GDPR-compliant messenger voor bedrijven (2026): wat de leveranciers echt documenteren

"Welke messenger is GDPR-compliant?" is een vraag die geen enkele leverancier eerlijk kan beantwoorden met "wij zijn het". De GDPR legt de verplichtingen bij jou, de verwerkingsverantwoordelijke: je hebt een verwerkersovereenkomst nodig (art. 28), je moet weten waar de gegevens staan en of ze naar een derde land gaan, en je moet kunnen verwijderen en inzageverzoeken kunnen beantwoorden. Een messenger kan die verplichtingen uitvoerbaar maken, of niet. Een badge op een homepage zegt niet meer dan dat.

Deze gids doet daarom iets anders dan de gebruikelijke lijstjes. Hij neemt zes controles die een functionaris voor gegevensbescherming sowieso uitvoert en past ze toe op twaalf diensten: de consumentenmessengers waar bedrijven daadwerkelijk op werken (WhatsApp, Signal, Telegram), de zakelijke messengers uit Zwitserland en Duitsland (Threema Work, Teamwire, Wire, Stackfield), de zelf gehoste platformen (Element, Mattermost, Rocket.Chat) en de twee bundels (Microsoft Teams, Slack). Daarna InterMIND, dat wij zelf bouwen, op dezelfde criteria en met dezelfde bronregel. Elke bewering komt uit de openbare documentatie van de leverancier, gecontroleerd in augustus 2026 en onderaan gelinkt.

Er komt een zevende controle bij, die nooit op GDPR-lijsten staat en in een internationaal team elke dag telt: in welke taal leest elk lid het kanaal? Een messenger die berichten alleen in het origineel opslaat, schuift vertalen door naar het individu, en naar diensten die de gegevens dan opnieuw verwerken.

De zes controles

De Duitse federale toezichthouder voor gegevensbescherming (BfDI) publiceert selectiecriteria voor messengerdiensten, de bruikbaarste openbare maatstaf. Ze definiëren end-to-end-versleuteling als berichten die "op het apparaat van de afzender worden versleuteld en pas op het apparaat van de ontvanger weer worden ontsleuteld", noemen privacy-instellingen zoals toegang tot het adresboek, zichtbaarheid van het profiel, leesbevestigingen, gebruiksanalyses en foutrapportage, en eisen accountverwijdering waarbij gegevens "onmiddellijk worden verwijderd". Voor zakelijk gebruik komen daar de verplichtingen van art. 28 bovenop. Samen:

1. Verwerkersovereenkomst (DPA). Biedt de leverancier er een aan, en staat die in de documentatie?
2. Entiteit en serverlocatie. Welk bedrijf is je contractpartij, waar staan de gegevens, is er sprake van doorgifte naar een derde land?
3. Versleuteling. End-to-end, of transport- en serverzijdig? Beide zijn legitiem, ze moeten alleen benoemd worden.
4. Metadata en adresboek. Wordt het adresboek geüpload? Welke gebruiks- en apparaatgegevens worden verzameld, en met wie worden ze gedeeld?
5. Verwijdering en bewaring. Waar staat de geschiedenis, wie verwijdert haar, wat gebeurt er als een medewerker vertrekt?
6. Subverwerkers. Worden ze gepubliceerd, inclusief de diensten voor AI-functies en vertaling?

Plus de zevende: taal per lid.

De consumentenmessengers op het werk

WhatsApp (en de WhatsApp Business-app)

