Voor Nederlandse organisaties

Mailchimp en de AVG: een nuchtere inschatting voor Nederlandse organisaties

U kunt Mailchimp in Nederland gebruiken. Maar uw abonneelijst staat dan op servers in de Verenigde Staten, bij een Amerikaans concern. Dat is een doorgifte naar een derde land, en die vraagt om uitleg aan uw functionaris gegevensbescherming (FG). Deze pagina zet de juridische stand van zaken op een rij, noemt Nederlandse alternatieven en laat zien wat zelf hosten met Broadcast wel en niet oplost.

Wij zijn geen juristen. Deze pagina is informatief en geen juridisch advies. Laat een concreet oordeel over uw organisatie over aan uw FG of een advocaat met privacyrecht als specialisme.

Voor wie deze pagina is

Voor Nederlandse bedrijven, verenigingen en instellingen die met Mailchimp werken en de discussie over doorgifte naar de VS beu zijn. Wilt u uw abonneebestand op infrastructuur die u zelf beheert, in een EU-land dat u zelf kiest? Dan is Broadcast een optie: nieuwsbriefsoftware die u op uw eigen server installeert, met de SMTP-aanbieder van uw keuze.

Bekijk Broadcast: eenmalige licentie Bereken uw besparing

In het kort

  • • Mailchimp is van Intuit, een Amerikaans bedrijf. Mailchimp schrijft zelf dat zowel het hoofdkantoor als de servers in de VS staan. Een EU-datalocatie biedt Mailchimp niet. Wie Mailchimp gebruikt, geeft persoonsgegevens door naar een derde land.
  • • Mailchimp valt onder de certificering van Intuit voor het EU-US Data Privacy Framework (DPF). Die certificering is actief. Het DPF is geldig: het Gerecht van de EU wees op 3 september 2025 een beroep ertegen af (T-553/23). Het hoger beroep (C-703/25 P) loopt nog bij het Hof van Justitie.
  • • De Autoriteit Persoonsgegevens (AP) waarschuwde op 13 januari 2022 dat Google Analytics “mogelijk binnenkort niet toegestaan” zou zijn. Een definitief oordeel volgde niet. Wel legde de AP Uber een boete van 290 miljoen euro op voor doorgifte naar de VS zonder doorgiftemechanisme.
  • • De Nederlandse overheid bouwt haar afhankelijkheid van Amerikaanse clouddiensten af: moties van de Tweede Kamer (maart 2025), een raamovereenkomst met het Duitse STACKIT (april 2026) en een verbod op de overname van Solvinity door het Amerikaanse Kyndryl (mei 2026).
  • • Zelf hosten op een server in de EU kan doorgifte van abonneegegevens naar derde landen voorkomen, als ook uw SMTP-aanbieder, back-ups, analytics, supporttools en foutrapportage in de EU zitten. Dat is makkelijker uit te leggen aan een FG. Het maakt u niet automatisch compliant.
Zo werkt zelf hosten met Broadcast

In één oogopslag

Vraag Mailchimp Broadcast, zelf gehost
Waar staat de lijst? Op servers in de VS Op uw eigen server
Doorgifte naar de VS? Ja, via het DPF met SCC’s als terugvaloptie Te voorkomen met een volledig Europese stack
Prijs groeit met uw lijst? Ja Nee, eenmalige licentie
Serverlocatie kiezen Nee Ja
Keuze SMTP-aanbieder Door Mailchimp bepaald Uw keuze, ook Europese opties
Beheer en updates Door Mailchimp Door u

Wat de Autoriteit Persoonsgegevens heeft gezegd

Over doorgifte naar de VS heeft de AP twee dingen gedaan die voor nieuwsbriefverzenders relevant zijn. Het ene was een waarschuwing, het andere een boete.

Google Analytics, januari 2022: een waarschuwing

Op 13 januari 2022, kort nadat de Oostenrijkse toezichthouder het gebruik van Google Analytics door een website in strijd met de AVG had verklaard, paste de AP haar handleiding voor Google Analytics aan. De boodschap: het gebruik is “mogelijk binnenkort niet toegestaan”. De AP onderzocht twee Nederlandse klachten.

Een definitief oordeel heeft de AP nooit gepubliceerd. In juli 2023 kwam het Data Privacy Framework, en daarmee veranderde de situatie. Een Nederlands verbod of een boete voor Google Analytics is er niet gekomen.

