Heeft Claude een verwerkersovereenkomst (DPA) en geldt die voor Pro, Team en de API?

Anthropic heeft precies één verwerkersovereenkomst en je hebt hem al geaccepteerd of je krijgt hem nooit. Wat van de twee geldt, werd beslist op het moment dat iemand in je bedrijf een Claude-account aanmaakte.

Koos die persoon voor Team, Enterprise of een API-organisatie, dan zit de Data Processing Addendum in de voorwaarden die daarbij zijn geaccepteerd. Koos die persoon Pro of Max op de zakelijke creditcard, dan is er geen verwerkersovereenkomst, en die komt er ook niet bij bijbetalen.

Die tweedeling is de kern van deze pagina. Hieronder staat per plan wat de documenten van Anthropic zeggen over de DPA, training, bewaartermijn, subverwerkers en de verwerkingslocatie, met peildatum 18 september 2026.

Wat hier niet staat: de vergelijking met ChatGPT, Gemini en Mistral, want die staat op welk AI-model AVG-proof is. Deze pagina gaat alleen over Claude en alleen over het contract.

De keuze tussen Team en Enterprise en de uitrol per afdeling staan op Claude zakelijk inzetten.

En één kanttekening vooraf: wij zijn een IT-bureau, geen advocatenkantoor. Wat volgt is wat de documenten letterlijk zeggen; of dat in jouw situatie voldoende is, laat je toetsen door een jurist of je functionaris gegevensbescherming.

Welk contract je hebt: consument of commercieel#

Anthropic werkt met twee sets voorwaarden en elk Claude-plan valt onder precies één daarvan. Voor bedrijven in de EER is in beide gevallen Anthropic Ireland, Limited in Dublin je contractpartij, dus aan de tegenpartij zie je het verschil niet.

De consumentenvoorwaarden (versie 8 oktober 2025) gelden voor Claude.ai, Claude Pro en andere producten voor individuen. Ze bevatten de zin "You agree that you will not use our Services for any commercial or business purposes", en ze verwijzen nergens naar een verwerkersovereenkomst.

De commerciële voorwaarden (versie 17 juni 2025) gelden voor API-sleutels en elk ander aanbod dat ernaar verwijst. Artikel C zegt dat data "will be processed in accordance with the Anthropic Data Processing Addendum, which is incorporated into these Terms by reference".

Claude Team en Claude Enterprise vallen samen onder de noemer Claude for Work, en daarvoor is volgens het Help Center de klant de verwerkingsverantwoordelijke en Anthropic de verwerker "on behalf of the customer". Dat is de rolverdeling die artikel 28 AVG vereist.

Bronnen: de consumentenvoorwaarden en commerciële voorwaarden hierboven, het Help Center-artikel over de rol van verwerker, en het artikel over het tekenen van de DPA voor de derde-partijregel.

De DPA-tabel per Claude-plan#

Dit is de tabel waar het om draait. Elke cel komt uit een document van Anthropic; de bronregels staan eronder.

Bronnen per kolom, alle opgehaald op 18 september 2026:

• Verwerkersovereenkomst: commerciële voorwaarden artikel C; consumentenvoorwaarden noemen geen DPA.
• Training: Privacy Center voor commerciële klanten ("By default, we will not use your inputs or outputs from our commercial products") en de consumentenupdate van 2025.
• Bewaartermijn: Privacy Center over organisatiedata, Privacy Center voor consumenten en het Help Center over custom retention.
• Verwerkingslocatie: data residency-documentatie en het Help Center over US-only inference.
• Extra controles: de prijspagina van Claude voor de Enterprise-functies.
• Fable-regel: het Covered Models-artikel.

De rij "Fable 5.1 en Fable 5" staat er apart in omdat die regel dwars door de plannen heen loopt. Daarover verderop meer.

Wat er in de DPA van Anthropic staat#

De DPA is van kracht sinds 24 februari 2025 en gaat bij een conflict vóór de commerciële voorwaarden ("the conflicting terms in this DPA will govern"). Dit zijn de bepalingen die voor een Nederlands bedrijf tellen.

