Vorige maand kreeg een kapsalon in Utrecht een brief van de Autoriteit Persoonsgegevens. De reden: klantgegevens (namen, telefoonnummers, e-mailadressen, afspraakhistorie) werden opgeslagen op servers van een Amerikaans boekingsplatform. Zonder verwerkersovereenkomst, zonder DPIA, zonder dat de eigenaar wist dat dit een probleem was.
Die eigenaar is niet dom. Ze had gewoon gedaan wat iedereen doet: een Calendly-account aangemaakt, de link op haar website gezet, en afspraken laten boeken. Simpel. Handig. En juridisch een mijnenveld.
Dit artikel gaat niet over paniek zaaien. Het gaat over begrijpen waar je klantdata staat, waarom dat uitmaakt, en wat je eraan kunt doen.
Waarom de AVG ertoe doet voor afsprakensystemen
De AVG (Algemene Verordening Gegevensbescherming) is sinds 2018 van kracht. De meeste ondernemers kennen het van cookiebanners en privacyverklaringen. Maar de AVG gaat veel verder dan dat.
Elke keer dat een klant een afspraak boekt, verwerk je persoonsgegevens. Naam, e-mailadres, telefoonnummer, soms een opmerking over wat ze willen bespreken. Bij een fysiotherapeut of tandarts staan er medische gegevens bij, en die vallen onder de zwaarste beschermingscategorie van de AVG.
Als verwerkingsverantwoordelijke ben jij verantwoordelijk voor wat er met die data gebeurt. Niet de softwareleverancier, niet de hosting provider, maar jij. En dat betekent dat je moet weten:
- Waar worden de gegevens opgeslagen?
- Wie heeft er toegang toe?
- In welk land staan de servers?
- Is er een verwerkersovereenkomst als een derde partij de data verwerkt?
Het probleem met cloud-based boekingssystemen
Hier wordt het concreet. De meeste populaire boekingstools zijn cloud-based en draaien op Amerikaanse servers:
Calendly: servers in de VS. Calendly Inc. is een Amerikaans bedrijf, onderworpen aan de US Cloud Act. Dat betekent dat Amerikaanse autoriteiten de data kunnen opvragen, ook als die data van Europese burgers is. Calendly biedt een verwerkersovereenkomst aan, maar je bent afhankelijk van hun naleving.
HubSpot: servers verspreid over de VS en Duitsland. HubSpot biedt een DPA (Data Processing Addendum) aan, maar de kern van het platform draait in de VS. Je data kan worden overgedragen tussen datacenters, en je hebt daar beperkt zicht op.
GoHighLevel: volledig Amerikaans. Geen EU-servers, geen serieuze AVG-documentatie. GoHighLevel is populair bij marketingbureaus, maar als het om privacy gaat, is het een zwart gat. Je klantdata staat op AWS-servers in de VS, en er is geen transparantie over wie er toegang heeft.
Calendly, Acuity Scheduling, Square Appointments: allemaal hetzelfde verhaal. Amerikaans bedrijf, Amerikaanse servers, US Cloud Act.
De US Cloud Act: waarom dit niet theoretisch is
De US Cloud Act van 2018 geeft Amerikaanse autoriteiten het recht om data op te vragen bij Amerikaanse bedrijven, ongeacht waar die data fysiek is opgeslagen. Dat betekent: zelfs als Calendly een datacenter in Frankfurt heeft, kan de Amerikaanse overheid die data opvragen.
Dit is geen complottheorie. Dit is wetgeving. En het staat haaks op de AVG, die juist eist dat persoonsgegevens van EU-burgers beschermd worden tegen toegang door buitenlandse overheden.
Het Europese Hof van Justitie heeft in de Schrems II-uitspraak (2020) het Privacy Shield-verdrag met de VS ongeldig verklaard. Er is sindsdien een nieuw raamwerk (het EU-US Data Privacy Framework), maar de juridische basis blijft wankel. Privacy-experts zijn het erover eens: je data op Amerikaanse servers plaatsen is een risico dat je beter kunt vermijden.
Self-hosted: de enige manier om het probleem te elimineren
Hier komt NoveuFlow in beeld. NoveuFlow is een WordPress-plugin. Dat betekent dat het draait op jouw eigen server, dezelfde server waar je WordPress-website op staat. Alle data (klantgegevens, afspraken, notities, betalingshistorie) staat in jouw eigen WordPress-database.
