GDPR-compliant videoconferencing (2026): wat er echt voor nodig is (en een Zoom-alternatief dat vertaalt)

"GDPR-compliant" op de homepage van een videoplatform zegt bijna niets. GDPR is geen certificering die je haalt. Het is een set verplichtingen voor jou, de verwerkingsverantwoordelijke, waarbij een leverancier je helpt of ze stilletjes op jouw bureau laat liggen. De nuttige vraag is niet "is deze tool GDPR-compliant?" Het is: "waarvoor maakt deze tool mij verantwoordelijk, en waar gaan mijn meetinggegevens daadwerkelijk heen?"

🔒 Update: we hebben het onszelf aangedaan. Sinds deze post online staat, hebben we de eigen codebase van InterMIND door de volledige checklist hieronder gehaald en elk punt afgesloten: wissing, bewaartermijnen, EU-runtime, subverwerkers. Alles is gecontroleerd aan de code, niet beweerd op een pagina. → Lees de afsluiting van de audit, regel voor regel.

Deze post is de begrijpelijke versie van die vraag: de checklist die een DPO daadwerkelijk doorloopt, waar Zoom daarop staat (eerlijk: het is beter in staat tot compliance dan het internet doet voorkomen) en waar een alternatief met EU-runtime het antwoord verandert. Wil je het bredere kader van "hoe moeten realtime meetings werken", dan is dat de pillar guide. Deze post gaat specifiek over de laag van gegevensbescherming.

De checklist in gewone taal

Haal de marketing eraf en "GDPR-compliant videoconferencing" komt neer op zeven punten die je zelf kunt verifiëren:

1. Een ondertekende DPA. Een verwerkersovereenkomst (Data Processing Addendum) die de leverancier aanwijst als jouw verwerker, met gedocumenteerde doeleinden en instructies. Geen DPA, geen rechtmatige verwerking. Punt.
2. Een echte lijst van subverwerkers. Elke derde partij die met meetinggegevens in aanraking komt (transcriptie, opslag, e-mail, analytics, AI-functies) met naam, wat ze doen en waar ze gevestigd zijn.
3. Waar gegevens tijdens runtime worden verwerkt. De fysieke regio waarin je audio, transcripties, opnames en metadata worden verwerkt. Hier gaan de meeste dataresidentieclausules daadwerkelijk over.
4. Het mechanisme voor internationale doorgifte. Als gegevens de EER verlaten, op welke rechtsgrond? Standaardcontractbepalingen (SCC's), een adequaatheidsbesluit, of een residentieopzet die de doorgifte helemaal vermijdt. Dit is de Schrems II-vraag, en die verdwijnt niet omdat een homepage "compliant" zegt.
5. Een beveiligingsniveau dat je kunt auditen. ISO 27001, ISO 27701, SOC 2: onafhankelijke attestaties, geen eigen beweringen.
6. Tooling voor rechten van betrokkenen. Kun je verzoeken om inzage, verwijdering en overdraagbaarheid van meetinggegevens echt afhandelen, of alleen in theorie?
7. Bewaring en verwijdering die je zelf bepaalt. Opnames, transcripties en AI-samenvattingen die worden verwijderd volgens jouw schema, niet volgens de standaard van de leverancier.

Een tool is voor jouw doel pas "GDPR-compliant" als alle zeven punten een concreet antwoord hebben. De meeste homepages beantwoorden er nul.

Waar Zoom echt staat (eerlijk bekeken)

Zoom is beter in staat tot GDPR-naleving dan de reputatie doet vermoeden, en het is de moeite waard daar nauwkeurig over te zijn in plaats van goedkope punten te scoren:

• Het publiceert een globale DPA met de EU-standaardcontractbepalingen van 2021 ingebouwd.
• Het biedt EU Data Residency ("Zoom EU Infrastructure") voor Enterprise- en Education-klanten, voor Meetings, Webinar, Chat, Phone en Contact Center.
• Het heeft ISO 27001 en, sinds februari 2026, ISO 27701 (de uitbreiding voor privacybeheer), plus gepubliceerde soevereiniteitsmaatregelen voor de Europese publieke sector.

