Waar je e-maillijst echt staat – zeven privacyverklaringen naast elkaar

Bij het kiezen van een e-mailtool denken mensen óf helemaal niet aan de datalocatie, óf ze gaan ervan uit dat die al in de verkeerde richting vastligt. De meest gangbare aanname is dat de tools in deze branche Amerikaans zijn. We namen op 3-9-2026 de eigen privacyverklaringen van zeven diensten door – geen directories of tabellen van andere vergelijkingssites – en de uitkomst is anders: vijf van de zeven bewaren de lijstdata in de EU.

Kort antwoord

In de EU: Brevo, GetResponse, Systeme.io, MailerLite en EmailOctopus. Buiten de EU: Mailchimp en ActiveCampaign. Je mag beide gebruiken, maar dat vereist een doorgiftegrondslag en een vermelding in je eigen privacyverklaring.

Zeven diensten naast elkaar

Eerst dezelfde vergelijkingstabel als op onze andere pagina’s. De kolom Data in de EU is voor deze pagina de belangrijkste, en hij komt rechtstreeks uit dezelfde data als de prijzen – hij wordt op geen enkele pagina met de hand ingevuld.

← veeg →

Prijzen exclusief btw, bij maandelijkse facturering, tenzij anders vermeld.(Advertentie) = advertentielink

• De prijs is de maandprijs van het goedkoopste betaalde niveau bij die lijstgrootte. De kolom Gratis versie laat zien wanneer je niet hoeft te betalen.
• EmailOctopus en ActiveCampaign: de prijslijst noemt alleen de maandprijs bij jaarlijkse facturering. Maandelijks factureren kost meer.
• GetResponse en ActiveCampaign: de kleinste lijst die wordt verkocht telt 1.000 contacten, dus de kolom van 500 contacten toont die prijs.

Wat de verklaringen over de contractpartij zeggen

Het ja of nee hierboven vertelt niet het hele verhaal. Hieronder staat met wie je het contract sluit en waar de data volgens de verklaring staan – dat is het deel dat de vergelijkingstabel niet kan samenvatten.

← veeg →

Op 3-9-2026 gelezen uit de privacyverklaringen van de diensten zelf: MailerLite, Systeme.io, EmailOctopus en ActiveCampaign. Voor Brevo (Frankrijk), GetResponse (Polen) en Mailchimp (Intuit, VS) zijn de eigen verklaringen van de diensten dezelfde dag gelezen. De controle wordt elke 90 dagen herhaald.

De vestigingsplaats van het bedrijf is niet hetzelfde als de datalocatie

Dit is de belangrijkste rij van de tabel en de rij die de meeste vergelijkingen overslaan. Het gaat om twee verschillende vragen:

• Met wie sluit je het contract? Dat bepaalt uit welk land de verwerker komt en onder de autoriteiten van welk land die valt.
• Waar staan de servers? Dat bepaalt of de data de EU fysiek verlaten.

In onze vergelijking lopen die twee bij twee diensten uiteen. EmailOctopus wordt uitgebaat door het Londense Three Hearts Digital Ltd, sinds de brexit een bedrijf buiten de EU – maar de lijsten staan in het AWS-datacenter in Ierland, binnen de EER. MailerLite heeft voor EER-klanten een eigen Ierse contractpartij, MailerLite Limited, en voor andere klanten een apart Amerikaans bedrijf. Stel dus beide vragen, niet maar één.

Wat je hiervan in je eigen verklaring moet zetten

De e-mailtool is een verwerker en moet in je eigen privacyverklaring worden vermeld. Geeft de tool data buiten de EU door, dan valt er meer te vermelden – en de plicht komt rechtstreeks uit de verordening.

Artikel 13 lid 1 onder f van de AVG verplicht je de betrokkene drie dingen te melden: dat je gegevens naar een derde land wilt doorgeven, of de Commissie daarvoor een adequaatheidsbesluit heeft genomen, en – als de doorgifte op waarborgen volgens artikel 46 berust – een verwijzing daarnaar en naar waar een kopie beschikbaar is. De Engelse versie eist informatie over de doorgifte en “the existence or absence of an adequacy decision by the Commission”.

