med hänvisning till en amerikansk högsta-domstolsdom som sägs undergräva kravet på oberoende tillsyn; den linjen är annonserad men inte prövad. Rättsläget är därmed stabilare än 2020 men inte slutligt avgjort.

Domen är den juridiska hävstången bakom kraven på att svensk offentlig sektor, vård och kommuner ska veta i vilken jurisdiktion deras data behandlas.