GDPR-compliant messenger voor bedrijven (2026): wat de aanbieders daadwerkelijk documenteren

"Welke messenger is GDPR-compliant?" is een vraag die geen enkele aanbieder eerlijk kan beantwoorden met "wij zijn dat". De GDPR legt de verplichtingen bij u, de verwerkingsverantwoordelijke: u hebt een verwerkersovereenkomst nodig (art. 28), u moet weten waar de gegevens staan en of ze naar een derde land gaan, en u moet kunnen verwijderen en inzageverzoeken kunnen beantwoorden. Een messenger kan het mogelijk maken om die verplichtingen uit te voeren — of niet. Een badge op een homepage zegt niet meer dan dat.

Deze gids doet daarom iets anders dan de gebruikelijke lijstjes. Hij neemt zes controles die een functionaris voor gegevensbescherming (FG) hoe dan ook stelt en past die toe op twaalf diensten: de consumentenmessengers waarop bedrijven daadwerkelijk draaien (WhatsApp, Signal, Telegram), de zakelijke messengers uit Zwitserland en Duitsland (Threema Work, Teamwire, Wire, Stackfield), de zelf gehoste platforms (Element, Mattermost, Rocket.Chat) en de twee bundels (Microsoft Teams, Slack). Daarna InterMIND, dat wij zelf bouwen — op dezelfde criteria en met dezelfde bronregel. Elke bewering komt uit de openbare documentatie van de aanbieder, gecontroleerd in augustus 2026 en onderaan gelinkt.

Er komt een zevende controle bij die nooit op GDPR-lijsten staat en die in een internationaal team elke dag telt: in welke taal leest elk lid het kanaal? Een messenger die berichten alleen in het origineel opslaat, schuift de vertaling door naar het individu — en naar diensten die de gegevens vervolgens opnieuw verwerken.

De zes controles

De Duitse federale commissaris voor gegevensbescherming (BfDI) publiceert selectiecriteria voor berichtendiensten, de bruikbaarste openbare maatstaf. Hij definieert end-to-end-encryptie als berichten die "op het apparaat van de afzender worden versleuteld en pas op het apparaat van de ontvanger weer worden ontsleuteld", noemt privacyinstellingen zoals toegang tot het adresboek, zichtbaarheid van het profiel, leesbevestigingen, gebruiksanalyse en foutrapportage, en eist accountverwijdering waarbij gegevens "onmiddellijk worden verwijderd". Voor zakelijk gebruik komen de verplichtingen uit art. 28 daar nog bovenop. Samen:

1. Verwerkersovereenkomst (DPA). Biedt de aanbieder er een aan — en staat die in de documentatie?
2. Entiteit en serverlocatie. Welk bedrijf is uw contractpartij, waar staan de gegevens, is er een doorgifte naar een derde land?
3. Encryptie. End-to-end, of transport- en serverzijdig? Beide zijn legitiem — ze moeten alleen benoemd worden.
4. Metadata en adresboek. Wordt het adresboek geüpload? Welke gebruiks- en apparaatgegevens worden verzameld en met wie worden ze gedeeld?
5. Verwijdering en bewaring. Waar staat de geschiedenis, wie verwijdert die, wat gebeurt er als een medewerker vertrekt?
6. Subverwerkers. Zijn ze openbaar — inclusief de diensten voor AI-functies en vertaling?

Plus de zevende: taal per lid.

De consumentenmessengers op het werk

WhatsApp (en de WhatsApp Business-app)

