Soevereiniteit
Google Workspace kan worden gebruikt binnen het kader van de AVG (Algemene verordening gegevensbescherming). Net als bij Microsoft 365 wordt de naleving gecontroleerd in het contract, de werkelijk gedekte regio en het vermogen om betrokkenen te antwoorden. De softwareleverancier is een Amerikaanse vennootschap. Die zin opent de controle. Hij sluit haar niet af.
Voor de inhoud die uw organisatie in Gmail, Drive, Docs en Agenda plaatst, bent u doorgaans verwerkingsverantwoordelijke en is Google verwerker. Google beschrijft daarnaast verwerkingen waarvoor het zelf verantwoordelijk is, in verband met het account, de beveiliging en de werking van de dienst. Het Google Workspace Data Processing Amendment en de bijlagen over doorgiften zijn de documenten die u bij het register archiveert.
Waarom. De rol bepaalt wie de betrokkenen informeert, wie hun antwoordt en wie de bewaartermijnen kiest. Voor de inhoud bent u dat; Google handelt op uw instructies, binnen het kader van artikel 28 van de AVG.
Hoe u dit controleert. Controleer of het amendement de geactiveerde diensten dekt, inclusief die welke na de oorspronkelijke bestelling zijn toegevoegd. Een communicatiebureau met 30 medewerkers dat met Gmail en Drive begon en daarna Chat, Sites en formulieren openstelde, heeft vaak alleen de eerste twee gedocumenteerd.
In het register. Eén regel per dienst, met de rol van Google, de activeringsdatum en de gearchiveerde versie van het amendement.
Veelgemaakte fout. Het contract dat bij de opening van het account is ondertekend archiveren en het daarna nooit meer herlezen.
Afhankelijk van de editie kan een beheerder ervoor kiezen gedekte gegevens in de Verenigde Staten of in Europa op te slaan, en een deel van de verwerking tot die regio te beperken. Google publiceert de lijst: gedekte inhoud in rust voor Gmail, Agenda, Drive, Chat, Docs, Sheets, Slides en andere kerndiensten, gedekte verwerking voor een deel daarvan. De documentatie preciseert dat het regiobeleid niet van toepassing is op gegevens die er niet in worden vermeld, met name bepaalde logboeken of inhoud in de cache.
Praktische gevolgen.
Waarom. “Regio Europa” beschrijft een opgesomd gebied, niet de dienst als geheel. Wat niet is opgesomd, is waarvoor uw register moet instaan.
Hoe u dit controleert. Vraag uw beheerder om een schermafbeelding van de werkelijke instelling, niet om de commerciële brochure. Leg die naast de editie die voor elke gebruikersgroep is afgenomen. Een industrieel mkb-bedrijf met twee vestigingen, waarvan er één met een eenvoudigere editie is uitgerust, kan een regioregel hebben die maar voor de helft van de accounts geldt.
In het register. De editie, de gekozen regio, de gedekte organisatie-eenheden, de uitgesloten categorieën (logboeken, cache), de datum van de controle.
Veelgemaakte fout. “Gegevens opgeslagen in Europa” schrijven zonder de door Google gepubliceerde uitsluitingen te vermelden.
Access Management maakt het mogelijk het Google-personeel te beperken dat handelt op bepaalde supportgegevens: bijvoorbeeld personeel dat zich in de EU bevindt, of dat via een virtueel kantoor in de EU werkt. Deze functie is gekoppeld aan edities en aan de optie Assured Controls. Ze is niet de standaardinstelling van alle Business-aanbiedingen.
Waarom. Een technicus die gegevens raadpleegt om een incident op te lossen, verwerkt die gegevens. De opslaglocatie zegt niets over de locatie van die toegang.
Hoe u dit controleert. Als uw nalevingsdossier uitgaat van “support uitsluitend vanuit de Unie”, controleer dan of de optie is aangeschaft en actief is, en bewaar daarvan het bewijs.
Versleuteling aan de clientzijde, wanneer die voor uw editie beschikbaar is, laat u de controle over de sleutels voor een deel van de inhoud. Ze verandert wat Google kan lezen. Ze verandert ook het zoeken, de misbruikbestrijding en bepaalde samenwerkingsfuncties. Ze wordt getest voordat ze aan de afdelingen wordt aangekondigd: een pilot met één team, met de lijst van wat niet meer werkt, is beter dan een algemene nota.
In het register. De actieve opties, hun reikwijdte en wat toegankelijk blijft voor de support.
Veelgemaakte fout. Aannemen dat de optie in de verlenging is opgenomen omdat ze tijdens de presales ter sprake is gekomen.
