Om al deze vragen te beantwoorden en Amerikaanse ondernemingen een duidelijk te volgen traject te bieden, hebben wij de onderstaande praktische checklist samengesteld. Deze zet achtereenvolgens uiteen of en wanneer de AVG/GDPR van toepassing is, welke rol de onderneming vervult (verwerkingsverantwoordelijke, verwerker of beide) en wat dit vereist. Tot slot, en beslist niet onbelangrijk, behandelt de checklist de doorgifte van persoonsgegevens van de EU naar de VS, en of er gesteund kan worden op het EU-US Data Privacy Framework, modelcontractbepalingen (SCC's) of een combinatie van beide.

Voor een op maat gemaakte analyse kunt u een LEGALFLY-demo inplannen. Wij doorlopen de AVG-compliancechecklist voor Amerikaanse ondernemingen aan de hand van de relevante overeenkomsten uit uw portefeuille. 

AVG-compliancechecklist voor Amerikaanse ondernemingen

Stap 1: Is de AVG van toepassing op uw onderneming?

Artikel 3 bepaalt het territoriaal toepassingsgebied: er zijn drie wettelijke gronden en één contractuele grond (in de praktijk de meest voorkomende) die een Amerikaanse onderneming binden aan de AVG.

• Artikel 3, lid 1: De onderneming heeft een vestiging in de EU. Of het nu gaat om een dochteronderneming, een bijkantoor, een kantoor of zelfs een klein permanent team in de EU: de AVG is van toepassing op verwerkingen in het kader van de activiteiten van die vestiging. De fysieke locatie van de servers is daarbij niet relevant; Richtsnoer 3/2018 van het EDPB legt het begrip "vestiging" ruim uit: een reële en daadwerkelijke activiteit via een duurzame regeling kan volstaan, zelfs zonder een geregistreerde rechtspersoon.

• Artikel 3, lid 2, onder a: De onderneming biedt goederen of diensten aan aan betrokkenen in de EU. Een louter toegankelijke website is niet voldoende; Overweging 23 noemt indicatoren zoals het gebruik van EU-talen of -valuta's, de mogelijkheid tot levering in EU-lidstaten, EU-domeinnamen of marketing gericht op een Europees publiek. Het aanbieden van gratis diensten sluit toepasselijkheid niet uit.

• Artikel 3, lid 2, onder b: De onderneming monitort het gedrag van betrokkenen in de EU. Het tracken en profileren van personen in de EU – onder meer via gedragsgerichte advertenties, cross-site tracking, locatiegegevens of analyses om voorkeuren te voorspellen – brengt deze verwerking binnen het toepassingsgebied van de AVG (Overweging 24).

Artikel 27 bepaalt welke ondernemingen een EU-vertegenwoordiger moeten aanwijzen. Een Amerikaanse onderneming die onder Artikel 3, lid 2 valt zonder vestiging in de EU, moet een vertegenwoordiger aanstellen in een lidstaat waar de betrokkenen zich bevinden. Deze vertegenwoordiger houdt onder meer een afschrift van het verwerkingsregister (ex Artikel 30) aan en moet worden vermeld in de privacyverklaring. Uitzonderingen zijn zeer beperkt: incidentele verwerkingen die geen grootschalige verwerking van bijzondere categorieën van gegevens of strafrechtelijke gegevens inhouden en die naar verwachting geen risico inhouden, zijn vrijgesteld. De meeste ondernemingen met een doorlopend EU-klantenbestand komen hiervoor niet in aanmerking.

Belangrijk aandachtspunt:

Veel Amerikaanse B2B-ondernemingen vallen voor hun klantgegevens niet rechtstreeks onder Artikel 3, omdat zij persoonsgegevens uitsluitend verwerken ten behoeve van Europese klanten, die zelf de aan de AVG onderworpen verwerkingsverantwoordelijken zijn. Die klanten zijn verantwoordelijk voor het handhaven van de AVG-verplichtingen via auditrechten, vrijwaringen en beëindigingsgronden, en niet de toezichthouder rechtstreeks. Daarom moeten zij u door middel van een overeenkomst ex Artikel 28 en een geldig doorgiftemechanisme contractueel binden voordat er gegevens worden overgedragen.