• Contractpartij: voor de EER "WhatsApp Ireland Limited".
• Encryptie en opslag: berichten zijn end-to-end versleuteld; "we bewaren uw berichten niet in het kader van de gewone dienstverlening aan u. Zodra uw berichten zijn afgeleverd, worden ze van onze servers verwijderd." De geschiedenis staat dus op de apparaten van medewerkers en in hun back-ups.
• Metadata: verzameld worden "informatie over uw gebruik van onze diensten", apparaatgegevens ("hardwaremodel, informatie over het besturingssysteem, batterijniveau, signaalsterkte") en optioneel het adresboek ("contact upload … from your device address book on a regular basis"). Gegevens worden gedeeld met "Meta Companies in the United States and Ireland" en "wereldwijd" doorgegeven.
• DPA: het privacybeleid van de app noemt geen verwerkersovereenkomst voor bedrijven (gecontroleerd in augustus 2026). De Business-app "is gebouwd met de kleine ondernemer in gedachten".
• Taal: sinds september 2025 kan een bericht met een lange druk worden vertaald — op het apparaat ("vertalingen vinden plaats op uw apparaat, waar WhatsApp ze niet kan zien"); Android kan hele chats automatisch vertalen (zes talen bij de lancering), iPhone gebruikt de vertaling van Apple in 19+ talen. Spraakberichten en gesprekken maken geen deel uit van de aankondiging.

Signal

• Contractpartij: Signal Messenger LLC, Mountain View, Californië — een non-profitorganisatie.
• Encryptie: "Signal kan de inhoud van uw berichten of gesprekken niet ontsleutelen en er ook anderszins geen toegang toe krijgen."
• Metadata: registratie via telefoonnummer; technische gegevens zijn beperkt "tot het minimum dat nodig is om de diensten te laten werken".
• DPA: geen gedocumenteerd in de juridische documenten van Signal (gecontroleerd in augustus 2026).
• Taal: geen vertaalfunctie gedocumenteerd.

Telegram

• Contractpartij en locatie: "Telegram Messenger Inc.", met "Telegram FZ-LLC, een groepslid gevestigd in Dubai"; voor gebruikers in de EU/EER "worden uw gegevens opgeslagen in datacenters in Nederland". De GDPR-vertegenwoordiger is het European Data Protection Office (EDPO) in Brussel.
• Encryptie: cloudchats zijn serverzijdig versleuteld — "alle gegevens worden zwaar versleuteld opgeslagen en de encryptiesleutels worden telkens opgeslagen in meerdere andere datacenters in verschillende rechtsgebieden" — en alleen geheime chats zijn end-to-end: "Geheime chats gebruiken end-to-end-encryptie."
• DPA: niet gedocumenteerd in het privacybeleid (gecontroleerd in augustus 2026).
• Taal: "Alle gebruikers kunnen afzonderlijke berichten vertalen"; Premium-gebruikers "kunnen hele chats, groepen en kanalen in realtime vertalen door bovenaan op de Vertaalbalk te tikken".

Alle drie zijn tools waarin teams daadwerkelijk werken. Wat ze delen: de geschiedenis is van het apparaat of van de cloud van de aanbieder, niet van het bedrijf — en de verwerkersovereenkomst die art. 28 vereist, komt in geen van de drie documentaties voor.

Zakelijke messengers uit Zwitserland en Duitsland

Threema Work

• Locatie: Zwitserland. De aanbieder merkt op dat een gegevensdoorgifte van de EU naar Zwitserland juridisch zonder verdere toetsing toegestaan is.
• Metadata: Threema Work "vereist geen persoonsgegevens (zoals een telefoonnummer of e-mailadres)" en "kan zonder toegang tot het adresboek worden gebruikt".
• DPA: volgens de aanbieder "voldoet Threema Work aan de eisen voor gegevensbeschermingsconforme verwerking in opdracht van een verwerkingsverantwoordelijke onder de GDPR en de Zwitserse DSG".
• Proefperiode: "30 dagen, 30 gebruikers. Geen automatische verlenging." Prijzen per gebruiker staan niet op de pagina.
• Taal: geen vertaalfunctie gedocumenteerd.

Teamwire

• Locatie: "Duitse publieke cloud (IONOS, C5-gecertificeerd)", "dedicated private cloud" of "volledige on-premise hosting"; "hosting in Duitsland in plaats van in de VS", "geen opslag buiten de EU".
• Certificeringen: "ISO 27001, BSI C5, TÜV-gecertificeerd"; genoemd worden de EU-GDPR, BDSG, BSI IT-Grundschutz, NIS-2, DORA en CER.
• Metadata: "geen toegang tot het adresboek" en "geen analyse van communicatie".
• GDPR: de aanbieder omschrijft zichzelf als "100 % GDPR-compliant" — een zelfbeschrijving die de verwerkersovereenkomst per geval moet waarmaken. Geen prijzen op de pagina.
• Taal: geen vertaalfunctie gedocumenteerd.

