AVG-conforme chatbot voor hogescholen: 8 technische criteria en leveranciersgids 2026

De keuze voor een chatbot voor uw hogeschool of universiteit is geen technische beslissing die losstaat van het privacyrecht. De Autoriteit Persoonsgegevens (AP) heeft de afgelopen jaren meerdere onderzoeken gestart naar het gebruik van persoonsgegevens in het onderwijs, en de AVG (Algemene Verordening Gegevensbescherming — Verordening EU 2016/679) stelt duidelijke verplichtingen aan iedere instelling die persoonsgegevens van studenten en kandidaten verwerkt.

72 % van de vragen die kandidaten via een chatbot stellen, zijn automatiseerbaar — van aanmeldprocedures via Studielink tot opleidingseisen en NVAO-accreditaties. (Bron: automatische classificatie van 12.000 Skolbot-gesprekken, 2025.) Elke interactie is tegelijkertijd een verwerkingshandeling waarvoor een rechtmatige grondslag vereist is. De instelling is verwerkingsverantwoordelijke in de zin van artikel 4 AVG — en dat brengt verplichtingen mee die beginnen vóór het eerste gesprek en doorlopen na het einde van de contractuele relatie met de leverancier.

Deze gids biedt de functionaris gegevensbescherming (FG), de IT-directeur of de directeur admissions van een HBO- of WO-instelling concrete toetscriteria voor de selectie en evaluatie van een chatbot-leverancier. Geen theoretische AVG-inleiding, maar een checklist die u direct kunt gebruiken bij een aanbesteding of contractonderhandeling.

Voor het overkoepelende kader rondom gegevensbescherming verwijzen wij naar onze complete AVG-gids voor studentengegevens. Voor de specifieke verplichtingen bij dataverzameling door een AI-chatbot, lees AI-chatbot en AVG: welke gegevens mogen hogescholen verzamelen?.

Waarom AVG-conformiteit een doorslaggevend aankoopcriterium is voor chatbots in het onderwijs

AVG-conformiteit is voor een chatbot in het hoger onderwijs geen marktkenmerk maar een wettelijke basiseis. De AP heeft meerdere malen benadrukt dat onderwijsinstellingen bij de inzet van digitale diensten — en AI-toepassingen in het bijzonder — de verantwoordelijkheid niet kunnen uitbesteden aan hun leveranciers. Als verwerkingsverantwoordelijke blijft uw instelling te allen tijde aansprakelijk voor de rechtmatigheid van de verwerking.

SURF, de ICT-coöperatie voor het Nederlandse onderwijs, heeft in samenwerking met de AP richtlijnen gepubliceerd voor de inkoop van clouddiensten in het onderwijs. Hogescholen en universiteiten die bij aanbestedingen niet kunnen aantonen dat zij de privacyrisico's van een chatbot hebben beoordeeld, lopen het risico op handhaving en reputatieschade die direct doorwerkt in de studentenwerving.

De businesscase is helder: +62 % gekwalificeerde leads bij −38 % kosten per lead zijn de mediane resultaten die onderwijsinstellingen behalen met een rechtmatig ingezette chatbot. (Bron: mediane resultaten uit 18 scholen, 2024–2025.) De chatbot antwoordt binnen 3 seconden, dag en nacht — tegenover 47 uur bij e-mail. (Bron: Skolbot mystery-shoppingstudie, 2025, 80 instellingen FR.) Een datalek of AVG-handhaving die de chatbot tijdelijk buiten gebruik stelt, vernietigt dit voordeel direct.

De 8 technische AVG-criteria voor iedere chatbot-leverancier

1. Serverlocatie: Nederland of EER, schriftelijk bevestigd

De AP heeft in meerdere adviezen benadrukt dat overdracht van persoonsgegevens naar landen buiten de Europese Economische Ruimte (EER) alleen rechtmatig is op basis van een adequaatheidsbesluit van de Europese Commissie of passende garanties zoals standaardcontractbepalingen (SCC's). Voor Nederlandse hogescholen en universiteiten geldt bovendien dat de AP kritisch staat tegenover het gebruik van US-cloudproviders vanwege de potentiële werking van de US CLOUD Act, die Amerikaanse autoriteiten toegang kan geven tot gegevens die in Europa zijn opgeslagen. SURF adviseert expliciet de voorkeur te geven aan leveranciers met datacenters in Nederland of de EU.

