Geldt de AVG buiten de EU? Toets artikel 3 per activiteit
Geldt de AVG buiten de EU? Bepaal als niet-EU-bedrijf de route via vestiging, gericht aanbod of monitoring. Alleen toegankelijkheid is niet genoeg.
Geldt de AVG buiten de EU? Voor een niet-EU-bedrijf is het eerlijke begin dat wereldwijde toegankelijkheid alleen geen gerichte marktbenadering is; veel werkelijk lokale ondernemingen zonder relevante EU-vestiging, gericht aanbod of monitoring vallen voor die lokale verwerking buiten artikel 3 van de AVG1. De AVG is bovendien geen etiket dat één keer op de hele onderneming wordt geplakt; de territoriale toets volgt iedere concrete verwerking.
De analyse kent drie hoofdroutes: verwerking in het kader van een EU-vestiging, aanbod van goederen of diensten aan mensen in de EU en monitoring van hun gedrag in de EU2; een EU-server, EU-bezoeker of euroteken beslist niet zelfstandig. Verzamel eerst feiten over de activiteit, de mensen en de bedoeling, pas daarna volgt een conclusie onder artikel 3 van de AVG1. Bij een positieve route onder lid 2 komt de vertegenwoordigerstoets van artikel 27 pas als vervolgvraag.
Snel antwoord De AVG kan buiten de EU gelden wanneer een verwerking samenhangt met een EU-vestiging, bewust goederen of diensten aan mensen in de EU aanbiedt, of hun gedrag in de EU monitort. Een algemeen bereikbare website is niet genoeg. Beoordeel elke activiteit apart en toets artikel 27 pas na een positieve route.
Laatst bijgewerkt: 2 oktober 2026
Begin bij de verwerking, niet het hoofdkantoor
De vestigingsplaats van de onderneming is niet het enige vertrekpunt; artikel 3 vraagt welke verwerking wordt uitgevoerd en welke territoriale aanknoping juist die activiteit heeft1. Een niet-EU-bedrijf kan daarom voor één verwerking binnen de AVG vallen en voor een andere erbuiten; het antwoord moet de activiteit volgen, niet de naam, groepsstructuur of algemene markt van het bedrijf.
Baken de verwerking concreet af: welk doel, welke gegevens, welke mensen, welk klantkanaal, welke gedragsobservatie en welke organisatorische eenheid zijn betrokken; noteer ook waar de betrokken personen zich bevinden op het relevante moment. De richtsnoeren benadrukken dat de toepasselijkheid niet wordt beslist door nationaliteit of woonplaats alleen, maar door de voorwaarden van de gekozen route2.
Een activiteitsspecifieke afbakening voorkomt twee spiegelbeeldige fouten: de eerste is aannemen dat de AVG nooit geldt omdat het hoofdkantoor buiten de EU staat. De tweede is aannemen dat één EU-gerichte activiteit alle wereldwijde verwerking van het bedrijf onder de AVG brengt2. Beide slaan de koppeling tussen route en verwerking over.
Leg daarom per activiteit de feiten en mogelijke route vast; de uiteindelijke notitie kan verschillende uitkomsten binnen hetzelfde bedrijf bevatten, zolang elke conclusie controleerbaar uit haar eigen bewijs volgt. De definitieve richtsnoeren bieden daarvoor dezelfde routegerichte benadering3.
Doorloop de drie routes van artikel 3
De drie routes beantwoorden verschillende vragen en mogen niet tot één vage “EU-band” worden samengevoegd. De vestigingsroute onderzoekt de context van activiteiten; de aanbodroute onderzoekt objectieve bedoeling; de monitoringroute onderzoekt gedrag in de EU en het doel van verzameling en hergebruik1.
| Route | Vraag | Ja-route | Nee-route |
|---|---|---|---|
| EU-vestiging | Is er een relevante vestiging en gebeurt de verwerking in het kader van haar activiteiten2? | Analyseer de contextuele band; bij een positieve band geldt de AVG1 | Ga voor deze verwerking door naar aanbod en monitoring |
| Aanbod | Biedt het niet-EU-bedrijf bewust goederen of diensten aan mensen in de EU aan? | Onderzoek de combinatie van doelgroepgerichte signalen en daarna artikel 27 van de AVG | Algemene toegankelijkheid alleen leidt door naar monitoring |
| Monitoring | Wordt gedrag van mensen in de EU gevolgd met een doel om gedragsgegevens te verzamelen en te hergebruiken? | Artikel 3, lid 2, kan gelden; toets daarna artikel 27 van de AVG3 | Zonder een andere route valt de activiteit buiten artikel 3 van de AVG |
Artikel 3, lid 3, vormt een smalle en afzonderlijke route voor plaatsen waar het recht van een lidstaat krachtens internationaal publiekrecht geldt2. Gebruik die bepaling niet als algemene vierde markttoets en meng haar niet met gewone online toegankelijkheid. Voor de meeste niet-EU-bedrijven blijven vestiging, aanbod en monitoring de praktische beslisroute.
