--- title: "Gegevens doorgeven buiten de EU | Pitch" description: "Hoe hoofdstuk V AVG werkt na Schrems II: adequaatheidsbesluiten, het EU-VS Data Privacy Framework, modelcontractbepalingen en de beoordeling die erbij hoort." url: https://pitch.law/nl/academy/international-data-transfers-post-schrems-ii --- [pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Privacy & gegevensbescherming](https://pitch.law/nl/academy/topics/privacy) # Gegevens doorgeven buiten de EU Hoe hoofdstuk V AVG werkt na Schrems II: adequaatheidsbesluiten, het EU-VS Data Privacy Framework, modelcontractbepalingen en de beoordeling die erbij hoort. - - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat - 25 februari 2026 - Bijgewerkt 30-10-2026 ## Het juridisch kader [Hoofdstuk V AVG (artikelen 44 tot 50)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#cpt_V) verbiedt doorgiften van persoonsgegevens buiten de Europese Economische Ruimte, tenzij een van de volgende gronden geldt. Een doorgifte is ook toegang op afstand vanuit een derde land, niet alleen het versturen van bestanden. 1. **Adequaatheidsbesluit ([artikel 45](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_45)).** De Commissie heeft beslist dat het land, gebied of de sector een passend beschermingsniveau waarborgt. Voorbeelden zijn Zwitserland, Japan en, voor gecertificeerde organisaties, de Verenigde Staten onder het Data Privacy Framework. Je hebt geen extra toelating nodig. 2. **Passende waarborgen ([artikel 46](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_46)).** Het vaakst gebruik je de modelcontractbepalingen (SCC's) die de Commissie heeft vastgesteld in [Uitvoeringsbesluit (EU) 2021/914](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32021D0914), en bindende bedrijfsvoorschriften (artikel 47) voor groepen. 3. **Afwijkingen ([artikel 49](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_49)).** Beperkte gevallen zoals uitdrukkelijke toestemming voor een specifieke doorgifte of noodzaak voor een overeenkomst met de betrokkene. Ze worden restrictief uitgelegd en zijn niet bedoeld voor routinedoorgiften. ### Schrems II In [zaak C-311/18](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:62018CJ0311) (_Schrems II_, 16 juli 2020) verklaarde het Hof van Justitie het Privacy Shield ongeldig en oordeelde het dat SCC's geldig blijven, maar dat de exporteur samen met de importeur moet nagaan of het recht van het bestemmingsland de importeur toelaat ze na te leven. Zo niet, dan zijn aanvullende maatregelen nodig, of moet de doorgifte stoppen. De Europese Raad voor gegevensbescherming (EDPB) publiceerde [aanbevelingen](https://www.edpb.europa.eu/documents/recommendation/recommendations-012020-on-measures-that-supplement-transfer-tools-to_nl) over die beoordeling. In de praktijk spreekt men van een transfer impact assessment. ### Het EU-VS Data Privacy Framework De Commissie nam op 10 juli 2023 een [adequaatheidsbesluit](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023D1795) aan voor de Verenigde Staten. Het geldt voor doorgiften aan Amerikaanse organisaties die zichzelf onder het framework hebben gecertificeerd en op de lijst van het Data Privacy Framework staan. Het besluit steunt op Executive Order 14086 en op het Data Protection Review Court als beroepsmechanisme. De stand van zaken in oktober 2026: op 3 september 2025 verwierp het Gerecht van de Europese Unie een beroep van het Franse parlementslid Philippe Latombe ([zaak T-553/23](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:62023TJ0553)) en bevestigde het het besluit. In het najaar van 2025 werd hogere voorziening ingesteld bij het Hof van Justitie ([zaak C-703/25 P](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:62025CN0703)), en die is bij ons weten nog niet beslecht. Het besluit blijft dus geldig en je kunt het inroepen, maar het risico dat het Hof van Justitie het opnieuw toetst, is reëel. Steun je sterk op het framework, bewaar dan SCC's als terugvaloptie in je contracten en volg de zaak. ### Praktische regels - De exporteur blijft verantwoordelijk. Een doorgiftebepaling in een leverancierscontract verplaatst die plicht niet. - Verdere doorgiften moeten hetzelfde beschermingsniveau krijgen. - De doorgiftegrond en het land horen in je [verwerkingsregister](https://pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) en in je [verwerkersovereenkomst](https://pitch.law/nl/solutions/data-processing-agreements). - Privacyverklaringen moeten de doorgifte en de waarborg vermelden. ## In de praktijk Een Brussels marketingbureau gebruikt een Amerikaans e-mailplatform. Het platform is gecertificeerd onder het Data Privacy Framework, dus het bureau kan doorgeven op grond van het adequaatheidsbesluit. Het bureau bewaart ook de SCC's van het platform in de overeenkomst als terugvaloptie en noteert de doorgifte in het register. Een tweede tool, een klantenchat die wordt gehost door een bedrijf in India, valt niet onder een adequaatheidsbesluit. Het bureau sluit SCC's (module twee: verantwoordelijke naar verwerker), beoordeelt het Indische rechtskader voor overheidstoegang tot gegevens, zet versleuteling tijdens verzending en opslag in, met sleutels in de EU waar mogelijk, en legt de uitkomst vast. Toont de beoordeling een onopgelost risico voor bepaalde gegevens, dan beslist het bureau die velden niet naar de tool te sturen. Toegang vanuit een derde land telt ook mee: een ontwikkelaar in een dochteronderneming buiten de EER die de productiedatabank kan raadplegen, zorgt voor een doorgifte waarop hoofdstuk V van toepassing is. ## Veelgestelde vragen ### Kunnen we veilig op het Data Privacy Framework steunen? Op het moment