Elk najaar komt dezelfde vraag terug in de leraarskamer: kunnen we de ouders niet gewoon een Google Form sturen? Het is gratis, iedereen kent het en de antwoorden komen netjes in een spreadsheet. Tot iemand vraagt of dat wel mag volgens de AVG, en niemand het zeker weet.
Het eerlijke antwoord is geen ja en geen nee. De AVG (de Nederlandstalige naam voor de GDPR) keurt geen producten goed of af. Ze legt verplichtingen op aan je school, en of Google Forms (of Microsoft Forms) daaraan voldoet, hangt af van welke versie je gebruikt, hoe die is ingesteld en wat je erin vraagt. In dit artikel lees je wat toezichthouders en onderwijsorganisaties in Vlaanderen en Nederland echt gezegd hebben, waar de risico's zitten, wat je school moet regelen en wanneer een formuliertool die in de EU gehost wordt, zoals TinyForms, gewoon de makkelijkere weg is.
Dit is praktische uitleg, geen juridisch advies. De functionaris voor gegevensbescherming (DPO of FG) van je school of scholengroep heeft het laatste woord.
In het kort:
- Google Forms is niet verboden, maar een persoonlijk Google-account van een leerkracht is iets helemaal anders dan een goed ingesteld schoolaccount.
- In Nederland (SIVON en SURF) en Vlaanderen (de expertenwerkgroep en de VTC) is Google Workspace for Education grondig doorgelicht. De conclusie: bruikbaar onder voorwaarden, enkel in de betalende versies, en de school moet zelf flink wat regelen.
- De vier risico's zijn doorgifte buiten de EU, de verwerkersovereenkomst, gegevens van minderjarigen (zeker medische) en hoe lang de antwoorden bewaard blijven.
- Voor formulieren aan ouders, zoals toestemmingsformulieren en inschrijvingen, haalt een tool die in de EU gehost wordt en zelf verwijdert veel van dat werk weg.
Mag een school Google Forms gebruiken? Het hangt af van welke Google Forms
Achter hetzelfde logo zitten twee heel verschillende situaties.
Een schoolaccount in Google Workspace for Education. Google Forms is een van de kerndiensten van Google Workspace en valt onder de overeenkomst van de school met Google. Dan is de school verwerkingsverantwoordelijke en treedt Google grotendeels op als verwerker, onder voorwaarden die de school aanvaard heeft.
Een persoonlijk Google-account. Een leerkracht die een formulier maakt in zijn eigen Gmail-account, valt volledig buiten de overeenkomst van de school. Er is dan geen verwerkersovereenkomst tussen school en Google voor die gegevens, en de school kan ze niet centraal beheren of verwijderen. Daar beginnen de meeste echte problemen.
De nuttige vraag is dus niet "is Google Forms AVG-proof?", maar "gebruikt onze school een versie en een instelling die we kunnen verantwoorden?"
Wat SIVON, de VTC en toezichthouders zeggen
Nederland: veilig te gebruiken, maar niet de gratis versie
In 2021 voerden SURF, SIVON en SLM Rijk een DPIA uit op Google Workspace for Education en vonden acht hoge risico's, vooral omdat Google onvoldoende transparant was over welke gegevens het verzamelde en waarvoor. De Autoriteit Persoonsgegevens vroeg begin 2023 om duidelijkheid voor de scholen. In juli 2023 schreef de minister van Onderwijs aan de Tweede Kamer dat er niet langer sprake was van hoge risico's en dat het gebruik kon doorgaan.
In juni 2024 meldde SIVON dat Google Workspace veilig gebruikt kan worden in het onderwijs, op voorwaarde dat scholen zelf maatregelen nemen, waaronder instellingen die enkel in de betaalde versie bestaan. In september 2025 was SIVON duidelijk: de gratis versie kan niet veilig gebruikt worden. SIVON raadt ook af om de aanvullende diensten zoals YouTube en Maps te gebruiken. Alles op een rij vind je op de SIVON-pagina over de DPIA's op Google.
Vlaanderen: een strenge toezichthouder en een deadline
De Vlaamse Toezichtcommissie (VTC) nam in 2023 een duidelijk standpunt in: scholen die Google structureel gebruiken, moesten stoppen, tenzij ze beschermende maatregelen namen die minstens gelijkwaardig waren aan die in Nederland. De expertenwerkgroep gegevensbescherming in onderwijs werkte sindsdien een model-GEB (de Vlaamse term voor een DPIA) uit. Volgens privacyinonderwijs.be is een betalende licentie (Standard of Plus) nodig om de gegevens binnen de Europese Economische Ruimte te houden. In haar brief van juli 2025 verlengde de VTC haar termijn met maximaal een jaar, tot 1 september 2026. Volg die website voor de stand van zaken daarna.
