Wat de AVG zegt over waar je chatbot draait
De AVG kent geen regel dat persoonsgegevens in de EU moeten blijven (strikt genomen: in de Europese Economische Ruimte). Wat ze wel kent, is hoofdstuk V, de artikelen 44 tot en met 49: gegevens mogen alleen naar een land daarbuiten als de verwerkingsverantwoordelijke en de verwerker aan de voorwaarden van dat hoofdstuk voldoen, ook bij verdere doorgifte van de ene leverancier naar de volgende (artikel 44). De Belgische Gegevensbeschermingsautoriteit (GBA) vat het samen: de wetgeving laat internationale gegevensstromen toe, alleen gelden er binnen en buiten de EU andere regels. Bij een chatbot is er sprake van doorgifte zodra een bericht van een bezoeker, een bewaard gesprek of het e-mailadres van een lead naar een derde land gaat, daar wordt opgeslagen of van daaruit wordt geopend.
Hoofdstuk V kent drie wegen.
| Weg | Waar in de AVG | Wat het betekent voor een chatbotleverancier |
|---|---|---|
| Adequaatheidsbesluit | artikel 45 | De Europese Commissie heeft besloten dat een land een passend beschermingsniveau biedt, dus voor doorgifte daarheen is geen specifieke toestemming nodig. Voor de Verenigde Staten is dat het EU-VS-kader voor gegevensbescherming, beter bekend als het Data Privacy Framework (DPF), van 10 juli 2023. Het geldt alleen voor bedrijven op de DPF-lijst van het Amerikaanse ministerie van Handel. |
| Passende waarborgen | artikelen 46 en 47 | Onder meer de standaardcontractbepalingen van de Commissie van 4 juni 2021, die de Autoriteit Persoonsgegevens (AP) een modelcontract noemt. Ze bestaan uit vier modules: module twee voor een verwerkingsverantwoordelijke die gegevens aan een verwerker doorgeeft, module drie voor een verwerker die ze aan een subverwerker doorgeeft. Bindende bedrijfsvoorschriften zijn de variant binnen een concern. |
| Afwijkingen | artikel 49 | Uitzonderingen zoals de uitdrukkelijke toestemming van de bezoeker, nadat die over de risico's is ingelicht. Volgens de GBA moeten ze restrictief worden uitgelegd en vormen ze geen normaal kader voor doorgiften, zeker niet als die massaal en herhaaldelijk gebeuren. Precies dat doet een chatbot. |
Standaardcontractbepalingen zijn een contract, en een contract bindt geen buitenlandse overheid. Daarom besliste het Hof van Justitie in het arrest Schrems II (C-311/18, 16 juli 2020) dat wie erop steunt, van geval tot geval moet nagaan of het recht van het land van bestemming de ontvanger ruimte laat om zijn beloften na te komen. Waar dat niet zo is, zijn aanvullende maatregelen nodig, en helpt niets, dan moet de doorgifte worden opgeschort of beëindigd (punten 133 tot en met 135). Bepaling 14 van de standaardcontractbepalingen maakt daar een document van: beide partijen beoordelen de wetten en praktijken van het land van bestemming, leggen die beoordeling vast en stellen ze op verzoek ter beschikking van de toezichthouder. In de praktijk heet dat een transfer impact assessment (TIA). Het Europees Comité voor gegevensbescherming (EDPB) beschrijft het werk in Aanbevelingen 01/2020 in zes stappen, van elke doorgifte in kaart brengen tot op gezette tijden opnieuw beoordelen.
Wie de gegevens voor jou verwerkt, is een aparte vraag, en die regelt artikel 28. Je mag alleen werken met verwerkers die afdoende garanties bieden. Een verwerker mag geen andere verwerker inschakelen zonder jouw voorafgaande schriftelijke toestemming, en bij een algemene toestemming moet hij je over wijzigingen inlichten, zodat je bezwaar kunt maken. De verwerkersovereenkomst houdt de verwerker aan jouw schriftelijke instructies, ook over doorgiften, en elke subverwerker krijgt dezelfde verplichtingen, terwijl je verwerker volledig aansprakelijk blijft (artikel 28, leden 1 tot en met 4).