van schrijven is het geldig, want het Gerecht heeft het bevestigd. Omdat er hogere voorziening hangende is, hou je best een terugvaloptie achter de hand en bekijk je je positie opnieuw als het Hof van Justitie uitspraak doet. ### Maken SCC's alleen een doorgifte rechtmatig? Alleen samen met de beoordeling van het recht van het bestemmingsland en, waar nodig, aanvullende maatregelen. ### Wat met cloudleveranciers met datacenters in de EU? Kan de leverancier of een van zijn dochters worden gedwongen toegang te geven vanuit een derde land, of heeft personeel in het buitenland toegang tot de gegevens, dan heb je nog altijd een doorgifteanalyse nodig. ### Moeten we personen informeren over doorgiften? Ja. Artikelen [13, lid 1, f)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_13) en [14, lid 1, f)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_14) verplichten je de doorgifte en de gebruikte waarborg te vermelden. ## Hoe dit samenhangt Doorgiftebepalingen zijn een kernonderdeel van [verwerkersovereenkomsten](https://pitch.law/nl/solutions/data-processing-agreements) en van [datalicenties en datadeling](https://pitch.law/nl/solutions/data-licensing-sharing). Bij het opstellen helpt [onze Document Studio](https://pitch.law/nl/technologies/contract-studio), en de doorgiftepositie van elke leverancier staat in het [privacyregister](https://pitch.law/nl/technologies/privacy-register). ## In het kort - Doorgiftegronden onder hoofdstuk V AVG - Stand van het EU-VS Data Privacy Framework - Modelclausules en de doorgifteanalyse ## Hier helpen we mee - [Oplossingen](https://pitch.law/nl/solutions/data-processing-agreements) ### [Verwerkersovereenkomsten](https://pitch.law/nl/solutions/data-processing-agreements) [Verwerkersovereenkomsten volgens artikel 28 AVG, opgesteld, nagekeken en onderhandeld voor verwerkingsverantwoordelijken en verwerkers, inclusief subverwerkers en doorgiften.](https://pitch.law/nl/solutions/data-processing-agreements) - [Oplossingen](https://pitch.law/nl/solutions/data-licensing-sharing) ### [Datalicenties en datadeling](https://pitch.law/nl/solutions/data-licensing-sharing) [Data delen of in licentie geven zonder meer weg te geven dan je van plan was. Met een duidelijke afbakening, afspraken over wie eigenaar is van wat eruit voortkomt, en de GDPR meteen mee geregeld.](https://pitch.law/nl/solutions/data-licensing-sharing) ## Tech die we gebruiken - [Technologie](https://pitch.law/nl/technologies/contract-studio) ### [Document Studio](https://pitch.law/nl/technologies/contract-studio) [Onze Document Studio stelt juridische documenten op en analyseert ze, in een beveiligde on-premise omgeving. En ze houdt de documenten in je dossiers bij wanneer er nieuwe gegevens binnenkomen of een volgende procedurestap nadert.](https://pitch.law/nl/technologies/contract-studio) - [Technologie](https://pitch.law/nl/technologies/privacy-register) ### [Verwerkingsregister en compliance-registers](https://pitch.law/nl/technologies/privacy-register) [Eén registermotor voor je AVG-verwerkingsregister en voor de registers onder de AI-verordening, NIS2 en DORA, met artikelverwijzingen, bewijsstukken en goedkeuring door de advocaat of DPO.](https://pitch.law/nl/technologies/privacy-register) - [Technologie](https://pitch.law/nl/technologies/contract-obligations) ### [Contractbeheer: rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations) [Zodra een contract definitief is, halen we de plichten en rechten van elke partij eruit, met de clausule waar ze vandaan komen. Een persoon bevestigt ze en we volgen ze op met herinneringen.](https://pitch.law/nl/technologies/contract-obligations) ## Meer over Privacy & gegevensbescherming - ### [AI onder Zwitsers recht en de GDPR: de verschillen](https://pitch.law/nl/academy/ai-under-swiss-fadp-and-gdpr) [Wat de herziene Zwitserse privacywet (FADP/DSG) en de GDPR betekenen voor bedrijven die AI-diensten bouwen of gebruiken: toepassingsgebied, grondslagen, DPIA's, doorgifte, sancties en de AI Act.](https://pitch.law/nl/academy/ai-under-swiss-fadp-and-gdpr) - ### [Cookies en toestemming](https://pitch.law/nl/academy/cookie-compliance-and-consent-management) [Wanneer je een cookiebanner nodig hebt, hoe geldige toestemming eruitziet en hoe de ePrivacyregels en de AVG samenwerken.](https://pitch.law/nl/academy/cookie-compliance-and-consent-management) - ### [Datalek melden onder de AVG: de 72-urenregel](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) [Artikel 33 AVG: meld een datalek binnen 72 uur nadat je ervan op de hoogte bent. Wanneer je meldt, hoe je de uren telt en wanneer je betrokkenen inlicht.](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) - ### [Bewaartermijn persoonsgegevens: wat zegt de AVG?](https://pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) [De AVG kent geen vaste bewaartermijn: artikel 5, lid 1, e) zegt niet langer dan nodig. Zo bepaal je bewaartermijnen, regel je back-ups en wis je echt.](https://pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) - ### [Inzageverzoek onder de AVG: zo haal je de termijn](https://pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) [Beantwoord een inzageverzoek binnen een maand, verlengbaar met twee (artikelen 12 en 15 AVG): wat je bezorgt, wat je mag weigeren en hoe je op tijd blijft.](https://pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) - ### [Het verwerkingsregister (RoPA)](https://pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) [Wat artikel 30 AVG je verplicht vast te leggen, wie een register moet bijhouden en hoe je het bruikbaar houdt.](https://pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://pitch.law/nl/schedule)