Uber, juli 2024: een boete

Op 22 juli 2024 legde de AP Uber een boete op van 290 miljoen euro, destijds de hoogste AVG-boete in Nederland (bekendgemaakt in augustus 2024). Op 21 augustus 2026 volgde een hogere AP-boete voor Uber van bijna 825 miljoen euro, over het automatisch blokkeren van chauffeurs; die zaak gaat niet over doorgifte. Uber had persoonsgegevens van Europese chauffeurs meer dan twee jaar naar de VS doorgegeven zonder geldig doorgiftemechanisme (artikel 44 AVG). Uber kondigde aan bezwaar te maken.

Die zaak ging niet over e-mailmarketing. Ze laat wel zien dat de AP doorgifte naar de VS serieus neemt, ook bij een Amerikaans bedrijf.

Een Nederlandse uitspraak specifiek over Mailchimp kennen wij niet. Het dichtstbijzijnde voorbeeld komt uit Duitsland. In maart 2021 oordeelde de Beierse toezichthouder (BayLDA) dat één bedrijf Mailchimp onrechtmatig gebruikte, omdat het niet had beoordeeld of na Schrems II aanvullende maatregelen nodig waren. Er volgde geen boete: het bedrijf stopte direct met Mailchimp. Dat was een oordeel over één geval, geen algemeen verbod.

Bronnen: Adformatie over het AP-onderzoek, Emerce over de Uber-boete, EDPB over het BayLDA-besluit.

Schrems II, het Data Privacy Framework en de CLOUD Act

Drie juridische feiten bepalen hoe u doorgifte naar een Amerikaanse aanbieder als Mailchimp moet beoordelen.

Schrems II

Op 16 juli 2020 verklaarde het Hof van Justitie van de EU het Privacy Shield ongeldig (zaak C-311/18). Standaardcontractbepalingen (SCC’s) bleven bruikbaar, maar de verwerkingsverantwoordelijke moet per doorgifte beoordelen of de gegevens in het ontvangende land voldoende beschermd zijn, en zo nodig aanvullende maatregelen nemen.

Het Data Privacy Framework

De Europese Commissie nam het adequaatheidsbesluit voor het DPF aan op 10 juli 2023. Gecertificeerde Amerikaanse bedrijven mogen sindsdien gegevens ontvangen zonder aparte SCC’s. Mailchimp (The Rocket Science Group) valt onder de DPF-inschrijving van Intuit. Die is actief, met 11 december 2026 als volgende certificeringsdatum.

Het DPF staat wel onder druk. Het hoger beroep van Philippe Latombe (C-703/25 P) loopt. Op 29 juni 2026 oordeelde het Amerikaanse Hooggerechtshof in Trump v. Slaughter dat de ontslagbescherming van FTC-commissarissen ongrondwettig is. Een dag later vroeg noyb de Commissie het DPF in te trekken, omdat het kader leunt op een onafhankelijke FTC. Volgens IAPP vroeg ook de EDPB de Commissie op 31 juli 2026 de gevolgen te onderzoeken. IAPP publiceerde ook een analyse die stelt dat de uitspraak het klachtmechanisme niet ondermijnt. Het DPF is op dit moment geldig.

De CLOUD Act

De Amerikaanse CLOUD Act (23 maart 2018) laat Amerikaanse autoriteiten gegevens opvragen bij Amerikaanse bedrijven, ook als die gegevens in een Europees datacenter staan.

Voor Mailchimp maakt dat weinig uit: de gegevens staan al in de VS. Maar het verklaart waarom een “EU-regio” bij een andere Amerikaanse aanbieder de vraag niet volledig beantwoordt. Een contract verdeelt verantwoordelijkheden. Het haalt het Amerikaanse moederbedrijf niet buiten het bereik van Amerikaans recht.

Wat een verwerkersovereenkomst wel en niet regelt

Met elke verwerker sluit u een verwerkersovereenkomst. Die legt vast wat de verwerker met de gegevens mag doen, welke subverwerkers hij inschakelt en hoe hij datalekken meldt. Mailchimp beroept zich voor de doorgifte op het DPF en gebruikt SCC’s als terugvaloptie. Wat de overeenkomst niet kan: Amerikaanse wetgeving buiten werking stellen, of het risico wegnemen dat het DPF later sneuvelt. Die afweging blijft bij u als verwerkingsverantwoordelijke.