Opmerking. Zo staat het DPF er op 25 oktober 2026 voor. Het Gerecht van de Europese Unie verwierp op 3 september 2025 een beroep tot nietigverklaring (Latombe/Commissie, T-553/23): volgens het Gerecht boden de Verenigde Staten op de dag van het besluit een passend beschermingsniveau. De Fransman Philippe Latombe stelde op 31 oktober 2025 hogere voorziening in bij het Hof van Justitie (C-703/25 P), en het register van het Hof vermeldt de zaak als aanhangig. Dat Hof verklaarde de twee kaders vóór het DPF, Safe Harbour en het Privacy Shield, ongeldig in 2015 en 2020. Bij de eerste evaluatie, in oktober 2024, concludeerde de Commissie dat de Amerikaanse autoriteiten de structuren en procedures hebben ingevoerd die het kader nodig heeft om effectief te functioneren. De volgende evaluatie plant ze na drie jaar.
Waarom kopers toch om EU-hosting vragen
Wie zegt dat de AVG geen hosting in de EU eist, heeft juridisch gelijk. Wie toch voor verwerking in de EU kiest, heeft daar praktische redenen voor:
- Minder doorgiften om vast te leggen. Elke doorgifte komt in je register van verwerkingsactiviteiten, met het derde land erbij (artikel 30, lid 1, onder e), en in je privacyverklaring, met het adequaatheidsbesluit of de waarborgen waarop ze steunt (artikel 13, lid 1, onder f). Een doorgifte op basis van standaardcontractbepalingen vraagt daarnaast de beoordeling van bepaling 14. Een stap die in de EU draait, vraagt niets van dat alles.
- Minder risico als een instrument wegvalt. Twee eerdere EU-VS-kaders sneuvelden, en tegen het arrest dat het derde overeind hield, loopt een hogere voorziening. Wat er gebeurt als je dan niet over een ander instrument beschikt, liet de AP zien: ze legde Uber in augustus 2024 een boete van 290 miljoen euro op, omdat het bedrijf gegevens van Europese taxichauffeurs ruim twee jaar naar de VS doorgaf zonder doorgifte-instrument. Na het einde van het Privacy Shield gebruikte Uber vanaf augustus 2021 ook geen modelcontract meer. Uber kondigde bezwaar aan; op 25 oktober 2026 staat op de site van de AP nog geen besluit op dat bezwaar.
- Een AI-model moet de tekst lezen. Een model kan alleen antwoorden als het de vraag, de passages en het gesprek in leesbare vorm krijgt. Voor een verwerker die gegevens onversleuteld nodig heeft, in een land waar de overheid verder bij gegevens kan dan noodzakelijk en evenredig is in een democratische samenleving, kan het EDPB naar eigen zeggen geen doeltreffende technische maatregel bedenken, en telt versleuteling niet zolang de ontvanger de sleutels heeft (Aanbevelingen 01/2020, punten 94 en 95). Vandaag hoef je bij doorgifte aan een bedrijf op de DPF-lijst geen extra maatregelen te nemen, zegt de AP. Verandert dat ooit, dan zijn de stappen waarin een model de woorden van je bezoekers leest precies die waar versleuteling niet kan helpen.
- Iemand anders kan het eisen. Vraagt een klantcontract of een aanbesteding om verwerking in de EU, dan heb je niets aan de ruimte die de AVG laat.
Wat "gehost in de EU" kan betekenen, laag per laag
Een websitechatbot is een keten van diensten, en "gehost in de EU" kan naar waarheid de eerste schakel beschrijven terwijl de rest elders draait. Vraag naar elke schakel.
