Is je CRM AVG-proof? Beveiliging en privacy bij Teamleader, Zoho en SugarCRM

Een nieuw CRM-systeem kiezen gaat meestal over functionaliteit: offertes, pipeline, werkbonnen, rapportages. Maar zodra de keuze bij de IT-afdeling, de FG of de directie van een moederbedrijf terechtkomt, komen er andere vragen. Waar staan de gegevens? Wie kan erbij? Hoe zijn ze versleuteld? Is er een verwerkersovereenkomst? Gaat er data naar de Verenigde Staten?

Ik implementeer Teamleader, Zoho CRM en SugarCRM (sinds kort SugarAI) en ben CIPP/E-gecertificeerd. In dit artikel zet ik de beveiligings- en AVG-aspecten (in het Engels: GDPR) van de drie pakketten naast elkaar, zodat je die toetsing goed voorbereid ingaat.

Eerst de basis: jij blijft verantwoordelijk

Bij alle drie de pakketten is de rolverdeling onder de AVG hetzelfde. Jouw organisatie bepaalt welke klantgegevens je vastlegt en waarvoor, en is daarmee verwerkingsverantwoordelijke. De CRM-leverancier slaat die gegevens in jouw opdracht op en is verwerker. De partijen die de leverancier zelf weer inschakelt (hosting, e-mail, foutmonitoring, support) zijn subverwerkers.

Dat betekent drie dingen:

• Je hebt een verwerkersovereenkomst nodig met de leverancier (art. 28 AVG). Alle drie bieden een standaardversie aan.
• Je moet weten welke subverwerkers er zijn en waar ze zitten. Alle drie publiceren die lijst.
• Als er gegevens buiten de Europese Economische Ruimte komen, ook al is het alleen "inzage" door een supportmedewerker, dan is dat doorgifte en moet daar een geldig mechanisme onder liggen. De meest gebruikte zijn de Standard Contractual Clauses (SCC's): modelcontractbepalingen van de Europese Commissie waarin de ontvanger zich verplicht de gegevens op AVG-niveau te beschermen. Voor Amerikaanse bedrijven kan ook het EU-US Data Privacy Framework gelden.

Een goede leverancier helpt je daarbij, maar de eindverantwoordelijkheid verschuift niet. Hoe je het pakket inricht, bepaalt voor een groot deel hoe AVG-proof je CRM in de praktijk is.

Teamleader Focus: beveiliging en AVG

Teamleader is een Belgisch bedrijf (Gent) en onderdeel van de Visma Group. Teamleader Focus is gericht op kleinere organisaties die CRM, offertes, werkbonnen, projecten en facturatie in één pakket willen.

Hosting en versleuteling

• Klantdata van Teamleader Focus staat bij Amazon Web Services in Dublin, Ierland (regio eu-west-1).
• Al het verkeer loopt via een versleutelde verbinding over poort 443, met HSTS zodat browsers altijd HTTPS gebruiken.
• Data in databases en bestandsopslag is versleuteld met AES-256; het sleutelbeheer loopt via de Key Management Service van AWS.

Toegang en applicatiebeveiliging

• Wachtwoorden worden alleen als bcrypt-hash opgeslagen. Na herhaaldelijk foute pogingen wordt een account tijdelijk geblokkeerd.
• Tweestapsverificatie is beschikbaar via een authenticator-app. Mijn advies: maak het voor alle gebruikers verplicht.
• Teamleader laat de applicatie doorlopend testen via een ethical hacking programma bij Intigriti, en elke codewijziging gaat door een code review.
• Toegang door Teamleader-medewerkers tot jouw account is beperkt tot bepaalde gevallen en wordt gelogd.

AVG

• Standaard verwerkersovereenkomst, inclusief een vaste procedure bij een datalek, en een gepubliceerde lijst met subverwerkers. Een klein aantal subverwerkers zit in de VS; Teamleader geeft aan dat die doorgifte via de gangbare doorgiftemechanismen loopt.
• Na het einde van het contract kun je je data exporteren; persoonsgegevens worden binnen drie maanden verwijderd. Wat overblijft is geanonimiseerde data, die Teamleader volgens de voorwaarden mag gebruiken.
• Teamleader heeft een eigen Data Protection Officer.

Let op bij certificeringen: Teamleader verwijst op de securitypagina naar de certificeringen van AWS (onder meer ISO 27001 en SOC 2) voor de infrastructuur. Een eigen ISO 27001-certificaat voor de applicatie en organisatie wordt daar niet genoemd. Vraagt jouw IT-afdeling daar expliciet om, stel die vraag dan vooraf aan Teamleader.

Zoho CRM: beveiliging en AVG

Zoho is een Indiaas softwarebedrijf met een zeer breed pakket aan bedrijfsapplicaties. Anders dan veel concurrenten draait Zoho zijn eigen datacenterinfrastructuur, in Europa in gehuurde ruimte bij grote datacenterpartijen.