Wat de Nederlandse overheid doet

Geen van deze besluiten gaat over nieuwsbrieven, en geen ervan verplicht een bedrijf om Mailchimp te verlaten. Ze laten wel zien hoe de overheid zelf naar Amerikaanse clouddiensten kijkt. Dezelfde vragen komen vroeg of laat bij uw FG, uw inkoper of uw klanten uit de publieke sector terecht.

18 maart 2025: negen moties aangenomen

Na een debat over de migratie van overheids-ICT naar het buitenland nam de Tweede Kamer alle negen ingediende moties aan (Kamerstuk 26643, nrs. 1315 tot en met 1323). Daaronder: stoppen met onnodige ICT-migraties naar Amerikaanse techbedrijven, een aanbesteding voor een rijkscloud onder volledige Nederlandse zeggenschap, en een risicoanalyse met exitstrategie voor alle clouddiensten van Amerikaanse techbedrijven. Een andere motie stelt dat de continuïteit van de Nederlandse digitale overheid niet direct afhankelijk mag zijn van Amerikaanse partijen. Stemmingsuitslagen Tweede Kamer.

9 april 2026: Defensie bouwt een eigen cloud

Defensie kondigde aan samen met KPN en Thales een cloud voor staatsgeheime gegevens te bouwen, in een eigen datacenter in Nederland. Defensie noemt de reden zelf: het wil “minder afhankelijk zijn van de Verenigde Staten”. Het begint met een pilot voor twee militaire toepassingen. Defensie.nl.

23 april 2026: raamovereenkomst met STACKIT

De Rijksoverheid sloot een raamovereenkomst met STACKIT, het cloudplatform van de Duitse Schwarz Gruppe. De gegevens blijven in de EER, de overheid krijgt auditrechten en kan opzeggen als de leverancier in handen komt van een partij buiten de EER. Afnemen is vrijwillig: er is geen afnameverplichting. Het is dus een contract dat STACKIT beschikbaar maakt, geen migratie. Rijksoverheid.nl.

25 mei 2026: overname van Solvinity verboden

Staatssecretaris Willemijn Aerdts verbood de overname van Solvinity door het Amerikaanse Kyndryl, op advies van het Bureau Toetsing Investeringen. Solvinity levert cloud- en hostingdiensten achter DigiD en MijnOverheid. Het genoemde risico: Amerikaanse wetgeving met extraterritoriale werking die de Amerikaanse overheid toegang tot gegevens kan geven. De grondslag is de Wet ongewenste zeggenschap telecommunicatie (WOZT). Kyndryl heeft de overname inmiddels opgegeven. Solvinity en zijn aandeelhouders vechten het verbod nog aan; de voorzieningenrechter in Rotterdam weigerde op 14 juli 2026 het te schorsen. NOS.

Nederlandse alternatieven voor Mailchimp

Zelf hosten is niet voor iedereen. Een Nederlandse SaaS-dienst is voor veel organisaties een redelijke keuze. Dit is wat wij over de bekendste opties hebben kunnen controleren.

Laposta

Nederlandse nieuwsbriefdienst

Servers in Nederland, ISO 27001-gecertificeerd. Gratis tot 2.000 contacten en 12.000 e-mails per maand (één gratis account per organisatie). Betaalde abonnementen vanaf €210 per jaar, of losse mailcredits vanaf €9 zonder abonnement. Voor kleine en middelgrote lijsten een sterke, eenvoudige keuze.

Spotler

E-mailmarketing en marketingautomatisering

Onderdeel van Spotler Group, met hoofdkantoor in Den Haag. De groep bundelt meerdere Europese marketingtools. Volgens openbare bronnen is de Nederlandse investeerder CNBB Equity Partners meerderheidsaandeelhouder. Geschikt als u marketingautomatisering en ondersteuning in het Nederlands wilt.

MailBlue

Nederlandse partner van ActiveCampaign

MailBlue B.V. verkoopt ActiveCampaign in het Nederlands, met Nederlandse support. Het is dezelfde software, dus geen zelfstandig product. MailBlue vermeldt niet waar de gegevens staan. Ga ervan uit dat ze op de infrastructuur van ActiveCampaign in de VS staan, tenzij MailBlue schriftelijk iets anders bevestigt. De vraag over doorgifte naar de VS blijft dan dezelfde als bij Mailchimp.