In de praktijk zijn dat een paar regels. Het verschil tussen een EU-aanbieder en een aanbieder buiten de EU is dus niet dat de ene verboden is, maar dat de ene van jou een vermelding vraagt die juist en actueel moet zijn. De hoofdregel staat in artikel 44 van de verordening: persoonsgegevens mogen naar een derde land “slechts worden doorgegeven indien … de verwerkingsverantwoordelijke en de verwerker aan de in dit hoofdstuk neergelegde voorwaarden hebben voldaan”. Gelezen in EUR-Lex op 13-9-2026.

Wie naar de VS doorgeeft: wat het adequaatheidsbesluit dekt

Bij twee van de vergeleken tools gaan de data naar de VS. Voor hen is de beslissende vraag of het adequaatheidsbesluit van de Commissie precies dat bedrijf dekt – en het antwoord is niet “ja, want de VS”.

Uitvoeringsbesluit (EU) 2023/1795 van de Commissie is genomen op 10-7-2023, en artikel 1 ervan bakent de adequaatheid precies af: het beschermingsniveau is passend voor doorgiften “to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce”. De adequaatheid geldt dus niet voor de VS als land, maar voor afzonderlijke organisaties die zich bij de lijst hebben aangesloten.

De lijst is openbaar op dataprivacyframework.gov. We publiceren op deze pagina geen lijststatus van afzonderlijke diensten, en de reden is methodisch: de status kan in een dag veranderen, en onze 90-dagenronde garandeert niet dat hij actueel is. Controleer hem zelf en gebruik de officiële bedrijfsnaam – een dienst kan onder de naam van het moederbedrijf op de lijst staan, en dan vindt een zoekopdracht op de productnaam niets. Staat het bedrijf niet op de lijst, dan heeft de doorgifte een waarborg volgens artikel 46 van de verordening nodig – in de praktijk de standaardcontractbepalingen van de Commissie en de beoordeling die ter ondersteuning daarvan wordt gemaakt.

Wanneer dit in de praktijk uitmaakt

Datalocatie is niet voor iedereen even belangrijk, en dat zeggen we er eerlijk bij. Drie situaties waarin die de doorslag geeft:

1. Je beantwoordt privacyvragen van klanten. De inkoopvragenlijst van een zakelijke klant vraagt naar verwerkers en doorgiften. Staan de data in de EU, dan is het antwoord één regel; staan ze buiten de EU, dan zijn een doorgiftegrondslag en de documentatie daarvan nodig.
2. Je verwerkt gevoelige gegevens of overheidsdata. Dan heeft je eigen organisatie of je klant vaak al vooraf een lijn bepaald.
3. Je wilt de documentatie kort houden. In een eenmanszaak is dit het zwaarste argument: elke vermelding die je niet hoeft te maken, is een vermelding die je niet actueel hoeft te houden.

Als geen van deze op jou van toepassing is, is datalocatie één criterium naast andere – en geen reden om voor een duurdere tool te betalen. Vergelijking van het hele veld: beste e-mailmarketingtools.

Wat deze pagina niet vertelt

Drie afbakeningen, zodat de lezer weet wat hier gemeten is en wat niet.

• We hebben niemand geauditeerd. Alles hierboven is gelezen uit de privacyverklaringen van de diensten zelf. Een verklaring is de eigen opgave van het bedrijf, geen bevestiging door een derde.
• We zeggen niets over subverwerkers. Elke dienst heeft eigen verwerkers, en die keten kan verder reiken dan de locatie van de hoofddata. De verklaringen van de diensten sommen ze op, en als je strenge eisen stelt, moet je de keten nalopen.
• We geven geen juridisch advies. We vertellen wat er in de bronnen staat en waar ze te vinden zijn. Dat toepassen op je eigen situatie is werk voor jou of je jurist.

De volledige methode en wat we niet beoordelen: zo vergelijken we. Toestemming, aantoonplicht en verwerkersovereenkomst: e-mailmarketing en de AVG.