Denemarken: zware kritiek over onderaannemers
De Deense toezichthouder verbood gemeenten in 2024 om leerlingengegevens aan Google door te geven voor doeleinden zonder rechtsgrond. In januari 2026 volgde zware kritiek op 51 gemeenten, met de nadruk op Googles onderaannemers buiten de EU.
Doorgifte naar de VS: nu toegestaan, nog niet uitgevochten
De EU nam in juli 2023 het EU-VS Data Privacy Framework aan, en het Gerecht van de EU bevestigde het in september 2025. Er loopt nog een hoger beroep bij het Hof van Justitie, en de twee vorige regelingen werden vernietigd.
De rode draad: niemand zegt "nooit". Iedereen zegt dat de school moet kunnen aantonen dat haar gebruik rechtmatig is.
Waar de risico's zitten
1. Doorgifte buiten de EU
Ook als de gegevens in Europa staan, kunnen een Amerikaanse leverancier en zijn onderaannemers onder Amerikaans recht vallen. Het Europees Comité voor gegevensbescherming zegt in advies 22/2024 dat de verwerkingsverantwoordelijke (je school) moet weten wie zijn verwerkers en subverwerkers zijn en hun waarborgen moet nagaan.
2. De verwerkersovereenkomst
Artikel 28 van de AVG vraagt een schriftelijke overeenkomst met elke verwerker. Voor een schoolaccount in Workspace bestaat die, als iemand ze aanvaard heeft. Voor een persoonlijk account niet. Dat geldt voor elke tool waar een leerkracht zich even snel voor aanmeldt.
3. Gegevens van minderjarigen, en medische gegevens in het bijzonder
Leerlingen verdienen extra bescherming. Een formulier voor een schooluitstap vraagt vaak naar allergieën, medicatie of dieet. Dat zijn gezondheidsgegevens, een bijzondere categorie in de zin van artikel 9. Vraag enkel wat de uitstap echt nodig heeft, en enkel aan wie meegaat.
4. Bewaartermijnen
De AVG zegt: niet langer bewaren dan nodig. Een Google Form houdt zijn antwoorden, en de gekoppelde spreadsheet, tot iemand ze wist. De medische lijst van vorig jaar leeft zo stilletjes verder in iemands Drive.
Wat je school moet regelen
Welke tool je ook kiest, dit is het lijstje:
- Gebruik enkel schoolaccounts. Geen formulieren in persoonlijke accounts voor schoolzaken.
- Controleer contract en versie. Is er een verwerkersovereenkomst, en kun je de gegevens in de EU houden?
- Maak een DPIA (GEB) voor alles met veel leerlingen of gevoelige gegevens. Er bestaan modellen van SIVON en van de Vlaamse expertenwerkgroep; gebruik ze, maar pas ze aan je school aan.
- Informeer mensen. Elk formulier heeft een duidelijke privacyverklaring nodig: wie je bent, waarom je de gegevens vraagt, hoe lang je ze bewaart, bij wie men terechtkan.
- Kies de juiste grondslag. Veel van wat een school doet, steunt op haar taak van algemeen belang, niet op toestemming. Vraag enkel toestemming waar mensen echt nee kunnen zeggen, zoals voor foto's op de website.
- Vraag minder. Elke vraag die je schrapt, is een risico minder.
- Leg een verwijderdatum vast en zorg dat het ook gebeurt, ook in exports.
- Betrek je DPO voor je een nieuwe tool uitrolt, niet erna.
De Gegevensbeschermingsautoriteit (GBA) en de Autoriteit Persoonsgegevens blijven het algemene aanspreekpunt voor vragen over de AVG.
Wanneer een AVG-formulier uit de EU de makkelijkere keuze is
Draait je school al een betaalde, goed ingestelde Workspace met een DPIA, dan kunnen interne formulieren binnen die omgeving prima te verantwoorden zijn. Maar veel formulieren zijn niet intern: ze gaan naar ouders, vaak verstuurd door een leerkracht of het oudercomité zonder toegang tot de beheerconsole. Dan is het lijstje hierboven veel werk, voor elke uitstap opnieuw.
Daar past TinyForms. Het wordt gebouwd en beheerd in de EU door Hyperchicken BV, en alles wordt gehost in de EU. Ouders hebben geen account nodig. En het privacywerk zit in het formulier zelf in plaats van in een aparte taak:
- Een privacypagina bij elk formulier, gelinkt vanuit het formulier. Standaard wordt ze opgesteld in de taal van het formulier, met de naam van je school en de bewaartermijn. Je kunt ze vervangen door je eigen privacyverklaring, voor de hele werkruimte of voor één formulier.