Doorgifte naar de VS. De DPA bouwt de Standard Contractual Clauses in: module twee (verantwoordelijke naar verwerker) en module drie (verwerker naar verwerker), uit het uitvoeringsbesluit 2021/914 van de Europese Commissie. Als toepasselijk recht en forum voor de SCC's is Ierland gekozen; de bevoegde toezichthouder is die van het EU-land waar jij gevestigd bent, voor een Nederlands bedrijf de Autoriteit Persoonsgegevens.

Subverwerkers. Je geeft in artikel C.3 een algemene machtiging voor de subverwerkers op de lijst. Bij een nieuwe subverwerker krijg je vooraf bericht en heb je vijftien dagen om schriftelijk bezwaar te maken; zwijg je, dan geldt dat als instemming.

Datalekken. Anthropic meldt een beveiligingsinbreuk schriftelijk "without undue delay, but in any event within 48 hours" na ontdekking. Dat past binnen de 72 uur die jij daarna zelf hebt richting de Autoriteit Persoonsgegevens.

Verwijdering. Binnen dertig dagen na het einde van de overeenkomst verwijdert Anthropic alle klantdata, ook bij subverwerkers, met uitzonderingen voor wettelijke bewaarplicht en lopende geschillen. Op verzoek binnen die periode krijg je eerst een kopie of een exportfunctie.

Audits. Anthropic laat zich jaarlijks extern auditen en stuurt je op schriftelijk verzoek de rapporten, zoals een SOC 2-rapport. Een eigen audit mag volgens artikel F.2 op schriftelijk verzoek en op jouw kosten, mits jullie scope en moment afspreken en er niet binnen twaalf maanden al een audit was.

Wat de DPA níet regelt, is minstens zo belangrijk. Er staat geen toezegging in dat verwerking binnen de EU plaatsvindt, geen zero data retention als standaard, en voor self-serve plannen valt er niets te onderhandelen: het document is take-it-or-leave-it.

Hoe je de DPA tekent (niet)#

Anthropic zet nergens een handtekening. Het Help Center zegt het letterlijk: "When you accept Anthropic's Commercial Terms of Service, you also accept our DPA."

Voor een Team-organisatie is dat het moment waarop de Primary Owner de organisatie aanmaakt en de voorwaarden accepteert. Voor de API is het het aanmaken van de organisatie in de Claude Console.

Dat betekent ook dat je geen ondertekend exemplaar in je dossier hebt. Voor je verwerkingsregister volstaat een gedateerde kopie van de DPA-pagina plus het bewijs van je accountaanmaak, maar leg dat wel vast: artikel 28 lid 3 AVG eist een schriftelijke overeenkomst en de Autoriteit Persoonsgegevens rekent beide partijen aansprakelijk als die ontbreekt.

Gebruik je Claude via een derde partij, bijvoorbeeld een SaaS-tool die Claude onder water inzet, dan geldt volgens het Help Center van Anthropic het contract van die derde partij, niet de DPA van Anthropic. Vraag die leverancier dus om zijn eigen verwerkersovereenkomst en om Anthropic in zijn subverwerkerslijst.

Waarom een Pro-account op de zaak geen DPA oplevert#

Dit is de vraag die het vaakst binnenkomt, meestal van een bedrijf waar drie mensen elk een eigen Pro-abonnement hebben. Het antwoord zit in twee zinnen uit de consumentenvoorwaarden.

De eerste: "Non-commercial use only." Een Pro- of Max-account is contractueel niet bedoeld voor bedrijfsgebruik, en Anthropic sluit aansprakelijkheid voor bedrijfsschade expliciet uit.

De tweede: Anthropic mag "Materials" gebruiken om modellen te trainen, "unless you opt out of training through your account settings". Sinds de update van 28 augustus 2025 kiest elke gebruiker van Free, Pro of Max zelf of chats en Claude Code-sessies voor training worden gebruikt; staat dat aan, dan bewaart Anthropic ze tot vijf jaar in plaats van dertig dagen.

