GDPR-conforme messenger voor bedrijven (2026): wat leveranciers daadwerkelijk documenteren

"Welke messenger is GDPR-conform?" is een vraag die geen leverancier oprecht kan beantwoorden met "wij zijn dat". De GDPR legt de verplichtingen bij u, de verwerkingsverantwoordelijke: u hebt een verwerkersovereenkomst nodig (art. 28), u moet weten waar de gegevens zich bevinden en of ze naar een derde land gaan, u moet gegevens kunnen verwijderen en verzoeken om inzage kunnen beantwoorden. Een messenger kan die verplichtingen uitvoerbaar maken — of niet. Een badge op een homepage zegt niets meer dan dat.

Deze gids doet daarom iets anders dan de gebruikelijke lijstjes. We nemen zes controles die een functionaris voor gegevensbescherming toch al stelt en passen die toe op twaalf diensten: de consumentenmessengers waarop bedrijven in de praktijk draaien (WhatsApp, Signal, Telegram), de zakelijke messengers uit Zwitserland en Duitsland (Threema Work, Teamwire, Wire, Stackfield), de zelf-gehoste platformen (Element, Mattermost, Rocket.Chat) en de twee bundels (Microsoft Teams, Slack). Daarna InterMIND, dat wij bouwen — op dezelfde criteria en met dezelfde bronregel. Elke uitspraak komt uit de publieke documentatie van de leverancier, gecontroleerd in augustus 2026, gelinkt aan het einde.

Daar komt een zevende controle bij, een die nooit op GDPR-lijstjes staat maar elke dag telt in een internationaal team: in welke taal leest elk lid het kanaal? Een messenger die berichten alleen in het origineel opslaat, schuift de vertaling af op het individu — en op diensten die de gegevens vervolgens opnieuw verwerken.

De zes controles

De Duitse federale commissaris voor gegevensbescherming (BfDI) publiceert selectiecriteria voor messengerdiensten, de meest bruikbare publieke maatstaf. Ze definiëren end-to-end-encryptie als berichten die "op het apparaat van de verzender worden versleuteld en alleen op het apparaat van de ontvanger weer worden ontsleuteld", noemen privacyinstellingen zoals toegang tot het adresboek, zichtbaarheid van het profiel, leesbevestigingen, gebruiksanalyse en foutrapportage, en eisen accountverwijdering waarbij gegevens "onmiddellijk worden verwijderd". Voor zakelijk gebruik komen de verplichtingen uit art. 28 daar nog bovenop. Samen:

1. Verwerkersovereenkomst (DPA). Biedt de leverancier er een aan — en staat die in de documentatie?
2. Entiteit en serverlocatie. Welk bedrijf is uw contractpartij, waar bevinden de gegevens zich, is er sprake van doorgifte naar een derde land?
3. Encryptie. End-to-end, of transport- en serverzijdig? Beide zijn legitiem — ze moeten alleen benoemd worden.
4. Metadata en adresboek. Wordt het adresboek geüpload? Welke gebruiks- en apparaatgegevens worden verzameld, en met wie worden die gedeeld?
5. Verwijdering en bewaartermijn. Waar bevindt de geschiedenis zich, wie verwijdert die, wat gebeurt er als een medewerker vertrekt?
6. Subverwerkers. Zijn die gepubliceerd — inclusief de diensten die gebruikt worden voor AI-functies en vertaling?

Plus de zevende: taal per lid.

De consumentenmessengers in de praktijk

WhatsApp (en de WhatsApp Business-app)