• Contractpartij: voor de EER "WhatsApp Ireland Limited".
• Versleuteling en opslag: berichten zijn end-to-end versleuteld; "wij bewaren je berichten niet in het kader van de gewone dienstverlening aan jou. Zodra je berichten zijn afgeleverd, worden ze van onze servers verwijderd." De geschiedenis staat dus op de apparaten van medewerkers en in hun back-ups.
• Metadata: verzameld worden "informatie over je gebruik van onze diensten", apparaatgegevens ("hardwaremodel, informatie over het besturingssysteem, batterijniveau, signaalsterkte") en, optioneel, het adresboek ("contacten regelmatig uploaden … vanuit het adresboek van je apparaat"). Gegevens worden gedeeld met "Meta-bedrijven in de Verenigde Staten en Ierland" en "wereldwijd" doorgegeven.
• DPA: het privacybeleid van de app noemt geen verwerkersovereenkomst voor bedrijven (gecontroleerd in augustus 2026). De Business-app is "gebouwd met de kleine ondernemer in gedachten".
• Taal: sinds september 2025 kan een bericht worden vertaald met een lange druk, op het apparaat zelf ("vertalingen vinden plaats op je apparaat, waar WhatsApp ze niet kan zien"); Android kan hele chats automatisch vertalen (zes talen bij de lancering), iPhone gebruikt de vertaling van Apple in 19+ talen. Spraakberichten en gesprekken maken geen deel uit van de aankondiging.

Signal

• Contractpartij: Signal Messenger LLC, Mountain View, Californië, een non-profitorganisatie.
• Versleuteling: "Signal kan de inhoud van je berichten of gesprekken niet ontsleutelen of anderszins inzien."
• Metadata: registratie met telefoonnummer; technische gegevens zijn beperkt "tot het minimum dat nodig is om de diensten te laten werken".
• DPA: geen gedocumenteerd in de juridische documenten van Signal (gecontroleerd in augustus 2026).
• Taal: geen vertaalfunctie gedocumenteerd.

Telegram

• Contractpartij en locatie: "Telegram Messenger Inc.", met "Telegram FZ-LLC, een groepsmaatschappij gevestigd in Dubai"; voor gebruikers in de EU/EER worden "je gegevens opgeslagen in datacenters in Nederland". De GDPR-vertegenwoordiger is het European Data Protection Office (EDPO) in Brussel.
• Versleuteling: cloudchats zijn serverzijdig versleuteld, "alle gegevens worden zwaar versleuteld opgeslagen en de versleutelingssleutels worden telkens opgeslagen in meerdere andere datacenters in verschillende rechtsgebieden", en alleen geheime chats zijn end-to-end: "Geheime chats gebruiken end-to-end-versleuteling."
• DPA: niet gedocumenteerd in het privacybeleid (gecontroleerd in augustus 2026).
• Taal: "Alle gebruikers kunnen afzonderlijke berichten vertalen"; Premium-gebruikers "kunnen hele chats, groepen en kanalen in realtime vertalen door op de vertaalbalk bovenaan te tikken".

Alle drie zijn tools waarin teams echt werken. Wat ze delen: de geschiedenis hoort bij het apparaat of bij de cloud van de leverancier, niet bij het bedrijf, en de DPA die art. 28 vereist komt in geen van de drie documentaties voor.

Zakelijke messengers uit Zwitserland en Duitsland

Threema Work

• Locatie: Zwitserland. De leverancier merkt op dat gegevensdoorgifte van de EU naar Zwitserland juridisch toegestaan is zonder verdere toetsing.
• Metadata: Threema Work "vereist geen persoonsgegevens (zoals een telefoonnummer of e-mailadres)" en "kan zonder toegang tot het adresboek worden gebruikt".
• DPA: volgens de leverancier "voldoet Threema Work aan de eisen voor gegevensbeschermingsconforme verwerking ten behoeve van een verwerkingsverantwoordelijke onder de GDPR en de Zwitserse DSG".
• Proefperiode: "30 dagen, 30 gebruikers. Geen automatische verlenging." Prijzen per gebruiker staan niet op de pagina.
• Taal: geen vertaalfunctie gedocumenteerd.

Teamwire

• Locatie: "Duitse publieke cloud (IONOS, C5-gecertificeerd)", "dedicated private cloud" of "volledige on-premise hosting"; "hosting in Duitsland in plaats van in de VS", "geen opslag buiten de EU".
• Certificeringen: "ISO 27001, BSI C5, TÜV-gecertificeerd"; genoemd worden EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA en CER.
• Metadata: "geen toegang tot het adresboek" en "geen analyse van communicatie".
• GDPR: de leverancier omschrijft zichzelf als "100 % GDPR-compliant", een zelfbeschrijving waar de DPA per geval invulling aan moet geven. Geen prijzen op de pagina.
• Taal: geen vertaalfunctie gedocumenteerd.

