Schrems II en je e-maillijst – wat doorgifte buiten de EU echt vereist

Een e-maillijst is een bestand met persoonsgegevens, en de tool waarmee je hem verzendt is een verwerker. Geeft de tool de lijst buiten de EU door, dan moet die doorgifte een grondslag hebben – en rond precies die grondslag zijn twee dingen gebeurd die je moet weten voordat je een tool kiest.

Kort antwoord

Doorgifte buiten de EU is niet verboden. Ze vereist een doorgiftegrondslag volgens hoofdstuk V van de AVG, en de grondslagen hebben een rangorde: eerst het adequaatheidsbesluit van de Commissie, bij gebrek daaraan bijvoorbeeld standaardcontractbepalingen met de bijbehorende beoordelingen.

De eenvoudigste oplossing is niet doorgeven. Vijf van de zeven e-mailtools die we vergelijken bewaren de lijstdata in de EU, en dan vervalt dit hele hoofdstuk uit je eigen documentatie.

Wat het Schrems II-arrest besliste

Het Hof van Justitie van de EU wees arrest in zaak C-311/18 op 16-7-2020. Twee dingen werden in één keer beslist, en ze wijzen in verschillende richtingen.

• Het Privacy Shield werd ongeldig verklaard. Het vijfde punt van het dictum is eenduidig: “Commission Implementing Decision (EU) 2016/1250 … is invalid.”
• De standaardcontractbepalingen bleven overeind. Volgens het vierde punt heeft het onderzoek van besluit 2010/87 “disclosed nothing to affect the validity of that decision”.

De praktische verandering was echter niet dat het ene besluit door het andere werd vervangen. Het was de voorwaarde die het Hof aan het gebruik van de standaardbepalingen verbond: de doorgever moet waarborgen dat de betrokkenen in het bestemmingsland “a level of protection essentially equivalent to that guaranteed within the European Union” krijgen, en de beoordeling moet ook rekening houden met de toegang van de autoriteiten van het bestemmingsland tot de gegevens. De verantwoordelijkheid verschoof dus van het besluit van de Commissie naar de doorgever zelf. Hetzelfde dictum verplicht de toezichthouder de doorgifte op te schorten of te verbieden als de bescherming niet kan worden gewaarborgd.

Wat het Privacy Shield verving

De Commissie nam op 10-7-2023 uitvoeringsbesluit (EU) 2023/1795 over het EU-VS Data Privacy Framework. Eén detail bepaalt wat het besluit voor jou betekent: het geldt niet voor de VS als land.

Artikel 1 van het besluit beperkt de adequaatheid tot doorgiften “to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce”. De adequaatheid geldt dus per organisatie. In de praktijk betekent dat één werkstap: als je een Amerikaanse dienst overweegt, controleer dan of precies die organisatie op de lijst staat – en zoek op de officiële bedrijfsnaam, want de dienst kan er onder de naam van het moederbedrijf staan.

Het besluit bevat ook zijn eigen intrekkingsclausule. Volgens artikel 3 lid 5 kan de Commissie “suspend, amend or repeal this Decision, or limit its scope” als een passend beschermingsniveau niet langer is gewaarborgd.

Is het nieuwe besluit blijvend

Hier is het eerlijke antwoord: het is al aangevochten, en één keer is een vergelijkbaar besluit gesneuveld. Het Gerecht verwierp op 3-9-2025 een beroep tot nietigverklaring in zaak T-553/23 (Latombe/Commissie). Volgens het persbericht van het Gerecht “confirms that, on the date of adoption of the contested decision, the United States of America ensured an adequate level of protection”.

Tegen de uitspraak is hogere voorziening ingesteld bij het Hof (zaak C-703/25 P, ingesteld op 31-10-2025). De stand van de zaak daarna hebben we niet gecontroleerd, en we voorspellen de uitkomst niet.

Voor de lezer volgt hieruit één praktisch advies, geen voorspelling: bouw op het adequaatheidsbesluit niets wat je niet kunt afbouwen. Voor een e-mailtool betekent dat dat de verplaatsbaarheid van je lijst uit de dienst deel uitmaakt van je risicobeheer – en dat is sowieso een goede eis.

Als het besluit de dienst niet dekt

Dan heeft de doorgifte een passende waarborg nodig volgens artikel 46 van de AVG. De meest gebruikte zijn de door de Commissie vastgestelde standaardcontractbepalingen uit artikel 46 lid 2 onder c. Lid 1 van het artikel stelt bovendien een voorwaarde: naast de waarborgen moeten betrokkenen beschikken over “enforceable data subject rights and effective legal remedies”.

