Wat de AVG vraagt
Hoofdstuk V van de AVG (artikel 44 tot en met 49) staat doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte alleen toe als er een grondslag voor is. De drie die in de praktijk tellen:
- Een adequaatheidsbesluit van de Europese Commissie (artikel 45): het land biedt een beschermingsniveau dat in wezen gelijkwaardig is.
- Passende waarborgen (artikel 46), meestal de standaardcontractbepalingen van de Commissie uit 2021 (Uitvoeringsbesluit (EU) 2021/914).
- Uitzonderingen (artikel 49), zoals uitdrukkelijke toestemming. Die zijn bedoeld voor incidentele gevallen, niet voor een structurele clouddienst.
Daarnaast vraagt artikel 28 lid 3 onder a dat de verwerker alleen op uw schriftelijke instructie doorgeeft. Doorgifte is dus altijd iets wat in de verwerkersovereenkomst geregeld moet zijn.
Het Data Privacy Framework: stand in 2026
Op 16 juli 2020 verklaarde het Hof van Justitie in de zaak Schrems II (C-311/18) het Privacy Shield ongeldig. Op 10 juli 2023 nam de Commissie een nieuw adequaatheidsbesluit voor de Verenigde Staten aan: het EU-VS Data Privacy Framework. Dat geldt alleen voor Amerikaanse organisaties die zich bij het framework hebben aangesloten; dat is na te gaan op de openbare lijst van het Amerikaanse ministerie van Handel.
Op 3 september 2025 wees het Gerecht van de EU het beroep van de Franse parlementariër Latombe tegen het framework af (T-553/23). Latombe stelde op 31 oktober 2025 hoger beroep in bij het Hof van Justitie (C-703/25 P). Dat hoger beroep loopt nog. Het framework is dus geldig, maar niet onaantastbaar.
Praktisch: spreek af wat er gebeurt als het framework vervalt. Bijvoorbeeld dat de standaardcontractbepalingen dan direct als terugvaloptie gelden, of dat u de overeenkomst kosteloos kunt beëindigen.
"Hosting in Europa" is niet genoeg
Twee situaties worden vaak over het hoofd gezien:
- Toegang op afstand. Als een beheerder of supportmedewerker buiten de EER de gegevens kan inzien, is dat volgens de Europese toezichthouders ook doorgifte, ook als de server in Amsterdam staat.
- Een moederbedrijf buiten de EER. Een Europese dochter van een Amerikaanse leverancier kan onder Amerikaanse wetgeving verplicht worden gegevens te verstrekken, zoals de CLOUD Act uit 2018. Dat is geen doorgifte zolang het niet gebeurt, maar wel een risico om in uw DPIA te wegen.
Vijf vragen voor uw leverancier
- In welke landen worden de gegevens opgeslagen, en vanuit welke landen is toegang mogelijk, ook voor support en beheer?
- Welke subverwerkers zitten buiten de EER, en op welk instrument steunt elke doorgifte?
- Is de Amerikaanse partij aangesloten bij het Data Privacy Framework, en voor welke gegevens?
- Is er een doorgiftetoetsing (transfer impact assessment) gedaan bij gebruik van standaardcontractbepalingen?
- Wat doet u bij een verzoek van een buitenlandse overheid: informeert u ons, en verzet u zich?
Wat er in de verwerkersovereenkomst hoort
- Een verbod op doorgifte buiten de EER, tenzij met uw voorafgaande schriftelijke instemming.
- Per subverwerker: land van verwerking en toegang, en het doorgifte-instrument.
- De plicht om u te informeren bij een verzoek van een buitenlandse overheid, voor zover dat mag.
- Een terugvaloptie als een adequaatheidsbesluit vervalt.
De AP noemde doorgifte in de aanbevelingen van november 2025 uitdrukkelijk als onderdeel van grip op de keten. Ook wie een standaardmodel gebruikt, moet dit per leverancier invullen: een model kan niet weten waar uw leverancier zijn support heeft zitten.
Wat Datavoogd hiermee doet
Datavoogd heeft een aparte toetsregel voor doorgifte buiten de EER. Datavoogd signaleert of de overeenkomst doorgifte regelt, of er per subverwerker een land en een instrument staat, en of een algemeen verbod samengaat met een subverwerker buiten de EER. Datavoogd zelf is gehost in Amsterdam; de verwerking van echte documenten door het taalmodel wordt ingericht binnen de EU. Zie inkoop en beveiliging.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 28 lid 3 onder a en artikel 44 tot en met 49.
- Hof van Justitie EU, 16 juli 2020, C-311/18 (Data Protection Commissioner / Facebook Ireland en Schrems).
- Uitvoeringsbesluit (EU) 2023/1795 van de Commissie van 10 juli 2023 (EU-VS Data Privacy Framework).
- Gerecht EU, 3 september 2025, T-553/23 (Latombe / Commissie); hoger beroep aanhangig als C-703/25 P.
- Uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021 (standaardcontractbepalingen).
- EDPB, Richtsnoeren 05/2021 over de wisselwerking tussen artikel 3 en hoofdstuk V van de AVG.
- Autoriteit Persoonsgegevens, aanbevelingen voor de verwerkersovereenkomst, november 2025.
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.