- Een toestemmingsvakje met je eigen tekst en links, opgeslagen bij de inzending waar het bij hoort.
- Automatisch verwijderen. Je kiest hoeveel dagen inzendingen bewaard blijven, en ze worden elke nacht verwijderd zodra die termijn voorbij is. Enkel anonieme tellingen blijven over. Eigenaars en beheerders krijgen elke week een mail met wat binnenkort verdwijnt.
Om eerlijk te zijn over de rest: TinyForms bewaart het IP-adres en de browser van elke inzending om spam te weren, je school blijft verwerkingsverantwoordelijke, en jij beslist wat in verhouding is. Voor de verwerkersovereenkomst vraag je via onze contactpagina het actuele document op. Op de pagina over AVG-vriendelijke formulieren lees je de aanpak in detail.
Zo maak je een AVG-proof schoolformulier met TinyForms
Stap 1: Begin met een schooltemplate
De template voor een schooluitstap vraagt naar de leerling, een ouder, een noodnummer en de toestemming, en toont de vragen over gezondheid en voeding enkel als de leerling meegaat.
Voor nieuwe leerlingen houdt de inschrijvingstemplate een verplichte privacytoestemming apart van een optionele toestemming voor foto's. Een nee voor foto's is zo geen nee voor de inschrijving.
Beide templates bevatten een bestandsupload, en de uitstaptemplate een handtekening. Die twee vraagtypes horen bij het Pro- of Business-abonnement. Op het gratis abonnement verwijder je ze en publiceer je de rest.
Stap 2: Controleer de privacypagina
Open de privacypagina vanuit de voorvertoning. Past de opgestelde tekst, dan ben je klaar. Heeft je school of scholengroep een eigen privacyverklaring, plak die dan één keer in de instellingen van de werkruimte, en elk formulier gebruikt ze.
Stap 3: Formuleer je toestemming zorgvuldig
Gebruik het toestemmingsvakje voor wat echt vrijblijvend is, en geef elke keuze een eigen vakje. Link in de tekst naar je privacypagina.
Stap 4: Kies een bewaartermijn die past
De bewaartermijn geldt voor de hele werkruimte en telt vanaf de dag waarop elke inzending binnenkwam. Open je het formulier twee maanden voor de uitstap, dan wist een termijn van 30 dagen de antwoorden nog voor je vertrekt. Het gratis abonnement laat tot 30 dagen toe, Pro tot een jaar, en Business kan inzendingen zonder limiet bewaren. Alles staat op de prijspagina.
Stap 5: Exporteer wat je moet bewaren, en laat de rest los
Heeft je administratie een bewijs nodig, exporteer dan naar CSV of Excel voor de termijn afloopt. De rest verdwijnt op tijd. In het helpartikel over gegevens en privacy lees je precies wat wanneer verwijderd wordt.
Meer ideeën voor formulieren in het onderwijs vind je op onze pagina voor scholen.
Veelgestelde vragen
Is Google Forms AVG-proof?
Geen enkel product is op zichzelf "AVG-proof". Google Forms binnen een betaalde, goed ingestelde Google Workspace for Education, met een DPIA en een verwerkersovereenkomst, kan volgens SIVON en de Vlaamse expertenwerkgroep rechtmatig gebruikt worden. Google Forms in een persoonlijk account van een leerkracht is voor leerlingengegevens heel moeilijk te verantwoorden.
Moeten we ouders toestemming vragen om Google Forms te gebruiken?
Meestal is toestemming de verkeerde grondslag voor een tool waar leerlingen niet onderuit kunnen. SIVON raadt Nederlandse scholen af om die te vragen, omdat een nee een kind uit de les zou sluiten. Vraag je DPO wat voor jouw school geldt.
En Microsoft Forms?
Dezelfde vragen gelden: welk account, welke overeenkomst, waar gaan de gegevens heen, hoe lang blijven ze. Ook voor Microsoft 365 lopen privacytoetsen in het onderwijs; volg het advies van SIVON of je onderwijskoepel.
Heeft TinyForms een AVG-certificaat?
Nee, en dat beweren we ook niet. Wat we bieden, is hosting in de EU, een privacypagina en een toestemmingsvakje bij elk formulier, automatisch verwijderen, en een verwerkersovereenkomst op aanvraag.
Kunnen leerlingen TinyForms gebruiken voor hun eindwerk?
Ja. Onze gids over een enquête maken voor je eindwerk of bachelorproef gaat over vragen, toestemming en anonimiteit bij onderzoek door leerlingen en studenten.