Google is een Amerikaanse vennootschap. Zodra een toegang of een kopie de Unie verlaat, moet de doorgifte een grondslag hebben. Op 5 oktober 2026 blijft adequaatheidsbesluit (EU) 2023/1795 van kracht voor gecertificeerde Amerikaanse organisaties, ook al wordt het betwist. Volgens een commentaar van het advocatenkantoor WilmerHale heeft het Gerecht van de Europese Unie op 3 september 2025 een beroep tot nietigverklaring verworpen, en is op 31 oktober 2025 hogere voorziening ingesteld bij het Hof van Justitie. Het kantoor DAC Beachcroft spreekt in de titel van zijn commentaar van voorlopig stabiliteit en daarna onzekerheid.
De modelcontractbepalingen blijven het andere gangbare instrument. Het precedent uit 2020 laat zien waarom u ze moet kennen: op 16 juli 2020 heeft het Hof van Justitie in het arrest C-311/18 (bekend als Schrems II) het Privacy Shield (besluit 2016/1250) ongeldig verklaard, met name vanwege de reikwijdte van de Amerikaanse surveillanceprogramma’s en het ontbreken van een effectief rechtsmiddel. De modelcontractbepalingen zijn geldig gebleven, met een beoordeling per geval.
De details over de CLOUD Act staan op de pagina een onderneming beschermen tegen de CLOUD Act: een Europese regio haalt Google niet uit het Amerikaanse recht als Google de gegevens in bezit of onder controle heeft. Artikel 48 van de AVG bepaalt van zijn kant dat een uitspraak van een gerecht of een besluit van een autoriteit van een derde land waarin de verstrekking van persoonsgegevens wordt geëist, alleen kan worden erkend of ten uitvoer gelegd als zij gebaseerd is op een internationale overeenkomst, bijvoorbeeld een verdrag inzake wederzijdse rechtshulp, die tussen dat land en de Unie of de lidstaat van kracht is. Een Amerikaanse leverancier die in Europa actief is, kan zich zo tussen twee regels bevinden. Artikel 48 beschrijft dit conflict; het lost het niet op.
In het register. Het instrument dat uw contract gebruikt, en het terugvalplan als het adequaatheidsbesluit zou wegvallen.
Veelgemaakte fout. Denken dat de dataregio (punt 2) de vraag van de doorgifte beantwoordt. Ze zegt waar bepaalde gegevens worden opgeslagen, niet wie er toegang toe heeft en onder welk recht.
Export via de tool voor het downloaden van gegevens (Takeout) en de beheertools, zoeken in Vault als u daarover beschikt, antwoordtermijn van één maand ten laste van de verwerkingsverantwoordelijke.
Hoe u dit controleert. Wijs de interne persoon aan die een Gmail-mailbox, een Drive en een Agenda kan exporteren, en laat hem een test uitvoeren op een testaccount. Controleer de groepsmailboxen en de bestanden waarvan de eigenaar de onderneming heeft verlaten: dat zijn de verzoeken die vertraging oplopen.
In het register. De procedure, de verantwoordelijke persoon, diens vervanger en de gebruikte tool afhankelijk van de editie.
Veelgemaakte fout. Het account van een vertrokken medewerker verwijderen zonder te hebben geregeld wat er met zijn gedeelde bestanden gebeurt, en vervolgens een verzoek ontvangen dat daarop betrekking heeft.
De berichten en bestanden gaan relatief goed mee (IMAP, Drive-export). De Google Chat-geschiedenis, Sites, Apps Script, formulieren die aan automatiseringen zijn gekoppeld en de beheerregels laten zich niet ongewijzigd naar een ander pakket overzetten. De pagina migreren van Google Workspace somt deze verschillen op.
Waarom. Het overstappen maakt deel uit van de naleving: het bepaalt de overdraagbaarheid, het einde van de bewaartermijnen en het terughalen van uw gegevens als het contract afloopt.
In het register. De inventaris van de inhoud die zich niet ongewijzigd laat exporteren, en wat u ermee zou doen.
Veelgemaakte fout. Kritieke automatiseringen ontdekken in de maand van de opzegging.
Nee. Ze regelt de rollen, de doorgiften en de rechten van betrokkenen. Ze verbiedt geen softwareleverancier op grond van zijn nationaliteit; ze vraagt u te beschrijven wat u doet en op welke grondslag.
Nee. De regio dekt de gegevens die Google opsomt, afhankelijk van uw editie. Bepaalde logboeken en inhoud in de cache vallen er niet onder, en de regio verandert de nationaliteit van de softwareleverancier niet.
