„Is Google Forms AVG-proof?” is de meestgestelde en slechtst beantwoorde vraag over deze tool. De gebruikelijke antwoorden zijn „absoluut niet, de data staat in de VS” of „het is maar een enquête”. Allebei schieten ze tekort.
Google Forms is AVG-proof te gebruiken als je met een betaald Google Workspace-account werkt, want alleen daar komt een verwerkersovereenkomst tot stand, als je een grondslag hebt, als het formulier vertelt wie verzamelt, waarvoor, hoe lang en hoe je kunt intrekken, en als je alleen vraagt wat je analyse echt nodig heeft. Voor dit artikel hebben we in augustus 2026 de contractvoorwaarden en de beheerdershelp van Google nagelezen.
Tip: je kunt de contractvraag ook helemaal omzeilen. Bij empirio.ai staat de enquêtedata in de EU, in Frankfurt am Main, draaien ook de AI-functies op infrastructuur binnen de EU, en is de verwerkersovereenkomst een bijlage bij de gebruiksvoorwaarden waarmee je bij het registreren akkoord gaat. Aanvragen hoeft niet, en een betaald plan is er evenmin voor nodig. Daar komt bij wat een gespecialiseerde enquêtetool kan, en een groot deel daarvan is gratis. Verderop staat het uitgewerkt in Het EU-alternatief: empirio.ai.
📌 Dit is het belangrijkste
- Een verwerkersovereenkomst bestaat alleen bij betaald Google Workspace.
- Het openen van het formulier verwerkt al technische verbindingsgegevens.
- De dataregio Europa ontbreekt in Business Starter en gratis accounts.
- Bij Google Forms dekt die opgeslagen gegevens af, geen logs.
- Het EU-US Data Privacy Framework geldt, maar ligt onder vuur.
Gratis enquête maken
Met empirio.ai maak je in enkele minuten een moderne online enquête — met hosting in de EU.
- Enquête met AI
- Aanpassen met drag & drop
- Analyse in realtime
De eerste stap: ben je wel verwerkingsverantwoordelijke?
Voor Google aan de beurt is, ben jij dat. De AVG geldt niet voor elke enquête, en wie geen verwerkingsverantwoordelijke is, heeft geen grondslag, geen contract en geen privacyverklaring nodig.
De grens loopt niet tussen onschuldige en gevoelige vragen, maar tussen een puur persoonlijke activiteit en al het andere. Dat onderscheid bepaalt de rest van dit artikel, daarom staat het vooraan.
De huishouduitzondering bij privé-enquêtes
Volgens artikel 2, lid 2, onder c) van de AVG geldt de verordening niet voor verwerking door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit. Een datumprikker in de familie of een peiling onder vrienden valt daaronder. Wie alleen in dat kader vraagt, hoeft niets van wat hierna komt.
Waar de huishouduitzondering ophoudt
Het Hof van Justitie van de Europese Unie legt de uitzondering strikt uit en beperkt die tot het strikt noodzakelijke (HvJ, 11.12.2014, C-212/13, Ryneš). Voor het verspreiden van gegevens onder een onbepaald aantal mensen op internet oordeelde het Hof dat de uitzondering niet opgaat (HvJ, 06.11.2003, C-101/01, Lindqvist). Drie gevallen vallen erbuiten:
- Er komt een zakelijk doel bij, ook een gemengd doel telt.
- Achter de enquête staat een rechtspersoon: bedrijf, vereniging, school, overheid.
- De enquête bereikt een onbepaald publiek via een openbaar gedeelde link.
Dat laatste punt verrast veel mensen. Wie de enquête voor zijn scriptie in open Facebook-groepen deelt, zit niet meer in het beschermde gebied. Het precieze geval van de openbare enquêtelink is door het Hof niet beslist, de redenering steunt op de Lindqvist-lijn. Bij academisch werk komen de eisen van de opleiding er sowieso bij.
Waarom technische gegevens al genoeg zijn
De meestgemaakte denkfout past in één zin: „Ik vraag niets persoonlijks, dus die enquête is privacytechnisch geen punt.” Die conclusie houdt geen stand.
Zodra iemand een Google-formulier opent, verwerkt Google technische verbindingsgegevens: IP-adres, datum en tijd, opgevraagde pagina, browser- en apparaatinformatie. IP-adressen zijn persoonsgegevens zodra de verwerkende partij middelen heeft die redelijkerwijs kunnen worden ingezet om de persoon te identificeren (HvJ, 19.10.2016, C-582/14, Breyer). Het Hof bevestigde die relatieve maatstaf op 04.09.2025 in zaak C-413/23 P. Voor Google als exploitant is identificatie in de regel mogelijk.
