VS-tools op het werk: de doorgifte naar derde landen, verstandig getoetst in drie stappen
Bijna elk mkb-bedrijf gebruikt Amerikaanse diensten — office, cloud, nieuwsbrief, AI. Telkens wanneer daarbij persoonsgegevens de EU verlaten, eist de AVG een extra grondslag voor de doorgifte. Het klinkt als werk voor grote kantoren, maar voor de gangbare diensten is het in drie stappen te toetsen — als u weet waar u op moet letten.
Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op
Waarom de regel bestaat
Binnen de EU en de EER geldt overal hetzelfde beschermingsniveau — gegevens mogen vrij stromen. Daarbuiten („derde landen”) is dat niet vanzelfsprekend: autoriteiten kunnen toegang hebben, of rechten van betrokkenen lopen leeg. Daarom eisen art. 44 e.v. AVG voor elke doorgifte naar een derde land een eigen grondslag — naast de verwerkersovereenkomst, die de opdrachtrelatie zelf regelt.
De drie stappen voor de praktijk
| Stap | Vraag | Waar u het vindt |
|---|---|---|
| 1 | Verlaten gegevens de EU/EER überhaupt? Meerdere VS-aanbieders bieden EU-dataregio's — dan is er vaak helemaal geen doorgifte. | Privacyverklaring van de aanbieder, de instelling „dataregio” |
| 2 | Is de aanbieder gecertificeerd onder het EU-VS Data Privacy Framework? Dan draagt het adequaatheidsbesluit de doorgifte. | De openbare DPF-lijst van het Amerikaanse handelsministerie; de grote aanbieders (Microsoft, Google, OpenAI e.a.) staan erop |
| 3 | Zo niet: zijn er modelcontractbepalingen (SCC's)? Vrijwel elke serieuze aanbieder bouwt ze in zijn Data Processing Agreement in. | De verwerkersovereenkomst van de aanbieder, meestal als bijlage |
Het resultaat van de drie stappen hoort per tool op schrift — daarvoor bestaat de kolom „derde land: ja/nee/niet getoetst” in het toolregister. „Niet getoetst” is een eerlijke tussenstand, geen blijvende toestand.
Een eerlijke noot over de houdbaarheid
Het EU-VS-adequaatheidsbesluit heeft een geschiedenis: beide voorgangers (Safe Harbor, Privacy Shield) sneuvelden bij het Hof van Justitie, en ook tegen het Data Privacy Framework lopen procedures. Voor vandaag is het een werkbare grondslag — maar één reden te meer om per tool te noteren waarop elke doorgifte steunt: valt een grondslag weg, dan weet u meteen welke tools geraakt zijn in plaats van bij nul te beginnen.
De twee alledaagse fouten
Ten eerste de denkfout „verwerkersovereenkomst aanwezig = alles geregeld”: die regelt de opdrachtrelatie, niet de grensoverschrijding — beide horen getoetst. Ten tweede het gratis account: privéversies van veel VS-diensten bieden noch een verwerkersovereenkomst noch betrouwbare doorgiftetoezeggingen; beide horen bij de zakelijke variant. De regel „bedrijfsgegevens alleen in vrijgegeven tools” lost het derde-landenprobleem dus meteen mee op.
Het startpunt
In het KlarComply-abonnement (vanaf € 49/maand) draagt uw toolregister de derde-landen-notitie per tool — samen met persoonsgegevens- en contractstatus de basis voor register, vragenlijst en audit. De gratis check van 2 minuten toont waar u staat.
Veelgestelde vragen
Mag ik VS-tools zoals Microsoft 365 of OpenAI AVG-conform gebruiken?
In de regel ja — met de zakelijke variant inclusief verwerkersovereenkomst en een doorgiftegrondslag: veel grote VS-aanbieders zijn gecertificeerd onder het EU-VS Data Privacy Framework, andere bouwen modelcontractbepalingen in hun Data Processing Agreement in. Per tool toetsen en vastleggen.
Volstaat de verwerkersovereenkomst voor het gebruik van een VS-dienst?
Nee. De verwerkersovereenkomst (art. 28) regelt de verwerking in opdracht; de doorgifte naar een derde land vraagt daarnaast een grondslag volgens art. 44 e.v. — een adequaatheidsbesluit (zoals het Data Privacy Framework) of modelcontractbepalingen.
Waar staat uw bedrijf?
De gratis quick-check loopt tien punten langs — AI-register, trainingsstand, transparantieplichten, verantwoordelijkheden. In twee minuten, zonder aanmelding, met een eerlijk resultaat en uw concrete hiaten.
Quick-check starten — gratisArtikel 44 AVG — algemeen doorgiftebeginsel
Artikel 46 AVG — passende waarborgen (o.a. modelcontractbepalingen)
Europese Commissie — adequaatheidsbesluit EU-VS Data Privacy Framework