Wire

• Locatie: "cloud, on-premises of hybride".
• Versleuteling: MLS-protocol; "berichten, bestanden en gesprekken zijn standaard volledig E2EE"; videogesprekken "met maximaal 200 deelnemers", elke sessie end-to-end versleuteld.
• Certificeringen: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "volledig conform strikte gegevensbeschermingsregels, waaronder de GDPR" (zelfbeschrijving). Geen prijzen per gebruiker op de pagina.
• Taal: geen vertaalfunctie gedocumenteerd.

Stackfield

• Locatie: "alle gegevensverwerking is beperkt tot de EU en de gegevens zelf staan uitsluitend in Duitse datacenters"; het bedrijf valt "uitsluitend onder de rechtsmacht van Duitsland en de EU".
• Versleuteling: "echte end-to-end-versleuteling" voor berichten, bestanden en taken.
• Certificeringen: ISO 27001, BSI C5.
• Meetings: audio- en videoconferenties inbegrepen.
• Taal: geen vertaalfunctie gedocumenteerd.

De vier beantwoorden de vragen over locatie en versleuteling zo duidelijk als een leverancier maar kan. Wat geen van hen documenteert: een vertaling waarmee een Poolse, een Portugese en een Duitse collega hetzelfde kanaal in hun eigen taal kunnen lezen.

Zelf gehoste platformen

Element (Matrix)

• Versleuteling: "het hele platform is standaard end-to-end versleuteld", inclusief Element Call voor spraak en video.
• Beheer: Community gratis, zelf gehost; Enterprise per seat per maand, zelf gehost; Sovereign per deployment, air-gapped.
• Taal: geen vertaalfunctie gedocumenteerd. Bij end-to-end-versleuteling is er serverzijdig ook geen plek voor.

Mattermost

• Beheer: Professional en Enterprise als zelf gehoste jaarlicenties, prijzen op aanvraag; Mattermost Cloud Enterprise als single-tenant-aanbod.
• Taal: automatische kanaalvertaling (bèta, sinds v11.5) op Enterprise Advanced: de back-end is "LibreTranslate: een zelf gehoste, open-source machinevertaalengine" of "Agents: gebruikt de Mattermost Agents-plug-in met een geconfigureerde LLM-back-end"; de doeltaal van een gebruiker "wordt bepaald door zijn of haar weergavetaal in Mattermost". De vertaling draait op je eigen server.

Rocket.Chat

• Beheer: het Starter-plan is gratis, "zelfbeheerd, zelf gehost", "voor technische evaluatie of kleine teams tot 50 gebruikers"; betaalde plannen zijn Commercial, Government en Defense, on-premises, private cloud of air-gapped, prijzen op aanvraag.
• Taal: Auto-Translate per ruimte, "elke gebruiker ontvangt vertalingen op basis van de eigen gekozen taal", via DeepL, Google Translate, Microsoft Translator of LibreTranslate, met een API-sleutel die de beheerder aanlevert. De berichttekst gaat dus naar de aanbieder die je hebt gekozen, tenzij het LibreTranslate op je eigen host is.

Nextcloud Talk hoort in dezelfde groep: "een volledig zelf gehoste, on-premises communicatiedienst voor audio, video en chat", met live transcriptie en vertaling op je eigen hardware (details in de vergelijking van teamcommunicatietools).

