Microsoft Teams en de AVG: wat u moet controleren vóór gebruik

Teams slaat uw opnamen en transcripties op in de OneDrive van de organisator of in de SharePoint-site van het kanaal, met standaard een vervaldatum van 120 dagen. Als uw Microsoft 365-organisatie is aangemaakt in een land van de Europese Unie of de EVA, vallen deze gegevens onder de EU Data Boundary: de toezegging van Microsoft om ze op te slaan en te verwerken in zijn Europese datacenters, met gedocumenteerde resterende overdrachten. Microsoft is een onderneming naar Amerikaans recht; de EU Data Boundary verandert daar niets aan. Deze pagina is opgesteld door Leexi, waarvan de AI-notitietool op Teams wordt gebruikt, en vermeldt uitsluitend wat Microsoft Learn documenteert.

Waar Teams uw gegevens host en verwerkt

In uw eigen Microsoft 365-omgeving, in de regio van uw organisatie.

Een opname van een Teams-vergadering gaat niet naar een afzonderlijke Microsoft-omgeving. Afhankelijk van het type vergadering wordt de opname opgeslagen in OneDrive of SharePoint.

Microsoft Learn, « Teams meeting recording and transcript storage and permissions in OneDrive and SharePoint », bijgewerkt op 18 augustus 2026 « For meetings and events, the recording saves to the organizer's OneDrive, even if the organizer didn't attend the meeting or event. »

Voor kanaalvergaderingen geldt: « the recording is stored in the SharePoint Teams site documentation library in a folder named Recordings ». Bij twee- of groepsgesprekken gaat het bestand naar de OneDrive van de persoon die de opname heeft gestart. Eén uur opname neemt 400 MB in beslag en telt mee voor uw opslagquotum.

De regio hangt af van uw organisatie, niet van de vergadering

De locatie volgt die van uw Microsoft 365-organisatie. Voor Europese organisaties heeft Microsoft een specifieke toezegging gedaan.

Microsoft Learn, « What is the EU Data Boundary? », inhoud van 26 februari 2025 « The EU Data Boundary is a geographically defined boundary within which Microsoft has committed to store and process Customer Data and personal data for our Microsoft enterprise online services, including Azure, Dynamics 365, Power Platform, and Microsoft 365. »

De toegangsvoorwaarde staat er expliciet: « For Microsoft 365, customers with a sign-up location in a country or region in the EU or EFTA are in scope for the EU Data Boundary. » Een organisatie die Multi-Geo-mogelijkheden heeft aangeschaft, valt erbuiten, ook als haar land Europees is.

In hetzelfde document worden twee beperkingen vermeld. De toezeggingen zijn « subject to limited circumstances where Customer Data, personal data, and Professional Services Data will continue to be transferred outside the EU Data Boundary ». De geografische reikwijdte omvat bovendien Zwitserland, Noorwegen, IJsland en Liechtenstein, en niet alleen de Europese Unie.

Wat dit voor u betekent: controleer het registratieland van uw organisatie in het Microsoft 365-beheercentrum en controleer of Multi-Geo niet is ingeschakeld. Deze twee punten bepalen of de dekking van toepassing is.

Hoelang Teams uw opnamen bewaart

Microsoft Learn, « Manage Teams recording expiration policy », bijgewerkt op 31 augustus 2026 « Meeting recordings and transcripts have a default expiration time of 120 days. »

Na het verstrijken van de termijn wordt het bestand naar de prullenbak verplaatst van de locatie waar het was opgeslagen. Voor een professioneel account worden items in de prullenbak « are automatically deleted after 93 days, unless the administrator has changed the setting ». De beheerder kan een andere termijn instellen, van 1 tot 99.999 dagen, of het verlopen uitschakelen. De wijziging geldt alleen voor nieuwe opnamen.

De AVG vereist dat gegevens niet langer worden bewaard dan noodzakelijk.

AVG, artikel 5, lid 1, punt e) « bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is »

Wat dit voor u betekent: de standaardwaarde van 120 dagen is een beslissing van Microsoft, niet van u. Uw bewaarbeleid moet deze termijn bevestigen of vervangen.