Op een consumentenaccount is Anthropic bovendien verwerkingsverantwoordelijke voor die data, niet verwerker: de privacyverklaring noemt Anthropic Ireland, Limited "the data controller responsible for your personal data" voor iedereen in de EER. Je kunt als bedrijf dus niet eens de instructies geven die artikel 28 van je verlangt, want je bent geen partij.

De uitzondering die telt is Claude Code: draait een ontwikkelaar het vanuit een Pro- of Max-account, dan gelden de consumentenvoorwaarden en de trainingsinstelling ook voor die codeersessies. Dezelfde ontwikkelaar op een Team-seat of een API-sleutel valt onder de commerciële voorwaarden.

Wat Pro wél kan: Incognito-chats, die niet voor training worden gebruikt en binnen dertig dagen worden verwijderd. Voor persoonlijk gebruik zonder klantgegevens is dat verdedigbaar; voor een klantdossier in een prompt niet.

Subverwerkers: wie je data nog meer ziet#

De subverwerkerslijst van Anthropic telt op 18 september 2026 twintig vermeldingen. Drie daarvan dragen de eigenlijke verwerking, de rest zit rond de dienst: betalingen, support, fraudedetectie, e-mail.

Bron: de subverwerkerslijst hierboven; de overige vermeldingen (Twilio, Iterable, Sentry, Sift, Arkose Labs, Palantir voor Claude for Government) staan daar ook.

Drie dingen om te noteren. De drie hyperscalers staan als "Worldwide" vermeld, dus de lijst zelf geeft je geen EU-garantie; die moet uit de verwerkingslocatie komen, verderop.

Webzoeken en spraakmodus sturen data naar extra Amerikaanse partijen. Een Owner kan zulke functies per organisatie uitzetten; doe dat bewust als je prompts klantgegevens bevatten.

En de supportpartijen in Zuid-Afrika en Canada zien alleen wat je zelf in een supportticket zet. Voor je DPIA is dat een andere categorie dan de promptdata zelf.

Bewaartermijnen per plan en de Fable-uitzondering#

Bij de API worden invoer en uitvoer volgens het Privacy Center "within 30 days of receipt or generation" verwijderd, tenzij je een functie met eigen opslag gebruikt (zoals de Files API) of een zero data retention-afspraak hebt. Zero data retention vraag je aan bij het salesteam en wordt per organisatie ingeschakeld.

Bij Team en Enterprise ligt het anders: chats blijven in het product staan totdat iemand ze verwijdert, en dan zijn ze binnen dertig dagen ook uit de back-end. Enterprise-Owners kunnen een bewaartermijn instellen van minimaal dertig dagen; staat er niets ingesteld, dan bewaart Anthropic onbeperkt, en projecten blijven altijd staan totdat je ze verwijdert.

Voor een verwerkingsregister betekent dat: op Team is de bewaartermijn wat je medewerkers ervan maken. Spreek af wie opruimt, of kies Enterprise als je een harde termijn wilt afdwingen.

Dan de uitzondering. Anthropic heeft Claude Fable 5.1 en Mythos 5.1 op 31 augustus 2026 en Fable 5 en Mythos 5 op 9 juni 2026 aangemerkt als Covered Models: prompts en antwoorden worden minimaal dertig dagen bewaard, en dat geldt "wherever Covered Models are offered, including third-party cloud platforms", dus ook op Bedrock, Vertex en Foundry, en zero data retention is voor die modellen niet beschikbaar zonder expliciete toestemming.

Gebruik je Opus 5 of Sonnet 5, dan geldt die regel niet. Voor een team dat op Fable werkt is de dertig dagen dus een vast gegeven, hoe je contract ook luidt.

Wordt een gesprek door de geautomatiseerde veiligheidssystemen gemarkeerd, dan mag Anthropic invoer en uitvoer tot twee jaar bewaren, ook onder een ZDR-afspraak. Hoe je die termijnen in een DPIA weegt en welke maatregelen erbij horen, staat op de AVG-pagina; hier volstaat dat je ze kent per plan.

