Google Meet en AVG: wat u moet controleren voor gebruik

Google Meet kan uw opnames en transcripties in Europa opslaan, mits uw Google Workspace-editie toegang geeft tot de instelling "dataregio" en uw beheerder deze heeft gekozen. Zonder deze instelling legt Google geen locatie op. Google verbindt zich contractueel om uw data niet te gebruiken voor modeltraining zonder uw toestemming. Google is een Amerikaanse uitgever, en een Europese opslagregio verandert hier niets aan. Deze pagina is gemaakt door Leexi, wiens AI-notitiehulpmiddel op Google Meet werkt, en vermeldt alleen wat Google’s officiële pagina's documenteren.

Waar Google Meet uw data host en verwerkt

Standaard nergens specifiek. Met de juiste instelling, in Europa.

Google Workspace biedt een instelling genaamd "dataregio's". Een beheerder kiest waar de gedekte data wordt opgeslagen.

Google Workspace, "Data covered by data regions", bijgewerkt 26 augustus 2026 "u kunt ervoor kiezen uw gedekte data op een specifieke geografische locatie op te slaan (Verenigde Staten of Europa)"

Er zijn twee regio's: VS of Europa, plus de optie "geen voorkeur", die geen locatie afdwingt. Voor Google Meet zijn de gedekte data opnames (inclusief chats in Google Drive), aanwezigheidsrapporten, peilingen, transcripties en vragen.

De instelling is niet beschikbaar in alle edities. De pagina "Choose a geographic location for your data" toont welke edities toegang hebben: Business Standard en Plus, Enterprise Standard en Plus, Frontline Starter, Standard en Plus, Education Standard en Plus, Enterprise Essentials Plus. Business Starter hoort er niet bij.

Opslag en verwerking zijn aparte instellingen

Dit punt wordt op marktpagina's vaak weggelaten. De regio-instelling dekt data in rust voor alle genoemde edities. Verwerking wordt alleen gedekt voor drie edities.

Volgens dezelfde pagina is verwerking "beschikbaar voor Frontline Plus, Enterprise Plus en Enterprise Essentials Plus". Een organisatie met Business Standard die "Europa" kiest, krijgt Europese opslag van Meet-opnames, maar verwerking kan elders plaatsvinden.

Twee uitzonderingen staan zwart op wit.

Google Workspace, "Data covered by data regions" "Dataregio's zijn niet van toepassing op door klanten aangeleverde data of datatypes die niet specifiek in dit document staan, zoals logs of cache-inhoud."

En voor Gemini-functies: "De instellingen voor bestandsdeling en dataregio van uw organisatie gelden niet voor data in Gemini Notebook" (privacy hub, 14 augustus 2026).

Wat dit voor u betekent: vraag uw Workspace-beheerder twee dingen: de geabonneerde editie en de waarde van de regio-instelling. Zonder deze antwoorden weet niemand waar uw vergaderingen zijn.

Wat Google met uw gesprekken doet

Google verbindt zich contractueel om zijn modellen niet te trainen met uw data zonder uw toestemming.

Deze toezegging staat in het privacycentrum van Google Workspace generatieve AI.

Google Workspace, "Generative AI in Google Workspace privacy hub", bijgewerkt 14 augustus 2026 "Workspace gebruikt klantdata niet voor modeltraining zonder voorafgaande toestemming of instructie van de klant."

Hetzelfde document stelt dat prompts klantdata zijn volgens het Cloud Data Processing Addendum, dat "uw interacties met Gemini binnen uw organisatie blijven", en dat inhoud "niet door menselijke beoordelaars wordt bekeken of anderszins wordt gebruikt om generatieve AI-modellen buiten uw domein te trainen zonder toestemming".

De juridische kracht van deze toezegging ligt in het contract. Het Cloud Data Processing Addendum definieert de rol van Google.

Google, Cloud Data Processing Addendum, artikel 4.1 "Google is een verwerker en de klant is een verwerkingsverantwoordelijke of verwerker, afhankelijk van de situatie, van klantpersoonsgegevens."

Een verwerker handelt alleen op instructie. Dit is verplicht volgens artikel 28 van de AVG.

AVG, artikel 28, lid 3, punt a) "verwerkt persoonsgegevens alleen op gedocumenteerde instructie van de verwerkingsverantwoordelijke"

Wat dit voor u betekent: de toezegging van Google om niet te trainen is contractueel, niet alleen een verklaring. Controleer de term "zonder voorafgaande toestemming": zorg dat geen functie in uw domein automatisch toestemming geeft.

Certificeringen van Google Workspace

Google onderhoudt ISO 27001-certificering en jaarlijkse SOC 2- en SOC 3-rapporten.

Google, Cloud Data Processing Addendum, artikel 7.4 "Google zal voor de Gecontroleerde Diensten ten minste het volgende onderhouden om de effectiviteit van de beveiligingsmaatregelen te verifiëren: a. certificaten voor ISO 27001 en eventuele aanvullende certificeringen beschreven in Bijlage 4 (Specifieke Producten) [...] ; en b. SOC 2- en SOC 3-rapporten geproduceerd door Google's Derdepartij Auditor en jaarlijks bijgewerkt op basis van een audit minstens eens per 12 maanden"

Hetzelfde contract regelt de data na contractbeëindiging: verwijdering op instructie van de klant, na een herstelperiode van maximaal 30 dagen, binnen maximaal 180 dagen (artikel 6.2).