Wire

• Locatie: "cloud, on-premises of hybride".
• Encryptie: MLS-protocol; "berichten, bestanden en gesprekken zijn standaard volledig E2EE"; videogesprekken "met maximaal 200 deelnemers", elke sessie end-to-end versleuteld.
• Certificeringen: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR: "volledig conform strikte gegevensbeschermingsregels, waaronder de GDPR" (zelfbeschrijving). Geen prijzen per gebruiker op de pagina.
• Taal: geen vertaalfunctie gedocumenteerd.

Stackfield

• Locatie: "alle gegevensverwerking is beperkt tot de EU en de gegevens zelf staan uitsluitend in Duitse datacenters"; het bedrijf valt "uitsluitend onder de jurisdictie van Duitsland en de EU".
• Encryptie: "echte end-to-end-encryptie" voor berichten, bestanden en taken.
• Certificeringen: ISO 27001, BSI C5.
• Meetings: audio- en videoconferenties inbegrepen.
• Taal: geen vertaalfunctie gedocumenteerd.

De vier beantwoorden de vragen over locatie en encryptie zo duidelijk als een aanbieder maar kan. Wat geen van hen documenteert: een vertaling waarmee een Poolse, een Portugese en een Duitse collega hetzelfde kanaal in hun eigen taal lezen.

Zelf gehoste platforms

Element (Matrix)

• Encryptie: "het hele platform is standaard end-to-end versleuteld" — inclusief Element Call voor spraak en video.
• Exploitatie: Community gratis, zelf gehost; Enterprise per seat per maand, zelf gehost; Sovereign per deployment, air-gapped.
• Taal: geen vertaalfunctie gedocumenteerd — bij end-to-end-encryptie is er aan de serverkant geen plek voor.

Mattermost

• Exploitatie: Professional en Enterprise als zelf gehoste jaarlicenties, prijzen op aanvraag; Mattermost Cloud Enterprise als single-tenantaanbod.
• Taal: automatische kanaalvertaling (bèta, sinds v11.5) op Enterprise Advanced: de back-end is "LibreTranslate: een zelf gehoste, open-source machinevertaalengine" of "Agents: gebruikt de Mattermost Agents-plug-in met een geconfigureerde LLM-backend"; de doeltaal van een gebruiker "wordt bepaald door de weergavetaal van Mattermost". De vertaling draait op uw eigen server.

Rocket.Chat

• Exploitatie: het Starter-plan is gratis, "zelf beheerd, zelf gehost", "voor technische evaluatie of kleine teams tot 50 gebruikers"; betaalde plannen zijn Commercial, Government en Defense — on-premises, private cloud of air-gapped, prijzen op aanvraag.
• Taal: Auto-Translate per kanaal — "elke gebruiker ontvangt vertalingen op basis van de eigen gekozen taal" — via DeepL, Google Translate, Microsoft Translator of LibreTranslate, met een API-sleutel die de beheerder aanlevert. De berichttekst gaat dus naar de aanbieder die u hebt gekozen — tenzij het LibreTranslate op uw eigen host is.

Nextcloud Talk hoort in dezelfde groep: "een volledig zelf gehoste, on-premises audio-/video- en chatcommunicatiedienst", met live transcriptie en vertaling op uw eigen hardware (details in de vergelijking van teamcommunicatietools).