Een goed geconfigureerde Zoom-implementatie op het juiste niveau kan dus aan het grootste deel van de checklist voldoen. De eerlijke kanttekeningen gaan over standaardinstellingen en vestigingsplaats, niet over capaciteit:

• EU-residentie is een add-on afhankelijk van abonnement en configuratie, niet de standaard. Het zit in Enterprise/Education en moet worden ingeschakeld. De gratis en lagere betaalde abonnementen krijgen het niet. "We gebruiken Zoom" en "we gebruiken Zoom geconfigureerd voor EU-residentie" zijn verschillende inkoopfeiten.
• Zoom is een bedrijf gevestigd in de VS. Zelfs met SCC's en EU-residentie valt de statutaire vestigingsplaats van de leverancier binnen de scope van CLOUD-Act- en soevereiniteitsbeoordelingen. Voor standaard-GDPR is dit beheersbaar met SCC's. Voor Franse souveraineté numérique of inkoop op SecNumCloud-niveau is de vestigingsplaats van het bedrijf zelf een criterium, en dat is een lastiger gesprek.
• De meeting verloopt nog steeds in één taal. De vertaalde ondertitels en AI Companion van Zoom helpen, maar de ruimte wordt niet echt meertalig: elke deelnemer hoort de meeting live in de eigen taal. Is je compliance-vraagstuk ook een taalvraagstuk (grensoverschrijdende audits, CAPA-reviews op meerdere locaties), dan blijft die kloof onopgelost, ongeacht waar de data staan.

Kort samengevat: Zoom kan GDPR-compliant zijn als het daarvoor is geconfigureerd. Of dat voldoende is, hangt af van hoe gevoelig je koper is voor soevereiniteit, en van de vraag of de meetings meertalig zijn.

Waar InterMIND staat op de checklist

InterMIND is een space die een host geeft aan het eigen team en de eigen klanten, ieder in de eigen taal: meetings, chat, bestanden, de recap. De checklist hierboven wordt standaard beantwoord, niet via een configuratieproject. Het deel dat structureel is en niet slechts beloofd, is waar de meeting draait. Dit is één regel voor de DPO, geverifieerd aan de live-implementatie:

• Elke runtime-stap zit in de EU. App en server-API's op Vercel in Frankfurt (fra1); de WebSocket-server voor meetings op Fly in Parijs (cdg); applicatiedata in Neon Postgres op AWS Frankfurt (eu-central-1); opnames op Tigris, vast te zetten in de EU; fout- en analysegegevens op Sentry EU en PostHog EU; transactionele e-mail via Resend in Ierland.
• De vertaalengine is onze eigen code, in Frankrijk (OVH), geen algemeen Amerikaans model dat we doorverkopen. De grootste stroom meetinginhoud blijft in de EU en komt nooit bij een LLM van een derde partij. Documentvertaling gaat naar DeepL in Keulen, ook een EU-bedrijf.
• De lijst van subverwerkers, inclusief gegevens over de vestigingsplaats van het bedrijf, wordt standaard met de DPA meegeleverd, niet pas op verzoek.

Meetinginhoud gaat naar één AI-gateway, in de EU, en de organisatie kiest die zelf. Alles wat uit een meeting wordt afgeleid en een taalmodel nodig heeft (de AI-digest na de meeting met onderwerpen, besluiten en actiepunten, documentsamenvattingen, de generatieve acties van de AI-notitie-editor (corrigeren, uitbreiden, vereenvoudigen), Ask AI) draait op de AI-gateway die je organisatie selecteert: standaard Azure OpenAI in de EU Data Zone, naar keuze Vertex AI op het EU-multiregio-endpoint of Amazon Bedrock in Frankfurt, elk in onze eigen tenant met zero data retention en zonder training op klantinhoud; of je eigen OpenAI-compatibele endpoint. De samenvatting na de meeting en de vertaalactie van de editor lopen via de vertaalroute, niet via het taalmodel. De leveranciers achter de gehoste gateways zijn Amerikaanse bedrijven die EU-regio's exploiteren. Dat staat duidelijk op de trustpagina en wordt niet verborgen. De vestigingsplaats van het bedrijf is het criterium dat inkoop op soevereiniteitsniveau bovenop GDPR toevoegt, en het geldt voor deze stap precies zoals het hierboven voor Zoom geldt. De volledige kaart per leverancier staat in Where one InterMIND meeting actually runs, en de build-versus-buy-blik in What one InterMIND meeting is built from.

Eén ding claimen we niet: we gaan geen ISO-certificaat voor het gezicht houden dat we nog niet hebben. Ons antwoord op de checklist is architecturaal: EU-runtime, eigen engine, transparante subverwerkers, een echte DPA. We willen liever dat je dat verifieert dan dat je op een keurmerk vertrouwt. Certificeringen staan op de roadmap; de runtime is vandaag echt. We hebben onze eigen codebase door precies deze checklist gehaald en elk punt afgesloten aan de hand van de code: het afsluitende rapport, regel voor regel.

