Google Forms en de AVG: wat er echt geldt

„Is Google Forms AVG-proof?” is de meestgestelde en slechtst beantwoorde vraag over deze tool. De gebruikelijke antwoorden zijn „absoluut niet, de data staat in de VS” of „het is maar een enquête”. Allebei schieten ze tekort.

Google Forms is AVG-proof te gebruiken als je met een betaald Google Workspace-account werkt, want alleen daar komt een verwerkersovereenkomst tot stand, als je een grondslag hebt, als het formulier vertelt wie verzamelt, waarvoor, hoe lang en hoe je kunt intrekken, en als je alleen vraagt wat je analyse echt nodig heeft. Voor dit artikel hebben we in augustus 2026 de contractvoorwaarden en de beheerdershelp van Google nagelezen.

📌 Dit is het belangrijkste

• Een verwerkersovereenkomst bestaat alleen bij betaald Google Workspace.
• Het openen van het formulier verwerkt al technische verbindingsgegevens.
• De dataregio Europa ontbreekt in Business Starter en gratis accounts.
• Bij Google Forms dekt die opgeslagen gegevens af, geen logs.
• Het EU-US Data Privacy Framework geldt, maar ligt onder vuur.

De eerste stap: ben je wel verwerkingsverantwoordelijke?

Voor Google aan de beurt is, ben jij dat. De AVG geldt niet voor elke enquête, en wie geen verwerkingsverantwoordelijke is, heeft geen grondslag, geen contract en geen privacyverklaring nodig.

De grens loopt niet tussen onschuldige en gevoelige vragen, maar tussen een puur persoonlijke activiteit en al het andere. Dat onderscheid bepaalt de rest van dit artikel, daarom staat het vooraan.

De huishouduitzondering bij privé-enquêtes

Volgens artikel 2, lid 2, onder c) van de AVG geldt de verordening niet voor verwerking door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit. Een datumprikker in de familie of een peiling onder vrienden valt daaronder. Wie alleen in dat kader vraagt, hoeft niets van wat hierna komt.

Waar de huishouduitzondering ophoudt

Het Hof van Justitie van de Europese Unie legt de uitzondering strikt uit en beperkt die tot het strikt noodzakelijke (HvJ, 11.12.2014, C-212/13, Ryneš). Voor het verspreiden van gegevens onder een onbepaald aantal mensen op internet oordeelde het Hof dat de uitzondering niet opgaat (HvJ, 06.11.2003, C-101/01, Lindqvist). Drie gevallen vallen erbuiten:

• Er komt een zakelijk doel bij, ook een gemengd doel telt.
• Achter de enquête staat een rechtspersoon: bedrijf, vereniging, school, overheid.
• De enquête bereikt een onbepaald publiek via een openbaar gedeelde link.

Dat laatste punt verrast veel mensen. Wie de enquête voor zijn scriptie in open Facebook-groepen deelt, zit niet meer in het beschermde gebied. Het precieze geval van de openbare enquêtelink is door het Hof niet beslist, de redenering steunt op de Lindqvist-lijn. Bij academisch werk komen de eisen van de opleiding er sowieso bij.

Waarom technische gegevens al genoeg zijn

De meestgemaakte denkfout past in één zin: „Ik vraag niets persoonlijks, dus die enquête is privacytechnisch geen punt.” Die conclusie houdt geen stand.

Zodra iemand een Google-formulier opent, verwerkt Google technische verbindingsgegevens: IP-adres, datum en tijd, opgevraagde pagina, browser- en apparaatinformatie. IP-adressen zijn persoonsgegevens zodra de verwerkende partij middelen heeft die redelijkerwijs kunnen worden ingezet om de persoon te identificeren (HvJ, 19.10.2016, C-582/14, Breyer). Het Hof bevestigde die relatieve maatstaf op 04.09.2025 in zaak C-413/23 P. Voor Google als exploitant is identificatie in de regel mogelijk.

Er is dus verwerking van persoonsgegevens, ongeacht wat er in je vragenlijst staat. En daarmee staat vast of een grondslag en een contract met Google nodig zijn. Het antwoord is ja, vanaf het eerste antwoord.

Twee verduidelijkingen, om misverstanden te voorkomen:

• Google Forms toont jou als maker nooit IP-adressen, ook niet in de export.
• Een enquête kan vanuit jouw perspectief toch anoniem zijn, het een sluit het ander niet uit. Hoe dat gaat, lees je in Een anonieme enquête maken.

De verwerkersovereenkomst is het echte knelpunt

Wanneer Google persoonsgegevens in jouw opdracht verwerkt, is Google verwerker en ben jij verwerkingsverantwoordelijke. Artikel 28 van de AVG vereist een contract voor die verhouding, en lid 9 vereist dat schriftelijk, ook in elektronische vorm.