| Laag | Wat erdoor gaat | Wat je vraagt | Wat er mis kan gaan |
|---|---|---|---|
| Applicatie | Elk verzoek van de widget en het dashboard | Welke leverancier, welke regio? | De applicatie staat in de EU, en daar houdt het label op |
| Database | Gesprekken, bronnen, contactgegevens | Waar staan de database en haar kopieën? | Een kopie of een cache in een andere regio |
| Bestandsopslag | Documenten die je uploadt, bestanden van bezoekers | Welke regio, en ligt de opslag daar vast? | Opslag die op een wereldwijde locatie staat |
| Antwoordmodel | De vraag, de gevonden passages, het recente gesprek, je instructies | Welke aanbieder en regio, wat bewaart hij, traint hij erop? Bij een gateway: naar welke aanbieders mag hij verzoeken doorsturen? | De applicatie staat in de EU, en elke vraag gaat naar een model-API in een ander land |
| Zoekvectoren (embeddings) | Elke passage van je bronnen bij het toevoegen, elke vraag bij het stellen | Wie zet tekst om in vectoren, en waar? | Een tweede AI-leverancier die makkelijk van de lijst valt |
| Zoekindex | Je content, als vectoren en tekst | Waar staat de index? | Een aparte vectordatabase buiten de EU |
| Meldingen van leads, rapporten, gesprekken, antwoorden op tickets | Welke maildienst, en wat staat er in de mails? | Contactgegevens en hele gesprekken via een maildienst buiten de EU | |
| Logs en statistieken | Fouten, gebruik, soms de tekst van berichten | Welke tools, en staat er berichttekst in de logs? | Een foutentracker buiten de EU die het bericht van een bezoeker binnenkrijgt |
| Toegang door support | Alles wat medewerkers kunnen openen | Vanuit welke landen werken medewerkers en externen? | Ook toegang op afstand vanuit een derde land is een doorgifte, zegt het EDPB |
| Back-ups | Kopieën van de database en de bestanden | Waar staan ze, en hoelang na een verwijdering? | Verwijderde gesprekken die voor onbepaalde tijd in back-ups blijven |
De checklist: 14 vragen aan je chatbotleverancier
Stel ze schriftelijk en bewaar de antwoorden, met de datum. Een goed antwoord is concreet. Een alarmsignaal is een reden om door te vragen, geen bewijs van een overtreding.
| # | Vraag | Een goed antwoord | Een alarmsignaal |
|---|---|---|---|
| 1 | Waar draait elke laag, per leverancier en land? | De tabel hierboven, ingevuld, ook met de lagen buiten de EU | "Wij zijn EU-gehost", zonder lijst |
| 2 | Wie zijn je subverwerkers, wat doet elk, en waar? | Een lijst met doel en locatie, plus melding van wijzigingen en de kans om bezwaar te maken (art. 28 lid 2) | Een lijst pas na ondertekening, of een zonder locaties |
| 3 | Mag ik je verwerkersovereenkomst lezen voordat ik koop? | Ja, en ze dekt wat artikel 28 lid 3 opsomt, van instructies over doorgifte tot wissen en audits | "Dat staat in onze algemene voorwaarden" |
| 4 | Welk doorgifte-instrument geldt voor elke laag buiten de EU? | Per leverancier: een actieve DPF-certificering die ook dit product en deze gegevens dekt, of standaardcontractbepalingen met de module erbij | "Wij zijn AVG-proof", als volledig antwoord |
| 5 | Heb je bij standaardcontractbepalingen de beoordeling van bepaling 14 vastgelegd? | Ja, en je mag een samenvatting inzien | "Niet nodig" |
| 6 | Trainen jij of je modelleverancier modellen op mijn content of op de gesprekken van mijn bezoekers? | Nee, voor allebei, en het staat in het contract | Een opt-out in de instellingen, of stilte over de modelleverancier |
| 7 | Hoelang bewaart de modelleverancier wat hij ontvangt? | Een termijn op papier, of helemaal geen bewaring | "Daar hebben wij geen invloed op" |
| 8 | Kan ik de regio kiezen, en wat gaat er dan nog buiten de EU? | De stappen die buiten de EU blijven, wat je ook kiest | Een regiokeuze die alleen de opslag verplaatst |
| 9 | Hoe wis ik één gesprek, en wat gebeurt er als het contract afloopt? | Wissen per gesprek in het product, wissen of teruggeven bij het einde (art. 28 lid 3 onder g), een vermelde bewaartermijn voor back-ups | Wissen via een supportticket, en geen woord over back-ups |
| 10 | Hoe snel hoor ik van een datalek? | Zonder onredelijke vertraging (art. 33 lid 2), met een termijn in uren, want jij moet het lek mogelijk binnen 72 uur bij de toezichthouder melden (art. 33 lid 1) | Geen schriftelijke toezegging |
| 11 | Wat mag ik auditen? | Informatie en audits, waaronder inspecties (art. 28 lid 3 onder h), of rapporten die de vragen beantwoorden | "Geen audits" |
| 12 | Welke certificaten heb je, en wat dekken ze? | Het certificaat, de reikwijdte en de datum | Een certificaat in plaats van antwoorden op vraag 1 tot en met 11 |
| 13 | Vanuit welke landen hebben supportmedewerkers en ontwikkelaars toegang? | Landen bij naam, en toegang van buiten de EU gedekt door een doorgifte-instrument | "Een internationaal team", en verder niets |
| 14 | Zegt de chat elke keer dat de bezoeker met een AI praat? | Ingebouwd, uiterlijk bij de eerste interactie, niet afhankelijk van je eigen welkomsttekst (AI Act, art. 50 lid 1 en 5) | Het hangt af van wat je zelf schrijft |
Voor vraag 14 vind je voorbeeldteksten voor de AI-melding, en de AI Act-pagina legt uit wat artikel 50 vraagt.
