Vijf vragen die bepalen hoe Europees een dienst is

Module 2: Wat is een Europese cloud echt? · Leestijd: 11 minuten

Leerdoel: Na deze les kun je met vijf vragen vaststellen onder welk recht een clouddienst valt, en uitleggen waarom een datacenter in Europa daarvoor niet genoeg is.

Kernbegrippen: vestiging (statutaire zetel), uiteindelijk eigenaar, datacenterlocatie, subverwerker, toegang op afstand, sleutelbeheer, EU, EER, adequaatheidsbesluit, "sovereign cloud"

"Onze data staat in Europa." En dan?

Bijna elke grote clouddienst zegt het tegenwoordig: je gegevens staan in een datacenter in Frankfurt, Amsterdam of Dublin. Dat klinkt geruststellend, maar het beantwoordt maar één van de vragen die ertoe doen. In module 1 zag je dat de Amerikaanse CLOUD Act niet kijkt naar de plek van de server, maar naar het bedrijf dat de gegevens in zijn bezit, bewaring of macht heeft ("possession, custody, or control"). Een server in Frankfurt van een bedrijf dat uiteindelijk Amerikaans is, kan dus toch onder een Amerikaans bevel vallen.

Daarom kijk je niet naar één kenmerk, maar naar vijf. Bakkerij De Korrel uit ons voorbeeld (12 medewerkers, domein example.com) gebruikt nu een Amerikaans kantoorpakket en wil weten welke alternatieven echt Europees zijn. Met deze vijf vragen haalt ze de marketing van de feiten af.

Vraag 1: waar is het bedrijf gevestigd?

De vestiging is het land waar het bedrijf dat jouw contract tekent, juridisch is ingeschreven: de statutaire zetel. Dat land bepaalt welk recht er in de eerste plaats op het bedrijf van toepassing is, welke rechter bevoegd is en welke toezichthouder meekijkt.

Kijk daarvoor niet naar de website, maar naar de contractpartij: de naam onderaan de algemene voorwaarden, de verwerkersovereenkomst en de factuur. Staat daar "Example Cloud Ireland Ltd." dan is je contractpartij Iers, ook als het merk Amerikaans is. Dat is een goed begin, maar nog geen antwoord. Daarvoor heb je vraag 2 nodig.

Vraag 2: wie is de uiteindelijke eigenaar?

De uiteindelijke eigenaar is het bedrijf of de persoon die bovenaan de keten van aandeelhouders staat. Een Europese dochteronderneming van een Amerikaans moederbedrijf is juridisch een Europees bedrijf, maar het moederbedrijf heeft zeggenschap. Volgens de CLOUD Act kan een Amerikaanse rechter het moederbedrijf verplichten gegevens te leveren die bij een dochter liggen, als het moederbedrijf daar feitelijk "control" over heeft. Of dat in een concreet geval zo is, hangt af van hoe het bedrijf is ingericht. Juristen zijn het er niet over eens. Dat is precies waarom het een risico is en geen zekerheid.

Ook omgekeerd kan het: een bedrijf dat nu Europees is, kan morgen worden overgenomen. In Nederland liep dat in 2025 en 2026 rond Solvinity, het bedrijf achter de infrastructuur van DigiD. Het Amerikaanse Kyndryl wilde het overnemen; het kabinet verbood de overname in mei 2026 na advies van het Bureau Toetsing Investeringen. Vraag bij een aanbieder dus ook: wat gebeurt er met mijn contract bij een overname? Mag ik dan kosteloos opzeggen?

Waar vind je de eigenaar? In het handelsregister (in Nederland de KVK, in Duitsland het Handelsregister), in het jaarverslag, of op de pagina "Over ons" of "Impressum". Bij beursgenoteerde bedrijven staat het in de jaarstukken.

Vraag 3: waar staan de gegevens, en de reservekopieën?

De datacenterlocatie blijft belangrijk. Staan je gegevens in de EU, dan is er geen doorgifte buiten de EER in de zin van de AVG, zolang niemand van buiten erbij kan. Vraag naar alle plekken: het primaire datacenter, het uitwijkdatacenter en de back-ups. Een aanbieder met servers in Nederland en back-ups in de Verenigde Staten heeft wel degelijk een doorgifte.

Let hier op drie begrippen die vaak door elkaar lopen:

Zwitserland en het VK zijn dus geen EU, maar een dienst daar mag je onder de AVG wel gebruiken zonder extra contractbepalingen. Het besluit voor Zwitserland stamt uit 2000 en is in januari 2024 bij een herbeoordeling bevestigd. Het besluit voor het VK is op 19 december 2025 verlengd tot 27 december 2031. Een adequaatheidsbesluit kan wel worden herzien of door het Hof van Justitie worden vernietigd: dat gebeurde twee keer met de afspraken met de VS (module 1, les 1.4). Voor de Verenigde Staten geldt nu het Data Privacy Framework, maar alleen voor Amerikaanse bedrijven die zich daarbij hebben aangesloten, en met de onzekerheid die je in les 1.4 zag.

Vraag 4: wie kan er nog meer bij? Subverwerkers en toegang op afstand

Een subverwerker is een ander bedrijf dat de aanbieder inschakelt en dat daarbij jouw gegevens verwerkt of kan zien: het datacenter, een back-updienst, een bedrijf voor e-mailbezorging, een supportafdeling in een ander land, een AI-dienst die mails samenvat. De AVG eist dat de aanbieder je vooraf vertelt welke subverwerkers hij gebruikt en je laat bezwaar maken tegen nieuwe (artikel 28 AVG, les 9.2).