Er is dus verwerking van persoonsgegevens, ongeacht wat er in je vragenlijst staat. En daarmee staat vast of een grondslag en een contract met Google nodig zijn. Het antwoord is ja, vanaf het eerste antwoord.
Twee verduidelijkingen, om misverstanden te voorkomen:
- Google Forms toont jou als maker nooit IP-adressen, ook niet in de export.
- Een enquête kan vanuit jouw perspectief toch anoniem zijn, het een sluit het ander niet uit. Hoe dat gaat, lees je in Een anonieme enquête maken.
De verwerkersovereenkomst is het echte knelpunt
Wanneer Google persoonsgegevens in jouw opdracht verwerkt, is Google verwerker en ben jij verwerkingsverantwoordelijke. Artikel 28 van de AVG vereist een contract voor die verhouding, en lid 9 vereist dat schriftelijk, ook in elektronische vorm.
Google regelt dat in het Cloud Data Processing Addendum. Volgens de contractvoorwaarden van Google zelf geldt dat addendum voor Google Workspace, Cloud Identity en Google Cloud. Voor privé-, gratis Google-accounts geldt het niet. Bij Google Workspace Individual zegt Google toe het aan te gaan, mits de dienst zakelijk of beroepsmatig wordt gebruikt.
Wie Google Forms zakelijk gebruikt vanaf een persoonlijk Gmail-account houdt dus een gat dat met geen enkele privacyverklaring te dichten is. Daar strandt het in de praktijk, en dat is precies het punt dat de meeste gidsen overslaan.
⚠️ Let op
Gebruik je Google Forms zakelijk vanaf een gratis Google-account, dan ontbreekt de verwerkersovereenkomst. Die formele voorwaarde valt achteraf niet te repareren. De uitweg is een betaald Workspace-account of een tool die het contract ook in het gratis plan aanbiedt.
De serverlocatie: minder blokkerend dan haar reputatie
Het standaardargument tegen Google past in één zin: de data staat in de VS, dus dat kan niet. Sinds 2023 ligt het genuanceerder, in beide richtingen.
Op 10 juli 2023 nam de Europese Commissie een adequaatheidsbesluit voor het EU-US Data Privacy Framework, het uitvoeringsbesluit (EU) 2023/1795. Voor gecertificeerde Amerikaanse bedrijven rust de doorgifte daarmee op dezelfde basis als binnen de Unie. Google verklaart dat Google LLC gecertificeerd is. Het Gerecht van de Europese Unie bevestigde het besluit op 03.09.2025 in zaak T-553/23 (Latombe).
Waarom die basis minder vast staat dan het klinkt
De bevestiging is niet onherroepelijk: op 31.10.2025 werd hogere voorziening ingesteld bij het Hof van Justitie, zaak C-703/25 P. Daar komt een tweede punt bij. Het adequaatheidsbesluit steunt in belangrijke mate op de onafhankelijkheid van Amerikaanse toezichthouders. Op 29.06.2026 oordeelde het Amerikaanse Hooggerechtshof in Trump v. Slaughter dat de ontslagbescherming van FTC-commissarissen ongrondwettig is, en verliet het precedent Humphrey’s Executor. De Europese Toezichthouder voor gegevensbescherming heeft de Commissie bij brief van 31.07.2026 gevraagd het effect op het besluit te onderzoeken.
Concreet: in augustus 2026 is de serverlocatie geen uitsluitingscriterium, want het besluit geldt onveranderd. Het is wel een risico om te kennen. Wie een onderzoek opzet dat jaren moet lopen, bouwt daar beter niet op.
Gratis enquête maken
Met empirio.ai maak je in enkele minuten een moderne online enquête — met hosting in de EU.
- Enquête met AI
- Aanpassen met drag & drop
- Analyse in realtime
De dataregio Europa en wat die werkelijk afdekt
Veel mensen zien de dataregio als de oplossing: zet hem op Europa en de data blijft hier. Twee beperkingen slopen die redenering.
De eerste gaat over je editie, de tweede over de dienst. Samen zorgen ze ervoor dat de dataregio bij Google Forms een stuk minder oplevert dan de naam belooft.
De dataregio zit niet in elke editie
De functie dataregio's is gebonden aan bepaalde Google Workspace-edities. Welke dat zijn staat in de beheerdershelp van Google en verandert af en toe.
| Google Workspace-editie | Dataregio's beschikbaar |
|---|---|
| Business Standard, Business Plus | ja |
| Enterprise Standard, Enterprise Plus | ja |
| Education Standard, Education Plus | ja |
| Frontline Starter, Standard, Plus | ja |
| Enterprise Essentials Plus | ja |
| Business Starter, Essentials Starter, Essentials | nee |
| Enterprise Essentials, Education Fundamentals | nee |
| Gratis Google-account | nee |
Bron: beheerdershelp Google Workspace, stand 29 juli 2026, wijzigingen voorbehouden.
