GDPR voor een Amerikaans bedrijf: wanneer ze geldt en wat de website nodig heeft

De GDPR geldt voor Amerikaanse bedrijven zodra ze goederen of diensten aanbieden aan mensen in de EU, betaald of gratis, of het gedrag van mensen in de EU volgen, bijvoorbeeld met statistiekenprofielen of retargetingpixels. Daar is geen kantoor, server of enkele medewerker in Europa voor nodig. Wat de website dan nodig heeft: een wettelijke grond voor elk doel, toestemming voor Europese bezoekers gevolgd worden, een privacyverklaring die voor hen geschreven is, en een wettelijke route voor elke doorgifte van hun gegevens naar de Verenigde Staten.

Voor een Vlaams bedrijf is dat om twee redenen nuttig. Werk je met Amerikaanse leveranciers, van een CRM tot een SaaS voor planning, dan weet je zo wat je van hen mag vragen. En hoort je bedrijf bij een Amerikaanse groep, of verkoopt een Amerikaanse partner via jou in Europa, dan weet je wat er aan Amerikaanse kant in orde moet.

De Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679) geldt sinds 25 mei 2018. Artikel 3 bepaalt de reikwijdte. Artikel 3, lid 1 dekt elke verwerking in het kader van een vestiging in de EU. Artikel 3, lid 2 dekt een bedrijf zonder enige vestiging in de EU, als het zich richt op mensen die in de EU zijn: door hun goederen of diensten aan te bieden, of door hun gedrag daar te volgen. Nationaliteit telt niet; de plaats wel. Een Amerikaan op vakantie in Parijs telt mee, een Europeaan die in Texas woont niet.

Goederen of diensten aanbieden: wat telt

Een website die mensen in de EU gewoon kunnen openen, volstaat niet. Het Europees Comité voor gegevensbescherming (EDPB) zoekt in zijn richtlijnen 3/2018 over de territoriale reikwijdte naar tekenen dat je mensen in de EU wilt bedienen:

Geen enkel teken beslist alleen; samen tonen ze de bedoeling. Een B2B-softwarebedrijf met Europese klanten valt erbinnen, omdat de mensen van wie het gegevens verwerkt, de gebruikers bij die klanten, in de EU zitten. Een Amerikaanse webshop die naar Duitsland verstuurt en prijzen in euro toont, valt erbinnen. Een lokaal Amerikaans restaurant waarvan de site toevallig in Dublin gelezen wordt, niet.

Gedrag volgen: de val voor Amerikaanse sites

De tweede toets vangt meer Amerikaanse bedrijven dan de eerste. Gedrag volgen betekent mensen op het internet volgen om hun voorkeuren, gedrag of houding te analyseren of te voorspellen. Gedragsstatistieken, retargetingdoelgroepen, een Meta-pixel die eigen doelgroepen opbouwt, een sessierecorder: draaien ze op Europese bezoekers, dan volgen ze gedrag in de EU.

Daarom kan een Amerikaanse site zonder Europese ambities toch onder de GDPR vallen voor haar tracking, ook als ze nooit iets in Europa verkoopt. De oplossing is Europese bezoekers niet meer volgen, of hun eerst toestemming vragen, wat de Europese cookieregels toch al eisen; zie is een cookiebanner verplicht.

De EU-vertegenwoordiger volgens artikel 27

Een bedrijf dat onder artikel 3, lid 2 valt, moet een vertegenwoordiger aanstellen in een van de lidstaten waar de mensen zitten die het bedient of volgt. De vertegenwoordiger is het aanspreekpunt voor toezichthouders en voor personen, en staat in de privacyverklaring. Hij is niet de functionaris voor gegevensbescherming en draagt de aansprakelijkheid niet, maar toezichthouders kunnen handhaving tot hem richten.

Er is een uitzondering: verwerking die occasioneel is, geen bijzondere categorieën of strafrechtelijke gegevens op grote schaal omvat, en waarschijnlijk geen risico voor mensen inhoudt. Een SaaS-product met dagelijkse Europese gebruikers valt er niet onder. Een Amerikaanse fabrikant die een paar Europese vragen per jaar per mail beantwoordt, misschien wel. Gespecialiseerde bedrijven bieden de vertegenwoordiging als dienst aan; laat een jurist bevestigen of het nodig is.