De bundels: Microsoft Teams en Slack

Microsoft Teams

• DPA: "Wanneer u zich abonneert op een product onder de voorwaarden van de Product Terms-site, worden de voorwaarden voor gegevensverwerking en beveiliging gedefinieerd in het Microsoft Online Services Data Protection Addendum (DPA)."
• Locatie: Teams-gegevens staan "in de geografische regio die is gekoppeld aan uw Microsoft 365- of Office 365-organisatie"; landspecifieke residentie (Duitsland, Frankrijk, Italië, Noorwegen, Polen, Zweden, Zwitserland en andere) geldt "alleen voor nieuwe tenants", bestaande EU-tenants blijven in de EMEA-regio. De EU Data Boundary verplicht Microsoft om klantgegevens voor Microsoft 365 binnen de EU/EFTA op te slaan en te verwerken — "onder beperkte omstandigheden", met gedocumenteerde uitzonderingen; klanten met Multi-Geo vallen buiten het toepassingsgebied.
• Taal: chat- en kanaalberichten worden op verzoek of automatisch vertaald ("Teams kan ontvangen berichten automatisch vertalen"), 100+ talen, geen licentie genoemd; in meetings vereisen vertaalde ondertitels de Teams Premium- of Copilot-licentie van de organisator, en de Interpreter-agent (10 talen) vereist een Copilot-licentie per luisteraar, 20 uur per maand. Details: live vertaling in Teams.

Slack

• DPA: "Slack biedt een Data Processing Addendum aan dat de Customer Terms of Service aanvult" — afgesloten via een formulier, niet automatisch onderdeel van de voorwaarden.
• Locatie: dataresidentie vanaf Business+: Frankfurt, Parijs, Stockholm, Zürich, Londen. Gedekt: berichten, canvassen, bestanden en de zoekindex; niet gedekt: ledenprofielen en gebruiksanalyse. Het Free-plan bewaart 90 dagen berichtgeschiedenis.
• Taal: "Translate message" op Business+ en Enterprise+, op verzoek per bericht; "vertalingen zijn alleen voor u zichtbaar, dus anderen zien altijd het oorspronkelijke bericht."

InterMIND

Wij bouwen een communicatieruimte waarin elk lid meetings, chat, documenten en de eigen geschiedenis in de eigen taal leest — en leggen die langs dezelfde zeven controles:

1. DPA: per klant ondertekend — verwerkersvoorwaarden onder art. 28 met 30 dagen kennisgeving van nieuwe subverwerkers en een meldtermijn van 72 uur bij datalekken; een ondertekende kopie is beschikbaar voor inkoop (/legal/dpa).
2. Entiteit en locatie: beheerd door een Estse OÜ; de runtime draait bij elke schakel in de EU — spraak- en chatvertaling op onze eigen engine op dedicated servers in Frankrijk, meetingorkestratie in Parijs, database in Frankfurt, opslag en analyse binnen de EU. De kaart, aanbieder voor aanbieder: waar één InterMIND-meeting daadwerkelijk draait.
3. Encryptie: transportencryptie — audio en video via DTLS/SRTP, chat en bestanden via HTTPS/WSS en versleuteld opgeslagen op onze servers. Geen end-to-end-encryptie: vertaling is verwerking, en die gebeurt op onze engine, niet bij een derde partij. Als E2EE voor u zwaarder weegt dan al het andere, passen Element, Wire of Threema beter — dat zeggen we er gewoon bij.
4. Metadata en adresboek: geen upload van het adresboek; deelnemers sluiten aan via een link, zonder account en zonder telefoonnummer.
5. Verwijdering en bewaring: het bewaarcriterium staat in het privacybeleid — gegevens blijven bestaan tot u of de teameigenaar ze verwijdert; het verwijderen van een account verwijdert de bijbehorende gegevens. We hebben onze eigen code getoetst aan de GDPR-verplichtingen en gedocumenteerd wat we hebben afgehandeld: GDPR-audit.
6. Subverwerkers: openbaar, met functie en vestigingsplaats per aanbieder. De taalmodelstappen (recap, documentsamenvattingen, schrijfassistent, Ask AI) draaien op de AI-gateway die de organisatie kiest — standaard Azure OpenAI in de EU Data Zone, naar keuze Vertex AI EU of Amazon Bedrock Frankfurt — in de eigen tenant van InterMIND, met zero data retention en zonder training op klantinhoud; de aanbieders zijn Amerikaanse bedrijven met EU-regio's, zoals vermeld op de trustpagina. Documentvertaling loopt via DeepL als benoemde EU-subverwerker.
7. Taal per lid: chat en notities in 23 talen, documenten in 30, live spraak voor elke deelnemer in de eigen taal — als standaardgedrag van de ruimte, zonder add-ons of licenties per luisteraar. De kwaliteit wordt maandelijks per taalpaar gepubliceerd: /benchmark.