De route begint met één afgebakende verwerking en toetst eerst een EU-vestiging en haar context. Zonder positieve vestigingsroute volgt het aanbod: alleen objectieve signalen van een gerichte marktbenadering leiden verder, terwijl loutere toegankelijkheid naar de monitoringtoets gaat. Een positieve route onder artikel 3, lid 2, opent de artikel-27-toets; zonder vestiging, gericht aanbod of monitoring blijft de activiteit buiten artikel 3.
Beoordeel de context van een EU-vestiging
Een vestiging vereist niet noodzakelijk een formele dochteronderneming; stabiele regelingen en daadwerkelijke, reële activiteit kunnen relevant zijn, zelfs wanneer de inrichting klein is1. De beoordeling is feitelijk en kijkt naar de economische en organisatorische werkelijkheid; een postadres, losse vertegenwoordiger of incidentele aanwezigheid levert niet zonder meer een relevante vestiging op2.
Daarna volgt een tweede vraag: gebeurt de onderzochte verwerking in het kader van de activiteiten van die vestiging3? Een onlosmakelijke band kan betekenen dat verwerking buiten de EU toch binnen de vestigingsroute valt. Het hoeft niet de EU-vestiging zelf te zijn die de gegevens verwerkt; bepalend is de functionele context tussen haar activiteiten en de verwerking1.
Serverlocatie beslist deze route niet; opslag in de EU schept niet vanzelf een vestiging, en verwerking op een server buiten de EU sluit de contextuele band niet uit2. Ook een formeel organigram is niet doorslaggevend; onderzoek welke eenheid klanten ondersteunt, inkomsten mogelijk maakt, contracten uitvoert of anderszins onlosmakelijk met de verwerking verbonden is.
Documenteer afzonderlijk het bestaan van stabiele regelingen en de contextuele koppeling. Als één van beide ontbreekt, ga dan niet alsnog via een vaag “EU-contact” naar toepasselijkheid. De aanbod- en monitoringroutes blijven open en krijgen hun eigen feiten en voorwaarden.
Zoek objectieve bedoeling bij het aanbod
Omdat het aanbieden van goederen of diensten geen betaling vereist, kan ook een gratis dienst, proefversie of ander aanbod binnen artikel 3, lid 2, vallen wanneer het niet-EU-bedrijf kennelijk de bedoeling heeft mensen in de EU te bedienen1. Die bedoeling wordt objectief afgeleid; een algemene verklaring dat de EU “niet de doelgroep” is, weegt weinig als de feitelijke inrichting het tegendeel laat zien2.
| Bewijs | Wat het kan aangeven | Wat te controleren |
|---|---|---|
| Levering in de EU of prijzen in euro | Een ingericht kanaal voor EU-klanten kan bewuste marktbenadering ondersteunen | Naar welke landen wordt werkelijk geleverd, welke voorwaarden gelden en is de valuta specifiek op die markt gericht3? |
| Op de EU gerichte reclame | Geselecteerde landen, doelgroepen of campagnes kunnen objectieve bedoeling tonen | Welke instellingen, media, landingspagina’s en meetdoelen zijn gebruikt, en voor welke activiteit1? |
| Verwijzingen naar EU-klanten | Referenties kunnen laten zien dat het aanbod juist voor mensen in de EU wordt gepresenteerd | Zijn de voorbeelden actueel, bewust gekozen en verbonden met de onderzochte dienst2? |
| Algemeen toegankelijke website | Bereikbaarheid kan toegang verklaren, maar toont op zichzelf geen gericht aanbod | Zijn er aanvullende leverings-, taal-, valuta-, reclame- of contactsignalen die samen een gerichte marktbenadering aannemelijk maken? |
Andere mogelijke signalen zijn lokale contactroutes of een taal die in het eigen land van de handelaar gewoonlijk niet wordt gebruikt, maar geen enkel signaal is op zichzelf beslissend. Omdat europrijzen ook algemeen gemak kunnen dienen, een taal wereldwijd kan worden gebruikt en één klantreferentie toevallig kan zijn, bepalen de combinatie, context en aansluiting bij de concrete activiteit het gewicht.
