Europese alternatieven voor admissions-chatbots: EU-hosting en AVG

Een "EU-gehoste" admissions-chatbot beantwoordt maar één vraag: waar de gegevens staan opgeslagen. Wie erbij kan en welke subverwerkers erachter zitten, blijft open, te beginnen met het AI-model. Voor een hogeschool of universiteit hangt de keuze voor een Europees alternatief voor een Amerikaanse chatbot af van vier punten: opslaglocatie, de juridische entiteit die de dienst controleert, de lijst van subverwerkers en toegang op afstand. Dit artikel geeft de toetsingslijst, met bronnen gecontroleerd op 12 oktober 2026.

We beoordelen geen aanbieders bij naam. Een eerlijke vergelijking vraagt gedateerd openbaar bewijs per cel, en dat is een apart project. Zoekvolume en keyword-moeilijkheid waren voor dit onderwerp niet beschikbaar; de invalshoek komt uit officiële bronnen.

Waarom Nederlandse opleidingen zich dit afvragen

Een admissions-chatbot verzamelt namen, e-mailadressen, telefoonnummers, studiekeuzes en, in vrije tekst, alles wat een aankomende student kwijt wil. Veel gesprekken vinden plaats voordat iemand zich via Studielink inschrijft, bijvoorbeeld bij de keuze tussen HBO en WO of bij een open dag.

De instelling blijft verwerkingsverantwoordelijke, ook als de aanbieder de techniek draait. Overweging 81 van de AVG verlangt dat de verwerkingsverantwoordelijke alleen verwerkers inzet die voldoende garanties bieden (AVG, volledige tekst op EUR-Lex, Engelse versie). In Nederland houdt de Autoriteit Persoonsgegevens toezicht op doorgifte naar landen buiten de EU. Voor bekostigde en erkende opleidingen onder NVAO-accreditatie komt dit vaak samen met andere kwaliteitsvragen.

EU-hosting en doorgifte buiten de EU: wat de regels zeggen

Opslag in de EU sluit een doorgifte naar een derde land niet uit. Volgens de richtsnoeren 05/2021 van de Europese Gegevensbeschermingsraad over het samenspel van artikel 3 en hoofdstuk V kan het beschikbaar stellen van gegevens aan een entiteit in een derde land een doorgifte zijn, bijvoorbeeld bij ondersteuning op afstand (EDPB, richtsnoeren 05/2021). Een Amerikaanse technicus die een gesprek opent om een storing te verhelpen, kan hoofdstuk V activeren.

Eerste grondslag is het adequaatheidsbesluit. Ontbreekt dat, dan zijn passende waarborgen nodig, zoals standaardcontractbepalingen, plus een beoordeling van het land van bestemming.

Stand van het Data Privacy Framework

De Europese Commissie nam op 10 juli 2023 haar adequaatheidsbesluit voor het EU-US Data Privacy Framework (DPF) aan. Persoonsgegevens mogen volgens de Commissie vrij stromen naar Amerikaanse bedrijven die aan het kader deelnemen (Europese Commissie, EU-VS-gegevensdoorgifte, Engels). Het besluit geldt alleen voor deelnemende bedrijven.

Het Gerecht van de EU wees het beroep van de heer Latombe af op 3 september 2025 (zaak T-553/23); de Spaanse toezichthouder juichte dat toe in een persbericht van de AEPD (Spaans). Voor zover wij weten loopt er hoger beroep bij het Hof van Justitie: het kader is nu geldig, maar de toekomst staat niet vast. De voorganger, het Privacy Shield, werd in 2020 ongeldig verklaard door het Schrems II-arrest.

Vier soorten Europese alternatieven

Er is niet één Europees alternatief, maar vier architecturen met verschillende afwegingen. Prijzen noemen we niet: openbare tarieven om eerlijk te vergelijken ontbreken.

Skolbot is een Franse aanbieder van admissions-chatbots. Leg dezelfde lat aan als bij alle anderen: verwerkersovereenkomst, subverwerkerslijst, verwerkingslocaties.

De AI-laag: de vergeten schakel

Het taalmodel is een volwaardige subverwerker. Stuurt een in de EU gehoste chatbot elk gesprek naar een API buiten de EU, dan klopt de hostingbelofte niet meer. Vraag welk model antwoordt, vanuit welke regio en of gesprekken dienen om een model te trainen.

Dat weegt zwaar bij vrije tekst waarin aankomende studenten over gezondheid, verblijfsstatus of geldzorgen schrijven. Ons artikel over opslag van gegevens van studenten buiten de EU werkt de scenario's uit.

Tien vragen aan de aanbieder

1. In welke landen staan gesprekken, back-ups en logs?
2. Welke juridische entiteit tekent het contract en waar is die gevestigd?
3. Wie heeft vanuit welke landen en waarom toegang op afstand?
4. Wat is de volledige subverwerkerslijst, inclusief AI-model?
5. Is de aanbieder DPF-gecertificeerd en wat is de status op de officiële lijst?
6. Worden gesprekken gebruikt om een model te trainen?
7. Wat is de standaard bewaartermijn en hoe loopt verwijdering op verzoek?
8. Hoe en hoe snel worden datalekken gemeld?
9. Bevat de verwerkersovereenkomst wat artikel 28 vereist?
10. Hoe zijn teruggave en verwijdering bij einde contract geregeld?

Leg de antwoorden schriftelijk vast als bijlage bij het contract. Een mondelinge toezegging helpt niet bij een toezichtsonderzoek.

Wat EU-hosting niet oplost

Hosting vervangt geen grondslag, geen informatie aan de aanvrager en geen dataminimalisatie. De chatbot hoort alleen te vragen wat voor toelating nodig is, duidelijk te informeren en rechten uitoefenbaar te maken. Onze gids over AVG-conforme chatbots en aanbieders behandelt die punten.

Voor de marktcontext zijn er de vergelijking van AI-agenten voor studentenwerving en de handleiding om een AI-agent te kiezen. Het totaalbeeld staat in de gids over de AI-chatbot voor studentenwerving.