Hierbij dient te worden opgemerkt dat, hoewel het EDPB stelt dat een niet-EU-verwerker niet louter onder Artikel 3, lid 2 van de AVG valt omdat hij gegevens verwerkt voor een EU-verantwoordelijke, dezelfde verplichtingen alsnog contractueel aan de verwerker worden opgelegd via de verwerkersovereenkomst (DPA).

Stap 2: Verwerkingsverantwoordelijke of Verwerker? De meeste Amerikaanse ondernemingen zijn beide

Het onderscheid tussen verwerkingsverantwoordelijke en verwerker bepaalt welk deel van deze checklist van toepassing is; dit is waar Amerikaanse teams vaak over struikelen. De kwalificatie wordt bepaald door de feitelijke omstandigheden, niet door de contractuele benaming:

• U bent verwerkingsverantwoordelijke wanneer u het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Uw eigen marketingbestanden, website-analytics, personeelsgegevens van EU-werknemers, sales-prospects en contactgegevens van zakelijke klanten vallen hier doorgaans onder.

• U bent verwerker wanneer u uitsluitend persoonsgegevens verwerkt op basis van gedocumenteerde instructies van de klant en ten behoeve van de doeleinden van die klant. Een SaaS-platform dat klantgegevens host, een payroll-dienstverlener of een support-tool fungeert doorgaans als verwerker voor de gegevens die door klanten in het systeem worden ingevoerd.

Belangrijk aandachtspunt:

Een representatieve Amerikaanse SaaS-onderneming treedt gelijktijdig op als verwerkingsverantwoordelijke voor haar eigen bedrijfsgegevens en als verwerker voor de gegevens van haar klanten. Het risico schuilt in het tussengebied.

Wanneer uw algemene voorwaarden bepalen dat u klantgegevens mag gebruiken voor "productverbetering", analytics of modeltraining, bepaalt u een eigen doel. Voor die specifieke verwerking kwalificeert u dan als verwerkingsverantwoordelijke, wat in de verwerkersovereenkomst van de klant vrijwel zeker contractueel verboden is. U dient derhalve elke gegevensstroom contractueel en feitelijk aan één specifieke rol toe te wijzen alvorens overeenkomsten aan te gaan.

De twee onderstaande checklists hanteren dit onderscheid:

Stap 3a: Wat geldt indien u verwerkingsverantwoordelijke bent

Indien u op grond van Artikel 3 kwalificeert als Verwerkingsverantwoordelijke, is de AVG integraal van toepassing op de betreffende verwerking. Voor een Amerikaanse onderneming zijn dit de belangrijkste verplichtingen:

Checklist: Verplichtingen van de verwerkingsverantwoordelijke

☑️ Rechtmatige grondslag (Art. 6) – Voor elk verwerkingsdoel is een gedocumenteerde rechtsgrondslag vereist: de uitvoering van een overeenkomst, een gerechtvaardigd belang (onderbouwd met een gedocumenteerde belangenafweging), toestemming of een wettelijke verplichting. Het in de VS gangbare model van "kennisgeving en opt-out" geldt onder de AVG niet als geldige grondslag.

☑️ Transparantie (Art. 13 en 14) – Een op de EU gerichte privacyverklaring moet informatie bevatten over uw onderneming, uw EU-vertegenwoordiger, de doeleinden, de rechtsgrondslagen, ontvangers, doorgiften, bewaartermijnen en de rechten van betrokkenen.

☑️ Rechten van betrokkenen (Art. 15 tot en met 22) – U moet verzoeken om inzage, rectificatie, gegevenswissing, beperking van de verwerking, dataportabiliteit en bezwaar binnen één maand kunnen afhandelen, met inbegrip van verzoeken die doorwerking vereisen naar uw verwerkers.

☑️ Verwerkingsregister (Art. 30) – U dient een schriftelijk register van de verwerkingsactiviteiten bij te houden. De uitzondering voor organisaties met minder dan 250 werknemers is in de praktijk zelden van toepassing, aangezien deze vervalt bij niet-incidentele verwerkingen.

☑️ Beveiliging van de verwerking (Art. 32) – De passende technische en organisatorische maatregelen moeten evenredig zijn aan het risico en dienen volledig gedocumenteerd te zijn.

