De vraag "staat mijn data in Europa" krijgt bijna altijd een te kort antwoord. Meestal: "ja, wij hosten in de EU." Dat is waar en het is niet het hele verhaal.

Deze post beantwoordt hem voor onszelf, met namen erbij. Wij zijn geen juristen en dit is geen juridisch advies — het is hoe wij het hebben ingericht en waarom.

01 / de vraag achter de vraagWaarom wil je dit eigenlijk weten?

Zelden om de aardrijkskunde. Bijna altijd om één van deze drie:

• Je klanten vragen ernaar. Zorg, onderwijs, financiële dienstverlening: daar staat het in de inkoopvoorwaarden en moet je het gewoon kunnen beantwoorden.
• Je hebt een verwerkersovereenkomst nodig en daarin moet staan welke partijen jouw klantgegevens verwerken. Dan heb je een lijst nodig, geen geruststelling.
• Je wilt weten wie er bij je gegevens kan. Dat is de echte vraag, en het antwoord daarop is niet "Duitsland".

Die derde is de belangrijkste. Waar de schijf staat is een technisch feit. Wie er bij mag, is een juridisch feit. Ze lopen niet vanzelf gelijk op.

02 / waar het staatWelke server, welk land?

Twee servers, twee landen, één leverancier.

De leverancier is Hetzner: een Duits bedrijf, met Duitse en Finse datacenters. Dat is de reden dat wij "in Europa" kunnen zeggen zonder een sterretje erachter — niet alleen de servers staan er, het bedrijf zelf valt eronder.

Dat onderscheid is het hele punt van deze post, en het komt terug in blok 4.

03 / wat wel de grens over gaatWaar is het níét waar?

Bij zeven leveranciers, en één ervan is Amerikaans. Hier zijn ze.

Wij hebben op onze eigen site ooit "één subverwerker" willen schrijven. Dat was niet waar en het is eruit gehaald voordat het live ging. Het zijn er acht, en een lijst met namen is bruikbaarder dan een getal dat een jurist met één vraag onderuit haalt.

Een leverancier die je vertelt dat hij één subverwerker heeft, heeft ze niet geteld.

Wat je hieruit kunt meenemen: vraag om de lijst, niet om de geruststelling. Iedereen die klantgegevens verwerkt hoort die lijst te hebben liggen.

04 / het verschil met "EU region"Wat koop je als een leverancier dat belooft?

Een locatie. Niet per se een rechtsgebied.

Grote aanbieders bieden je de keuze om je gegevens in een Europees datacenter te zetten. Dat is echt en het helpt: het scheelt in snelheid, en het is vaak precies wat er in een inkoopvoorwaarde gevraagd wordt.

Maar het beantwoordt de derde vraag uit blok 1 niet. Waar de schijf staat, zegt niets over welk recht geldt voor het bedrijf dat de schijf beheert. Een Amerikaans moederbedrijf blijft een Amerikaans bedrijf, ook als de server in Frankfurt staat.

Wij zijn geen juristen en gaan hier geen uitspraak doen over hoe dat in een concreet geval uitpakt. Wat we wel kunnen zeggen: het zijn twee verschillende vragen, en een verkoper die ze op één hoop gooit, doet dat zelden per ongeluk.

Voor de duidelijkheid: wij gebruiken zelf twee Amerikaanse diensten voor dingen die ertoe doen. We zeggen dus niet dat het niet mag. We zeggen dat je moet weten wat je hebt.

05 / wat je kunt vragenVier vragen aan elke leverancier — ook aan ons

Deze vier scheiden een echt antwoord van een geruststelling.

• Geef me de lijst met subverwerkers, met naam en land. Komt er een getal in plaats van een lijst, dan is hij niet geteld.
• Onder welk recht valt het bedrijf zelf, los van waar de server staat? Dit is de vraag die "EU region" niet beantwoordt.
• Op wiens naam staan de accounts waarin gebouwd wordt? Staat er "de onze", dan weet je genoeg — dan bezit je de gegevens niet, maar heb je er toegang toe.
• Wat kan ik morgen exporteren, en in welk formaat? Een antwoord zonder formaat is geen antwoord.

Bij ons is het antwoord op de derde: de accounts staan op jouw naam. Wij bouwen erin, niet ernaast. Er is geen omgeving van ons waar jouw klantgegevens naartoe verhuizen en waarvan wij de sleutel houden. Stop je met ons, dan stopt het onderhoud en niet je toegang.

Deze tekst is met AI-ondersteuning tot stand gekomen en door een mens gecontroleerd en vastgesteld voor publicatie.