Claude, de AVG en de GDPR: gids voor het mkb

Je medewerkers willen Claude gebruiken, of doen het al. Als eigenaar, directeur of privacyverantwoordelijke wil je weten of dat mag met bedrijfsdata en klantgegevens. Het antwoord hangt vooral af van twee dingen: het abonnement en de afspraken die je intern maakt. In deze gids lopen we het stap voor stap door. Alles over Anthropic hebben we op 2 oktober 2026 gecontroleerd in de voorwaarden en documentatie van Anthropic zelf.

Dit is informatie, geen juridisch advies. Twijfel je over jouw situatie, leg het dan voor aan een privacyjurist of aan je functionaris gegevensbescherming.

Stap 1: welk Claude-abonnement geeft welke bescherming?

Anthropic werkt met twee soorten voorwaarden. Free, Pro en Max vallen onder de consumentenvoorwaarden. Team, Enterprise en de API vallen onder de zakelijke voorwaarden, de Commercial Terms. Die tweedeling bepaalt bijna alles: of er een verwerkersovereenkomst geldt, of je chats voor training gebruikt mogen worden en welke beheeropties je hebt.

Team is bedoeld voor 2 tot 150 gebruikers. Enterprise voegt onder meer rolgebaseerde rechten, SCIM-koppeling met je gebruikersbeheer en een Compliance API toe. Wat de abonnementen kosten, lees je op onze pagina over wat Claude kost.

Onze vuistregel: laat niemand met bedrijfs- of klantdata werken in een privéaccount. Ook een betaald Pro- of Max-abonnement valt onder de consumentenvoorwaarden, en jij hebt als werkgever geen zicht op wat daar gebeurt.

Stap 2: hoe zit het met de verwerkersovereenkomst?

Laat je Claude persoonsgegevens verwerken voor je bedrijf, dan ben jij de verwerkingsverantwoordelijke en Anthropic de verwerker. Zo staat het ook in de Data Processing Addendum (DPA) van Anthropic: de klant is controller, Anthropic is processor.

Je hoeft de DPA niet apart te tekenen. De Commercial Terms zeggen dat de DPA er door verwijzing deel van uitmaakt. Neem je Team, Enterprise of de API af, dan geldt hij dus. De belangrijkste punten uit de versie van 24 februari 2025:

• Klanten in de Europese Economische Ruimte, Zwitserland en het Verenigd Koninkrijk sluiten het contract met Anthropic Ireland, Limited.
• De standaardcontractbepalingen (SCC's) van de Europese Commissie voor doorgifte buiten de EU zijn opgenomen, in de varianten verwerkingsverantwoordelijke naar verwerker en verwerker naar verwerker.
• Je geeft algemene toestemming voor de subverwerkers in de bijlage. Wil Anthropic een nieuwe subverwerker inschakelen, dan krijg je daar vooraf bericht van.
• Na afloop van het contract kun je binnen 30 dagen een kopie van je data opvragen. Daarna verwijdert Anthropic de klantdata, tenzij de wet of bijvoorbeeld een geschil bewaren nodig maakt.

Download de DPA als pdf en bewaar hem bij je contracten, met de datum erbij. Dan kun je later laten zien welke versie gold toen je begon.

Stap 3: waar wordt je data verwerkt?

Hier lees je online veel tegenstrijdige dingen. Wat Anthropic zelf schrijft, verschilt per product.

De API. Anthropic onderscheidt twee instellingen. De workspace geo bepaalt waar data in rust wordt opgeslagen. Daarvoor is "us" op dit moment de enige optie. De inference geo bepaalt waar het model je verzoek verwerkt. Standaard staat die op "global": de verwerking kan dan in elke beschikbare regio plaatsvinden. Je kunt ook "us" kiezen. Een Europese optie is er op het eigen platform van Anthropic niet.