Veelgemaakte fouten bij het controleren van een leverancier
- Alleen het bedrijf controleren, niet het product. Dat een Amerikaanse organisatie aan het DPF meedoet, betekent volgens de AP niet automatisch dat al haar producten eronder vallen: vraag het na voor het product dat jij gebruikt. Controleer ook of de certificering actief is. Bedrijven moeten zich elk jaar opnieuw certificeren, en de DPF-lijst vermeldt per bedrijf de uiterste datum daarvoor.
- Versleuteling zien als de oplossing voor de AI-laag. Ze beschermt gegevens onderweg en in opslag, niet terwijl een model ze leest (Aanbevelingen 01/2020, punt 95).
- Bezoekers om toestemming voor de doorgifte vragen. Uitdrukkelijke toestemming (artikel 49, lid 1, onder a) is een afwijking voor specifieke situaties, geen basis voor elk gesprek op je site.
- Toegang door support vergeten. Een medewerker buiten de EU die je gesprekken opent, maakt een doorgifte, ook als de database nooit verhuist (Aanbevelingen 01/2020, punt 13).
- Een certificaat laten spreken voor de leverancier. Een ISO/IEC 27001-certificaat gaat over een managementsysteem voor informatiebeveiliging. Een SOC 2-rapport is een onderzoek door een accountant naar de beheersmaatregelen van een dienstverlener. Vraag wat elk precies dekt. Zelfs een certificering onder de AVG zelf doet niets af aan de verantwoordelijkheid van verwerkingsverantwoordelijke en verwerker (artikel 42, lid 4).
- Training over het hoofd zien in de voorwaarden. Een verwerker werkt op jouw schriftelijke instructies (artikel 28, lid 3, onder a). Een verwerker die zelf gaat bepalen waarom en hoe je gegevens worden gebruikt, bijvoorbeeld om zijn eigen modellen te verbeteren met de gesprekken van je bezoekers, wordt voor die verwerking als verwerkingsverantwoordelijke beschouwd (artikel 28, lid 10).
Hoe ChatterLab de checklist beantwoordt
Wij zijn zelf ook een chatbotleverancier, dus hier staan onze eigen antwoorden, uit onze documentatie en voor Cortecs uit die van Cortecs zelf. ChatterLab is van SRI Group BV in Antwerpen. Voor de gesprekken van je bezoekers ben jij de verwerkingsverantwoordelijke en zijn wij je verwerker. Of jouw gebruik conform is, hangt ook van jou af: je privacyverklaring, en wat je je bezoekers vraagt.
| Wat | Wie | Waar |
|---|---|---|
| De applicatie | Vercel | Frankfurt, Duitsland |
| De database: agents, bronnen, gesprekken | Neon (Postgres) | EU |
| Geüploade bestanden, bestanden van bezoekers en logo's | Cloudflare R2 | EU-jurisdictie |
| Antwoorden schrijven, en de controle op onderbouwing | Cortecs, een Europese modelgateway | Standaard binnen Europa, volgens Cortecs (zie hieronder) |
| Tekst omzetten in zoekvectoren | OpenAI | Verenigde Staten |
| Rapportmails, meldingen van leads en tickets, mail van tickets, uitnodigingen | Resend | Verenigde Staten, verstuurd vanaf servers in de EU (Ierland) |
| Inloggen op het dashboard | Clerk | Betreft jou en je collega's, niet je bezoekers |
| Betalingen | Stripe | Betreft jou, niet je bezoekers |
De rest van de checklist, per nummer:
- Subverwerkers (2). De tabel is de lijst, en die staat openbaar in Gegevens en privacy. Hoe wijzigingen in die lijst worden aangekondigd, staat er niet in.
