Data residency in Europa: waar je gegevens staan en wie erbij kan

De GDPR eist niet dat persoonsgegevens in de EU opgeslagen worden. Ze eist een wettelijke grond voor elke doorgifte buiten de EU en beveiliging die bij het risico past, waar de gegevens ook staan. De eis om gegevens in Europa te houden, komt van elders: van sectorregels, overheidsopdrachten, contracten met grote klanten en de vrees dat een Amerikaanse aanbieder onder Amerikaans recht gegevens moet afgeven. Voor veel Europese kopers is hosting in de EU een voorwaarde van de deal geworden, eerder dan een wettelijke plicht. Ook Vlaamse kmo's krijgen die vraag steeds vaker in de beveiligingsvragenlijst van een grote klant.

Deze gids scheidt de drie vragen die door elkaar lopen: waar de gegevens opgeslagen staan, wie de systemen beheert, en welk recht erbij kan. Hij overloopt wat de GDPR en andere EU-wetten echt vragen, wat de Amerikaanse CLOUD Act verandert, hoe de AWS-regio's en de AWS European Sovereign Cloud zich verhouden tot Europese aanbieders, en hoe je beslist voor een website, een portaal of een SaaS-product.

Wat de GDPR vraagt, en wat niet

Hoofdstuk V van de GDPR regelt de doorgifte van persoonsgegevens naar landen buiten de Europese Economische Ruimte. Een doorgifte mag als een van deze geldt:

• het land heeft een adequaatheidsbesluit van de Europese Commissie, zoals het Verenigd Koninkrijk, Zwitserland, Japan en, voor gecertificeerde bedrijven, de Verenigde Staten onder het Data Privacy Framework;
• er zijn passende waarborgen, meestal de standaardcontractbepalingen van 2021, met een doorgiftebeoordeling;
• een smalle uitzondering in artikel 49 geldt, zoals uitdrukkelijke toestemming voor een eenmalige doorgifte.

Nergens in de GDPR staat dat gegevens in de EU moeten blijven. Artikel 32 vraagt beveiliging die bij het risico past, artikel 28 een verwerkersovereenkomst met elke verwerker, en artikel 48 zegt dat een bevel van een rechtbank of overheid van buiten de EU in de EU alleen erkend wordt als het op een internationaal akkoord steunt, zoals een verdrag over wederzijdse rechtshulp. Dat laatste artikel is het scharnier van het debat. Wat een Amerikaans bedrijf in orde moet hebben om Europese gegevens te ontvangen, staat in GDPR voor een Amerikaans bedrijf, en de Britse kant in UK GDPR vs EU GDPR.

Sommige Europese en nationale regels gaan voor bepaalde sectoren wel verder: gezondheidsgegevens in verschillende lidstaten, cloudregels voor de overheid zoals de Franse kwalificatie SecNumCloud voor gevoelige overheidsgegevens, en de richtlijnen van banktoezichthouders over uitbesteding. Een gewone bedrijfswebsite of SaaS valt er zelden onder, maar zijn klanten misschien wel, en hun eisen komen dan in jouw contract terecht.

De CLOUD Act en waarom kopers ernaar vragen

De Amerikaanse Clarifying Lawful Overseas Use of Data Act van 2018 laat Amerikaanse overheden toe om met een bevel een Amerikaanse aanbieder te verplichten gegevens af te geven die hij in bezit, bewaring of controle heeft, ook als die gegevens buiten de Verenigde Staten staan. Een server in Frankfurt die een Amerikaans bedrijf beheert, is dus in principe niet buiten bereik van een Amerikaans bevel. De aanbieder kan een bevel aanvechten dat hem het recht zou doen schenden van het land waar de gegevens staan, en de grote aanbieders publiceren hoe vaak ze zulke verzoeken krijgen.

Dat is de spanning waar Europese kopers op wijzen: artikel 48 van de GDPR zegt dat zo'n bevel zonder verdrag in de EU niet erkend wordt, terwijl de CLOUD Act zegt dat de Amerikaanse aanbieder moet gehoorzamen. Versleuteling met sleutels waar de aanbieder niet bij kan, beperkt wat er afgegeven kan worden; ze verandert niet aan wie de aanbieder verantwoording aflegt.

Regio's en aanbieders in Europa

De grote Amerikaanse clouds draaien regio's verspreid over Europa, en AWS opende in januari 2026 een aparte soevereine cloud. Niet elke Europese regio ligt in de EU: Londen en Zürich liggen erbuiten, al hebben beide landen een adequaatheidsbesluit.

De AWS European Sovereign Cloud startte met meer dan 90 diensten, een deel van de standaardcatalogus, en Amazon zegt er in Duitsland meer dan 7,8 miljard euro in te investeren. Of ze soeverein genoeg is, beslist elke koper zelf; ze gaat een stap verder dan een regio, en blijft eigendom van een Amerikaans bedrijf.

Overstappen tussen aanbieders wordt makkelijker. De Europese Data Act geldt sinds 12 september 2025, en vanaf 12 januari 2027 mogen cloudaanbieders niets meer aanrekenen voor een overstap naar een andere aanbieder; zie de Data Act en overstappen van cloud.

Kiezen voor je website, portaal of SaaS

Het juiste antwoord hangt af van welke gegevens het zijn en wie erom vraagt:

• Kies een EU-regio van een grote cloud alsje gegevens gewone klant- en accountgegevens zijn, je kopers opslag in de EU vragen, en je het volledige aanbod van diensten wilt. Dat dekt de meeste bedrijfswebsites, klantenportalen en B2B-SaaS.
• Kies de AWS European Sovereign Cloud of een vergelijkbaar aanbod alsje kopers beheer in de EU en personeel dat in de EU woont vragen, en je op dezelfde technologie wilt blijven.
• Kies een Europese aanbieder alseen aanbesteding of een klant Amerikaanse aanbieders uitsluit, of je gegevens beheert waarbij elke buitenlandse toegang voor je klanten onaanvaardbaar zou zijn.
• Houd alleen een Amerikaanse regio alsje gebruikers en klanten vooral in de VS zitten, je een geldige route voor de doorgifte van Europese gegevens hebt, en geen Europese klant iets anders vraagt.

Back-ups, mail, logs: de rest van de stack

Wat je ook kiest, de rest van de stack moet volgen: back-ups, logs, mail, statistieken, foutopvolging en supporttools bevatten ook persoonsgegevens. Een belofte over residentie in het contract breekt even makkelijk door een Amerikaanse dienst voor foutopvolging als door de hoofddatabase.

Schrijf dit alles in een korte gegevenskaart: per soort gegeven het systeem, de regio, de aanbieder en zijn rol. Dat is het eerste wat de beveiligingsvragenlijst van een ernstige koper vraagt, en de basis voor je verwerkersovereenkomsten; zie verwerkersovereenkomst.