Wat we niet beweren: een ISO-certificaat dat we nog niet hebben. Ons antwoord op de checklist is architecturaal en verifieerbaar in de code; certificeringen staan op de roadmap.

Het overzicht

Welke messenger voor welk geval

• End-to-end-encryptie is uw eerste criterium en vertaling doet er niet toe: Threema Work (Zwitserland, geen telefoonnummer), Wire (MLS, gesprekken inbegrepen), Stackfield (Duitse datacenters) of Element (zelf gehost, gratis in de Community-editie).
• Alles moet op uw eigen servers draaien en u hebt het personeel daarvoor: Rocket.Chat (gratis tot 50 gebruikers, vertaling via de sleutel van uw eigen aanbieder), Mattermost Enterprise Advanced (kanaalvertaling in bèta op uw eigen LibreTranslate of LLM), Nextcloud Talk.
• U bent hoe dan ook klant van Microsoft of Slack: beide documenteren een DPA en EU-residentie — Teams via tenantregio en de EU Data Boundary, Slack vanaf Business+. Vertaling gebeurt per lezer, op verzoek; de meetingtaal in Teams hangt aan Copilot-licenties.
• Het team werkt in WhatsApp, Signal of Telegram: diensten die gedocumenteerd zijn voor privécommunicatie, deels end-to-end versleuteld — maar zonder gedocumenteerde DPA, met de geschiedenis op apparaten of in de cloud van de aanbieder, en bij WhatsApp met gebruiks- en apparaatgegevens die naar Meta-bedrijven in de VS gaan. Een FG zal vragen stellen die de documentatie niet beantwoordt.
• Het kanaal zelf is meertalig — collega's en klanten die elkaar in drie talen antwoorden, gasten zonder uw licenties en een compliance-team dat de locatie wil kunnen benoemen: daarvoor bouwen wij InterMIND — elk lid leest de ruimte in de eigen taal, gasten komen binnen via een link zonder uw licenties; EU bij elke schakel, DPA per klant en openbare subverwerkers zijn de ene regel voor de FG.

Zie het zelf in plaats van erover te lezen

• Probeer de livedemo — zonder aanmelding; spreek, en hoor hoe de ruimte per luisteraar wordt vertaald in een van de 23 talen.
• Bekijk de benchmark — maandelijkse vertaalkwaliteit per taalpaar op echt verkeer, met openbare methodologie.
• Lees de subverwerkers — functie en vestigingsplaats per aanbieder, zonder dat u iets hoeft aan te vragen.

FAQ

Welke messengers zijn GDPR-compliant?

Geen enkele op zichzelf — de verplichtingen liggen bij het bedrijf. Wat wel te controleren is, is of de aanbieder ze uitvoerbaar maakt: een DPA is gedocumenteerd door Microsoft Teams (via de Product Terms), Slack (via een formulier), Threema Work (aanbieder: GDPR/DSG-conforme verwerking) en InterMIND (per klant, art. 28); Teamwire en Wire omschrijven zichzelf als GDPR-compliant. Voor WhatsApp, Signal en Telegram noemt de documentatie geen DPA (gecontroleerd in augustus 2026). Zelf gehoste diensten — Element, Mattermost, Rocket.Chat, Nextcloud — verplaatsen de vraag naar uw eigen beheer.

Is Signal GDPR-compliant?

Signal documenteert end-to-end-encryptie ("Signal kan de inhoud van uw berichten of gesprekken niet ontsleutelen en er ook anderszins geen toegang toe krijgen") en technische gegevens beperkt tot het minimum; de contractpartij is Signal Messenger LLC in Californië, registratie gaat via telefoonnummer. De juridische documenten noemen geen verwerkersovereenkomst voor bedrijven. Privégebruik is iets anders dan bedrijfsgebruik, dat aan art. 28 moet voldoen.

Is WhatsApp GDPR-compliant voor zakelijk gebruik?