- Verwerkersovereenkomst (3). We sturen onze verwerkersovereenkomst op aanvraag: mail naar management@sri-group.eu. In het product zelf zit er geen om te ondertekenen.
- Doorgifte-instrumenten (4). Resend verwerkt mail in de Verenigde Staten onder het EU-US Data Privacy Framework en de standaardcontractbepalingen. Voor OpenAI zegt onze documentatie dat het werkt onder de voorwaarden voor gegevensverwerking van OpenAI, zonder het doorgifte-instrument te noemen.
- Training (6). Wij trainen geen modellen op je content of je gesprekken, en OpenAI gebruikt deze gegevens niet om zijn modellen te trainen. Cortecs schrijft in zijn eigen documentatie dat gegevens standaard niet worden gebruikt om AI te trainen. Een agent trainen verandert hier geen enkel model: de agent zoekt in je bronnen en antwoordt daaruit (hoe dat werkt).
- Regio (8). Elk abonnement bewaart de gegevens in de EU, en Enterprise kan in een eigen EU-regio met een SLA draaien. In de standaardopzet lopen twee stappen in de Verenigde Staten: de tekst van je bronnen en van elke vraag gaat naar OpenAI, dat er zoekvectoren van maakt, en onze e-mail loopt via Resend. De antwoorden schrijven we via Cortecs, dat zegt dat alle verzoeken standaard binnen Europa blijven. Zijn instelling Sovereign Cloud, die alleen aanbieders toelaat die in de EU gevestigd en gereguleerd zijn, zet onze code aan voor het lezen van scans van bezoekers, niet voor antwoorden. Zonder die instelling kunnen gegevens volgens Cortecs worden verwerkt door entiteiten van bedrijven van buiten de EU.
- Wissen (9). Je verwijdert een gesprek met Verwijderen in Activiteit, of via de API, en wie een agent verwijdert, verwijdert ook de gesprekken en alle geüploade bestanden ervan. Gesprekken worden niet automatisch verwijderd. Zoals alles wat we wissen, blijft het nog een tijd in de back-ups die onze databaseleverancier bewaart om te kunnen herstellen. Wat er bij het einde van het contract gebeurt, beschrijft de documentatie niet.
- Certificaten (12). We claimen er geen. Beveiliging beschrijft in plaats daarvan de maatregelen, en wat ze niet kunnen beloven.
- De AI-melding (14). Ingebouwd in de widget, in de taal van de widget, op elk abonnement, zonder instelling die haar weghaalt. Antwoorden zijn in de code van de pagina gemarkeerd als door AI gemaakt, en de agent doet zich nooit voor als mens.
- Niet in onze openbare documentatie (5, 7, 10, 11, 13). De doorgiftebeoordelingen, hoelang Cortecs en OpenAI bewaren wat ze ontvangen, onze termijn om een datalek te melden, auditrechten, en vanwaar medewerkers bij gegevens kunnen. Vraag ze schriftelijk op, samen met de verwerkersovereenkomst en het doorgifte-instrument voor OpenAI, en houd ons aan de antwoorden.
Wat we niet zeggen, is dat er geen gegevens buiten de EU gaan, want dat klopt niet. We noemen de twee stappen in de VS bij naam, en daar heb jij ook iets aan: je privacyverklaring moet bezoekers vertellen dat hun gegevens naar een derde land gaan en op welke grond (artikel 13, lid 1, onder f), en die zin kun je alleen schrijven als je leverancier je de feiten geeft. Hoe je dat formuleert, lees je in een privacyverklaring voor je chatbot, en onze AVG-pagina geeft de korte versie.
Leg je beoordeling vast op één pagina
Door de verantwoordingsplicht moet je kunnen laten zien hoe je hebt beslist (artikel 5, lid 2), en bepaling 14 van de standaardcontractbepalingen wil de beoordeling op papier. Voor de meeste websitechatbots volstaat één pagina per leverancier. Vul ze in vanuit de schriftelijke antwoorden van de leverancier, zet er de datum bij, en bekijk ze opnieuw als de lijst met subverwerkers verandert of als het Hof van Justitie over het DPF beslist. Het sjabloon is een voorbeeld: pas het aan je eigen situatie aan, en laat het nakijken door je adviseur als er veel van afhangt.