Wordt ook het Verenigd Koninkrijk bediend, dan heeft het VK na de brexit een eigen GDPR en een eigen regel voor een vertegenwoordiger. Beide groeiden sinds 2026 uit elkaar; zie UK GDPR vs EU GDPR.

Europese gegevens naar de Verenigde Staten

Elke keer dat Europese persoonsgegevens op een server in de VS landen, of door een team in de VS gelezen worden, is dat een doorgifte onder hoofdstuk V van de GDPR. Ze heeft een wettelijke route nodig. In de praktijk bestaan er drie:

Het DPF is vandaag geldig. Op 3 september 2025 verwierp het Gerecht van de EU het beroep van het Franse parlementslid Philippe Latombe (zaak T-553/23), en oordeelde dat de Amerikaanse waarborgen voor toegang door inlichtingendiensten onder Executive Order 14086 passend waren. Latombe ging op 31 oktober 2025 in hoger beroep bij het Hof van Justitie (zaak C-703/25 P), en dat beroep loopt. De voorgangers van het DPF, Safe Harbor in 2015 en Privacy Shield in 2020, werden door datzelfde Hof vernietigd. Daarom vragen veel Europese kopers aan Amerikaanse leveranciers om de SCC's als terugval in het contract te zetten. Dat mag jij ook vragen.

Hoe zwaar dit weegt, tonen de boetes. De Ierse gegevensbeschermingsautoriteit beboette Meta in mei 2023 met 1,2 miljard euro voor het doorgeven van gegevens van Europese gebruikers naar de VS zonder passende bescherming. De Nederlandse Autoriteit Persoonsgegevens beboette Uber in augustus 2024 met 290 miljoen euro omdat het meer dan twee jaar gegevens van Europese chauffeurs zonder geldig doorgifte-instrument naar de VS stuurde. De hoogste boete onder de GDPR is 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, het hoogste van de twee.

Waar de gegevens fysiek staan, en of hosting in een EU-regio ze buiten bereik van Amerikaans recht houdt, is een vraag apart; zie data residency in Europa.

Wat een Amerikaanse website verandert voor Europese bezoekers

Het meeste werk zit op de website en in de tools errond. Een checklist in de volgorde waarin wij het aanpakken:

Twee Amerikaanse gewoonten vragen het meeste herdenken. Ten eerste is opt-out de Amerikaanse standaard voor marketing en tracking; onder de GDPR is het opt-in. Ten tweede gaat naleving van de CCPA niet zomaar over: Californië vraagt een opt-out van verkoop en delen te respecteren, Europa vraagt een wettelijke grond voor je begint.

Een rekenvoorbeeld: een Amerikaanse SaaS met Europese klanten

Neem een softwarebedrijf in Austin dat een planningstool verkoopt aan kleine bedrijven, met 300 klanten in België, Duitsland en Nederland. Zijn medewerkers in de VS loggen in op het beheerpaneel; de app draait in een Amerikaanse cloudregio.

1. Artikel 3, lid 2, a geldt: het biedt een dienst aan bedrijven waarvan de gebruikers in de EU zitten, en het verwerkt de gegevens van die gebruikers.
2. Het is verwerker voor de gegevens van zijn klanten en verwerkingsverantwoordelijke voor zijn eigen marketinggegevens. Zijn klanten, zoals een Vlaamse kmo, zullen een verwerkersovereenkomst vragen, en de lijst van subverwerkers.
3. Het heeft een EU-vertegenwoordiger nodig: dagelijkse verwerking is niet occasioneel.
4. Doorgiftes: ofwel certificeert het zich onder het DPF, ofwel tekent het SCC's met elke klant. Veel Europese kopers vragen beide.
5. Zijn website volgt bezoekers met een remarketingpixel: Europese bezoekers krijgen een cookiebanner.
6. Verschillende Duitse klanten vragen hosting in de EU in hun aanbesteding. De app naar een EU-regio verhuizen, beantwoordt dat, en houdt toegang vanuit de VS als gedocumenteerde uitzondering.

Niets hiervan is exotisch, maar het is werk, en het is veel goedkoper om het in te bouwen dan om het achteraf aan te passen nadat de eerste grote klant een beveiligingsvragenlijst stuurt.