De bundels: Microsoft Teams en Slack

Microsoft Teams

• DPA: "Wanneer je je abonneert op een product onder de voorwaarden van de Product Terms-site, worden de voorwaarden voor gegevensverwerking en beveiliging vastgelegd in de Microsoft Online Services Data Protection Addendum (DPA)."
• Locatie: Teams-gegevens staan "in de geografische regio die bij je Microsoft 365- of Office 365-organisatie hoort"; landresidentie (Duitsland, Frankrijk, Italië, Noorwegen, Polen, Zweden, Zwitserland en andere) geldt "alleen voor nieuwe tenants", bestaande EU-tenants blijven in de EMEA-regio. De EU Data Boundary verplicht Microsoft om klantgegevens voor Microsoft 365 binnen de EU/EFTA op te slaan en te verwerken, "onder beperkte omstandigheden" met gedocumenteerde uitzonderingen; klanten met Multi-Geo vallen erbuiten.
• Taal: chat- en kanaalberichten worden op verzoek of automatisch vertaald ("Teams kan ontvangen berichten automatisch vertalen"), 100+ talen, zonder genoemde licentie; in meetings vereisen vertaalde ondertitels de Teams Premium- of Copilot-licentie van de organisator, en de Interpreter-agent (10 talen) vereist een Copilot-licentie per luisteraar, 20 uur per maand. Details: live vertaling in Teams.

Slack

• DPA: "Slack biedt een Data Processing Addendum aan die de Customer Terms of Service aanvult", afgesloten via een formulier en niet automatisch onderdeel van de voorwaarden.
• Locatie: dataresidentie vanaf Business+: Frankfurt, Parijs, Stockholm, Zürich, Londen. Gedekt: berichten, canvassen, bestanden en de zoekindex; niet gedekt: ledenprofielen en gebruiksanalyses. Het Free-plan bewaart 90 dagen berichtgeschiedenis.
• Taal: "Bericht vertalen" op Business+ en Enterprise+, op verzoek per bericht; "vertalingen zijn alleen voor jou zichtbaar, dus anderen zien altijd het oorspronkelijke bericht."

InterMIND

Wij bouwen een communicatieruimte waarin elk lid meetings, chat, documenten en de eigen geschiedenis in de eigen taal leest, en toetsen haar aan dezelfde zeven controles:

1. DPA: per klant ondertekend, met verwerkersvoorwaarden conform art. 28, een aanmeldtermijn van 30 dagen voor nieuwe subverwerkers en een meldtermijn van 72 uur voor datalekken; een ondertekend exemplaar is beschikbaar voor inkoop (/legal/dpa).
2. Entiteit en locatie: beheerd door een Estse OÜ; de runtime draait bij elke schakel in de EU: spraak- en chatvertaling op onze eigen engine op dedicated servers in Frankrijk, meeting-orkestratie in Parijs, database in Frankfurt, opslag en analyse binnen de EU. De kaart, leverancier voor leverancier: waar één InterMIND-meeting daadwerkelijk draait.
3. Versleuteling: transportversleuteling: audio en video via DTLS/SRTP, chat en bestanden via HTTPS/WSS en versleuteld opgeslagen op onze servers. Geen end-to-end-versleuteling: vertalen is verwerken, en dat gebeurt op onze eigen engine, niet bij een derde partij. Als E2EE voor jou boven alles gaat, zijn Element, Wire of Threema beter geschikt. Dat zeggen we er gewoon bij.
4. Metadata en adresboek: geen upload van het adresboek; deelnemers sluiten aan via een link, zonder account en zonder telefoonnummer.
5. Verwijdering en bewaring: het bewaarcriterium staat in het privacybeleid: gegevens blijven bestaan tot jij of de teameigenaar ze verwijdert; als een account wordt verwijderd, worden ook de bijbehorende gegevens verwijderd. We hebben onze eigen code getoetst aan de GDPR-verplichtingen en vastgelegd wat we hebben gedicht: GDPR-audit.
6. Subverwerkers: gepubliceerd, met functie en vestigingsplaats per leverancier. De stappen met taalmodellen (recap, documentsamenvattingen, schrijfassistent, Ask AI) draaien op de AI-gateway die de organisatie kiest: standaard Azure OpenAI in de EU Data Zone, naar keuze Vertex AI EU of Amazon Bedrock Frankfurt. Dat gebeurt in de eigen tenant van InterMIND, met zero data retention en zonder training op klantinhoud; de leveranciers zijn Amerikaanse bedrijven die EU-regio's exploiteren, zoals vermeld op de trustpagina. Documentvertaling loopt via DeepL als genoemde EU-subverwerker.
7. Taal per lid: chat en notities in 23 talen, documenten in 30, live spraak voor elke deelnemer in de eigen taal, als standaardgedrag van de ruimte, zonder add-ons of licenties per luisteraar. De kwaliteit wordt maandelijks per taalpaar gepubliceerd: /benchmark.