Let vooral op toegang op afstand. Gegevens die in Amsterdam staan, maar die een supportmedewerker in een land buiten de EER kan inzien om een storing op te lossen, worden volgens de Europese toezichthouders ook doorgegeven. Een datacenter in Europa met een helpdesk die wereldwijd 24 uur per dag meekijkt, is dus minder Europees dan het lijkt.

Waar vind je de lijst? Meestal als bijlage bij de verwerkersovereenkomst of op een aparte pagina "subverwerkers" of "sub-processors". Ontbreekt die lijst, of is hij vaag ("wij werken met zorgvuldig geselecteerde partners"), dan is dat een rode vlag.

Vraag 5: wie heeft de sleutel?

Versleuteling helpt alleen tegen anderen als zij de sleutel niet hebben. Bij de meeste clouddiensten zijn je gegevens versleuteld onderweg (https) en in rust (op de schijf), maar heeft de aanbieder de sleutel. Moet de aanbieder gegevens afgeven, dan kan hij ze ontsleutelen. Bij end-to-end-versleuteling of versleuteling met een sleutel die alleen jij beheert, kan de aanbieder dat niet. Dat beschermt beter, maar heeft een prijs: zoeken, samen bewerken in de browser en herstel van een vergeten wachtwoord werken dan vaak niet of beperkt. Vraag dus: welke onderdelen zijn end-to-end versleuteld, en wat kan ik dan niet meer?

"Sovereign cloud" van Amerikaanse bedrijven

De grote Amerikaanse aanbieders spelen in op de vraag naar soevereiniteit. Een paar voorbeelden, zodat je de termen herkent:

• Microsoft EU Data Boundary: Microsoft meldde in februari 2025 dat klantgegevens van Microsoft 365, Dynamics 365, Power Platform en de meeste Azure-diensten binnen de EU en de EVA-landen worden opgeslagen en verwerkt, inclusief supportgegevens. Microsoft schrijft zelf dat er in beperkte gevallen nog gegevens buiten de EU worden verwerkt, bijvoorbeeld voor beveiliging. Microsoft blijft een Amerikaans bedrijf. In juni 2025 verklaarde de juridisch directeur van Microsoft Frankrijk onder ede in de Franse Senaat dat hij niet kan garanderen dat gegevens nooit zonder toestemming aan Amerikaanse autoriteiten worden gegeven.
• AWS European Sovereign Cloud: sinds 15 januari 2026 algemeen beschikbaar, met een eerste regio in Brandenburg (Duitsland). Het wordt beheerd door een Duitse vennootschap met personeel in de EU en is technisch gescheiden van de rest van AWS. Het uiteindelijke moederbedrijf is Amazon. Analisten wijzen erop dat het CLOUD Act-risico daardoor kleiner kan zijn, maar niet aantoonbaar weg is.
• Samenwerkingsmodellen: in Frankrijk en Duitsland zijn er Europese bedrijven die Amerikaanse cloudtechniek onder licentie draaien, zodat het Europese bedrijf de controle heeft. Of dat werkt, hangt af van de afspraken over updates, beheer en toegang.

Zulke diensten kunnen voor sommige organisaties een redelijke tussenstap zijn. Maar stel ze dezelfde vijf vragen. Het antwoord op vraag 2 (eigenaar) blijft bij deze diensten anders dan bij een bedrijf dat helemaal Europees is.

In de praktijk: zo ziet het eruit bij een aanbieder

Neem een WebOké Nextcloud als voorbeeld. Vestiging en eigenaar: een Nederlandse bv. Datacenter: volgens de handleiding twee Nederlandse datacenters van NorthC. Software: Nextcloud, gemaakt door het Duitse Nextcloud GmbH, open source. De sleutel van de opslagversleuteling ligt bij de aanbieder; end-to-end-versleuteling kun je per map zelf aanzetten. Bij andere Europese aanbieders, zoals andere Nextcloud-aanbieders, mailbox.org, Infomaniak of IONOS, zoek je dezelfde vijf antwoorden op dezelfde plekken: contract, handelsregister, verwerkersovereenkomst en subverwerkerslijst.

Samenvatting

• Een datacenter in Europa beantwoordt maar één van de vijf vragen.
• De vijf vragen: vestiging, uiteindelijke eigenaar, locatie van gegevens en back-ups, subverwerkers en toegang op afstand, en wie de sleutel heeft.
• Een Europese dochter van een Amerikaans bedrijf valt mogelijk toch onder de CLOUD Act.
• Zwitserland en het VK zijn geen EU, maar hebben een adequaatheidsbesluit; de EER is de EU plus Noorwegen, IJsland en Liechtenstein.
• "Sovereign cloud"-diensten van Amerikaanse bedrijven verkleinen risico's, maar veranderen het antwoord op de eigenaarsvraag niet.

Quiz

Opdracht

Opdracht A2.1: Wie ontvangt en verstuurt mail voor jouw domein? Vul je eigen domein in. Het programma zoekt de MX-records en vouwt je SPF-record helemaal uit. Jij vult in welke organisaties je mail ontvangen en welke namens jou mogen mailen. Zo zie je in een paar minuten welke partijen al bij je mail betrokken zijn.

Opdracht E2.1: De vijf vragen voor je eigen diensten. Kies twee diensten die je nu gebruikt (bijvoorbeeld je mail en je bestandsopslag) en één mogelijke Europese vervanger. Zoek voor alle drie de antwoorden op de vijf vragen op, met de bron erbij.

Verder lezen

De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Nextcloud handleiding 1.1: Wat is Nextcloud en wat is een WebOké Nextcloud?
• Nextcloud handleiding 3.1: Hoe beveiligt WebOké je Nextcloud?
• Nextcloud handleiding 15.13: Veelgestelde vragen over beveiliging en privacy
• Europese Commissie, overzicht adequaatheidsbesluiten: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (gegevens "regardless of whether" ze in of buiten de VS staan)