En dan het deel dat de residentie-instellingen van Zoom niet kunnen toevoegen: de meeting is meertalig door ontwerp. Elke deelnemer is live in de eigen taal, in 23 talen, met spraak, chat en notities, en met openbaar gepubliceerde vertaalkwaliteit in plaats van beweerde kwaliteit. Hoe dat werkt, staat in de pillar guide; de use case voor gereguleerde meetings staat in multilingual compliance meetings.

De checklist als tabel

De zeven punten naast de twee tools die deze post in detail bespreekt. De cellen vermelden alleen wat elke leverancier documenteert (Zoom-links staan onder Bronnen; InterMIND-claims zijn regel voor regel geverifieerd in de afsluiting van de audit en de runtime-kaart). Laat elke andere leverancier de linkerkolom schriftelijk beantwoorden.

FAQ

Is Zoom GDPR-compliant? Dat kan, op het juiste abonnement en met de juiste configuratie: Zoom publiceert een globale DPA met de EU-SCC's van 2021, biedt EU Data Residency voor Enterprise- en Education-klanten en heeft ISO 27001 en (sinds februari 2026) ISO 27701. De eerlijke kanttekeningen: EU-residentie is een add-on afhankelijk van abonnement en configuratie en niet de standaard, en Zoom blijft een bedrijf gevestigd in de VS. Onder standaard-GDPR met SCC's is dat beheersbaar, maar bij inkoop op soevereiniteitsniveau is het een echt criterium.

Wat maakt een videoconferencingtool GDPR-compliant? Zeven verifieerbare punten, geen homepagekeurmerk: een ondertekende DPA, een echte lijst van subverwerkers, een gedocumenteerde runtime-regio, een rechtmatig mechanisme voor internationale doorgifte, onafhankelijk geauditeerde beveiliging, werkende tooling voor rechten van betrokkenen en bewaartermijnen die je zelf bepaalt. Een leverancier is compliant voor jouw doel wanneer alle zeven punten schriftelijk een concreet antwoord hebben.

Vereist GDPR dat videomeetings in de EU blijven? Nee. GDPR vereist een rechtmatig doorgiftemechanisme (SCC's, adequaatheid) wanneer gegevens de EER verlaten, niet residentie als zodanig. Residentie is van belang omdat het de doorgiftevraag helemaal wegneemt: de analyse na Schrems II wordt kort als de data nooit weggaan. Dat is het verschil tussen "compliant met papierwerk" en "niets om te verhullen".

Welke videoconferencingtools draaien volledig in de EU? Vraag elke leverancier om de runtime-kaart: de regio per stap, dus app, API's, meetingmedia, database, opnames, analytics, e-mail, AI-functies. InterMIND publiceert precies dat (elke stap, leverancier per leverancier): Vercel Frankfurt, Fly Parijs, Neon Frankfurt, vertaalengine op OVH Frankrijk, AI-functies op de gateway die de organisatie selecteert, in een EU-regio (standaard Azure OpenAI EU Data Zone). Welke tool je ook beoordeelt: de kaart, niet de marketingpagina, is het antwoord.

Voor welke host dit het antwoord is

De eigenaar of manager van een organisatie van 10–200 mensen van wie het team of de klanten een andere taal spreken, die al op Teams of Workspace werkt en de ruimte opzet zonder IT-afdeling. Voor die host wordt de checklist standaard beantwoord en is het gesprek met de DPO kort; de rest van de beslissing is of de meeting zelf in de taal van elk lid verloopt. Publieke inkoop op soevereiniteitsniveau, waar de vestigingsplaats van de leverancier zelf deel van de specificatie is, is een ander gesprek, en dat zeggen we liever dan dat we te veel beloven.

Probeer het, en lees dan de datakaart

• Probeer de live demo: hoor de live, meertalige pipeline in een echte meeting en hoor hoe "EU-runtime en meertalig" in de praktijk aanvoelt. Geen aanmelding nodig.
• InterMIND vs. Zoom: functie voor functie, eerlijk.
• Where one InterMIND meeting actually runs: de volledige leverancierskaart, inclusief de kloof.

"GDPR-compliant videoconferencing" is een checklist, geen keurmerk. Welke tool je ook kiest, de onze of een andere: laat de leverancier alle zeven vragen schriftelijk beantwoorden. Wie dat kan, is je tijd waard; wie dat niet kan, verkoopt je een homepage.

— Het Mind.com-team

Bronnen over Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, gecontroleerd in augustus 2026. Aanbod en abonnementen van leveranciers veranderen; controleer de actuele configuratie aan de hand van de trustpagina's van Zoom. De runtime-feiten over InterMIND zijn geverifieerd aan de live-implementatie, zoals beschreven in de gelinkte post over de datakaart.