Belangrijkste punten
- Een chatbot verwerkt persoonsgegevens (namen, e-mails, chatberichten, IP-adressen), dus de AVG geldt vanaf het eerste gesprek.
- Je hebt een getekende verwerkersovereenkomst (DPA, AVG art. 28) nodig met je chatbotleverancier, omdat die namens jou gegevens verwerkt.
- Waar de data staat, doet ertoe: EU-hosting (bijvoorbeeld Duitsland) voorkomt de extra hordes van doorgifte naar de VS.
- De veiligste opzet antwoordt alleen uit je eigen content en gebruikt je gesprekken niet om het AI-model te trainen.
- Bezoekers houden hun AVG-rechten (inzage, verwijdering), dus je moet hun gegevens op verzoek kunnen vinden en wissen.
Welke persoonsgegevens verwerkt een chatbot eigenlijk?
Meer dan de meeste mensen denken. De voor de hand liggende data is wat een bezoeker typt: een naam, een e-mailadres, een ordernummer, een telefoonnummer, soms een hele omschrijving van een klacht of een gezondheidsvraag. Maar een chatbot verzamelt ook data op de achtergrond: het IP-adres van de bezoeker, een sessie- of apparaat-ID, tijdstempels, de pagina waar iemand op zat, en het volledige transcript van het gesprek. Onder de AVG telt bijna dit alles als persoonsgegevens, omdat het te herleiden is naar een identificeerbaar persoon.
Dit is belangrijk omdat het de AVG niet uitmaakt of je persoonsgegevens wilde verzamelen. Zodra een chatbot ze kan ontvangen en opslaan, verwerk je ze, en ben je verantwoordelijk. Een goede gewoonte is om ervan uit te gaan dat elk gesprek persoonsgegevens kan bevatten en daaromheen te ontwerpen: bewaar alleen wat je nodig hebt, vraag niet meer dan het gesprek vereist, en zorg dat gevoelige input (zoals gezondheidsgegevens) met extra zorg wordt behandeld.
Op welke grondslag? Toestemming versus gerechtvaardigd belang
De AVG zegt dat je persoonsgegevens alleen mag verwerken als je een geldige grondslag hebt. Voor een klantenservice-chatbot zijn twee grondslagen gangbaar. De eerste is gerechtvaardigd belang: een bezoeker helpen die zelf een gesprek met je begon, is een normaal en verwacht onderdeel van ondernemen, en het afhandelen van zijn vraag valt daarbinnen. De tweede is toestemming, die relevant wordt zodra je verder gaat dan de vraag beantwoorden, bijvoorbeeld door tracking-cookies te plaatsen, iemand aan een mailinglijst toe te voegen, of de chat te gebruiken voor marketingprofilering.
In de praktijk is de eerlijke regel: wees vooraf transparant. Vertel bezoekers in een korte zin en een link naar je privacyverklaring dat ze met een AI-assistent chatten, wat er met hun gegevens gebeurt, en hoe lang die worden bewaard. Verstop het niet. Transparantie is niet alleen netjes, het is een AVG-eis, en het houdt ook het vertrouwen intact als een echt persoon later het transcript leest.
De verwerkersovereenkomst (DPA): het stuk dat mensen vergeten
Als je een chatbottool gebruikt, verwerkt die leverancier persoonsgegevens namens jou. Onder AVG artikel 28 maakt dat hen jouw verwerker en jou de verwerkingsverantwoordelijke, en dat betekent dat jullie samen een schriftelijke verwerkersovereenkomst moeten hebben, een DPA. Dit document is geen optioneel papierwerk. Het legt vast welke data wordt verwerkt, met welk doel, hoe die is beveiligd, of er subverwerkers zijn, en wat er gebeurt als het contract eindigt. Zonder deze overeenkomst ben je technisch gezien niet compliant, zelfs als al het andere perfect is.
De praktische test voor elke chatbotleverancier is simpel: kunnen ze je een DPA overhandigen, en kan dat zonder verkoopgesprek? ovellan bijvoorbeeld publiceert een downloadbare DPA, zodat je die kunt lezen, tekenen en bewaren voordat je ooit live gaat. Als een leverancier er geen kan leveren, of het verstopt achter een enterprise-abonnement, zie dat dan als een rode vlag en niet als een detail.
Waar staat de data? Waarom EU-hosting ertoe doet
De datalocatie is een van de meest onderschatte onderdelen van chatbot-compliance. De AVG staat toe dat persoonsgegevens vrij binnen de EU bewegen, maar doorgifte naar landen buiten de EU, met de Verenigde Staten als grote voorbeeld, komt met extra voorwaarden en juridische onzekerheid die Europese toezichthouders al jaren bezighoudt. Veel chatbottools sturen de data van je bezoekers stilletjes via Amerikaanse servers, waardoor jij die complexiteit erft of je dat nu wilde of niet.
Het schonere antwoord is om de data vanaf het begin in de EU te houden. ovellan draait op infrastructuur in Duitsland (Hetzner), zodat je gesprekken en klantdata binnen de Europese Unie blijven. Dat lost niet als bij toverslag elke AVG-vraag op, maar het haalt wel de meest rommelige eruit: je leunt niet langer op een doorgiftemechanisme om te rechtvaardigen waar de data van je klanten belandt. Voor een Nederlands bedrijf dat met Nederlandse klanten praat, is dat precies de opzet die toezichthouders verwachten.
Traint de AI mee op jouw gesprekken?
Dit is de vraag die een echt privacyvriendelijke chatbot onderscheidt van een lekkende. Moderne chatbots draaien op grote taalmodellen, en sommige opzetten voeren de gesprekken terug in trainingsdata. Als dat gebeurt, kan een klantklacht of een e-mailadres dat iemand typte in theorie ergens opduiken waar je het nooit wilde hebben. Vanuit de AVG is dat een serieus probleem, want je verliest de controle over waar persoonsgegevens heen gaan en je kunt ze niet netjes wissen op verzoek.
Het eerlijke, verdedigbare ontwerp is het tegenovergestelde: de chatbot antwoordt alleen uit je eigen content (je website, je documenten, je FAQ), en je gesprekken worden niet gebruikt om het onderliggende model te trainen. ovellan werkt bewust zo, en zegt zelfs ik weet het niet als je content het antwoord niet bevat, in plaats van iets te verzinnen. Zo blijven twee dingen tegelijk waar: de bot blijft accuraat, en de data van je bezoekers blijft van jou. Samen met de DPA en EU-hosting is dat hoe een AVG-proof chatbot er in de praktijk uitziet.
Veelgestelde vragen
Mag een chatbot uberhaupt onder de AVG?
Heb ik echt een DPA nodig voor een chatbot?
Waarom doet het ertoe waar de chatbotdata staat?
Gebruikt de AI mijn klantgesprekken om zichzelf te trainen?
Wat als een bezoeker vraagt om zijn chatdata te wissen?
Zie het antwoorden voor je eigen bedrijf
Wijs ovellan naar je website en zie hoe hij de echte vragen van je klanten beantwoordt, in jouw taal, rond de klok.
Probeer ovellan gratis7 dagen gratis proberen. Voor Starter heb je geen creditcard nodig.Bronnen