DeepSeek
DeepSeek
Beoordelingslabels zijn redactionele duiding, geen AVG-certificering. Toets het exacte abonnement, de rechtsgrond, DPA, subverwerkers, bewaartermijnen, dataresidentie en instellingen. EU-opslag en geen training bewijzen op zichzelf geen AVG-compliance. ¹ Geen training geldt onder de voorwaarden van het beoordeelde abonnement.
Prijs / Contractroute
Hosted API pricing varies; self-hosting costs depend on infrastructure
Enterprise Functies
Self-hosting or independent EU hosting can create a separate data route
Laatst bijgewerkt
September 10, 2026
Beoordeeld op 10 september 2026 door WAIMAKERS B.V.
⚠️ Kritieke compliancewaarschuwing
DeepSeek moet worden gesplitst in de directe gehoste dienst/API, een onafhankelijke externe host en een zelfgehost model. Voor de directe dienst zegt DeepSeeks actuele beleid dat persoonsgegevens in de Volksrepubliek China worden verwerkt en opgeslagen, voor training kunnen worden gebruikt en geen universele bewaartermijn hebben. Die route verdient daarom verhoogde beoordeling voor Europese organisatiegegevens.
1 Doel en routevergelijking
| Route | Gegevensstroom | Praktische beoordeling |
|---|---|---|
| DeepSeek-website/app/directe API | DeepSeek ontvangt prompts, bestanden en dienstmetadata en zegt persoonsgegevens in China te verwerken en bewaren. | Niet goedkeuren voor persoonlijke, vertrouwelijke of bijzondere gegevens zonder verdedigbaar doorgiftemechanisme, DPA-voorwaarden en voltooide risicoanalyse. |
| Onafhankelijke EU-host met DeepSeek-weights | De host, niet noodzakelijk DeepSeek, ontvangt prompts. | Beoordeel DPA, regio, logs, training, licentie en subverwerkers van de host. Neem het directe-dienstoordeel niet automatisch over. |
| Zelfgehoste weights | De operator ontvangt en beheert runtimedata. | Kan verzending van prompts naar DeepSeek voorkomen; GDPR-, beveiligings- en licentieplichten blijven bij de operator. |
2 GDPR-compliancebeoordeling
DeepSeeks Engelstalige privacybeleid is op 10 februari 2026 bijgewerkt. Het benoemt Hangzhou DeepSeek Artificial Intelligence Co., Ltd. in China als controller, noemt accountgegevens, prompts, geüploade bestanden/afbeeldingen, chatgeschiedenis, apparaat-/netwerk-/log- en betaalinformatie en zegt persoonsgegevens rechtstreeks in de PRC te verwerken en bewaren. Het waarschuwt geen gevoelige persoonsgegevens te verstrekken.[1]
Hetzelfde beleid zegt dat DeepSeek persoonsgegevens kan gebruiken om technologie te verbeteren en trainen. Europese gebruikers kunnen zich daarvoor afmelden. Bewaring verschilt per gegeven en doel: account-, invoer- en betaalinformatie kan blijven zolang het account bestaat en sommige data kan voor wettelijke, veiligheids- of overtredingsdoelen blijven. Dit ondersteunt geen universele ZDR of vaste verwijdertermijn.
De Open Platform-voorwaarden leggen applicatieontwikkelaars plichten op voor grondslag, eindgebruikersinformatie en rechtenafhandeling. Het directe privacybeleid zegt ook dat downstreamapplicaties eigen controllers en beleid hebben.[2]
3 Bewijs van EU-toezichthouders
Op 30 januari 2025 beval de Italiaanse privacytoezichthouder een spoedbeperking van verwerking rond Italiaanse gebruikers nadat hij DeepSeeks antwoord onvoldoende vond. De toezichthouder omschreef dit als spoedbeperking en opende onderzoek; deze bron bewijst geen permanent EU-breed verbod.[3]
De EDPB-notulen van februari 2025 vermeldden de Italiaanse voorlopige maatregel en belangstelling van andere toezichthouders voor coördinatie. Dit bewijst niet dat alle EU-toezichthouders hetzelfde inhoudelijke oordeel gaven of dat een genoemd aantal definitieve handhavingszaken bestaat.[4]
4 Zelfhosting en licenties
DeepSeek publiceert weights en code die buiten zijn dienst kunnen draaien. Repository en licentie doen ertoe: DeepSeek-R1-materialen gebruiken MIT, terwijl DeepSeek-V3 een afzonderlijke modellicentie bevat. Die modellicentie waarschuwt zelf dat output persoonsgegevens kan bevatten en de operator een geschikte grondslag nodig heeft.[5][6]
Zelfhosting voorkomt directe promptdoorgifte aan DeepSeek alleen als de implementatie geen DeepSeek-diensten, telemetrie of externe tools aanroept. Het lost risico's in trainingsdata, output, beveiliging, logs of downstreamgebruik niet op.
5 Minimale due diligence en EU-implementatiechecklist
Eis voor de directe dienst een actuele DPA, controller-/processoranalyse, subverwerkerslijst, hoofdstuk-V-doorgiftemechanisme, bewaarschema, bewijs van trainingsopt-out, verwijdertest en incidentvoorwaarden. In de officiële materialen voor deze pagina werd geen openbare DPA of SCC-set voor de directe gehoste route gevonden. Dat is een open inkoopvraag en geen bewijs dat een private overeenkomst niet bestaat.
Leg voor een EU-host of zelfgehost model exacte weights en licentie, infrastructuurregio, toegang, versleuteling, prompt-/uitvoerlogs, updates, kwetsbaarheidsbeheer, rechtenafhandeling en verboden gegevens vast. Het merk en contract van de host bepalen de beheerde privacykenmerken.
- Vraag actuele DPA, rollenanalyse en subverwerkerslijst op.
- Stel voor de directe route een verdedigbaar doorgiftemechanisme onder hoofdstuk V vast.
- Leg trainingsopt-out, bewaring en verwijdercontrols vast en test ze.
- Controleer voor gehoste of zelfgehoste weights licentie, regio, logging, toegang en externe aanroepen.
- ⚠️ Houd gevoelige, vertrouwelijke en bijzondere gegevens buiten de route totdat die is goedgekeurd.
API-prijzen en modelnamen wijzigen vaak. Controleer de actuele API-documentatie en gebruik prijs niet als privacybewijs.[7]
6 Eindoordeel
DeepSeeks directe dienst verdient verhoogde beoordeling omdat het eigen beleid PRC-opslag en -verwerking, trainingsgebruik met opt-out en variabele bewaring beschrijft. Een onafhankelijk of zelfgehost DeepSeek-model is een afzonderlijke implementatie met mogelijk ander risicoprofiel, maar is niet automatisch GDPR-compliant.
7 Disclaimer
Dit is een redactionele inkoopbeoordeling, geen juridisch oordeel of juridisch advies.