☑️ Meldplicht datalekken (Art. 33 en 34) – U dient een inbreuk in verband met persoonsgegevens binnen 72 uur na kennisneming te melden aan de leidende toezichthoudende autoriteit, en onverwijld aan de betrokkenen indien er sprake is van een hoog risico. Amerikaanse statelijke meldplichten gelden separaat en hanteren afwijkende drempelwaarden.

☑️ DPIA's (Art. 35) – Voor verwerkingen met een waarschijnlijk hoog risico, zoals grootschalige profilering, stelselmatige monitoring of nieuwe AI-toepassingen, moet voorafgaand een gegevensbeschermingseffectbeoordeling (DPIA) worden uitgevoerd.

☑️ Gegevensbescherming door ontwerp en door standaardinstellingen (Art. 25) – Nieuwe producten en functionaliteiten moeten standaard uitsluitend die gegevens verzamelen die noodzakelijk zijn voor het specifieke doel (data-minimalisatie).

☑️ FG/DPO (Art. 37) – U dient te beoordelen of u verplicht bent een functionaris voor gegevensbescherming aan te stellen. Dit is verplicht indien de kernactiviteiten bestaan uit regelmatige en stelselmatige observatie op grote schaal of grootschalige verwerking van bijzondere categorieën van gegevens.

☑️ EU-vertegenwoordiger (Art. 27) – Schriftelijk aan te wijzen, tenzij u beschikt over een vestiging in de EU of voldoet aan de strikte uitzonderingscriteria.

☑️ Subcontractanten en leveranciers (Art. 28) – Iedere verwerker die u inschakelt voor EU-persoonsgegevens, met inbegrip van Amerikaanse cloud- en SaaS-aanbieders, moet contractueel gebonden zijn middels een AVG-conforme verwerkersovereenkomst.

☑️ Doorgiften (Hoofdstuk V) – Elke doorgifte van persoonsgegevens vanuit de EU naar de VS of andere derde landen moet gedekt zijn door het DPF, modelcontractbepalingen (SCC's) of een ander passend waarborgingsinstrument (zie Stap 4).

☑️ Cookies en tracking – Niet-noodzakelijke cookies en trackingmechanismen op EU-gerichte websites vereisen voorafgaande ondubbelzinnige toestemming conform de ePrivacy-richtlijn, die parallel aan de AVG geldt.

Stap 3b: Wat geldt indien u Verwerker bent

Als Verwerker vloeien de meeste van uw AVG-verplichtingen voort uit de verwerkersovereenkomst (DPA) met de klant. Artikel 28, lid 3 schrijft de verplichte inhoud voor, waardoor de kernclausules inhoudelijk nauwelijks onderhandelbaar zijn. De modaliteiten zijn dat echter wel: kennisgevingstermijnen, auditprocedures, aansprakelijkheid en de reikwijdte van de toegestane gegevensverwerking.

Europese opdrachtgevers hanteren bij het toetsen van verwerkersovereenkomsten doorgaans dezelfde criteria. De review-checklist van de LEGALFLY DPA categoriseert deze in 7 aandachtsgebieden en 21 controlepunten (zie onderstaand overzicht). Door deze criteria vanuit het perspectief van de verwerker te bezien, verkrijgt u inzicht in de vereisten en kunt u uw onderhandelingspositie effectief bepalen.

Uw rechtstreekse verplichtingen als Verwerker:

Wanneer de AVG rechtstreeks op u van toepassing is, rusten bepaalde verplichtingen op grond van de wet op u, ongeacht wat er contractueel is overeengekomen. Bij niet-naleving kunnen toezichthoudende autoriteiten direct bestuurlijke boetes opleggen:

• Het bijhouden van een verwerkersregister (Art. 30, lid 2), waarborgen van de beveiliging (Art. 32)

• Het onverwijld in kennis stellen van de verwerkingsverantwoordelijke bij een datalek (Art. 33, lid 2)

• De voorschriften inzake subverwerkers conform Artikel 28

• Het aanstellen van een EU-vertegenwoordiger wanneer Artikel 3, lid 2 van toepassing is. 

Houd er rekening mee dat de volgende drie contractuele knelpunten het vaakst voorkomen:

• Een beding inzake "dienstverbetering" of AI-modeltraining in uw algemene voorwaarden dat strijdig is met de verwerkersovereenkomst.