Maak daarom geen checklist waarin elk vinkje even zwaar is. Beschrijf waarom de verzamelde signalen gezamenlijk wel of niet wijzen op een doelbewust EU-aanbod. De objectieve beoordeling moet de feitelijke inrichting volgen en niet alleen een achteraf geformuleerde intentie.
Trek toegankelijkheid niet gelijk aan marktgerichtheid
Een website die overal bereikbaar is, richt zich daarmee nog niet bewust op mensen in de EU2. Hetzelfde geldt voor een algemeen e-mailadres, andere contactgegevens of informatie die zonder regionale inrichting kan worden bekeken3. Deze concessie is wezenlijk: anders zou vrijwel ieder lokaal niet-EU-bedrijf door internetbereik automatisch binnen artikel 3 vallen.
Een ongevraagde bestelling, vraag of bezoek uit de EU bewijst evenmin zelfstandig een vooraf bestaand aanbod aan die markt2, dus onderzoek hoe het bedrijf reageert en of daarna een gericht kanaal wordt ingericht zonder één toevallig contact terug te schrijven als oorspronkelijke marktbenadering3. De tijdlijn helpt voorkomen dat gevolg en bedoeling worden verwisseld.
Neem een uitsluitend op de Verenigde Staten gerichte dienst zonder EU-vestiging, zonder levering of reclame richting de EU en zonder gedragsmonitoring van mensen in de EU. Een EU-reiziger kan de algemene website openen of onverwacht een vraag sturen. Die feiten alleen ondersteunen de echte nee-route: de onderzochte lokale activiteit valt buiten artikel 3 van de AVG2. De conclusie rust op het ontbreken van alle drie routes, niet op de vestigingsplaats alleen.
De conclusie blijft activiteitsspecifiek. Als hetzelfde bedrijf later een aparte EU-campagne, leveringsopties, lokale contactroute of gedragsprofielen voor mensen in de EU toevoegt, ontstaat nieuw bewijs3. Dan wordt de toets herhaald; de eerdere nee-uitkomst is geen permanente veilige haven.
Behandel monitoring als een zelfstandige route
Monitoring vraagt meer dan de aanwezigheid van een analysetool. De route ziet op gedrag van mensen voor zover dat gedrag in de EU plaatsvindt en op verwerking die tot doel heeft daarover gegevens te verzamelen en later te gebruiken of analyseren1. Plaats en doel moeten dus beide in het dossier staan2.
Analytics kan relevant zijn, maar niet elke statistiek kwalificeert. Onderzoek welke gebeurtenissen aan personen of apparaten worden gekoppeld, of gedrag door de tijd wordt gevolgd en welk vervolggebruik is voorzien3. Een eenvoudige geaggregeerde telling zonder gedragsprofiel verschilt van systematische observatie waarmee keuzes, voorkeuren of bewegingen worden voorspeld1.
Hoewel gedragsreclame, geolocatie, cookies en fingerprinting aanwijzingen kunnen geven2, zijn hun namen geen juridische uitkomst. Omdat dezelfde techniek anders kan zijn ingericht en verschillende technieken samen precies dezelfde observatiefunctie kunnen vervullen, moet het dossier de feitelijke gegevensstroom, bewaartermijn, koppeling en beslisdoeleinden beschrijven.
Hoewel niet elke analyse van persoonsgegevens monitoring is, kan een eenmalige administratieve controle buiten deze route vallen terwijl terugkerend volgen en hergebruik voor profielvorming haar juist ondersteunt3. Als monitoring in de EU positief wordt vastgesteld, komt artikel 3, lid 2, in beeld en wordt daarna de vertegenwoordigerstoets beoordeeld.
Breng daarom het doel vóór de technische namen in kaart. Vraag welke gebeurtenissen worden gevolgd, op welke personen of apparaten ze betrekking hebben, hoe lang de observatie doorloopt en welke analyse of reactie ermee wordt voorbereid. Beschrijf ook of losse bezoeken aan elkaar worden gekoppeld. Zo wordt zichtbaar of het om algemene werking van een dienst gaat of om het volgen en hergebruiken van gedrag.
De plaatsvraag hoort dezelfde precisie te krijgen. Leg vast waar de persoon zich bevindt wanneer het gevolgde gedrag plaatsvindt, in plaats van automatisch uit accountland, factuuradres of apparaatinstelling af te leiden dat gedrag in de EU plaatsvond. Ontbreekt dat bewijs, noteer dan de onzekerheid en eigenaar van de vervolgmeting; vul geen positieve monitoringroute in op basis van bereik alleen.