• Contractpartij: voor de EEA, "WhatsApp Ireland Limited".
• Encryptie en opslag: berichten zijn end-to-end versleuteld; "we bewaren uw berichten niet in het normale verloop van het leveren van onze diensten aan u. Zodra uw berichten zijn afgeleverd, worden ze van onze servers verwijderd." De geschiedenis bevindt zich dus op de apparaten van medewerkers en in hun back-ups.
• Metadata: verzameld worden "informatie over uw gebruik van onze diensten", apparaatgegevens ("hardwaremodel, informatie over het besturingssysteem, batterijniveau, signaalsterkte") en, optioneel, het adresboek ("contactupload … uit het adresboek op uw apparaat, op regelmatige basis"). Gegevens worden gedeeld met "Meta Companies in de Verenigde Staten en Ierland" en "wereldwijd" overgedragen.
• DPA: het privacybeleid van de app noemt geen verwerkersovereenkomst voor bedrijven (gecontroleerd augustus 2026). De Business-app "is gemaakt met de kleine ondernemer in gedachten".
• Taal: sinds september 2025 kan een bericht vertaald worden door lang te drukken — op het apparaat ("vertalingen gebeuren op uw apparaat, waar WhatsApp ze niet kan zien"); Android kan hele chats automatisch vertalen (zes talen bij lancering), iPhone gebruikt de vertaling van Apple in 19+ talen. Voice-notes en gesprekken maken geen deel uit van de aankondiging.

Signal

• Contractpartij: Signal Messenger LLC, Mountain View, Californië — een non-profitorganisatie.
• Encryptie: "Signal kan de inhoud van uw berichten of gesprekken niet ontsleutelen of er op een andere manier toegang tot krijgen."
• Metadata: registratie via telefoonnummer; technische gegevens zijn beperkt "tot het minimum dat nodig is om de diensten te laten werken".
• DPA: niet gedocumenteerd in de juridische documenten van Signal (gecontroleerd augustus 2026).
• Taal: geen vertaalfunctie gedocumenteerd.

Telegram

• Contractpartij en locatie: "Telegram Messenger Inc.", met "Telegram FZ-LLC, een groepslid gevestigd in Dubai"; voor EU/EEA-gebruikers "worden uw gegevens opgeslagen in datacenters in Nederland". De GDPR-vertegenwoordiger is het European Data Protection Office (EDPO) in Brussel.
• Encryptie: cloudchats zijn serverzijdig versleuteld — "alle gegevens worden zwaar versleuteld opgeslagen en de encryptiesleutels worden telkens opgeslagen in verschillende andere datacenters in verschillende rechtsgebieden" — en alleen geheime chats zijn end-to-end: "Geheime chats gebruiken end-to-end-encryptie."
• DPA: niet gedocumenteerd in het privacybeleid (gecontroleerd augustus 2026).
• Taal: "Alle gebruikers kunnen individuele berichten vertalen"; Premium-gebruikers "kunnen hele chats, groepen en kanalen realtime vertalen door op de vertaalbalk boven in te tikken".

Alle drie zijn tools waarin teams daadwerkelijk werken. Wat ze gemeen hebben: de geschiedenis behoort tot het apparaat of tot de cloud van de leverancier, niet tot het bedrijf — en de DPA die art. 28 vereist, komt in geen van de drie documentaties voor.

Zakelijke messengers uit Zwitserland en Duitsland

Threema Work

• Locatie: Zwitserland. De leverancier merkt op dat een gegevensoverdracht van de EU naar Zwitserland wettelijk toegestaan is zonder verdere toetsing.
• Metadata: Threema Work "vereist geen persoonsgegevens (zoals een telefoonnummer of e-mailadres)" en "kan worden gebruikt zonder toegang tot het adresboek".
• DPA: volgens de leverancier voldoet Threema Work "aan de eisen voor gegevensbeschermingsconforme verwerking in opdracht van een verwerkingsverantwoordelijke onder de GDPR en de Zwitserse DSG".
• Proefperiode: "30 dagen, 30 gebruikers. Geen automatische verlenging." Prijzen per gebruiker staan niet op de pagina.
• Taal: geen vertaalfunctie gedocumenteerd.

Teamwire

• Locatie: "Duitse publieke cloud (IONOS, C5-gecertificeerd)", "toegewijde private cloud" of "volledige on-premise hosting"; "hosting in Duitsland in plaats van de VS", "geen opslag buiten de EU".
• Certificeringen: "ISO 27001, BSI C5, TÜV-gecertificeerd"; EU GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA en CER worden genoemd.
• Metadata: "geen toegang tot het adresboek" en "geen analyse van communicatie".
• GDPR: de leverancier omschrijft zichzelf als "100% GDPR-conform" — een zelfomschrijving die de DPA per geval moet waarmaken. Geen prijzen op de pagina.
• Taal: geen vertaalfunctie gedocumenteerd.