Claude Team en Enterprise. Ook hier biedt Anthropic geen Europese regio. Op Enterprise-abonnementen met verbruiksafrekening kan een beheerder "US-only inference" aanzetten. Staat die instelling uit, dan kan de verwerking volgens Anthropic naar servers in andere regio's gaan. Op Team bestaat deze instelling niet.

Data in de EU houden. Dat loopt via een cloudpartner. Anthropic noemt daarvoor zelf AWS Bedrock en Google Vertex AI. Bij Bedrock kies je een Europese regio, zoals Frankfurt (eu-central-1), of een EU-inferentieprofiel dat binnen Europese regio's blijft. Bij Vertex AI kies je een Europese regio zoals europe-west1, of het eu-endpoint dat over meerdere EU-regio's verdeelt. Bij beide betaal je voor zo'n regionaal endpoint 10 procent meer dan voor het wereldwijde endpoint. Niet elk model is in elke regio beschikbaar, dus check dat per model. Je werkt dan via de omgeving van AWS of Google en niet via claude.ai.

Gaat je data naar de Verenigde Staten, dan regelt de DPA die doorgifte met de SCC's. Of dat voor jouw soort gegevens voldoende is, neem je mee in je eigen risicoafweging.

Stap 4: gebruikt Anthropic je data om Claude te trainen?

Bij zakelijke abonnementen niet. De Commercial Terms zeggen letterlijk dat Anthropic geen modellen mag trainen op klantcontent. Er zijn twee uitzonderingen. Feedback die je zelf aan Anthropic stuurt, mag Anthropic gebruiken. En een beheerder kan de organisatie aanmelden voor het Development Partner Program van Claude Code, waarmee je wel materiaal voor training aanlevert. Spreek af dat niemand dat doet zonder overleg.

Bij Free, Pro en Max mag Anthropic chats wel gebruiken voor training, tenzij je dat uitzet in je instellingen. Sta je training toe, dan bewaart Anthropic die chats vijf jaar. Zet je het uit, dan blijft het bij 30 dagen. Ook met training uit kan Anthropic feedback en chats die voor een veiligheidscontrole zijn gemarkeerd voor training gebruiken.

En hoe lang blijft je data staan? Bij Team en Enterprise volgen chats en bestanden de bewaarinstelling van je organisatie. Enterprise kan een eigen termijn instellen van minimaal 30 dagen. Zonder ingestelde termijn bewaart Enterprise data voor onbepaalde tijd. Voor de API kun je bij Anthropic Zero Data Retention aanvragen. De chatomgeving van Team en Enterprise komt daar niet voor in aanmerking. Chats die de veiligheidssystemen van Anthropic markeren, kunnen tot twee jaar bewaard blijven.

Voor je leveranciersbeoordeling: Anthropic noemt als certificeringen ISO 27001:2022, ISO/IEC 42001:2023 en SOC 2 Type I en Type II. De rapporten vraag je op via het Trust Portal van Anthropic.

Stap 5: wat mag je wel en niet in Claude zetten?

Ook met een zakelijk abonnement zet je er niet zomaar alles in. Gebruik niet meer persoonsgegevens dan je voor de taak nodig hebt. Wij werken met drie groepen.

• Prima: openbare informatie, je eigen teksten en sjablonen, cijfers zonder namen, code zonder klantdata.
• Alleen in het zakelijke account en volgens je beleid: klantnamen en contactgegevens, e-mails, offertes, contracten en notulen met namen. Haal eruit wat je voor de taak niet nodig hebt.
• Niet invoeren, tenzij je DPIA en je jurist het goedkeuren: gezondheidsgegevens en andere bijzondere persoonsgegevens, strafrechtelijke gegevens, BSN's, wachtwoorden en API-sleutels, en data die je volgens het contract met een klant niet bij een andere partij mag neerleggen.

Een simpele toets voor je team: zou je dit stuk zonder overleg naar een externe leverancier mailen? Zo niet, dan hoort het ook niet in Claude.

Stap 6: wat regel je intern?