Waar je data verwerkt wordt: SCC's, geen EU-optie#

De DPA regelt de doorgifte naar de VS met SCC's, en dat is nodig omdat Anthropic geen EU-verwerking aanbiedt. De data residency-documentatie kent voor de parameter inference_geo twee waarden: "global" (standaard) en "us", waarbij US-only 1,1 keer het standaardtarief kost.

Voor Enterprise bestaat dezelfde keuze als schakelaar in de organisatie-instellingen, alleen op de plannen met verbruiksfacturatie, tegen dezelfde toeslag. Team heeft die schakelaar niet: daar loopt de verwerking wereldwijd.

Wil je dat data de EU niet verlaat, dan verlaat je het contract van Anthropic. Google Vertex AI biedt een eu-multi-region-endpoint tegen tien procent toeslag; Amazon Bedrock heeft een EU-inferentieprofiel over regio's als Frankfurt, Ierland en Parijs, maar voor Fable 5.1 zijn regionale endpoints er alleen in us-east-1.

Op die platforms is niet Anthropic je verwerker maar AWS of Google, en geldt hun verwerkersovereenkomst. De Covered Models-regel van dertig dagen reist wel mee.

Welke modellen van welke aanbieder je überhaupt in de EU kunt draaien, wordt een eigen pagina in deze kennisbank; hier is de conclusie beperkt tot Claude: EU-residentie kan, maar niet op een Claude-abonnement en niet via de directe API.

Wat je vastlegt in je verwerkingsregister#

Met de tabel hierboven is het register een invuloefening. Dit zijn de velden die bij een Team- of API-account uit de documenten volgen.

• Verwerker: Anthropic Ireland, Limited, Dublin (contractpartij voor de EER).
• Grondslag contract: commerciële voorwaarden met de DPA van 24 februari 2025, geaccepteerd bij het aanmaken van de organisatie.
• Doorgifte: Verenigde Staten, SCC module twee, Iers recht.
• Subverwerkers: de lijst op het Trust Center met de datum waarop je hem raadpleegde.
• Bewaartermijn: dertig dagen (API), tot verwijdering (Team), ingestelde termijn (Enterprise), minimaal dertig dagen voor Fable-modellen.
• Training: standaard uit; feedbackknop uitgezet door de Owner.
• Instellingen: webzoeken en spraak aan of uit, US-only inference aan of uit.

Wie de cross-vendor-vraag "welke aanbieder traint op mijn data en hoe zet ik dat uit" wil beantwoorden, vindt die binnenkort als eigen pagina; voor Claude staat het antwoord in de tabel hierboven.

Twee dingen die je hier niet uit de documenten haalt: of je grondslag voor de verwerking zelf klopt, en of een DPIA verplicht is. Dat is werk voor je jurist of FG, en de DPA van Anthropic verandert daar niets aan.

Wat een AVG-check op je Claude-inrichting bij ons kost#

Wij lopen deze controle na als onderdeel van het AI readiness assessment: een nulmeting op data, technologie, organisatie en strategie tegen een vaste projectprijs van €3.500. Losse onderdelen beginnen bij €950.

Wat je daarvoor krijgt: scores per dimensie, een gap-analyse en een kansenlijst van 8 tot 15 AI-toepassingen; de inrichting van een Team- of API-organisatie zelf is een apart traject. Wat je er niet voor krijgt: een juridisch oordeel, want dat geven we niet.

Wil je eerst weten welk plan bij je past voordat je iets inricht? Wat kost Claude zet Free tot Enterprise op een rij in euro, en voor de Fable-regel per plan is Claude Fable 5.1 de pagina met de tarieven en de bewaartermijn per model.

Twijfel je of je huidige Pro-accounts vervangen moeten worden door Team? Bel 085 016 0118 of laat via het contactformulier weten hoeveel mensen met Claude werken en wat er in de prompts staat; dan zeggen we binnen een werkdag of Team volstaat of dat het Enterprise moet worden.

Andere modellen en abonnementen staan in de cluster-index AI-modellen vergelijken.

Veelgestelde vragen over de Claude DPA#

Alle antwoorden hieronder steunen op de documenten van Anthropic met peildatum 18 september 2026; wijzigt Anthropic de voorwaarden, dan werken we de tabel bij.