Wire

• Locatie: "cloud, on-premises of hybride".
• Encryptie: MLS-protocol; "berichten, bestanden en gesprekken zijn standaard volledig E2EE"; videogesprekken "met tot 200 deelnemers", elke sessie end-to-end versleuteld.
• Certificeringen: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "volledig conform strenge regels voor gegevensbescherming, waaronder GDPR" (zelfomschrijving). Geen prijzen per gebruiker op de pagina.
• Taal: geen vertaalfunctie gedocumenteerd.

Stackfield

• Locatie: "alle gegevensverwerking is beperkt tot de EU, en de gegevens zelf bevinden zich uitsluitend in Duitse datacenters"; het bedrijf valt "uitsluitend onder de jurisdictie van Duitsland en de EU".
• Encryptie: "echte end-to-end-encryptie" voor berichten, bestanden en taken.
• Certificeringen: ISO 27001, BSI C5.
• Meetings: audio- en videoconferenties inbegrepen.
• Taal: geen vertaalfunctie gedocumenteerd.

De vier beantwoorden de vragen over locatie en encryptie zo duidelijk als een leverancier maar kan. Wat geen van allen documenteert: een vertaling waarmee een Poolse, een Portugese en een Duitse collega hetzelfde kanaal in hun eigen taal kunnen lezen.

Zelf-gehoste platformen

Element (Matrix)

• Encryptie: "het volledige platform is standaard end-to-end versleuteld" — inclusief Element Call voor spraak en video.
• Uitvoering: Community gratis, zelf-gehost; Enterprise per seat per maand, zelf-gehost; Sovereign per implementatie, air-gapped.
• Taal: geen vertaalfunctie gedocumenteerd — met end-to-end-encryptie is er geen serverzijdige plek voor een vertaling.

Mattermost

• Uitvoering: Professional en Enterprise als zelf-gehoste jaarlicenties, prijzen op aanvraag; Mattermost Cloud Enterprise als single-tenant aanbod.
• Taal: automatische kanaalvertaling (beta, sinds v11.5) op Enterprise Advanced: back-end is "LibreTranslate: een zelf-gehoste, open-source machinevertaalengine" of "Agents: gebruikt de Mattermost Agents-plugin met een geconfigureerde LLM-backend"; de doeltaal van een gebruiker "wordt bepaald door hun Mattermost-weergavetaal". Vertaling draait op uw eigen server.

Rocket.Chat

• Uitvoering: het Starter-plan is gratis, "self-managed, self-hosted", "voor technische evaluatie of kleine teams tot 50 gebruikers"; betaalde plannen zijn Commercial, Government en Defense — on-premises, private cloud of air-gapped, prijzen op aanvraag.
• Taal: Auto-Translate per room — "elke gebruiker ontvangt vertalingen op basis van zijn eigen gekozen taal" — via DeepL, Google Translate, Microsoft Translator of LibreTranslate, met een API-key die de beheerder aanlevert. Berichttekst gaat dus naar de door u gekozen provider — tenzij het LibreTranslate op uw eigen host is.

Nextcloud Talk hoort in dezelfde groep: "een volledig zelf-gehoste, on-premises audio/video- en chatcommunicatiedienst", met live transcriptie en vertaling op uw eigen hardware (details in de vergelijking van teamcommunicatietools).