• Een lijst met subverwerkers waarin externe AI-modelproviders of buitenlandse supportteams ontbreken.

• Een aansprakelijkheidsclausule in uw hoofdovereenkomst die vorderingen inzake gegevensbescherming stilzwijgend maximeert op bijvoorbeeld 12 maanden aan betaalde vergoedingen, wat door de verwerkersovereenkomst van de klant doorgaans terzijde wordt geschoven.

Stap 4: Doorgiften: DPF, SCC's of beide

Dit onderdeel van de checklist brengt voor Amerikaanse ondernemingen de grootste juridische risico's met zich mee. 

Bij elke doorgifte van persoonsgegevens vanuit de EU naar de VS vereist Hoofdstuk V van de AVG een geldig doorgiftemechanisme. Er zijn twee instrumenten die de hoofdmoot vormen, ongeacht of u als verantwoordelijke gegevens ontvangt van Europese gelieerde entiteiten of als verwerker gegevens ontvangt van EU-klanten.

Het EU-US Data Privacy Framework (DPF)

Het DPF is een adequaatheidsbesluit dat de Europese Commissie in juli 2023 heeft vastgesteld.

Amerikaanse ondernemingen certificeren zich via zelfcertificering bij het Department of Commerce en verplichten zich tot de DPF-beginselen, waarop toezicht wordt gehouden door de FTC of het Department of Transportation. Na certificering kunnen EU-exporteurs persoonsgegevens doorgeven zonder de noodzaak van SCC's of een Transfer Impact Assessment (TIA) voor die specifieke doorgifte. Let op: voor personeelsgegevens (HR-data) is een afzonderlijke HR-certificering vereist.

Het DPF beschermt uitsluitend gecertificeerde organisaties: het dekt derhalve uw eigen entiteit, maar niet uw niet-gecertificeerde Amerikaanse subverwerkers.

Modelcontractbepalingen (Standard Contractual Clauses - SCC's)

De SCC's van 2021 zijn gestandaardiseerde contractvoorwaarden die zijn vastgesteld door de Europese Commissie:

• Voor een Amerikaanse verwerker die gegevens ontvangt van een EU-verantwoordelijke geldt Module 2.

• Voor een Amerikaanse subverwerker die gegevens ontvangt van een EU-verwerker geldt Module 3.

Voor het gebruik van SCC's is een Transfer Impact Assessment (TIA) verplicht om de effecten van het Amerikaanse recht in de praktijk te beoordelen. Deze toetsing is sinds 2023 aanzienlijk eenvoudiger dankzij de waarborgen die zijn ingevoerd onder Executive Order 14086, waaronder het instellen van het Data Protection Review Court.

Er zijn evenwel substantiële juridische risico's om rekening mee te houden:

• Het DPF is op dit moment rechtsgeldig (op 3 september 2025 bevestigd door het Gerecht in de zaak Latombe/Commissie (T-553/23)), maar Philippe Latombe heeft op 31 oktober 2025 hoger beroep ingesteld bij het Hof van Justitie van de EU. Ditzelfde Hof heeft eerder beide voorgangers – Safe Harbor in 2015 en het Privacy Shield in 2020 – ongeldig verklaard. Een zittingsdatum is nog niet bekendgemaakt (Interlegal, oktober 2026).

• Een tweede risico ontstond in juni 2026, toen de Amerikaanse Supreme Court in de zaak Trump v. Slaughter oordeelde dat FTC-commissarissen zonder opgaaf van redenen ontslagen mogen worden. NOYB (het European Center for Digital Rights) heeft betoogd dat dit de institutionele onafhankelijkheid van de FTC ondergraaft waarop het adequaatheidsbesluit mede rust, en heeft een eigen juridische procedure aangekondigd. De Commissie handhaaft het DPF vooralsnog onverkort. Mocht het Hof van Justitie het adequaatheidsbesluit echter met terugwerkende kracht of zonder overgangsperiode nietig verklaren, dan verliest elke doorgifte die uitsluitend op het DPF rust per direct haar rechtmatige grondslag. Dat voltrok zich eveneens bij gebruikers van het Privacy Shield in juli 2020.