Werk grensgevallen activiteit voor activiteit uit
Grensgevallen worden duidelijker wanneer de drie routes naast dezelfde feiten worden gezet. De werkuitkomsten zijn activiteitsspecifiek en veranderen zodra doel, kanaal of organisatorische band verandert.
| Scenario | Vestiging | Aanbod | Monitoring | Werkuitkomst |
|---|---|---|---|---|
| Werkelijk lokale, alleen algemeen toegankelijke SaaS | Geen EU-vestiging of contextuele band | Geen gerichte signalen; EU-bezoek is toevallig | Geen gedragsmonitoring van mensen in de EU | Buiten artikel 3 voor deze activiteit zolang de feiten gelijk blijven |
| Exporteur die bewust de EU-markt betreedt | Geen relevante EU-vestiging | Levering, campagne en klantkanaal tonen gezamenlijk een gericht aanbod | Monitoring is niet nodig voor de aanbodroute | Artikel 3, lid 2, kan gelden; toets artikel 27 |
| Niet-EU-gedragsprofiler | Geen relevante EU-vestiging | Geen goederen- of dienstenaanbod nodig voor deze route | Gedrag van mensen in de EU wordt doelgericht gevolgd en hergebruikt | Artikel 3, lid 2, kan gelden; toets artikel 27 |
| Niet-EU-groep met EU-ondersteuningseenheid | Stabiele regeling kan bestaan | Aanbod kan afzonderlijk relevant zijn | Monitoring kan afzonderlijk relevant zijn | Onderzoek eerst de onlosmakelijke context per verwerking; ga bij nee door naar de andere routes |
Bij de lokale SaaS is de nee-route belangrijk: internetbereik creëert geen gericht aanbod. Bij de exporteur is ingerichte levering samen met bewuste marktbenadering sterker dan één los signaal. De profiler laat zien dat monitoring zelfstandig kan gelden zonder verkoop aan dezelfde mensen.
De groepssituatie vereist twee vaststellingen: bestaat een relevante vestiging en gebeurt de verwerking in het kader van haar activiteiten? Alleen een groepsband is niet genoeg. Een negatieve vestigingsroute sluit aanbod of monitoring niet uit.
Gebruik elk resultaat als begin van een gemotiveerde notitie. Noteer ontbrekend bewijs en de eigenaar daarvan, zodat onzekerheid niet als conclusie wordt vermomd.
Toets artikel 27 pas na artikel 3, lid 2
Artikel 27 is geen alternatieve manier om de AVG toepasselijk te maken. De vertegenwoordigerstoets komt pas nadat aanbod of monitoring onder artikel 3, lid 2, positief is vastgesteld en de verwerkingsverantwoordelijke of verwerker niet in de EU is gevestigd2. Een vertegenwoordiger aanwijzen repareert dus geen ontbrekende territoriale route3.
De uitzondering is cumulatief. De verwerking moet incidenteel zijn2, mag geen grootschalige verwerking van artikel-9- of artikel-10-gegevens omvatten3 en moet, gelet op aard, context, omvang en doeleinden, waarschijnlijk geen risico voor rechten en vrijheden inhouden. Valt één voorwaarde weg, dan draagt deze uitzondering de conclusie niet.
Beoordeel de voorwaarden met dezelfde concrete verwerkingseenheid als bij artikel 3. Een organisatie kan een incidentele activiteit hebben naast een structurele EU-gerichte dienst; de eerste maakt de tweede niet incidenteel. Leg frequentie, gegevenscategorie, schaal en risico afzonderlijk vast, zodat het woord “occasioneel” niet als onbewezen samenvatting fungeert.
Overheidsinstanties en publieke organen zijn afzonderlijk uitgezonderd van deze vertegenwoordigersplicht. Ook dat verandert de toepasselijkheid van de AVG zelf niet, zodat de notitie eindigt met twee aparte conclusies: de positieve artikel-3-route en, indien nodig, de uitkomst en onderbouwing van artikel 27, beide herleidbaar tot het vastgelegde bewijs.
Leg route, bewijs en herziening vast
Een bruikbaar territoriaal dossier begint met de afgebakende verwerking en het doel. Noteer daarna welke entiteit en organisatorische eenheid betrokken zijn, waar mensen zich tijdens de relevante gedraging bevinden en welke route is onderzocht. Vermeld bij de vestigingsroute de stabiele regelingen en contextuele band; bij aanbod de combinatie van signalen; bij monitoring het gevolgde gedrag en beoogde hergebruik.