Hosting en versleuteling

• Zoho heeft twee EU-datacenters: in Nederland (Schiphol-Rijk, regio Amsterdam) en in Ierland (Dublin). Data uit het primaire datacenter wordt gerepliceerd naar het secundaire.
• Het datacenter wordt gekozen op basis van het land bij aanmelding. Je ziet het aan de URL: werk je op zoho.eu, dan staat je data in het EU-datacenter. Controleer dit bij de start, want achteraf verhuizen is lastig.
• Versleuteling in transit en at rest, plus de mogelijkheid om afzonderlijke velden extra te versleutelen. Handig voor gevoelige velden zoals een BSN of IBAN, als je die al in je CRM wilt hebben.

Certificeringen

Van de drie heeft Zoho het breedste certificeringspakket: ISO 27001, ISO 27017 (cloudbeveiliging), ISO 27018 (persoonsgegevens in de cloud) en ISO 27701 (privacymanagement), plus SOC 2 Type II. De audits worden jaarlijks herhaald.

AVG

• Zoho treedt op als verwerker en biedt een verwerkersovereenkomst op basis van de SCC's.
• Het belangrijkste aandachtspunt: medewerkers van Zoho in India kunnen voor support en beheer toegang hebben tot het EU-datacenter. Zoho stelt dat de data fysiek in de EU blijft, maar juridisch is toegang op afstand ook doorgifte. Die is geregeld via de SCC's; neem dit wel op in je risicoafweging en je verwerkingsregister.
• Zoho CRM heeft ingebouwde AVG-functies, zoals het vastleggen van de grondslag per contact, toestemmingsbeheer en ondersteuning bij verzoeken van betrokkenen.
• Zoho heeft een Data Protection Officer aangesteld.

SugarCRM (SugarAI): beveiliging en AVG

Sugar is een Amerikaans CRM-platform voor middelgrote en grotere organisaties, met veel ruimte voor maatwerk. Het draait in de eigen cloud van Sugar (SugarCloud) en is voor wie dat nodig heeft ook on-premise te installeren.

Hosting en versleuteling

• SugarCloud draait op AWS, met regio's in de Verenigde Staten, het Verenigd Koninkrijk, Duitsland en Australië. Voor Nederlandse klanten is Duitsland de logische keuze.
• Data, inclusief back-ups en snapshots, blijft in de gekozen regio.
• Versleuteling met TLS 1.2 en 1.3 in transit en AES-256 at rest. De omgeving is multi-tenant, maar met logische scheiding en een eigen encryptiesleutel per klant. Een dedicated omgeving is op aanvraag mogelijk.
• Back-ups zijn versleuteld en kun je zelf via SFTP ophalen, handmatig of op schema.

Toegang en applicatiebeveiliging

Op dit vlak biedt Sugar het meeste voor organisaties met een eigen IT-beleid:

• Single sign-on via SAML en OpenID, zodat gebruikers met hun bestaande (bijvoorbeeld Microsoft) account inloggen.
• Multifactorauthenticatie, instelbaar wachtwoordbeleid en automatisch deactiveren van inactieve accounts.
• IP-allowlists om toegang te beperken tot bijvoorbeeld het kantoornetwerk of de VPN.
• Fijnmazig rechtenbeheer op basis van rollen.
• Minstens jaarlijks een externe penetratietest, een bug bounty programma en vaste hersteltermijnen voor kwetsbaarheden (kritiek binnen 14 dagen).

Certificeringen en AVG

• Sugar is ISO 27001-gecertificeerd (sinds 2024), heeft al jaren een SOC 2 Type II-verklaring en staat in het CSA STAR-register.
• Verwerkersovereenkomst met SCC's, en daarnaast is Sugar gecertificeerd onder het EU-US Data Privacy Framework.
• Supportmedewerkers buiten de regio kunnen in uitzonderingsgevallen toegang krijgen. Dat gaat via een ticketproces, individueel geauthenticeerd en gelogd, en buiten de EER onder de SCC's.
• Bij een (vermoedelijk) datalek meldt Sugar dat zonder onredelijke vertraging aan de klant, zodat jij binnen 72 uur kunt melden bij de Autoriteit Persoonsgegevens als dat nodig is.
• Na het einde van het contract blijft je data tot 120 dagen beschikbaar en wordt daarna verwijderd.

Vergelijking: Teamleader, Zoho en SugarCRM naast elkaar

Geen van de drie is "onveilig". Alle drie hosten in de EU, versleutelen data, bieden een verwerkersovereenkomst en hebben doorgifte buiten de EER afgedekt. De verschillen zitten vooral in de mate van controle: Sugar geeft de meeste instelmogelijkheden voor organisaties met een strak IT-beleid, Zoho heeft de breedste set eigen certificeringen, en Teamleader is Europees en eenvoudig, met minder knoppen om aan te draaien. Wil je de pakketten ook functioneel vergelijken, kijk dan bij CRM-systemen.

