Een Amerikaanse formulierprovider gebruiken onder de GDPR

De GDPR regelt in artikelen 44 tot en met 49 de doorgifte van persoonsgegevens naar landen buiten de EU en de EER. Een doorgifte heeft een van drie dingen nodig: een adequaatheidsbesluit voor het land van bestemming (artikel 45), passende waarborgen zoals standaardcontractbepalingen (artikel 46), of, voor incidentele gevallen, een van de uitzonderingen in artikel 49.

Voor een formulier is de provider die inzendingen ontvangt en opslaat de voor de hand liggende plek om te kijken, maar niet de enige. De meldingsmail kan in een postvak in het buitenland terechtkomen, en een webhook of automatiseringstool kan dezelfde gegevens doorsturen. Elk daarvan is een aparte vraag.

Op 16 juli 2020 besliste het Hof van Justitie in de zaak Data Protection Commissioner tegen Facebook Ireland en Schrems (C-311/18). Het Hof vernietigde het EU-VS Privacy Shield, omdat de Amerikaanse surveillancewetgeving en de rechtsmiddelen voor Europeanen niet aan de EU-norm voldeden.

Het Hof hield standaardcontractbepalingen geldig, met een voorwaarde: de exporteur moet per geval nagaan of het recht van het land van bestemming de importeur toestaat zijn verplichtingen na te komen, en aanvullende maatregelen nemen als dat niet zo is. Het Europees Comité voor gegevensbescherming (EDPB) heeft beschreven hoe dat moet in de Aanbevelingen 01/2020 over aanvullende maatregelen, in definitieve vorm aangenomen op 18 juni 2021.

Op 10 juli 2023 heeft de Commissie Uitvoeringsbesluit (EU) 2023/1795 aangenomen. Daarin staat dat de Verenigde Staten een adequaat beschermingsniveau bieden voor gegevens die naar bedrijven gaan die gecertificeerd zijn onder het EU-VS Data Privacy Framework. Het berust op Executive Order 14086 van de VS, die beperkingen toevoegde aan signaalinlichtingen en een beroepsroute instelde via een Data Protection Review Court.

Voor een eigenaar van een formulier betekent dit: als de provider uit de VS gecertificeerd is en die certificering het soort gegevens dekt dat je verstuurt, heeft de doorgifte geen extra instrument nodig. Je kunt een bedrijf controleren op de officiële Data Privacy Framework-lijst. Een provider die niet op de lijst staat, heeft een andere grondslag nodig, meestal standaardcontractbepalingen.

Het framework is aangevochten. Het Gerecht heeft het beroep verworpen in de zaak Latombe tegen Commissie (T-553/23) op 3 september 2025, en de verzoeker is in hoger beroep gegaan bij het Hof van Justitie als zaak C-703/25 P. Twee eerdere regelingen, Safe Harbor en Privacy Shield, zijn door dat Hof vernietigd. Veel organisaties houden daarom in hun contracten een terugvaloptie aan voor het geval het framework ook sneuvelt.

De huidige clausules zijn vastgesteld in Uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021. Ze komen in modules voor verschillende relaties; voor een formulierdienst die namens jou handelt is de gebruikelijke module die van verwerkingsverantwoordelijke naar verwerker. Als je ze gebruikt, moet je een doorgifte-effectbeoordeling uitvoeren en de uitkomst vastleggen, wat voor een kleine site echt werk is. Dat is een reden waarom het Data Privacy Framework populair is bij Amerikaanse leveranciers die gecertificeerd zijn.

Deze vragen werken hetzelfde voor Amerikaanse en Europese providers, en een goede provider beantwoordt ze in openbare documenten:

1. Waar worden inzendingen, bestandsuploads en back-ups opgeslagen?
2. Welke subverwerkers verwerken inzendingsgegevens, en in welke landen?
3. Welk instrument geldt voor elke doorgifte buiten de EU: adequaatheidsbesluit, DPF-certificering of SCC's?
4. Is de verwerkersovereenkomst gepubliceerd of beschikbaar voordat je je aanmeldt, en vermeldt die de subverwerkers?
5. Kan personeel buiten de EU voor support bij de gegevens komen, en onder welke controles?
6. Bevat de meldingsmail de volledige inzending, en kun je dat uitzetten?
7. Hoe gaat de provider om met een verzoek om gegevens van een buitenlandse autoriteit?

Onze vergelijkingspagina's verzamelen wat verschillende providers openbaar zeggen over de locatie van gegevens. Controleer ook hun actuele documenten, want beleid verandert.

Formward wordt gerund door een Zweeds bedrijf. De app, de database en bestandsuploads worden gehost in Zweden. Meldingsmails worden verstuurd door een Europese provider, en de optionele AI-functies op Professional en Business draaien in de EU op Mistral. Facturatie loopt via Stripe Payments Europe, Limited, in Ierland, en betreft alleen de factuurgegevens van de betalende klant zelf.

Het enige Amerikaanse contactpunt is Cloudflare Turnstile, een anti-botcontrole die uit staat tenzij je die voor een formulier aanzet. Als die aan staat, ziet Cloudflare challengegegevens uit de browser van de bezoeker, niet de antwoorden in het formulier. Bestemmingen die je zelf toevoegt, zoals een webhook, een Slack-kanaal of een mailbox bij een andere aanbieder, gaan naar waar je ze naartoe stuurt.