Maak de conclusie route-specifiek: vestiging ja of nee, aanbod ja of nee, monitoring ja of nee. Als artikel 3, lid 2, geldt, voeg dan een afzonderlijke artikel-27-analyse toe. Wijs voor elk ontbrekend feit een eigenaar en bron aan. Zo wordt onzekerheid zichtbaar behandeld in plaats van stilletjes als positief of negatief antwoord ingevuld.
Leg ook de besliseigenaar, datum en versie vast. Herzieningsprikkels kunnen een nieuwe EU-campagne, andere levering, lokale ondersteuning, nieuwe analytics, uitbreiding van geolocatie, een fusie of gewijzigde taak van een EU-eenheid zijn. De vroegere conclusie blijft alleen bruikbaar zolang haar dragende feiten gelijk blijven.
Dit dossier hoeft niet voor de hele onderneming één antwoord af te dwingen. Juist verschillende conclusies per activiteit tonen dat de toets zorgvuldig is toegepast. Een overzicht kan de resultaten verbinden, maar iedere rij moet terugleiden naar haar eigen bewijs, route en verantwoordelijke eigenaar.
Veelgestelde vragen
Geldt de AVG voor elk niet-EU-bedrijf met EU-bezoekers?
Nee. Algemene toegankelijkheid is op zichzelf geen gericht aanbod1. De richtsnoeren onderscheiden bereik van objectieve marktbedoeling2. Beoordeel of een relevante EU-vestiging, bewust aanbod of monitoring bestaat. Eén toevallige bezoeker of vraag verandert een lokale activiteit niet automatisch in een EU-gerichte verwerking.
Welke routes bevat artikel 3?
De hoofdroutes zijn verwerking in de context van een EU-vestiging2, aanbod aan mensen in de EU3 en monitoring van hun gedrag in de EU. Artikel 3, lid 3, blijft een smalle, afzonderlijke volkenrechtelijke route. Meng de voorwaarden niet tot één algemene EU-band.
Is betaling nodig voor een aanbod?
Nee. Ook een gratis dienst kan een aanbod zijn2. Objectieve bedoeling blijkt uit een combinatie van signalen, zoals gerichte reclame, levering, valuta of klantreferenties3. Geen enkel signaal beslist alleen. Een algemeen bereikbare website zonder aanvullende gerichte marktsignalen blijft onvoldoende.
Wanneer is analytics monitoring?
De route vraagt gedrag van mensen in de EU en een doel om gegevens daarover te verzamelen en te hergebruiken1. Cookies of analytics zijn niet automatisch monitoring2. Beschrijf de feitelijke observatie, koppeling en bedoeling3. Niet elke losse analyse voldoet aan die combinatie.
Is een EU-vertegenwoordiger altijd nodig?
Nee. Toets artikel 27 pas na een positieve route onder artikel 3, lid 2, van de AVG1. De cumulatieve uitzondering vereist dat de verwerking incidenteel is, geen grootschalige artikel-9- of artikel-10-gegevens omvat en waarschijnlijk geen risico inhoudt2. Publieke instanties en organen zijn afzonderlijk uitgezonderd3.
Kan de uitkomst per activiteit verschillen?
Ja. Artikel 3 wordt toegepast op de concrete verwerking. Een gericht EU-verkoopkanaal kan binnen de AVG vallen, terwijl een losstaande lokale activiteit zonder vestigingscontext, aanbod of monitoring erbuiten blijft. Leg per activiteit feiten, route, conclusie, artikel-27-vervolg, eigenaar en herzieningsprikkel vast. Bewaar de afzonderlijke redeneringen ook wanneer een overkoepelend register de uitkomsten samenvat en herbeoordeel ze zodra de activiteit inhoudelijk verandert.
Veelgestelde vragen
Geldt de AVG voor elk bedrijf buiten de EU met EU-bezoekers?
Welke drie routes van artikel 3 kunnen de AVG toepasselijk maken?
Is betaling nodig voordat sprake is van een aanbod aan mensen in de EU?
Wanneer telt analytics als monitoring onder artikel 3?
Moet een niet-EU-bedrijf altijd een vertegenwoordiger in de EU aanwijzen?
Kan de AVG voor één activiteit gelden en voor een andere niet?
Bronnen
Dit ook op uw bedrijf laten draaien?
AI Foundation Audit – een gestructureerde beoordeling van uw AI-voetafdruk: integratierisico’s, governance-hiaten, ROI-kansen. Geleverd als een uitgebreid rapport waarmee u aan de slag kunt.
U ontvangt uw AI Opportunity Report (het strategische rapport) en Implementation Brief (de Implementation Brief) – afgestemd op uw bedrijf en direct geleverd.