Wat het pakket niet voor je regelt

In mijn ervaring zitten de echte AVG-risico's zelden in de hosting, maar in de inrichting en het gebruik. Meer over valkuilen bij de inrichting lees je in de 8 meest voorkomende valkuilen bij een CRM-implementatie. Deze punten liggen bij jou:

• Tweestapsverificatie verplicht stellen voor alle gebruikers. Een gelekt wachtwoord is nog steeds de meest voorkomende ingang.
• Rechten per rol. Niet iedereen hoeft alle klanten, marges of notities te zien.
• Dataminimalisatie. Leg alleen vast wat je nodig hebt. Vrije tekstvelden en notities zijn het grootste risico: alles wat daar staat, valt onder het inzagerecht van de betrokkene.
• Bewaartermijnen. Bepaal per categorie hoe lang je gegevens bewaart (prospects, ex-klanten, factuurgegevens) en automatiseer het opschonen waar het kan.
• Koppelingen. Elke koppeling met een automatiseringsplatform (n8n, Zapier, Make) of een marketingtool is een extra verwerker. Zorg ook daar voor een verwerkersovereenkomst en kies waar mogelijk EU-hosting. Hoe ik zulke koppelingen bouw, lees je in wat we bouwen met n8n.
• AI-functies. Alle drie de pakketten bouwen AI-functionaliteit in. Ga per functie na welke gegevens worden verwerkt, door welke partij en waar, voordat je die aanzet.
• DPIA. Leg je veel gegevens vast, gevoelige categorieën of profileer je klanten (bijvoorbeeld met AI-scoring), toets dan of een DPIA (gegevensbeschermingseffectbeoordeling) verplicht is.
• Verwerkingsregister en informatieplicht. Neem het CRM op in je verwerkingsregister en zorg dat je privacyverklaring klopt met wat je er werkelijk mee doet.
• Uitstapscenario. Test vooraf of je een volledige export kunt maken. Dat is ook je vangnet bij een incident.

Checklist voor je IT-toetsing

Moet je een CRM-keuze laten toetsen door IT, een FG of een moederorganisatie? Lever dan in elk geval het volgende aan:

1. Wie de leveranciers zijn (pakketleverancier en implementatiepartner) en wie contractpartij is.
2. Een korte functionele beschrijving: welk proces het CRM ondersteunt en wat er buiten blijft (bijvoorbeeld boekhouding in het ERP).
3. Welke categorieën gegevens erin komen, en expliciet dat er geen bijzondere persoonsgegevens worden vastgelegd (als dat zo is).
4. Hostinglocatie, versleuteling, MFA en certificeringen, met links naar de bronnen van de leverancier.
5. De verwerkersovereenkomst en de lijst met subverwerkers.
6. Welke koppelingen er zijn of komen, en welke extra verwerkers daarbij horen.
7. Wie het technisch beheer doet en wie het applicatiebeheer (gebruikers, rechten, velden).

Veelgestelde vragen

Is Teamleader AVG-proof?

Teamleader Focus host klantdata in de EU (AWS Dublin), versleutelt alles in transit en at rest, biedt tweestapsverificatie en een standaard verwerkersovereenkomst. De techniek is dus op orde. Of jouw gebruik AVG-proof is, hangt daarnaast af van je eigen inrichting: wie wat mag zien, wat je vastlegt en hoe lang je het bewaart.

Waar staat de data van Zoho CRM?

Bij een EU-account (herkenbaar aan zoho.eu) in de eigen datacenters van Zoho in Nederland en Ierland. Supporttoegang vanuit India is geregeld via SCC's.

Waar staat de data van SugarCRM en is Sugar ISO 27001-gecertificeerd?

SugarCloud draait op AWS; voor Nederlandse klanten is de regio Duitsland de logische keuze en data en back-ups blijven daar. Sugar is ISO 27001-gecertificeerd en heeft een SOC 2 Type II-verklaring.

Heb ik een verwerkersovereenkomst nodig met mijn CRM-leverancier?

Ja. Jij bent verwerkingsverantwoordelijke en de leverancier is verwerker, dus artikel 28 AVG vereist een verwerkersovereenkomst. Alle drie de leveranciers bieden een standaardversie aan. Werk je via een implementatiepartner die ook toegang heeft tot je data, dan hoort daar ook een verwerkersovereenkomst bij.

Welk CRM is het veiligst?

Er is geen onveilige keuze tussen deze drie. Sugar geeft de meeste controle (SSO, IP-beperking, eigen sleutel per klant, on-premise), Zoho heeft de breedste set eigen certificeringen en Teamleader is Europees en eenvoudig. Kies op basis van je proces en je IT-eisen.

Bronnen

• Teamleader: Security Teamleader Focus
• Teamleader: Teamleader & GDPR
• Teamleader: subverwerkers Teamleader Focus
• Zoho: Privacy FAQ
• Zoho: Security FAQ
• Zoho: Compliance
• SugarCRM: SugarCloud Information Security FAQ (augustus 2025)
• SugarCRM: subverwerkers

Dit overzicht geeft de stand van zaken weer per oktober 2026, op basis van de publieke informatie van de leveranciers. Leveranciers passen hun hosting, subverwerkers en certificeringen regelmatig aan; controleer de actuele situatie voordat je een besluit neemt. Dit artikel is geen juridisch advies.