Wat Microsoft met uw gesprekken doet

Microsoft treedt op als verwerker en Copilot traint zijn modellen niet met uw vergaderingen.

Microsoft Learn, « General Data Protection Regulation », bijgewerkt op 5 mei 2026 « As a data processor, Microsoft processes personal data on behalf of the data controller (the customer). […] Microsoft processes Customer Data to provide the Online Services in accordance with the controller's documented instructions, as specified in the Product Terms and Products and Services Data Protection Addendum (DPA). »

Dit is de verplichting die de AVG aan elke verwerker oplegt.

AVG, artikel 28, lid 3, punt a) « de persoonsgegevens uitsluitend verwerkt op basis van schriftelijke instructies van de verwerkingsverantwoordelijke »

Wat training betreft, geldt de toezegging voor Copilot, dat transcripties en samenvattingen van vergaderingen in Teams genereert.

Microsoft Learn, « Data, Privacy, and Security for Microsoft Copilot », bijgewerkt op 18 augustus 2026 « Prompts, responses, and data accessed through Microsoft Graph aren't used to train foundation LLMs, including those used by Microsoft Copilot. »

Hetzelfde document vermeldt: « For European Union (EU) users, we have additional safeguards to comply with the EU Data Boundary. EU traffic stays within the EU Data Boundary », en voegt een specifieke uitzondering toe: « Models provided by Anthropic as a subprocessor are currently excluded from the EU Data Boundary. »

Wat dit voor u betekent: de toezegging om niet te trainen is schriftelijk vastgelegd en geldt voor Copilot. Als uw beheerder modellen van derden in Copilot activeert, valt de Anthropic-uitzondering buiten de EU Data Boundary. Dit is een instelling die u moet controleren, geen fout van Microsoft.

De certificeringen van Microsoft 365

ISO 27001, ISO 27018 en een gepubliceerd complianceportfolio, met vastgelegde overdrachtsmechanismen.

De AVG-pagina van Microsoft verwijst naar zijn compliance-aanbod, waaronder « FedRamp, HIPAA/HITECH, ISO 27001, ISO 27002, ISO 27018, NIST 800-171, UK G-Cloud ». De Copilot-pagina vermeldt daarnaast ISO 42001, de norm voor managementsystemen voor AI.

Over overdrachten buiten de Europese Unie is Microsoft duidelijk.

Microsoft Learn, « General Data Protection Regulation » « Microsoft incorporated the Standard Contractual Clauses into all of its Volume Licensing agreements via the Product Terms. […] Microsoft is certified under the EU-U.S. Data Privacy Framework but does not rely on it as a basis for the transfer of personal data from the EU/EEA to the United States. »

De erkenning is terecht: de standaardcontractbepalingen zijn opgenomen in alle contracten en Microsoft zegt uitdrukkelijk dat het Data Privacy Framework niet als basis voor overdrachten gebruikt. Wat een DPO vervolgens controleert, is de exacte reikwijdte van de certificaten voor Teams, die beschikbaar is op het Microsoft Trust Portal.

De juridische status van de aanbieder

Microsoft is een onderneming naar Amerikaans recht. De EU Data Boundary lokaliseert gegevens, maar verandert niet het toepasselijke recht voor de aanbieder.

18 U.S. Code § 2713, toegevoegd door Pub. L. 115-141 van 23 maart 2018 « A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States. »

Wat dit voor u betekent: de EU Data Boundary is de best gedocumenteerde toezegging op de markt voor gegevenslokalisatie en beantwoordt de vraag « waar ». De vraag « welk recht » blijft afhangen van de vestigingsplaats van de aanbieder. Dit punt wordt één keer vermeld.