De bundels: Microsoft Teams en Slack

Microsoft Teams

• DPA: "Wanneer u zich abonneert op een product onder de voorwaarden van de Product Terms-site, worden de voorwaarden voor gegevensverwerking en beveiliging vastgelegd in het Microsoft Online Services Data Protection Addendum (DPA)."
• Locatie: Teams-gegevens bevinden zich "in de geografische regio die aan uw Microsoft 365- of Office 365-organisatie is gekoppeld"; landresidentie (Duitsland, Frankrijk, Italië, Noorwegen, Polen, Zweden, Zwitserland en andere landen) is "alleen voor nieuwe tenants", bestaande EU-tenants blijven in de EMEA-regio. De EU Data Boundary verplicht Microsoft om klantgegevens voor Microsoft 365 binnen de EU/EFTA op te slaan en te verwerken — "onder beperkte omstandigheden" met gedocumenteerde uitzonderingen; klanten met Multi-Geo vallen buiten de scope.
• Taal: chat- en kanaalberichten worden op verzoek of automatisch vertaald ("Teams kan ontvangen berichten automatisch vertalen"), 100+ talen, geen licentie genoemd; in meetings hebben vertaalde ondertitels de Teams Premium- of Copilot-licentie van de organisator nodig, en de Interpreter-agent (10 talen) heeft een Copilot-licentie per luisteraar nodig, 20 uur per maand. Details: Live-vertaling in Teams.

Slack

• DPA: "Slack biedt een Data Processing Addendum dat de Customer Terms of Service aanvult" — afgesloten via een formulier, niet automatisch van toepassing.
• Locatie: dataresidentie vanaf Business+: Frankfurt, Parijs, Stockholm, Zürich, Londen. Gedekt: berichten, canvases, bestanden en de zoekindex; niet gedekt: ledenprofielen en gebruiksanalyse. Het Free-plan houdt 90 dagen berichtgeschiedenis bij.
• Taal: "Vertaal bericht" op Business+ en Enterprise+, op verzoek per bericht; "vertalingen zijn alleen voor u zichtbaar, andere mensen zien altijd het originele bericht."

InterMIND

Wij bouwen een communicatieruimte waarin elk lid meetings, chat, documenten en de geschiedenis daarvan in zijn eigen taal leest — en toetsen die aan dezelfde zeven controles:

1. DPA: getekend per klant — verwerkersvoorwaarden onder art. 28 met een aankondigingstermijn van 30 dagen voor nieuwe subverwerkers en een meldtermijn van 72 uur bij een datalek; een getekend exemplaar is beschikbaar voor inkoop (/legal/dpa).
2. Entiteit en locatie: geëxploiteerd door een Estse OÜ; de runtime bevindt zich op elke hop binnen de EU — vertaling van spraak en chat op onze eigen engine op dedicated servers in Frankrijk, meeting-orkestratie in Parijs, database in Frankfurt, opslag en analyse binnen de EU. De kaart, leverancier per leverancier: waar een InterMIND-meeting daadwerkelijk draait.
3. Encryptie: transportencryptie — audio en video via DTLS/SRTP, chat en bestanden via HTTPS/WSS en versleuteld in rust op onze servers. Geen end-to-end-encryptie: vertaling is verwerking, en die gebeurt op onze engine, niet bij een derde partij. Als E2EE voor u boven alles gaat, zijn Element, Wire of Threema de betere keuze — dat zeggen we er gewoon bij.
4. Metadata en adresboek: geen adresboekupload; deelnemers doen mee via een link, zonder account en zonder telefoonnummer.
5. Verwijdering en bewaartermijn: het bewaarcriterium staat vastgelegd in het privacybeleid — gegevens blijven bestaan totdat u of uw team-eigenaar ze verwijdert; het verwijderen van een account verwijdert de bijbehorende gegevens. We hebben onze eigen code getoetst aan de GDPR-verplichtingen en gedocumenteerd wat we hebben opgelost: GDPR-audit.
6. Subverwerkers: gepubliceerd, met functie en vestigingsplaats per leverancier. De enige externe leverancier van taalmodellen (voor de samenvatting) is een EU-leverancier onder zero-data-retention-voorwaarden; documentvertaling loopt via DeepL als met naam genoemde EU-subverwerker. Geen enkele meeting-inhoud bereikt een model dat in de VS gevestigd is.
7. Taal per lid: chat en notities in 23 talen, documenten in 30, live spraak voor elke deelnemer in zijn eigen taal — als standaardgedrag van de ruimte, zonder add-ons of licenties per luisteraar. Kwaliteit wordt maandelijks per taalpaar gepubliceerd: /benchmark.