CHATBOTLEVERANCIER: OVERZICHT VAN DOORGIFTEN
Leverancier en product:
Onze rol: verwerkingsverantwoordelijke (of verwerker, voor een klant)
Rol leverancier: verwerker
Gecontroleerd op: ... Volgende controle: ...
Gelezen documenten: verwerkersovereenkomst (versie, datum), lijst subverwerkers (datum),
privacyverklaring (datum)
Laag Leverancier Land Persoonsgegevens erin Doorgifte-instrument
Applicatie
Database
Bestandsopslag
Antwoordmodel
Zoekvectoren
Zoekindex
E-mail
Logs, statistieken
Toegang support
Back-ups
Per laag buiten de EU:
DPF: op de lijst, actief, dekt dit product en deze gegevens? ja / nee, gecontroleerd op ...
Standaardcontractbepalingen: welke module? Beoordeling bepaling 14 gezien? ...
Training op onze gegevens, door leverancier of modelleverancier: nee / ja, waar vermeld
Modelleverancier bewaart invoer: ...
Wissen per gesprek, bij einde contract, in back-ups: ...
Melding datalek aan ons binnen: ... uur
Vragen gesteld op: ... Beantwoord op: ...
Besluit en reden:
Verwerkt in: register van verwerkingsactiviteiten (art. 30), privacyverklaring (art. 13 lid 1 onder f)
Vragen over EU-hosting en chatbots
Is hosting in de EU genoeg om aan de AVG te voldoen?
Nee. Waar de gegevens staan, regelt alleen de vraag over doorgifte. Je hebt nog altijd een rechtsgrond voor de chat nodig, een verwerkersovereenkomst volgens artikel 28, een privacyverklaring die de chat en de ontvangers noemt, redelijke bewaartermijnen, beveiliging en een manier om verzoeken om inzage en verwijdering te beantwoorden. En "gehost in de EU" kan alleen over de applicatie gaan, terwijl het model, de zoekvectoren of de e-mail elders draaien.
Mag ik een chatbot gebruiken die in de Verenigde Staten draait?
Ja, als elke doorgifte op een instrument uit hoofdstuk V van de AVG steunt. Voor een bedrijf op de DPF-lijst, met een actieve certificering die je gegevens en het product dekt, volstaat het adequaatheidsbesluit van de Commissie. Anders heb je standaardcontractbepalingen of bindende bedrijfsvoorschriften nodig, een beoordeling van het recht in het land van bestemming en, waar die gaten toont, aanvullende maatregelen. In beide gevallen heb je ook een verwerkersovereenkomst nodig.
Wat is het EU-US Data Privacy Framework, en kan ik erop bouwen?
Het is het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 voor Amerikaanse bedrijven die zich bij het Amerikaanse ministerie van Handel certificeren. Het Gerecht van de EU hield het op 3 september 2025 overeind, en de hogere voorziening bij het Hof van Justitie (C-703/25 P) was op 25 oktober 2026 nog aanhangig. Zolang het van kracht is, kan een doorgifte aan een bedrijf op de lijst erop steunen. Twee eerdere kaders sneuvelden, dus noteer welke leveranciers ervan afhangen en waarnaar je zou overstappen.
Maakt het uit waar het AI-model draait?
Ja. Om te antwoorden leest het model de vraag van de bezoeker, de gevonden passages en het recente gesprek in leesbare tekst, dus het land waar het draait, is een doorgiftevraag op zich. Versleuteling onderweg en in opslag verandert daar niets aan, want de aanbieder moet de tekst lezen om te kunnen antwoorden. Vraag bij naam naar de modelleverancier, zijn regio en hoelang hij bewaart wat hij ontvangt, en bij een gateway naar welke aanbieders die mag doorsturen.
Wat is een subverwerker?
Een verwerker die jouw verwerker inschakelt voor een deel van het werk. Bij een chatbot zijn dat doorgaans het hostingbedrijf, de database, de modelleverancier, de leverancier van de embeddings en de maildienst. Volgens artikel 28 heeft je leverancier daarvoor jouw schriftelijke toestemming nodig, moet hij hun dezelfde verplichtingen opleggen, en blijft hij tegenover jou volledig aansprakelijk voor wat zij doen.