Google regelt dat in het Cloud Data Processing Addendum. Volgens de contractvoorwaarden van Google zelf geldt dat addendum voor Google Workspace, Cloud Identity en Google Cloud. Voor privé-, gratis Google-accounts geldt het niet. Bij Google Workspace Individual zegt Google toe het aan te gaan, mits de dienst zakelijk of beroepsmatig wordt gebruikt.

Wie Google Forms zakelijk gebruikt vanaf een persoonlijk Gmail-account houdt dus een gat dat met geen enkele privacyverklaring te dichten is. Daar strandt het in de praktijk, en dat is precies het punt dat de meeste gidsen overslaan.

⚠️ Let op

Gebruik je Google Forms zakelijk vanaf een gratis Google-account, dan ontbreekt de verwerkersovereenkomst. Die formele voorwaarde valt achteraf niet te repareren. De uitweg is een betaald Workspace-account of een tool die het contract ook in het gratis plan aanbiedt.

De serverlocatie: minder blokkerend dan haar reputatie

Het standaardargument tegen Google past in één zin: de data staat in de VS, dus dat kan niet. Sinds 2023 ligt het genuanceerder, in beide richtingen.

Op 10 juli 2023 nam de Europese Commissie een adequaatheidsbesluit voor het EU-US Data Privacy Framework, het uitvoeringsbesluit (EU) 2023/1795. Voor gecertificeerde Amerikaanse bedrijven rust de doorgifte daarmee op dezelfde basis als binnen de Unie. Google verklaart dat Google LLC gecertificeerd is. Het Gerecht van de Europese Unie bevestigde het besluit op 03.09.2025 in zaak T-553/23 (Latombe).

Waarom die basis minder vast staat dan het klinkt

De bevestiging is niet onherroepelijk: op 31.10.2025 werd hogere voorziening ingesteld bij het Hof van Justitie, zaak C-703/25 P. Daar komt een tweede punt bij. Het adequaatheidsbesluit steunt in belangrijke mate op de onafhankelijkheid van Amerikaanse toezichthouders. Op 29.06.2026 oordeelde het Amerikaanse Hooggerechtshof in Trump v. Slaughter dat de ontslagbescherming van FTC-commissarissen ongrondwettig is, en verliet het precedent Humphrey’s Executor. De Europese Toezichthouder voor gegevensbescherming heeft de Commissie bij brief van 31.07.2026 gevraagd het effect op het besluit te onderzoeken.

Concreet: in augustus 2026 is de serverlocatie geen uitsluitingscriterium, want het besluit geldt onveranderd. Het is wel een risico om te kennen. Wie een onderzoek opzet dat jaren moet lopen, bouwt daar beter niet op.

De dataregio Europa en wat die werkelijk afdekt

Veel mensen zien de dataregio als de oplossing: zet hem op Europa en de data blijft hier. Twee beperkingen slopen die redenering.

De eerste gaat over je editie, de tweede over de dienst. Samen zorgen ze ervoor dat de dataregio bij Google Forms een stuk minder oplevert dan de naam belooft.

De dataregio zit niet in elke editie

De functie dataregio's is gebonden aan bepaalde Google Workspace-edities. Welke dat zijn staat in de beheerdershelp van Google en verandert af en toe.

Bron: beheerdershelp Google Workspace, stand 29 juli 2026, wijzigingen voorbehouden.

Bij Google Forms dekt de dataregio maar de helft

Google onderscheidt gegevens in rust en gegevens tijdens verwerking. Voor diensten als Gmail, Drive of Docs dekt de dataregio beide. Bij Google Forms is in het overzicht van Google alleen de kolom voor gegevens in rust aangevinkt, dus tekst, ingesloten afbeeldingen, antwoorden en conceptantwoorden. De verwerking zelf valt er niet onder. Dezelfde bron sluit logs en gecachete inhoud in het algemeen uit, precies waar de technische verbindingsgegevens zitten (stand 24 maart 2026).

De dataregio is daarmee een zinnig onderdeel, maar geen garantie dat geen data de Unie verlaat. Wie die garantie nodig heeft, komt bij een Europese aanbieder uit.

Wat je concreet moet doen

Stel dat je bij Google Forms blijft en het zakelijk gebruikt. Het contract staat vooraan en het bewaarbeleid achteraan, en daartussen liggen vijf stappen die in een uur te doen zijn.

De volgorde is bewust gekozen: zonder het eerste punt leveren de andere zes niets op.