Wat dit verandert voor een Europees team

Op Teams vormt Leexi een afzonderlijke omgeving, los van die van Microsoft: de bot neemt deel aan de vergadering, waarna de audio wordt getranscribeerd en samengevat op de infrastructuur van Leexi (AWS-regio Parijs, taalmodel uitgevoerd via Azure Frankrijk in een gesloten circuit, geen training op uw vergaderingen), met een openbare DPA en tien met naam genoemde subverwerkers. Teams is het meest voorkomende videoconferentieplatform in de supportverzoeken van Leexi, en een derde van deze verzoeken gaat over toestemming en het informeren van deelnemers. De integratiepagina Microsoft Teams beschrijft hoe u Leexi met Teams koppelt. Copilot, de AI-assistent van Microsoft, heeft een eigen pagina: alternatief voor Microsoft Copilot. Het compliance-dossier en de woordenlijst geven de definities en documenten.

Veelgestelde vragen

Waar worden mijn Teams-opnamen van vergaderingen opgeslagen?

In de OneDrive van de organisator voor vergaderingen en evenementen, ook als die niet aan de vergadering heeft deelgenomen. In de SharePoint-site van het kanaal voor kanaalvergaderingen. In de OneDrive van de persoon die de opname heeft gestart voor twee- of groepsgesprekken. Het bestand telt mee voor uw quotum, met 400 MB per uur.

Hoelang bewaart Teams een opname?

Standaard 120 dagen. Daarna wordt de opname naar de prullenbak verplaatst, waar een professioneel account items 93 dagen bewaart voordat ze definitief worden verwijderd. Uw beheerder kan voor nieuwe opnamen een andere termijn instellen, van 1 tot 99.999 dagen, of het verlopen uitschakelen.

Valt mijn organisatie onder de EU Data Boundary?

Ja, als het registratieland in de Europese Unie of de EVA ligt en de organisatie geen Multi-Geo-mogelijkheden heeft aangeschaft. U controleert het registratieland in het Microsoft 365-beheercentrum. Resterende overdrachten buiten de grens worden door Microsoft gedocumenteerd.

Trained Copilot zijn modellen met mijn Teams-vergaderingen?

Nee. Prompts, antwoorden en gegevens uit Microsoft Graph worden niet gebruikt om fundamentele modellen te trainen. Het verkeer van Europese gebruikers blijft binnen de EU Data Boundary, met één uitzondering: Anthropic-modellen die als subverwerker zijn geactiveerd vallen erbuiten.

Worden deelnemers gewaarschuwd wanneer een Teams-vergadering wordt opgenomen?

Ja. Alle deelnemers ontvangen in Teams een melding zodra de opname start. De hulp van Microsoft voegt toe: « depending on your region, you may need everyone's permission before you can record them ». Het informeren van deelnemers over het doel en de bewaartermijn blijft uw verplichting als organisator.

Volstaat Teams voor een strikte soevereiniteitseis?

Nee. Microsoft is een onderneming naar Amerikaans recht en valt onder 18 U.S. Code § 2713, ongeacht de opslaglocatie. De EU Data Boundary lokaliseert gegevens en documenteert resterende overdrachten, maar verandert niets aan de juridische status van de aanbieder.

Bronnen

Gegevens gecontroleerd op 2 september 2026 aan de hand van de officiële pagina's van Microsoft.

• Microsoft Learn, « Teams meeting recording and transcript storage and permissions in OneDrive and SharePoint », bijgewerkt op 18 augustus 2026
• Microsoft Learn, « Manage Teams recording expiration policy », bijgewerkt op 31 augustus 2026
• Microsoft Learn, « What is the EU Data Boundary? », pagina van 21 juli 2026, inhoud van 26 februari 2025
• Microsoft Learn, « General Data Protection Regulation », bijgewerkt op 5 mei 2026
• Microsoft Learn, « Data, Privacy, and Security for Microsoft Copilot », bijgewerkt op 18 augustus 2026
• Microsoft Help, « Record a meeting in Microsoft Teams »
• AVG, artikelen 5 en 28, tekst gepubliceerd door de CNIL
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Deze pagina beschrijft het toepasselijke kader. Ze vormt geen juridisch advies.

Probeer Leexi gratis