Spotler SendPro (voorheen Flowmailer)

Transactionele e-mail

Spotler Group nam Flowmailer in maart 2020 over. De dienst heet nu Spotler SendPro: een API voor transactionele e-mail en sms. Geen nieuwsbriefeditor, wel een Nederlandse optie voor orderbevestigingen, wachtwoordresets en andere systeemmails.

Broadcast, zelf gehost

Software op uw eigen server

Broadcast is geen dienst maar software. U installeert het op een server die u zelf huurt, bijvoorbeeld in Nederland of Duitsland, en koppelt een SMTP-aanbieder naar keuze. U betaalt eenmalig een licentie, zonder prijs per abonnee. Onbeperkt aantal abonnees, reeksen met voorwaardelijke vertakkingen, segmentatie, double opt-in, formulieren en een API voor transactionele e-mail. De keerzijde: u beheert de server zelf.

Gecontroleerd in september 2026. Prijzen en voorwaarden veranderen. Controleer ze bij de aanbieder voordat u beslist.

Wat zelf hosten verandert

Zelf hosten verandert waar de gegevens staan en welke verwerkers erbij betrokken zijn. Het kan doorgifte naar derde landen voorkomen, maar alleen als server, SMTP-aanbieder, back-ups, analytics, supporttools en foutrapportage allemaal bij Europese verwerkers liggen. Het beeld verandert alleen voor zover uw hele stack meeverandert.

Aspect Mailchimp (SaaS) Broadcast, zelf gehost (EU-stack)
Doorgifte van abonneegegevens Ja, naar de VS Te voorkomen als de hele stack in de EU zit
CLOUD Act Ja (Intuit, VS) Niet op applicatie- en databaseniveau bij een Europese hoster; bij SMTP hangt het af van uw keuze
Uw rol Verwerkingsverantwoordelijke; Mailchimp is verwerker Verwerkingsverantwoordelijke; hoster en SMTP-aanbieder zijn verwerkers
Verwerkersovereenkomst met Mailchimp Uw hoster en uw SMTP-aanbieder
Inzage- en verwijderverzoeken Via Mailchimp Direct in uw eigen database
Gegevens naar de softwareleverancier Mailchimp verwerkt alles Geen gebruikstelemetrie; de updatecheck kunt u uitschakelen

Hosting

Broadcast draait als Docker-image op uw eigen Linux-server. Hetzner (Duits bedrijf, met onder meer datacenters in Duitsland en Finland) is een veelgekozen optie; het instapmodel CX23 kost €5,49 per maand exclusief btw. STACKIT, het platform uit de raamovereenkomst van de Rijksoverheid, is via het portaal alleen voor zakelijke klanten met een btw-nummer beschikbaar. Reken voor een VPS op ongeveer €4 tot €20 per maand.

Hostingopties vergelijken →

SMTP-aanbieder

Uw SMTP-aanbieder blijft een verwerker. Amazon SES heeft een regio in Frankfurt en kost ongeveer $0,10 per 1.000 e-mails, maar AWS is een Amerikaans bedrijf. Mailgun (een Amerikaans bedrijf binnen het Zweedse Sinch) biedt een EU-regio voor berichtgegevens; accountgegevens worden wereldwijd gerepliceerd. Postmark heeft geen EU-regio. Scaleway (Frankrijk) biedt transactionele e-mail vanaf €0,25 per 1.000 e-mails na een gratis bundel, maar staat geen marketingmail toe: voor nieuwsbrieven is het dus geen optie. Kies bewust: dit bepaalt het resterende doorgiftevraagstuk.

E-mailaanbieders vergelijken →

De eerlijke grenzen van zelf hosten

  • • Uw AVG-plichten blijven. U hebt nog steeds een register van verwerkingsactiviteiten nodig, een privacyverklaring, double opt-in, verwerkersovereenkomsten met hoster en SMTP-aanbieder, en een proces voor verwijderverzoeken.
  • • Bezorgbaarheid is uw werk. U richt SPF, DKIM en DMARC in, bewaakt blocklists en warmt nieuwe verzenddomeinen op.
  • • Updates, back-ups en beveiliging van de server zijn uw verantwoordelijkheid.
  • • Broadcast is geen open source en heeft geen landingspagina’s of leadscoring. Hebt u die nodig, dan past Spotler of een vergelijkbare dienst beter.
  • • Gebruikt u AI-functies, dan gaat de inhoud naar de AI-aanbieder die u zelf instelt. Die is dan ook een verwerker.