1. Betaald Google Workspace gebruiken. Alleen daar komt de verwerkersovereenkomst tot stand. Al het andere bouwt daarop voort.
2. Grondslag vaststellen. Bij vrijwillige enquêtes is dat meestal toestemming op grond van artikel 6, lid 1, onder a) van de AVG: vrij, geïnformeerd en intrekbaar.
3. Privacytekst in de formulierbeschrijving zetten. Wie verzamelt, met contactgegevens, waarvoor, hoe lang het bewaard blijft, dat deelname vrijwillig is en hoe toestemming wordt ingetrokken. Een link naar je volledige privacyverklaring hoort erbij.
4. Dataminimalisatie nalopen. Bij elke vraag: heb ik dit gegeven echt nodig voor de analyse? Wat je niet verzamelt, hoef je ook niet te beschermen.
5. Toestemming vragen als je het formulier insluit. Een ingesloten Google-formulier is niet noodzakelijk voor de werking van je site en mag dus pas laden na actieve instemming.
6. Verwerkingsregister aanvullen. Wordt graag vergeten, hoort er wel bij.
7. Bewaartermijn vastleggen. Wanneer worden de antwoorden verwijderd? Het gekoppelde Google-spreadsheet is een tweede kopie en moet apart worden verwijderd.

Een algemeen sjabloon voor de privacytekst en meer achtergrond staan in de gids over privacy en AVG bij enquêtes.

Drie bijzondere gevallen die vaak voorkomen

In drie situaties is de checklist uit het vorige hoofdstuk niet genoeg, omdat er eisen bij komen die niets met Google te maken hebben.

Wat ze gemeen hebben: de vrijwilligheid van de toestemming wordt aanvechtbaar, of een derde partij beslist mee. Wie dat over het hoofd ziet, kan formeel alles goed hebben gedaan en toch een probleem hebben.

Enquêtes op school en in de klas

Leerlingen hebben extra bescherming nodig, en bij minderjarigen komen er eisen aan de toestemming bij. In Nederland kunnen kinderen vanaf 16 jaar zelf toestemming geven voor een dienst van de informatiemaatschappij, daaronder doet de ouder of voogd dat. Het aanspreekpunt is de functionaris gegevensbescherming van de school, de toezichthouder is de Autoriteit Persoonsgegevens. Een gepubliceerde beoordeling van Google Workspace for Education door de Autoriteit is ons niet bekend. Vraag het dus na bij de functionaris van je school voordat je een klassenenquête opzet.

Medewerkersonderzoek

Het knelpunt is niet de serverlocatie maar de gezagsverhouding: toestemming in een arbeidsrelatie geldt maar beperkt als vrij gegeven. Daar komt de rol van de ondernemingsraad bij. En praktisch: als het personeel de anonimiteit niet vertrouwt, krijg je geen eerlijke antwoorden. Meer over het methodische kader staat in de gids over medewerkersonderzoek.

Dataverzameling voor een scriptie

Bij een scriptie gelden meestal de regels van de opleiding, en veel opleidingen eisen uitdrukkelijk dataverzameling op Europese servers. Daar komt bij: in het methodehoofdstuk moet je kunnen beschrijven hoe je anonimiteit en privacy hebt geborgd. „Ik heb Google Forms gebruikt” is geen goed antwoord bij de verdediging.

Het alternatief: helemaal niet doorgeven

De simpelste manier om al deze vragen te vermijden is een aanbieder bij wie ze niet spelen. Als de data de Unie nooit verlaat, is er geen doorgiftegrondslag en geen discussie over dataregio's nodig, en Europese aanbieders bieden de verwerkersovereenkomst meestal ook in gratis plannen aan.

Met empirio.ai, een online enquêtetool uit Duitsland, maak je enquêtes bijna net zo eenvoudig als met Google Forms, terwijl de data volledig in de EU blijft. Andere opties met hun sterke punten staan naast elkaar in het overzicht van Google Forms-alternatieven.

Dat betekent niet dat Google Forms verboden zou zijn. Voor een korte anonieme enquête zonder persoonlijke vragen, vanuit een Workspace-account en met een nette privacytekst, is Google Forms een verdedigbare keuze. Alleen niet voor alles.

Conclusie

De privacyvraag bij Google Forms wordt beslist door het account, niet door de serverlocatie: zonder betaald Google Workspace is er geen verwerkersovereenkomst, en dat gat valt niet te omzeilen. Voor korte anonieme feedback vanuit een Workspace-account is Google Forms verdedigbaar. Voor medewerkersonderzoek, schoolcontexten en gezondheidsgegevens kiezen wij een aanbieder waarvan de data de EU niet verlaat.

Dit artikel geeft de stand van ons onderzoek in augustus 2026 weer en vervangt geen juridisch advies. Overleg bij gevoelige dataverzameling met je functionaris gegevensbescherming of een advocaat.

Hoe je verder komt

• Ben je de enquête nu aan het bouwen? Een enquête maken met Google Forms
• Wil je echt anoniem meten? Een anonieme enquête maken
• Zoek je het algemene kader? Privacy en AVG bij enquêtes
• Overweeg je te wisselen? Google Forms-alternatieven vergeleken

Een enquête starten zonder de contractvraag?

Bij empirio.ai blijft de data in de EU en hoort de verwerkersovereenkomst bij het gebruik, ook in het gratis plan. Gratis uitproberen