Is Calendly AVG-proof? Een check voor Nederlandse en Belgische organisaties

Wat Calendly zelf documenteert

Calendly LLC is gevestigd in de VS en is de contractpartij in de voorwaarden van Calendly. Volgens het helpcentrum van Calendly worden gegevens van gebruikers en genodigden opgeslagen in Amerikaanse datacenters van Google Cloud en AWS. Welke subverwerkers verder meedoen, staat op een aparte pagina.

Het Data Processing Addendum van Calendly baseert de doorgifte naar de VS op het EU-US Data Privacy Framework. Houdt dat kader op te gelden, dan nemen standaardcontractbepalingen (SCC's) het over.

Verwerkersovereenkomst en doorgifte zijn twee aparte vragen

Art. 28 AVG gaat over de verwerkersovereenkomst: wat de verwerker met de gegevens mag doen, hoe hij ze beveiligt, welke subverwerkers hij inschakelt en hoe hij je helpt bij verzoeken van betrokkenen. Doorgifte naar een land buiten de EER valt onder hoofdstuk V van de AVG, art. 44 tot en met 46: een adequaatheidsbesluit, zoals dat voor het Data Privacy Framework uit juli 2023, of passende waarborgen zoals SCC's.

Een getekende verwerkersovereenkomst regelt dus niet vanzelf de doorgifte. Hoe je die doorgifte vastlegt, en of je er een doorgiftetoets (transfer impact assessment, TIA) bij maakt, is je eigen afweging als verwerkingsverantwoordelijke. Toezicht op de AVG houdt in Nederland de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit.

Vragen die je zelf beantwoordt

Wat verzamel je? Naam, e-mail en een tijdstip zijn iets anders dan een vrij tekstveld waarin iemand de reden van een consult invult. Vraag alleen wat je voor de afspraak nodig hebt.

Wie ontvangt de gegevens? Kijk naar de subverwerkers, waar ze zitten en of je bericht krijgt als er een bijkomt. Vergeet je agenda niet: koppel je Google of Microsoft, dan staan afspraken ook daar, onder hun voorwaarden.

Hoe lang bewaar je? Spreek een termijn af voor afgeronde afspraken en leg vast hoe je een verzoek tot inzage of verwijdering afhandelt. Zet ten slotte in je privacyverklaring welke tool je gebruikt en waar de gegevens heen gaan.

Bijzondere persoonsgegevens (art. 9 AVG)

Een afspraaknaam als 'intake fysiotherapie' of 'consult psycholoog' zegt al iets over iemands gezondheid. Dan geldt art. 9 AVG, los van welke tool je kiest. Vraag op je boekingspagina geen gevoelige details die je niet nodig hebt. In bijlage I van de gepubliceerde verwerkersovereenkomst van Calendly, van kracht sinds 1 juni 2026, staat dat klanten geen bijzondere persoonsgegevens, zoals gezondheidsgegevens, aan Calendly mogen doorgeven. Verraadt een boeking zelf een medisch bezoek, laat die dan niet via Calendly lopen zonder eerst je functionaris gegevensbescherming te raadplegen. Bij Kalendarius staan onze voorwaarden dit soort gegevens alleen toe op het Business- of Enterprise-plan, met een verwerkersovereenkomst. Die wordt nu juridisch getoetst; vraag ernaar via info@kalendarius.com.

Waar Kalendarius anders werkt

Kalendarius is een product van Ugur Akcelik in Turijn (Italië). Applicatie en database draaien bij Hetzner in Neurenberg en Falkenstein (Duitsland). Hetzner heeft voor die datacenters een ISO/IEC 27001-certificaat; Kalendarius zelf is niet gecertificeerd.

EU-hosting regelt niet alles. Koppel je Google of Microsoft, dan verwerken zij je agendagegevens onder hun eigen voorwaarden. Paddle regelt betalingen en facturen, een e-maildienst verstuurt de bevestigingen en foutrapporten gaan naar Sentry, een Amerikaans bedrijf dat ze in zijn EU-regio bewaart. Jij blijft verwerkingsverantwoordelijke en beslist over grondslag, formulier en bewaartermijn.

Wat we wel concreet regelen: afgeronde afspraken worden automatisch verwijderd na de termijn die je instelt, maximaal 90 dagen bij Persoonlijk en Professional, 180 bij Team en 365 bij Business en Enterprise. Vraagt een gast om verwijdering, mail dan naar info@kalendarius.com. Wij anonimiseren dan de boekingen op e-mailadres: naam, e-mailadres, notities en het tijdstip van toestemming worden gewist. De rest van de afspraak (tijd, status, antwoorden op eigen vragen, reden van annulering) wordt verwijderd aan het eind van je bewaartermijn. Afspraken die al in een gekoppelde agenda staan, blijven daar staan. We kunnen je ook een export van de boekingen van een gast sturen. Op openbare boekingspagina's laden geen advertentie- of analysetrackers zoals Google Ads of Meta Pixel; Sentry draait er wel, om fouten op te sporen. Een verwerkersovereenkomst voor Business (€17,90 per organisator per maand) en Enterprise wordt nu juridisch getoetst; vraag ernaar via info@kalendarius.com. Functies en prijzen staan op de pagina over het Calendly-alternatief. Wil je het met je eigen agenda proberen? Start gratis met het abonnement Persoonlijk.