Wat we niet beweren: een ISO-certificaat dat we nog niet hebben. Ons antwoord op de checklist is architecturaal en verifieerbaar in de code; certificeringen staan op de roadmap.

Het overzicht

Welke messenger voor welk geval

• End-to-end-versleuteling is je eerste criterium en vertaling doet er niet toe: Threema Work (Zwitserland, geen telefoonnummer), Wire (MLS, gesprekken inbegrepen), Stackfield (Duitse datacenters) of Element (zelf gehost, gratis in de Community-editie).
• Alles moet op je eigen servers draaien en je hebt het personeel daarvoor: Rocket.Chat (gratis tot 50 gebruikers, vertaling via de sleutel van je eigen aanbieder), Mattermost Enterprise Advanced (kanaalvertaling in bèta op je eigen LibreTranslate of LLM), Nextcloud Talk.
• Je bent sowieso klant van Microsoft of Slack: beide documenteren een DPA en EU-residentie, Teams via de tenantregio en de EU Data Boundary, Slack vanaf Business+. Vertaling gebeurt per lezer, op verzoek; de meetingtaal in Teams hangt af van Copilot-licenties.
• Het team werkt in WhatsApp, Signal of Telegram: diensten die gedocumenteerd zijn voor privécommunicatie en deels end-to-end versleuteld zijn, maar zonder gedocumenteerde DPA, met de geschiedenis op apparaten of in de cloud van de leverancier, en bij WhatsApp met gebruiks- en apparaatgegevens die naar Meta-bedrijven in de VS gaan. Een DPO zal vragen stellen die de documentatie niet beantwoordt.
• Het kanaal zelf is meertalig: collega's en klanten die elkaar in drie talen antwoorden, gasten zonder jouw licenties en een compliance-team dat de locatie wil kunnen benoemen. Daarvoor bouwen wij InterMIND: elk lid leest de ruimte in de eigen taal, gasten komen binnen via een link zonder jouw licenties; EU bij elke schakel, een DPA per klant en gepubliceerde subverwerkers zijn de ene regel voor de DPO.

Zie het zelf in plaats van erover te lezen

• Probeer de live demo: zonder aanmelding; spreek, en hoor de ruimte per luisteraar vertaald in een van de 23 talen.
• Bekijk de benchmark: vertaalkwaliteit per taalpaar, maandelijks, op echt verkeer, met openbare methodologie.
• Lees de subverwerkers: functie en vestigingsplaats per leverancier, zonder aanvraag.

FAQ

Welke messengers zijn GDPR-compliant?

Geen enkele uit zichzelf: de verplichtingen liggen bij het bedrijf. Wat wel te controleren valt, is of de leverancier ze uitvoerbaar maakt. Een DPA is gedocumenteerd door Microsoft Teams (via de Product Terms), Slack (via een formulier), Threema Work (leverancier: GDPR/DSG-conforme verwerking) en InterMIND (per klant, art. 28); Teamwire en Wire omschrijven zichzelf als GDPR-compliant. Bij WhatsApp, Signal en Telegram noemt de documentatie geen DPA (gecontroleerd in augustus 2026). Zelf gehoste diensten (Element, Mattermost, Rocket.Chat, Nextcloud) verplaatsen de vraag naar je eigen beheer.

Is Signal GDPR-compliant?

Signal documenteert end-to-end-versleuteling ("Signal kan de inhoud van je berichten of gesprekken niet ontsleutelen of anderszins inzien") en technische gegevens die tot het minimum beperkt zijn; de contractpartij is Signal Messenger LLC in Californië, registratie gaat met een telefoonnummer. De juridische documenten noemen geen verwerkersovereenkomst voor bedrijven. Privégebruik is een ander verhaal dan zakelijk gebruik, dat aan art. 28 moet voldoen.

Is WhatsApp GDPR-compliant voor zakelijk gebruik?