Wat het kost

Een Regular License van Broadcast kost eenmalig $250 voor één server. De Extended License kost $1.000 voor maximaal 25 servers. Daarbij komen een VPS van ongeveer €4 tot €20 per maand en uw verzendkosten, bij Amazon SES ongeveer $0,10 per 1.000 e-mails. Er is een geld-terug-garantie van 30 dagen.

Bij een SaaS-dienst stijgt de prijs mee met uw lijst. Bij Broadcast blijven de kosten grotendeels gelijk als uw lijst groeit. Of dat voor u opweegt tegen het beheerwerk, hangt af van de omvang van uw lijst en of u iemand hebt die een server kan onderhouden.

Actuele prijzen bekijken →

Veelgestelde vragen

Daar is geen simpel ja of nee op. Mailchimp valt onder de DPF-certificering van Intuit, en het DPF is op dit moment geldig. Daarmee is de doorgifte naar de VS formeel afgedekt. Het DPF staat wel onder juridische druk, en de gegevens staan in de VS. Of uw gebruik verantwoord is, hangt af van uw eigen afweging en documentatie. Leg die voor aan uw FG.
Nee. Een Nederlands besluit over Mailchimp kennen wij niet. De AP waarschuwde in januari 2022 wel dat Google Analytics mogelijk niet meer toegestaan zou zijn, maar gaf nooit een definitief oordeel. In Duitsland vond de Beierse toezichthouder in 2021 het Mailchimp-gebruik van één bedrijf onrechtmatig, omdat dat bedrijf de doorgifte niet had beoordeeld.
Op 29 juni 2026 oordeelde het Amerikaanse Hooggerechtshof dat de president FTC-commissarissen mag ontslaan. noyb vroeg de Europese Commissie daarop het DPF in te trekken, omdat het kader leunt op een onafhankelijke FTC. Anderen, zoals een analyse op IAPP, vinden dat het klachtmechanisme overeind blijft. Het DPF is geldig tot de Commissie of het Hof van Justitie anders beslist.
MailBlue is een Nederlands bedrijf met Nederlandse support, maar de software is ActiveCampaign. MailBlue vermeldt niet waar de gegevens staan. Ga uit van de infrastructuur van ActiveCampaign in de VS, tenzij MailBlue iets anders bevestigt. De doorgiftevraag is dan dezelfde als bij Mailchimp.
De abonneedatabase staat op een server die u zelf beheert. Als hoster, SMTP-aanbieder, back-ups, analytics, supporttools en foutrapportage allemaal in de EU zitten, kunt u doorgifte van abonneegegevens naar derde landen voorkomen. U sluit dan geen verwerkersovereenkomst meer met Mailchimp, wel met uw hoster en SMTP-aanbieder. Beheer, updates en bezorgbaarheid worden uw werk.

Een eenvoudiger infrastructuurmodel voor uw nieuwsbrief.

Broadcast maakt u niet automatisch AVG-compliant. Het geeft u een eenvoudiger infrastructuurmodel: uw lijst, uw server, uw database, uw gekozen SMTP-aanbieder.

Eenmalige licentie. Geen prijs per abonnee. Geen Amerikaanse verwerker op applicatie- of databaseniveau.

Bekijk Broadcast: eenmalige licentie Bereken uw besparing

Verder lezen

Public sector, universities and NGOs
Engelstalig: zelf hosten voor overheid en non-profit
Mailchimp und die DSGVO
Duitstalig: de situatie in Duitsland
Mailchimp et le RGPD
Franstalig: de situatie in Frankrijk
Newsletter-Software Schweiz
Duitstalig: revDSG en Zwitserse hosting
EU data sovereignty for email marketers
Engelstalig: de juridische stand van zaken in 2026
Hosting
Engelstalig: servers voor Broadcast vergelijken

Still deciding?

Comparisons cover the tradeoffs. How To covers whether Broadcast does the specific thing you need, organized by what you are trying to accomplish rather than by feature name. If the answer is no, it says no.

Browse How To Segment subscribers Branch a sequence Bring an existing list