Geen derde partij. Er is geen Amerikaans bedrijf dat je data beheert. Er is geen cloud-server waar je geen controle over hebt. Jouw data staat op jouw server, beheerd door jouw hosting provider, in het land dat jij kiest.
Geen verwerkersovereenkomst met NoveuFlow nodig. Wij verwerken je data niet. De plugin draait lokaal in jouw WordPress-installatie. Wij hebben geen toegang tot je database, je klantgegevens, of je afspraken. Er is letterlijk niets om een verwerkersovereenkomst over af te sluiten.
Volledige controle over data-locatie. Kies een Nederlandse hosting provider (TransIP, Antagonist, Savvii) en je data staat gegarandeerd in een Nederlands datacenter. Geen data die de EU verlaat, geen US Cloud Act die van toepassing is, geen juridisch grijs gebied.
Praktische tips voor AVG-compliant afspraken plannen
Los van je keuze voor software, zijn er een paar dingen die je vandaag al kunt regelen:
1. Controleer waar je data staat. Log in bij je huidige boekingssysteem en zoek uit in welk land de servers staan. Staat het in de VS? Dan heb je een verwerkersovereenkomst nodig, en zelfs dan loop je risico.
2. Heb je een verwerkersovereenkomst? Als je een cloud-based tool gebruikt, moet je een verwerkersovereenkomst (DPA) hebben met die leverancier. Geen DPA? Dan ben je in overtreding.
3. Minimaliseer gegevens. Vraag alleen wat je echt nodig hebt. Een boekingsformulier hoeft geen geboortedatum te vragen als dat niet relevant is voor de afspraak.
4. Informeer je klanten. Je privacyverklaring moet vermelden welke tools je gebruikt en waar de data wordt opgeslagen. "Wij gebruiken Calendly voor het plannen van afspraken. Uw gegevens worden opgeslagen op servers in de Verenigde Staten." Veel ondernemers vergeten dit.
5. Overweeg self-hosted. Als je de privacy van je klanten serieus neemt (en als ondernemer ben je dat wettelijk verplicht), is self-hosted de veiligste optie. Geen afhankelijkheid van buitenlandse servers, geen verwerkersovereenkomsten, geen risico.
Wat als je al Calendly of HubSpot gebruikt?
Geen paniek. Je hoeft niet vandaag over te stappen. Maar neem deze stappen:
1. Download je verwerkersovereenkomst bij je huidige provider en bewaar die bij je AVG-documentatie. 2. Update je privacyverklaring op je website. Vermeld welke tools je gebruikt en waar de data staat. 3. Maak een plan om te migreren naar een self-hosted oplossing. Niet volgende week, maar binnen een redelijke termijn.
NoveuFlow heeft een importfunctie waarmee je bestaande klantgegevens en afspraakhistorie kunt overzetten. De migratie duurt meestal minder dan een uur.
Het verschil in één overzicht
| Cloud-based (Calendly, HubSpot) | Self-hosted (NoveuFlow) | |
|---|---|---|
| Data-locatie | VS of onduidelijk | Jouw server, jouw land |
| US Cloud Act | Van toepassing | Niet van toepassing |
| Verwerkersovereenkomst | Vereist met provider | Niet nodig |
| DPIA nodig | Waarschijnlijk ja | Meestal niet |
| Controle over data | Beperkt | Volledig |
| Kosten | €10-50/maand per gebruiker | Free is gratis, betaalde plannen: zie prijzen |
Conclusie: je klantdata is jouw verantwoordelijkheid
De AVG is niet optioneel. Het is geen checklist die je afvinkt en vergeet. Het is een doorlopende verantwoordelijkheid. En de makkelijkste manier om aan die verantwoordelijkheid te voldoen, is ervoor zorgen dat je klantdata nooit je eigen server verlaat.
NoveuFlow is gratis te installeren vanuit WordPress.org. Kies je branche in de setup wizard, importeer je klanten, en je hebt een volledig AVG-compliant afsprakensysteem, zonder dat je data de deur uit gaat. Probeer het uit en ontdek hoe het voelt als privacy geen nagedachte is, maar de basis.