Stel expliciet: in welk datacenter worden gespreksgegevens opgeslagen? Geldt dit ook voor back-ups en AI-trainingsinfrastructuur? Kan de leverancier dit schriftelijk bevestigen als onderdeel van de overeenkomst?

2. Verwerkersovereenkomst conform artikel 28 AVG

Iedere chatbot-leverancier die namens uw instelling persoonsgegevens verwerkt, is een verwerker in de zin van de AVG en moet formeel worden vastgelegd in een verwerkersovereenkomst (VO) conform artikel 28. Een VO die slechts verwijst naar de algemene leveringsvoorwaarden van de leverancier, voldoet niet. De VO moet minimaal omvatten: het onderwerp en de duur van de verwerking, de aard en het doel, de categorieën gegevens en betrokkenen, de verplichtingen en rechten van de verwerkingsverantwoordelijke, de subverwerkers met naam, de technische en organisatorische beveiligingsmaatregelen (TOB), en de procedure voor teruggave of vernietiging van gegevens bij het einde van het contract.

3. Gegevensbeschermingseffectbeoordeling (DPIA)

De inzet van een AI-chatbot voor studentenwerving valt in bijna alle gevallen in de categorie verwerkingen waarvoor een DPIA verplicht is op grond van artikel 35 AVG. De AP heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd vereist is; het gebruik van AI-systemen voor profilering of evaluatie van natuurlijke personen staat daarop. Een serieuze leverancier kan u een model-DPIA aanleveren die u aanpast aan de specifieke omstandigheden van uw instelling. Leveranciers die geen DPIA-documentatie hebben of beweren dat een DPIA niet nodig is voor hun chatbot, geven een ernstig signaal af.

4. Technische en organisatorische beveiligingsmaatregelen (TOB) conform artikel 32 AVG

Artikel 32 AVG vereist passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat is afgestemd op het risico. Voor een chatbot van een onderwijsinstelling betekent dit minimaal: TLS 1.3-versleuteling voor alle datatransmissies, versleuteling van opgeslagen gespreksgegevens (AES-256 of gelijkwaardig), pseudonimisering of anonimisering na een configureerbare termijn, rolgebaseerde toegangscontrole met functiescheiding, auditlogging van alle toegangen tot persoonsgegevens, en een actueel penetratietestrapport (niet ouder dan 12 maanden). Vraag het TOB-document op als bijlage bij de verwerkersovereenkomst.

5. Toestemmingsbeheer en transparantieverplichtingen

Artikel 13 AVG verplicht de verwerkingsverantwoordelijke om betrokkenen bij het verzamelen van hun gegevens te informeren over de identiteit van de verwerkingsverantwoordelijke, de verwerkingsdoeleinden, de rechtsgrondslag, de bewaartermijnen en de rechten van de betrokkene. Voor een chatbot gebeurt dit via een duidelijke melding in het chatvenster vóór de eerste gegevensuitwisseling. Aanvullend eist de AI Act (Verordening EU 2024/1689), van kracht voor AI-systemen met menselijk contact, dat gebruikers worden geïnformeerd dat zij met een AI-systeem interageren. Het systeem moet toestemmingen technisch vastleggen: tijdstempel, versie van het privacybeleid, en een beschikbaar intrekkingskanaal.

6. Bewaartermijnen en geautomatiseerde verwijdering

Het principe van opslagbeperking (artikel 5 lid 1 onder e AVG) vereist dat persoonsgegevens niet langer worden bewaard dan noodzakelijk voor de verwerkingsdoeleinden. Voor gespreksgegevens van kandidaten die zich niet hebben ingeschreven, is een maximale termijn van 12 maanden na het laatste actieve contact redelijk en in lijn met de AP-richtlijnen voor het onderwijs. De leverancier moet aantoonbaar beschikken over geautomatiseerde verwijderingsroutines, configureerbaar per gegevenscategorie, met een auditlog dat bewijst dat de verwijdering daadwerkelijk heeft plaatsgevonden.

7. Rechten van betrokkenen: inzage, verwijdering en gegevensoverdraagbaarheid

Artikelen 15 tot 20 AVG verlenen kandidaten het recht op inzage in hun opgeslagen gegevens, het recht op verwijdering (het recht om vergeten te worden, artikel 17), het recht op beperking van de verwerking, het recht van bezwaar (artikel 21) en het recht op gegevensoverdraagbaarheid. Uw chatbot-leverancier moet een technische interface bieden waarmee u aan deze verzoeken kunt voldoen binnen de wettelijke termijn van één maand (artikel 12 lid 3 AVG). De chatbot mag geen data-eilanden creëren die buiten uw controlebereik vallen.