Wat we niet claimen: een ISO-certificaat dat we nog niet hebben. Ons antwoord op de checklist is architecturaal en verifieerbaar in de code; certificeringen staan op de roadmap.

Het overzicht

Welke messenger voor welke situatie

• End-to-end-encryptie is uw eerste criterium en vertaling maakt niet uit: Threema Work (Zwitserland, geen telefoonnummer), Wire (MLS, inclusief gesprekken), Stackfield (Duitse datacenters) of Element (zelf-gehost, gratis in de Community-editie).
• Alles moet op uw eigen servers draaien, en u hebt de mensen ervoor: Rocket.Chat (gratis tot 50 gebruikers, vertaling via uw eigen provider-key), Mattermost Enterprise Advanced (beta-kanaalvertaling op uw eigen LibreTranslate of LLM), Nextcloud Talk.
• U bent al klant bij Microsoft of Slack: beide documenteren een DPA en EU-residentie — Teams via de tenantregio en de EU Data Boundary, Slack vanaf Business+. Vertaling is per lezer, op verzoek; de meeting-taal in Teams hangt af van Copilot-licenties.
• Het team werkt in WhatsApp, Signal of Telegram: diensten gedocumenteerd voor privé-communicatie, deels end-to-end versleuteld — maar zonder gedocumenteerde DPA, met de geschiedenis op apparaten of in de cloud van de leverancier, en bij WhatsApp gebruiks- en apparaatgegevens die naar Meta-bedrijven in de VS gaan. Een FG stelt vragen die de documentatie niet beantwoordt.
• Het kanaal zelf is meertalig — collega's en klanten die elkaar in drie talen beantwoorden, gasten zonder uw licenties, en een compliance-team dat de locatie wil kunnen benoemen: daarvoor bouwen we InterMIND — EU op elke hop, DPA per klant, gepubliceerde subverwerkers, en elk lid dat de ruimte in zijn eigen taal leest.

Zie het in actie in plaats van erover te lezen

• Probeer de live demo — geen aanmelding nodig; spreek, en hoor de ruimte per luisteraar vertaald in een van de 23 talen.
• Bekijk de benchmark — per taalpaar, maandelijkse vertaalkwaliteit op echt verkeer, met openbare methodologie.
• Lees de subverwerkers — functie en vestigingsplaats per leverancier, geen aanvraag nodig.

Veelgestelde vragen

Welke messengers zijn GDPR-conform?

Geen enkele op zichzelf — de verplichtingen liggen bij het bedrijf. Wat gecontroleerd kan worden, is of de leverancier ze uitvoerbaar maakt: een DPA is gedocumenteerd door Microsoft Teams (via de Product Terms), Slack (via een formulier), Threema Work (leverancier: GDPR/DSG-conforme verwerking) en InterMIND (per klant, art. 28); Teamwire en Wire omschrijven zichzelf als GDPR-conform. Voor WhatsApp, Signal en Telegram noemt de documentatie geen DPA (gecontroleerd augustus 2026). Zelf-gehoste diensten — Element, Mattermost, Rocket.Chat, Nextcloud — verplaatsen de vraag naar uw eigen beheer.

Is Signal GDPR-conform?

Signal documenteert end-to-end-encryptie ("Signal kan de inhoud van uw berichten of gesprekken niet ontsleutelen of er op een andere manier toegang tot krijgen") en technische gegevens die tot het minimum beperkt zijn; de contractpartij is Signal Messenger LLC in Californië, registratie gebeurt via telefoonnummer. De juridische documenten noemen geen verwerkersovereenkomst voor bedrijven. Privégebruik is een ander verhaal dan zakelijk gebruik, dat aan art. 28 moet voldoen.

Is WhatsApp GDPR-conform voor zakelijk gebruik?