Ze verandert wat Google kan lezen binnen het versleutelde gebied. Ze dekt niet alles, en ze verandert het zoeken en bepaalde samenwerkingsfuncties. Test haar voordat u haar breed invoert.
Het register moet al in de terugval voorzien, doorgaans de modelcontractbepalingen met een beoordeling per geval. Door die beoordeling vooraf voor te bereiden, hoeft u haar niet in allerijl op te stellen.
Wanneer de teams in Docs en Drive leven, de dataregio van uw editie de inhoud dekt die voor u belangrijk is, en het register instaat voor de logboeken en de resterende toegang. De AVG verplicht u niet Google te verlaten. Ze verplicht u te beschrijven wat u doet.
De redenen om te blijven zijn in dat geval solide. Gelijktijdig bewerken in Docs en Sheets, zoeken in de hele Drive en de gewoonten van de teams hebben een waarde die u moet meten voordat u vertrekt. Een slecht voorbereide migratie creëert eigen risico’s voor de gegevens. De editie afnemen die de regio’s en de supportcontroles omvat, kan evenrediger zijn dan van pakket wisselen. De afwegingen worden uitgewerkt in Google Workspace behouden of verlaten.
Wanneer u wilt dat een Europese of Zwitserse vennootschap de bestanden en e-mails in bezit heeft, of wanneer de afgenomen editie niet de regio- en supportcontroles omvat die uw analyse vereist. Als het verschil tussen de huidige editie en die welke de behoefte zou dekken even zwaar weegt als een overstap, verdient de vraag het om gesteld te worden.
Door van beheerder te veranderen, valt de houder van de gegevens onder het recht van zijn eigen land, op voorwaarde dat zijn verwerkers niet opnieuw een Amerikaanse leverancier binnenbrengen. Dat ontslaat u niet van de verwerkersovereenkomst, het register of de procedure voor de rechten. Infomaniak, een Nextcloud beheerd door een Europese hostingprovider, OVHcloud of Klytic beantwoorden aan verschillende behoeften. De gids Europese alternatieven voor Microsoft 365 en de pagina alternatieven voor Google Workspace zetten ze uiteen. Dezelfde controles aan de kant van Microsoft staan in AVG en Microsoft 365.
Klytic wordt beheerd door Dedicace Software, een Franse vennootschap. Het dekt e-mail, documenten in een eigen Nextcloud-instantie per klant (delen, online bewerken alleen of met meerderen, versiegeschiedenis), videoconferenties, een CRM en telefonie, die afzonderlijk kunnen worden afgenomen. Nextcloud wordt uitgegeven door Nextcloud GmbH (Duitsland); de e-maildienst berust op Zimbra, uitgegeven door Synacor (Verenigde Staten) en beheerd door Klytic. Hosting vindt plaats in elke geografische zone die overeenkomt met het toepasselijke rechtsgebied, onder voorbehoud van de beschikbaarheid van de vereiste diensten, bijvoorbeeld in Europa of op Mauritius, of op de servers van de klant. De gegevens zijn in bezit van de klant, of van Klytic namens hem, en worden standaard of volgens de keuze van de klant versleuteld; de sleutel is in bezit van de klant of wordt bewaard in zijn account, en Klytic heeft er geen toegang toe. De stappen waarin de versleuteling door Klytic wordt beheerd, staan beschreven op de pagina een onderneming beschermen tegen de CLOUD Act. Het contract moet dit bezit en deze versleuteling beschrijven. Het online bewerken, alleen of met meerderen, gebeurt in de instantie; het is niet de editor van Google, en Klytic biedt geen identieke kopie van de zoekfunctie van Google over het volledige gegevensbestand. Het is niet SecNumCloud-gekwalificeerd.
Deze pagina beschrijft een algemeen kader. Ze vormt geen juridisch advies.
Juridische stand van zaken op 5 oktober 2026. Deze tekst vervangt geen analyse van een contract. Het adequaatheidsbesluit EU–VS (EU) 2023/1795 is van kracht. Het wordt aangevochten. Voor SecNumCloud is de catalogus van het ANSSI bepalend.
Geraadpleegd in oktober 2026.
E-mail, documenten, videoconferentie, CRM en telefonie, gehost in de zone die bij uw rechtsgebied past, bijvoorbeeld in Europa of op Mauritius, of bij u op locatie.
Welkomstaanbod
Proefaanbod zonder verplichtingen. Een adviseur belt u terug om uw behoeften te begrijpen en uw Klytic-omgeving voor te bereiden.