8. Melding datalekken binnen 72 uur

Artikel 33 AVG schrijft voor dat een inbreuk in verband met persoonsgegevens binnen 72 uur na kennisname moet worden gemeld bij de AP. Om aan deze verplichting te kunnen voldoen, moet uw leverancier contractueel verplicht zijn u uiterlijk 24 uur na detectie van een beveiligingsincident te informeren. Een leverancier zonder gedocumenteerd incident-responseproces maakt het feitelijk onmogelijk voor uw instelling om de meldtermijn te halen — met de bijbehorende boetes van maximaal 20 miljoen euro of 4 % van de wereldwijde jaaromzet als gevolg.

Leveranciersbeoordeling: de vragen die u moet stellen

5 contractclausules die u moet afdwingen

1. Datalokalisatieclausule: De verwerker verplicht zich schriftelijk alle persoonsgegevens uitsluitend te verwerken en op te slaan op servers in Nederland of de EER, met vermelding van land, datacenter en beheerder. Iedere wijziging vereist voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke.

2. Transparantie over subverwerkers: Alle subverwerkers zijn bij naam opgenomen in de VO of een bijlage. Nieuwe subverwerkers mogen pas worden ingezet nadat de verwerkingsverantwoordelijke schriftelijk is geïnformeerd en een bezwaartermijn van minimaal 14 dagen is verstreken.

3. Incidentmelding binnen 24 uur: Bij ieder beveiligingsincident dat mogelijk persoonsgegevens van de verwerkingsverantwoordelijke raakt, informeert de verwerker de verwerkingsverantwoordelijke uiterlijk 24 uur na detectie — met vermelding van de aard van het incident, de betrokken gegevenscategorieën en de genomen onmiddellijke maatregelen.

4. Gegevenswissing bij contracteinde: Binnen 30 dagen na contractbeëindiging worden alle persoonsgegevens van de verwerkingsverantwoordelijke door de verwerker verwijderd of geretourneerd, inclusief back-ups en AI-modellen getraind op de gespreksdata. De verwerker levert een schriftelijk bewijs van verwijdering.

5. Auditrecht conform artikel 28 lid 3 onder h AVG: De verwerkingsverantwoordelijke heeft het recht de naleving van de verplichtingen van de verwerker te controleren door eigen audits of door de verwerker geautoriseerde auditors, minimaal eenmaal per jaar en aanvullend bij beveiligingsincidenten.

Waarschuwingssignalen: 5 rode vlaggen bij een chatbot-leverancier

Rode vlag 1 — Geen zelfstandige verwerkersovereenkomst: Een leverancier die geen afzonderlijke verwerkersovereenkomst conform artikel 28 AVG aanbiedt, of die verwijst naar zijn algemene voorwaarden als vervanging daarvoor, kan wettelijk niet worden ingezet door een Nederlandse hogeschool. Dit is geen onderhandelingspunt maar een absolute basisvereiste.

Rode vlag 2 — Vage serverlocatie of "EU-cloud" zonder specificatie: De vermelding "Europese cloud" is juridisch onvoldoende. Vraag naar het specifieke datacenter, het land en de exploitant. Leveranciers die deelgebruikmaken van US-clouddiensten — ook als de data formeel in Europa staan — lopen het risico dat US-autoriteiten toegang kunnen afdwingen op grond van de CLOUD Act, wat de AP als AVG-risico heeft aangemerkt.

Rode vlag 3 — AI-training op klantdata als standaard: Sommige leveranciers gebruiken de gespreksgegevens van uw kandidaten standaard voor het trainen van hun AI-modellen. Zonder rechtmatige grondslag en zonder toestemming van de betrokkenen is dit een onverenigbaar gebruik van de gegevens in strijd met artikel 5 lid 1 onder b AVG. Controleer expliciet of uw data voor modeltraining worden gebruikt en bedwing een contractuele opt-out.

Rode vlag 4 — Geen auditlog voor gegevenswissing: Als de leverancier niet technisch kan aantonen dat gegevens na het verstrijken van de bewaartermijn daadwerkelijk zijn verwijderd, kunt u niet voldoen aan het opslagbeperkingsprincipe van de AVG. Bij een AP-onderzoek ligt de bewijslast bij uw instelling als verwerkingsverantwoordelijke — niet bij de leverancier.