WhatsApp Ireland documenteert end-to-end-encryptie en dat afgeleverde berichten van de servers worden verwijderd — en tegelijk gebruiks- en apparaatgegevens, optionele adresboekupload en delen met "Meta Companies in de Verenigde Staten en Ierland". Het privacybeleid noemt geen DPA voor de app; de Business-app is, volgens de leverancier, gemaakt voor kleine ondernemers. Wie WhatsApp in een bedrijf gebruikt, moet deze punten zelf aan de FG verantwoorden.

Is Telegram GDPR-conform?

Telegram stelt dat EU-gegevens in Nederland worden opgeslagen en noemt een EU-vertegenwoordiger (EDPO, Brussel); cloudchats zijn serverzijdig versleuteld met sleutels "in verschillende andere datacenters in verschillende rechtsgebieden", alleen geheime chats end-to-end. Er is geen DPA gedocumenteerd. Dat is een gedocumenteerde gegevenssituatie, geen GDPR-conformiteit in de zin van art. 28.

Is Microsoft Teams GDPR-conform?

Microsoft documenteert de DPA als onderdeel van de Product Terms, opslag van Teams-gegevens in de regio van de tenant — landresidentie alleen voor nieuwe tenants — en de EU Data Boundary voor Microsoft 365-klanten gevestigd in de EU/EFTA, met gedocumenteerde uitzonderingen. Voor bedrijven die al met Teams werken is dat een solide basis; de vertaalfuncties in meetings zijn afhankelijk van Copilot-licenties per organisator en luisteraar.

Wat moet een GDPR-conforme messenger voor bedrijven bieden?

Zes gedocumenteerde antwoorden in plaats van een badge: een DPA onder art. 28, een met naam genoemde entiteit en serverlocatie zonder onverklaarde doorgifte naar een derde land, een met naam genoemd encryptiemodel, controle over adresboek en metadata, een verwijderingsconcept dat het vertrek van een medewerker afdekt, en een gepubliceerde lijst met subverwerkers — inclusief de AI- en vertaaldiensten. Voor internationale teams komt er een zevende punt bij: een messenger die het kanaal alleen in het origineel opslaat, schuift de vertaling af op elk individu.

Bestaat er een gratis GDPR-conforme messenger voor bedrijven?

Gratis en zelf-gehost: Rocket.Chat Starter (tot 50 gebruikers) en Element Community — de GDPR-verplichtingen liggen dan volledig bij uw eigen beheer. Threema Work biedt 30 dagen voor 30 gebruikers zonder betalingsgegevens. Bij InterMIND is deelname gratis voor elke deelnemer — meedoen via een link zonder account — en de live demo heeft geen aanmelding nodig; de host betaalt voor de ruimte.

Bronnen: BfDI — Selectiecriteria voor messengerdiensten (Duits), WhatsApp — Privacybeleid (EEA), WhatsApp — Privacybeleid, WhatsApp-blog — Introductie van berichtvertalingen, WhatsApp Business-app, Signal — Voorwaarden & privacybeleid, Telegram — Privacybeleid, Telegram-blog — Realtime vertaling, Threema — GDPR-conforme messenger (Duits), Teamwire — GDPR-conforme messenger (Duits), Wire — Wire vs. MS Teams (Duits), Stackfield — Microsoft Teams-alternatief (Duits), Element — Prijzen, Mattermost — Prijzen, Mattermost — Auto-vertaling instellen (Beta), Rocket.Chat — Onze plannen, Rocket.Chat — Berichten automatisch vertalen, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Locatie van gegevens in Microsoft Teams, Microsoft Learn — Wat is de EU Data Boundary?, Microsoft — Een bericht vertalen in Microsoft Teams, Microsoft — Interpreter in Teams-meetings en -gesprekken, Slack — Data Processing Addendum, Slack — Dataresidentie voor Slack, Slack — Prijzen, Slack — Gids voor AI-functies in Slack. Leveranciers wijzigen plannen, locaties, functies en zelfomschrijvingen in de tijd; controleer hun pagina's voor de actuele stand van zaken. Alle feiten gecontroleerd in augustus 2026.