WhatsApp Ireland documenteert end-to-end-versleuteling en dat afgeleverde berichten van de servers worden verwijderd, en tegelijk ook gebruiks- en apparaatgegevens, optionele upload van het adresboek en delen met "Meta-bedrijven in de Verenigde Staten en Ierland". Het privacybeleid noemt geen DPA voor de app; de Business-app is volgens de leverancier gebouwd voor kleine ondernemers. Wie WhatsApp in een bedrijf gebruikt, moet deze punten zelf tegenover de DPO verantwoorden.

Is Telegram GDPR-compliant?

Telegram stelt dat EU-gegevens in Nederland worden opgeslagen en noemt een EU-vertegenwoordiger (EDPO, Brussel); cloudchats zijn serverzijdig versleuteld met sleutels "in meerdere andere datacenters in verschillende rechtsgebieden", alleen geheime chats zijn end-to-end. Er is geen DPA gedocumenteerd. Dat is een gedocumenteerde gegevenssituatie, geen GDPR-compliance in de zin van art. 28.

Is Microsoft Teams GDPR-compliant?

Microsoft documenteert de DPA als onderdeel van de Product Terms, de opslag van Teams-gegevens in de regio van de tenant (landresidentie alleen voor nieuwe tenants) en de EU Data Boundary voor Microsoft 365-klanten in de EU/EFTA, met gedocumenteerde uitzonderingen. Voor bedrijven die al op Teams zitten is dat een solide basis; de vertaalfuncties in meetings hangen af van Copilot-licenties per organisator en luisteraar.

Wat moet een GDPR-compliant messenger voor bedrijven bieden?

Zes gedocumenteerde antwoorden in plaats van een badge: een DPA onder art. 28, een benoemde entiteit en serverlocatie zonder onverklaarde doorgifte naar een derde land, een benoemd versleutelingsmodel, controle over adresboek en metadata, een verwijderconcept dat ook het vertrek van een medewerker dekt, en een gepubliceerde lijst van subverwerkers, inclusief de AI- en vertaaldiensten. Voor internationale teams komt er een zevende punt bij: een messenger die het kanaal alleen in het origineel opslaat, schuift vertalen door naar elk individu.

Bestaat er een gratis GDPR-compliant messenger voor bedrijven?

Gratis en zelf gehost: Rocket.Chat Starter (tot 50 gebruikers) en Element Community. De GDPR-verplichtingen liggen dan volledig in je eigen beheer. Threema Work biedt 30 dagen voor 30 gebruikers zonder betaalgegevens. Bij InterMIND is deelnemen gratis voor elke deelnemer, aansluiten kan via een link zonder account, en de live demo vereist geen aanmelding; de host betaalt voor de ruimte.

Bronnen: BfDI — Selectiecriteria voor messengerdiensten (Duits), WhatsApp — Privacybeleid (EER), WhatsApp — Privacybeleid, WhatsApp-blog — Introductie van berichtvertalingen, WhatsApp Business-app, Signal — Voorwaarden en privacybeleid, Telegram — Privacybeleid, Telegram-blog — Realtime vertaling, Threema — GDPR-compliant messenger (Duits), Teamwire — GDPR-compliant messenger (Duits), Wire — Wire vs. MS Teams (Duits), Stackfield — Alternatief voor Microsoft Teams (Duits), Element — Prijzen, Mattermost — Prijzen, Mattermost — Auto-vertaling instellen (bèta), Rocket.Chat — Onze plannen, Rocket.Chat — Berichten automatisch vertalen, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Locatie van gegevens in Microsoft Teams, Microsoft Learn — Wat is de EU Data Boundary?, Microsoft — Een bericht vertalen in Microsoft Teams, Microsoft — Interpreter in Teams-meetings en -gesprekken, Slack — Data Processing Addendum, Slack — Dataresidentie voor Slack, Slack — Prijzen, Slack — Gids voor AI-functies in Slack. Leveranciers wijzigen na verloop van tijd plannen, locaties, functies en zelfbeschrijvingen; raadpleeg hun pagina's voor de actuele stand. Alle feiten gecontroleerd in augustus 2026.