Rode vlag 5 — Geen benoemde FG of privacycontactpersoon: Een leverancier zonder aanwijsbare FG of specifiek privacycontactpunt opereert buiten de vereisten van de AVG. Voor uw eigen accountability (artikel 5 lid 2 AVG) moet u kunnen aantonen dat u uw leverancier zorgvuldig heeft geselecteerd — en dat begint met het feit dat de leverancier zelf zijn privacyverplichtingen serieus neemt.

Voor een volledige audit van de AVG-compliance van uw instelling verwijzen wij naar onze AVG-audit checklist voor hogescholen. Voor een vergelijking van chatbot-platforms op functionaliteit én compliance, raadpleeg onze vergelijking van de beste AI-chatbots voor het hoger onderwijs.

Wilt u zien hoe Skolbot aan alle acht technische criteria voldoet? Vraag een persoonlijke demo aan en wij analyseren uw specifieke nalevingssituatie.

FAQ

Kan een chatbot die wordt gehost in de Verenigde Staten AVG-conform zijn?

Formeel ja, maar alleen als de leverancier standaardcontractbepalingen (SCC's) toepast conform Uitvoeringsbesluit 2021/914 van de Europese Commissie, aangevuld met voldoende aanvullende maatregelen. De AP en haar Europese zusterorganisaties hebben aangegeven dat SCC's alleen niet voldoende zijn wanneer de leverancier is onderworpen aan de US CLOUD Act. De meest rechtszekere optie voor Nederlandse hogescholen blijft een leverancier met servers uitsluitend in Nederland of de EU.

Wat moet een DPIA voor een studenten-chatbot omvatten?

Een DPIA voor dit gebruik moet minimaal bevatten: (1) systematische beschrijving van de verwerking — welke gegevens, welk doel, welke datastromen; (2) beoordeling van noodzakelijkheid en evenredigheid; (3) identificatie van risico's voor de rechten van betrokkenen — met name het risico op onbedoelde verzameling van bijzondere categorieën gegevens (artikel 9 AVG) in vrije-tekstgesprekken; (4) mitigerende maatregelen — pseudonimisering, korte bewaartermijnen, automatische filters voor gevoelige gegevens; (5) beoordeling van het restrisico. Als het restrisico hoog blijft, moet vóór ingebruikname voorafgaand overleg worden gepleegd met de AP conform artikel 36 AVG.

Moet de chatbot gebruikers direct informeren dat zij met een AI spreken?

Ja. Artikel 50 lid 1 van de AI Act (Verordening EU 2024/1689), die voor AI-systemen die met mensen interageren van kracht is, verplicht aanbieders gebruikers te informeren dat zij met een AI-systeem werken wanneer dit niet anderszins duidelijk is. Voor een hogeschoolchatbot — waarbij studenten een menselijke studieadviseur zouden verwachten — is de expliciete melding verplicht. Een menselijke naam voor de chatbot zonder verdere aanduiding is niet voldoende.

Wat zijn de aanbevolen bewaartermijnen voor chatgesprekken?

De AVG stelt geen uniforme termijn, maar verplicht tot het principe van opslagbeperking (artikel 5 lid 1 onder e). Voor gespreksgegevens van kandidaten die niet zijn ingeschreven, geldt een maximum van 12 maanden na het laatste actieve contact als redelijke termijn, tenzij er een specifieke rechtmatige grondslag bestaat voor langere bewaring (bijv. rechtsverdediging). Voor gegevens van ingeschreven studenten gelden de termijnen van de Wet op het hoger onderwijs en wetenschappelijk onderzoek (WHW) en de fiscale bewaarplichten.

Binnen welke termijn moet een datalek worden gemeld?

Op grond van artikel 33 AVG moet een inbreuk in verband met persoonsgegevens binnen 72 uur na kennisname worden gemeld bij de AP. Als het lek waarschijnlijk een hoog risico vormt voor de rechten en vrijheden van betrokkenen, moeten ook de betrokkenen zelf zonder onnodige vertraging worden geïnformeerd (artikel 34 AVG). Hieruit volgt dat uw leverancier u binnen 24 uur na detectie moet informeren, zodat u de resterende 48 uur heeft voor interne beoordeling en de AP-melding.