WhatsApp Ireland documenteert end-to-end-encryptie en dat afgeleverde berichten van de servers worden verwijderd — en tegelijkertijd gebruiks- en apparaatgegevens, optionele upload van het adresboek en delen met "Meta Companies in the United States and Ireland". Het privacybeleid noemt geen DPA voor de app; de Business-app is volgens de aanbieder gebouwd voor kleine ondernemers. Wie WhatsApp in een bedrijf gebruikt, moet deze punten zelf tegenover de FG verantwoorden.

Is Telegram GDPR-compliant?

Telegram stelt dat EU-gegevens in Nederland worden opgeslagen en noemt een EU-vertegenwoordiger (EDPO, Brussel); cloudchats zijn serverzijdig versleuteld met sleutels "in meerdere andere datacenters in verschillende rechtsgebieden", alleen geheime chats zijn end-to-end. Er is geen DPA gedocumenteerd. Dat is een gedocumenteerde datasituatie, geen GDPR-compliance in de zin van art. 28.

Is Microsoft Teams GDPR-compliant?

Microsoft documenteert de DPA als onderdeel van de Product Terms, opslag van Teams-gegevens in de regio van de tenant — landspecifieke residentie alleen voor nieuwe tenants — en de EU Data Boundary voor Microsoft 365-klanten in de EU/EFTA, met gedocumenteerde uitzonderingen. Voor bedrijven die al op Teams zitten is dat een solide basis; de vertaalfuncties in meetings hangen af van Copilot-licenties per organisator en per luisteraar.

Wat moet een GDPR-compliant messenger voor bedrijven bieden?

Zes gedocumenteerde antwoorden in plaats van een badge: een DPA onder art. 28, een benoemde entiteit en serverlocatie zonder onverklaarde doorgifte naar een derde land, een benoemd encryptiemodel, controle over adresboek en metadata, een verwijderconcept dat ook het vertrek van een medewerker dekt, en een openbare lijst van subverwerkers — inclusief de AI- en vertaaldiensten. Voor internationale teams komt er een zevende punt bij: een messenger die het kanaal alleen in het origineel opslaat, schuift de vertaling door naar elk individu.

Is er een gratis GDPR-compliant messenger voor bedrijven?

Gratis en zelf gehost: Rocket.Chat Starter (tot 50 gebruikers) en Element Community — de GDPR-verplichtingen liggen dan volledig in uw eigen beheer. Threema Work biedt 30 dagen voor 30 gebruikers zonder betaalgegevens. Bij InterMIND is deelname gratis voor elke deelnemer — aansluiten via een link zonder account — en de livedemo vereist geen aanmelding; de host betaalt voor de ruimte.

Bronnen: BfDI — Selectiecriteria voor berichtendiensten (Duits), WhatsApp — Privacybeleid (EER), WhatsApp — Privacybeleid, WhatsApp-blog — Introductie van berichtvertalingen, WhatsApp Business-app, Signal — Voorwaarden en privacybeleid, Telegram — Privacybeleid, Telegram-blog — Realtime vertaling, Threema — GDPR-compliant messenger (Duits), Teamwire — GDPR-compliant messenger (Duits), Wire — Wire vs. MS Teams (Duits), Stackfield — Alternatief voor Microsoft Teams (Duits), Element — Prijzen, Mattermost — Prijzen, Mattermost — Auto-translation instellen (bèta), Rocket.Chat — Onze plannen, Rocket.Chat — Berichten automatisch vertalen, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Locatie van gegevens in Microsoft Teams, Microsoft Learn — Wat is de EU Data Boundary?, Microsoft — Een bericht vertalen in Microsoft Teams, Microsoft — Interpreter in Teams-meetings en -gesprekken, Slack — Data Processing Addendum, Slack — Dataresidentie voor Slack, Slack — Prijzen, Slack — Gids voor AI-functies in Slack. Aanbieders wijzigen na verloop van tijd plannen, locaties, functies en zelfbeschrijvingen; raadpleeg hun pagina's voor de actuele stand. Alle feiten gecontroleerd in augustus 2026.