Bij Google Forms dekt de dataregio maar de helft
Google onderscheidt gegevens in rust en gegevens tijdens verwerking. Voor diensten als Gmail, Drive of Docs dekt de dataregio beide. Bij Google Forms is in het overzicht van Google alleen de kolom voor gegevens in rust aangevinkt, dus tekst, ingesloten afbeeldingen, antwoorden en conceptantwoorden. De verwerking zelf valt er niet onder. Dezelfde bron sluit logs en gecachete inhoud in het algemeen uit, precies waar de technische verbindingsgegevens zitten (stand 24 maart 2026).
De dataregio is daarmee een zinnig onderdeel, maar geen garantie dat geen data de Unie verlaat. Wie die garantie nodig heeft, komt bij een Europese aanbieder uit.
Wat je concreet moet doen
Stel dat je bij Google Forms blijft en het zakelijk gebruikt. Het contract staat vooraan en het bewaarbeleid achteraan, en daartussen liggen vijf stappen die in een uur te doen zijn.
De volgorde is bewust gekozen: zonder het eerste punt leveren de andere zes niets op.
- Betaald Google Workspace gebruiken. Alleen daar komt de verwerkersovereenkomst tot stand. Al het andere bouwt daarop voort.
- Grondslag vaststellen. Bij vrijwillige enquêtes is dat meestal toestemming op grond van artikel 6, lid 1, onder a) van de AVG: vrij, geïnformeerd en intrekbaar.
- Privacytekst in de formulierbeschrijving zetten. Wie verzamelt, met contactgegevens, waarvoor, hoe lang het bewaard blijft, dat deelname vrijwillig is en hoe toestemming wordt ingetrokken. Een link naar je volledige privacyverklaring hoort erbij.
- Dataminimalisatie nalopen. Bij elke vraag: heb ik dit gegeven echt nodig voor de analyse? Wat je niet verzamelt, hoef je ook niet te beschermen.
- Toestemming vragen als je het formulier insluit. Een ingesloten Google-formulier is niet noodzakelijk voor de werking van je site en mag dus pas laden na actieve instemming.
- Verwerkingsregister aanvullen. Wordt graag vergeten, hoort er wel bij.
- Bewaartermijn vastleggen. Wanneer worden de antwoorden verwijderd? Het gekoppelde Google-spreadsheet is een tweede kopie en moet apart worden verwijderd.
Een algemeen sjabloon voor de privacytekst en meer achtergrond staan in de gids over privacy en AVG bij enquêtes.
Drie bijzondere gevallen die vaak voorkomen
In drie situaties is de checklist uit het vorige hoofdstuk niet genoeg, omdat er eisen bij komen die niets met Google te maken hebben.
Wat ze gemeen hebben: de vrijwilligheid van de toestemming wordt aanvechtbaar, of een derde partij beslist mee. Wie dat over het hoofd ziet, kan formeel alles goed hebben gedaan en toch een probleem hebben.
Enquêtes op school en in de klas
Leerlingen hebben extra bescherming nodig, en bij minderjarigen komen er eisen aan de toestemming bij. In Nederland kunnen kinderen vanaf 16 jaar zelf toestemming geven voor een dienst van de informatiemaatschappij, daaronder doet de ouder of voogd dat. Het aanspreekpunt is de functionaris gegevensbescherming van de school, de toezichthouder is de Autoriteit Persoonsgegevens. Een gepubliceerde beoordeling van Google Workspace for Education door de Autoriteit is ons niet bekend. Vraag het dus na bij de functionaris van je school voordat je een klassenenquête opzet.
Medewerkersonderzoek
Het knelpunt is niet de serverlocatie maar de gezagsverhouding: toestemming in een arbeidsrelatie geldt maar beperkt als vrij gegeven. Daar komt de rol van de ondernemingsraad bij. En praktisch: als het personeel de anonimiteit niet vertrouwt, krijg je geen eerlijke antwoorden. Meer over het methodische kader staat in de gids over medewerkersonderzoek.
Dataverzameling voor een scriptie
Bij een scriptie gelden meestal de regels van de opleiding, en veel opleidingen eisen uitdrukkelijk dataverzameling op Europese servers. Daar komt bij: in het methodehoofdstuk moet je kunnen beschrijven hoe je anonimiteit en privacy hebt geborgd. „Ik heb Google Forms gebruikt” is geen goed antwoord bij de verdediging.