Alleen de bepalingen ondertekenen volstaat niet. De aanbevelingen 01/2020 van het Europees Comité voor gegevensbescherming (versie 2.0, aangenomen op 18-6-2021) beschrijven zes stappen. Vier daarvan zijn echt werk voor de doorgever, en de vijfde zijn formele procedures die een aanvullende maatregel kan vereisen:

1. Ken je doorgiften. Breng in kaart welke persoonsgegevens waarheen gaan – de aanbeveling noemt dit de eerste stap en merkt op dat het vaak een lastige oefening is.
2. Controleer het doorgifte-instrument. Dekt een adequaatheidsbesluit van de Commissie de ontvanger, dan is er niets anders nodig dan in de gaten houden of het besluit nog geldt – en voor de VS betekent dat de organisatie, niet het land.
3. Beoordeel de wetgeving en praktijk van het bestemmingsland. Dit is de doorgiftebeoordeling: verzwakt de rechtstoestand in het bestemmingsland de werking van de waarborgen in precies jouw doorgifte.
4. Neem aanvullende maatregelen als de beoordeling dat vereist, en beoordeel de situatie periodiek opnieuw.

Twee passages uit de aanbeveling verdienen het letterlijk te worden gelezen. Documentatie: “You should conduct this assessment with due diligence and document it thoroughly. Your competent supervisory and/or judicial authorities may request it and hold you accountable for any decision you take on that basis.” En de situatie waarin niets volstaat: “In those cases where no supplementary measure is suitable, you must avoid, suspend or terminate the transfer.”

Wat dit betekent bij het kiezen van een e-mailtool

Hier wordt juridische materie een koopbeslissing, en de uitkomst is eenvoudiger dan de tekst hierboven doet vermoeden.

Vijf van de zeven tools die we vergelijken bewaren de lijstdata in de EU: Brevo, GetResponse, Systeme.io, MailerLite en EmailOctopus. Voor hen is helemaal geen doorgiftegrondslag volgens hoofdstuk V nodig, omdat er geen doorgifte plaatsvindt. De twee overige, Mailchimp en ActiveCampaign, geven data buiten de EU door – rechtmatig, maar met doorgiftegrondslag en vermeldingen. De situatie per dienst: e-mailmarketing en AVG; alle zeven verklaringen naast elkaar en gedateerd: datalocatie van e-mailtools.

Dat betekent niet dat een tool buiten de EU de verkeerde keuze is. Het betekent dat de prijs ervan een werkstap bevat die de prijs van een EU-aanbieder niet bevat – en in een eenmanszaak is die stap duurder dan een paar euro verschil per maand.

Vier dingen die een klein bedrijf moet doen

1. Zoek uit waar je lijst staat. Het antwoord staat in de privacyverklaring van de dienst zelf, niet op de marketingpagina. Vraag naar zowel de contractpartij als de locatie van het datacenter – die kunnen in verschillende landen liggen.
2. Vermeld de verwerker in je eigen privacyverklaring. Is er doorgifte buiten de EU, dan eist artikel 13 lid 1 onder f dat je de doorgifte meldt en of er wel of geen adequaatheidsbesluit bestaat.
3. Sluit een verwerkersovereenkomst. Dat is iets anders dan de doorgiftegrondslag en is sowieso nodig, ook met een EU-aanbieder. Wat er in de overeenkomst moet staan.
4. Geef je door met standaardcontractbepalingen, documenteer dan de beoordeling. De aanbeveling van het Comité zegt rechtstreeks dat de toezichthouder erom kan vragen.

De verordening zelf vat hetzelfde kort samen. De hoofdregel in artikel 44: persoonsgegevens mogen naar een derde land “slechts worden doorgegeven indien, onverminderd de overige bepalingen van deze verordening, de verwerkingsverantwoordelijke en de verwerker aan de in dit hoofdstuk neergelegde voorwaarden hebben voldaan”. Gelezen in EUR-Lex op 13-9-2026.

Wat deze pagina niet is

Dit is geen juridisch advies. We vertellen wat er in de oorspronkelijke bronnen staat, en elk daarvan is in de tekst gelinkt: de tekst van het arrest, het besluit van de Commissie, de artikelen van de verordening en de aanbeveling van het Comité. Dat toepassen op je eigen situatie is werk voor jou of je jurist.

We publiceren ook geen Data Privacy Framework-status van afzonderlijke diensten. De reden is methodisch: de status kan zonder aankondiging veranderen, en onze controleronde van 90 dagen zou niet garanderen dat hij actueel is. De lijst is openbaar, en hem controleren gaat sneller dan hem bij ons lezen. De methode in zijn geheel: zo vergelijken we.