Eerlijkheidshalve: de certificering is contractueel vastgelegd en jaarlijks geaudit door een derde partij. Wat Google’s publieke pagina niet vermeldt, is de exacte scope per product. Die staat in bijlage 4 van het contract, op te vragen.

Juridische binding van de uitgever

Google is een Amerikaanse uitgever. Een Europese opslagregio verandert dit niet.

De Amerikaanse Cloud Act uit 2018 verplicht Amerikaanse communicatieproviders om data te overhandigen, ongeacht waar die data is opgeslagen.

18 U.S. Code § 2713, toegevoegd door wet Pub. L. 115-141 van 23 maart 2018 "Een aanbieder van elektronische communicatiediensten of externe computerdiensten moet voldoen aan de verplichtingen van dit hoofdstuk om de inhoud van een elektronische communicatie en alle gegevens of informatie betreffende een klant of abonnee binnen zijn bezit, bewaring of controle te bewaren, back-uppen of te onthullen, ongeacht of deze zich binnen of buiten de Verenigde Staten bevinden."

Wat dit voor u betekent: de instelling "Europa" beantwoordt de vraag "waar zijn mijn data". Het beantwoordt niet de vraag "welk recht heeft toegang". Deze vragen zijn verschillend en een functionaris voor gegevensbescherming stelt ze apart. Dit punt wordt hier één keer genoemd en niet herhaald.

Wat dit betekent voor een Europees team

Wat Leexi toevoegt bij deelname aan een Meet-vergadering is een tweede scope, los van Google: audio wordt getranscribeerd en samengevat op Leexi-infrastructuur (AWS regio Parijs, taalmodel uitgevoerd via Azure Frankrijk in gesloten circuit, geen training op uw vergaderingen), met een openbaar DPA en tien benoemde verwerkers. De integratiepagina Google Meet beschrijft hoe Leexi op Meet aan te sluiten. Het compliance dossier en de glossarium geven definities en documenten.

Veelgestelde vragen

Kan ik mijn DPO garanderen dat Meet-opnames in Europa blijven?

Ja voor opslag, als uw editie toegang geeft tot de regio-instelling (Business Standard en Plus, Enterprise Standard en Plus, Frontline, Education Standard en Plus, Enterprise Essentials Plus) en de beheerder "Europa" heeft gekozen. Verwerking is alleen gedekt in Frontline Plus, Enterprise Plus en Enterprise Essentials Plus. Logs en cache blijven buiten de instelling.

Gebruikt Google mijn Meet-vergaderingen om Gemini te trainen?

Nee, zonder uw toestemming of instructie, volgens het privacycentrum van Workspace generatieve AI (14 augustus 2026). Interacties blijven binnen uw organisatie en worden niet door mensen buiten uw domein beoordeeld zonder toestemming. Controleer dat geen functie in uw domein automatisch toestemming geeft.

Worden deelnemers gewaarschuwd als een Meet-vergadering wordt opgenomen?

Ja. De Google Meet help-pagina meldt dat deelnemers een melding krijgen bij start en stop van opname. Deze melding vervangt niet de informatieplicht die de AVG u oplegt als organisator over doel en bewaartermijn.

Waar gaat de opname heen en wie heeft toegang?

Naar de Google Drive van de organisator, in een "Meet"-map met submappen per vergadering. Toegang volgt de Drive-deelregels van uw organisatie. Alleen bepaalde edities staan opname toe: Business Standard en Plus, Enterprise, Essentials, Education Plus, Workspace Individual.

Wat gebeurt er met mijn data na beëindiging van mijn Google Workspace-contract?

Het Cloud Data Processing Addendum (artikel 6.2) bepaalt verwijdering van alle resterende klantdata op instructie van de klant na contractbeëindiging, na een herstelperiode van maximaal 30 dagen, binnen maximaal 180 dagen, tenzij wettelijke bewaarplicht.

Is Google Meet voldoende voor een strikte soevereiniteitseis?

Nee. Google is een Amerikaanse uitgever, onderworpen aan 18 U.S. Code § 2713 ongeacht opslaglocatie. De instelling "Europa" lokaliseert data, maar verandert niet het recht dat toegang kan krijgen. Voor deze eis is de juridische binding van de uitgever bepalend, niet de datacenterregio.

Bronnen

Data geverifieerd op 2 september 2026 op Google’s officiële pagina's.

• Google Workspace, "Data covered by data regions", bijgewerkt 26 augustus 2026
• Google Workspace, "Choose a geographic location for your data", bijgewerkt 26 augustus 2026
• Google, Cloud Data Processing Addendum, artikelen 4.1, 6.2, 7.4, 10 en 11
• Google Workspace, "Generative AI in Google Workspace privacy hub", bijgewerkt 14 augustus 2026
• Google Meet Help, "Record a video meeting"
• AVG, artikelen 5 en 28, tekst gepubliceerd door CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Deze pagina beschrijft het toepasselijke kader. Het is geen juridisch advies.