Mag ik een verwerkersovereenkomst opvragen voordat ik koop?
Ja, en dat is verstandig. Artikel 28 eist een schriftelijke overeenkomst met elke verwerker, en alleen door die te lezen kun je doorgiften, subverwerkers en het wissen van gegevens beoordelen. Een leverancier die zijn overeenkomst pas na betaling laat zien, geeft je vooraf niets om te beoordelen. ChatterLab stuurt zijn verwerkersovereenkomst op aanvraag: mail naar management@sri-group.eu.
Bronnen
- Verordening (EU) 2016/679 (algemene verordening gegevensbescherming), Publicatieblad van de Europese Unie, gelezen op 25 oktober 2026.
- Uitvoeringsbesluit (EU) 2023/1795 van de Commissie inzake het passende niveau van bescherming van persoonsgegevens krachtens het EU-VS-kader voor gegevensbescherming, Europese Commissie, gelezen op 25 oktober 2026.
- Uitvoeringsbesluit (EU) 2021/914 van de Commissie betreffende standaardcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen, Europese Commissie, gelezen op 25 oktober 2026.
- Arrest van het Hof (Grote kamer) van 16 juli 2020, Data Protection Commissioner tegen Facebook Ireland Ltd en Maximillian Schrems, zaak C-311/18, Hof van Justitie van de Europese Unie, gelezen op 25 oktober 2026.
- Perscommuniqué nr. 91/20: Het Hof verklaart besluit 2016/1250 betreffende de gepastheid van de door het EU-VS-privacyschild geboden bescherming ongeldig, Hof van Justitie van de Europese Unie, gelezen op 25 oktober 2026.
- Press release No 106/25, Data Protection: the General Court dismisses an action for annulment of the new framework for the transfer of personal data between the European Union and the United States, Gerecht van de Europese Unie (in het Engels), gelezen op 25 oktober 2026.
- Hogere voorziening ingesteld op 31 oktober 2025 door Philippe Latombe tegen het arrest van het Gerecht van 3 september 2025 in zaak T-553/23, Latombe / Commissie (zaak C-703/25 P), Publicatieblad van de Europese Unie, gelezen op 25 oktober 2026.
- CURIA - Lijst van de resultaten: C-703/25 P, Latombe/Commissie, Hof van Justitie van de Europese Unie, gelezen op 25 oktober 2026.
- Verslag van de Commissie over de eerste periodieke evaluatie van de werking van het adequaatheidsbesluit inzake het kader voor gegevensbescherming EU-VS, COM(2024) 451, Europese Commissie, gelezen op 25 oktober 2026.
- Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, version 2.0, Europees Comité voor gegevensbescherming (EDPB), gelezen op 25 oktober 2026.
- Doorgifte persoonsgegevens naar de VS, Autoriteit Persoonsgegevens, gelezen op 25 oktober 2026.
- Doorgifte binnen en buiten de EER, Autoriteit Persoonsgegevens, gelezen op 25 oktober 2026.
- AP legt Uber boete op van 290 miljoen euro om doorgifte data chauffeurs naar VS, Autoriteit Persoonsgegevens, gelezen op 25 oktober 2026.
- Internationaal gegevensverkeer, Gegevensbeschermingsautoriteit, gelezen op 25 oktober 2026.
- Doorgifte buiten de EU zonder passende bescherming, Gegevensbeschermingsautoriteit, gelezen op 25 oktober 2026.
- Verordening (EU) 2024/1689 (verordening artificiële intelligentie), Publicatieblad van de Europese Unie, gelezen op 25 oktober 2026.
- Data Governance & Controls, Cortecs, gelezen op 25 oktober 2026.
- Sovereign Cloud, Cortecs, gelezen op 25 oktober 2026.
- ISO/IEC 27001:2022 - Information security management systems, ISO, gelezen op 25 oktober 2026.
- System and Organization Controls: SOC Suite of Services, AICPA & CIMA, gelezen op 25 oktober 2026.
Zo is dit gemaakt: opgesteld met AI en daarna gecontroleerd tegen hoe ChatterLab echt werkt en tegen de bronnen die in het artikel staan. Een fout gezien? Mail naar management@sri-group.eu.