Het EU-alternatief: empirio.ai
De simpelste manier om al deze vragen te vermijden is een aanbieder bij wie ze niet spelen. Als de data de Unie nooit verlaat, is er geen doorgiftegrondslag en geen discussie over dataregio's nodig. empirio.ai is een online enquêtetool uit Duitsland waarmee je enquêtes bijna net zo eenvoudig maakt als met Google Forms. Vier punten maken het verschil, precies daar waar dit artikel tot nu toe problemen beschreef.
De enquêtedata blijft in de EU
Opslag gebeurt in de Europese Unie, in Frankfurt am Main. Daarmee speelt de vraag naar het EU-US Data Privacy Framework voor jouw antwoorden helemaal niet. En je hoeft niet op te zoeken welke Workspace-editie een dataregio toelaat, en of die regio alleen opgeslagen gegevens dekt of ook de verwerking. Bij Google Forms zijn dat twee losse hordes.
Ook de AI draait in de EU
Waar de data staat en waar de AI die verwerkt zijn twee verschillende vragen, en de tweede sneeuwt meestal onder. Een tool kan keurig in Europa opslaan en de tekst van je vragenlijst tóch naar een Amerikaans model sturen zodra iemand op „vragen verbeteren” klikt. Bij empirio.ai draaien de AI-functies op infrastructuur binnen de EU, en wat je invoert wordt niet gebruikt om de modellen te trainen. De Autoriteit Persoonsgegevens waarschuwt er nadrukkelijk voor om persoonsgegevens in een AI-chatbot te zetten zonder te weten waar ze belanden.
De verwerkersovereenkomst heb je vanaf dag één
Dit is het punt waarop Google Forms in de praktijk struikelt. Bij empirio.ai is de verwerkersovereenkomst volgens artikel 28 AVG een bijlage bij de gebruiksvoorwaarden waarmee je bij het registreren akkoord gaat. Niets aanvragen, niets ondertekenen, geen betaald plan als voorwaarde. Voor zakelijk gebruik is daarmee precies het formele gat gedicht dat je achteraf niet meer repareert.
Meer functies, omdat het een enquêtetool is
Google Forms is een formulierenbouwer die ook enquêtes aankan. empirio.ai is vanaf het begin voor onderzoek gebouwd, en dat merk je aan de vraagtypen: ruim 35 stuks, waaronder matrix, ranking, NPS en beoordelingsschalen. Antwoorden komen live binnen in een dashboard in plaats van in een spreadsheet, en een AI-editor schrijft de vragenlijst uit één enkele zin. Vraagtypen, AI-editor, sjablonen, QR-code en het insluiten op je eigen site horen bij het gratis plan, dat op 50 deelnemers per maand ligt.
En om de rekening eerlijk te houden: juist op die grens is Google Forms sterker, want daar zijn de antwoorden onbeperkt en kosten ze niets. Voor een korte anonieme enquête zonder persoonlijke vragen, vanuit een Workspace-account en met een nette privacytekst, blijft Google Forms een verdedigbare keuze. Zodra er persoonsgegevens, een ondernemingsraad of een regel van de opleiding bij komen, kantelt het beeld. Andere opties met hun sterke punten staan naast elkaar in het overzicht van Google Forms-alternatieven.
Conclusie
De privacyvraag bij Google Forms wordt beslist door het account, niet door de serverlocatie: zonder betaald Google Workspace is er geen verwerkersovereenkomst, en dat gat valt niet te omzeilen. Voor korte anonieme feedback vanuit een Workspace-account is Google Forms verdedigbaar. Voor medewerkersonderzoek, schoolcontexten en gezondheidsgegevens kiezen wij een aanbieder waarvan de data de EU niet verlaat.
Dit artikel geeft de stand van ons onderzoek in augustus 2026 weer en vervangt geen juridisch advies. Overleg bij gevoelige dataverzameling met je functionaris gegevensbescherming of een advocaat.
Hoe je verder komt
- Ben je de enquête nu aan het bouwen? Een enquête maken met Google Forms
- Wil je echt anoniem meten? Een anonieme enquête maken
- Zoek je het algemene kader? Privacy en AVG bij enquêtes
- Overweeg je te wisselen? Google Forms-alternatieven vergeleken
Een enquête starten zonder de contractvraag?
Bij empirio.ai blijft de data in de EU en hoort de verwerkersovereenkomst bij het gebruik, ook in het gratis plan. Gratis uitproberen