Het contract met Anthropic is één kant. De andere kant ligt bij jou. Dit zijn de stappen die we bij klanten doorlopen.

1. Kies één zakelijk account. Sluit privéaccounts uit voor werk en zeg dat ook hardop. Mensen gebruiken anders gewoon wat ze thuis al hebben.
2. Schrijf een kort AI-beleid. Eén pagina is genoeg: welke tools mogen, welke data erin mag, wie vragen beantwoordt en wat je doet als het misgaat.
3. Richt het account in. Zet SSO aan, laat training uit staan, beperk de connectors die medewerkers mogen koppelen en stel op Enterprise een bewaartermijn in.
4. Werk je register van verwerkingen bij. Zet erin dat Anthropic verwerker is, welke gegevens je verwerkt, met welk doel, hoe lang en dat er doorgifte buiten de EU is op basis van de SCC's.
5. Toets of je een DPIA nodig hebt. De Autoriteit Persoonsgegevens legt uit wanneer een DPIA verplicht is. Gebruik je Claude voor gezondheidsgegevens, voor het beoordelen van mensen of voor grote hoeveelheden klantdata, ga er dan van uit dat je er een moet doen.
6. Leg het je team uit. Beleid werkt pas als mensen weten wat erin staat en waarom. Een korte sessie met voorbeelden uit het eigen werk helpt meer dan een document. Zie onze training voor teams.
7. Plan een herziening. Anthropic past voorwaarden en instellingen regelmatig aan, dus kijk minstens bij elke verlenging opnieuw naar je afspraken.

Wat betekent de EU AI Act voor jouw mkb?

Naast de AVG is er de Europese AI-verordening, de AI Act. Die maakt onderscheid tussen de aanbieder van een AI-model en de organisatie die het gebruikt. Anthropic is de aanbieder. In juli 2025 kondigde Anthropic aan dat het de Europese gedragscode voor algemene AI-modellen (General-Purpose AI Code of Practice) zou ondertekenen.

Wat de AI Act van jouw bedrijf vraagt, hangt af van waarvoor je Claude inzet. Teksten schrijven, samenvatten en analyseren valt in een andere categorie dan Claude laten meebeslissen over sollicitanten of kredietaanvragen. Voor dat soort toepassingen gelden strengere regels. Overweeg je zoiets, laat het dan eerst toetsen.

De AI Act gaat in fasen in en de termijnen verschillen per soort verplichting. Kijk voor de actuele data bij de Europese Commissie of de Autoriteit Persoonsgegevens. Twee dingen zijn voor elk mkb verstandig, los van de precieze termijnen: zorg dat je medewerkers weten hoe Claude werkt en waar het fouten maakt, en wees open naar klanten als ze met AI te maken hebben.

Wil je hulp bij de inrichting, van account tot beleid? Dat doen we in onze Claude-implementatie. Meer over privacy en beveiliging staat op onze compliancepagina, en een breder overzicht in de gids Claude voor het mkb.

Checklist: Claude AVG-proof inzetten

• Je gebruikt Claude Team, Enterprise of de API, en geen Free-, Pro- of Max-accounts voor werk.
• Je hebt de DPA van Anthropic gedownload en met datum bij je contracten opgeslagen.
• Je weet waar je data wordt opgeslagen en verwerkt, en of dat voor jouw data acceptabel is. Zo niet: Bedrock of Vertex AI in een EU-regio.
• Training staat uit en niemand meldt de organisatie zonder overleg aan voor een dataprogramma.
• SSO staat aan en connectors zijn beperkt tot wat nodig is.
• Op Enterprise heb je een bewaartermijn ingesteld.
• Er is een AI-beleid van één pagina met de drie datagroepen uit stap 5.
• Claude staat in je register van verwerkingen.
• Je hebt getoetst of een DPIA nodig is en die conclusie vastgelegd.
• Je team heeft uitleg gehad over het beleid en over de beperkingen van Claude.
• Je hebt een datum in de agenda staan om dit opnieuw te bekijken.