EU-hosting en dataresidentie: wat het betekent en wanneer het uitmaakt
EU-hosting betekent dat je gegevens op servers binnen de Europese Economische Ruimte staan. Dat is relevant omdat doorgifte naar landen daarbuiten alleen mag als dat land voldoende bescherming biedt. Maar hosting is niet hetzelfde als verwerking: een leverancier kan in de EU hosten en tóch gegevens buiten de EER laten verwerken via een subverwerker of een AI-model. De vraag is dus niet alleen waar de servers staan, maar waar de gegevens langskomen.
Gepubliceerd op
De regel achter de term
De Autoriteit Persoonsgegevens formuleert het kort: persoonsgegevens doorgeven vanuit Nederland naar het buitenland mag alleen als dat land voldoende bescherming biedt. Binnen de Europese Economische Ruimte gelden andere regels dan daarbuiten; landen buiten de EER heten derde landen.
Voor de Verenigde Staten geldt iets bijzonders, en dat is het deel dat ondernemers verrast. Doorgifte naar de VS is niet verboden, maar hoe het werkt hangt ervan af of de ontvangende organisatie meedoet aan het Data Privacy Framework. Dat is dus geen eigenschap van "de VS" maar van de specifieke leverancier — iets wat je per partij moet nagaan.
Waar "EU-hosting" wél en niet over gaat
De term wordt vaak gebruikt alsof hij de hele vraag beantwoordt. Dat doet hij niet. Hosting gaat over waar de gegevens stilstaan; verwerking gaat over waar ze langskomen. Dat zijn twee verschillende dingen, en de tweede is bij AI meestal de interessantere.
| Vraag | Beantwoordt EU-hosting dit? | Wat je dan nog moet vragen |
|---|---|---|
| Waar staan mijn gegevens opgeslagen? | Ja | In welk land precies, en bij welke partij |
| Waar worden ze verwerkt? | Nee | Draait het AI-model ook binnen de EER? |
| Wie kan er nog meer bij? | Nee | Welke subverwerkers, en waar draaien die? |
| Worden ze gebruikt om te trainen? | Nee | Staat dat uit, en staat dat op papier? |
| Hoe lang blijven ze staan? | Nee | Welke retentietermijn, en wie bepaalt die |
Waarom dit bij AI scherper ligt dan bij gewone software
Bij een boekhoudpakket staan je gegevens in een database en blijven ze daar. Bij AI gaat elk bericht door een model heen, en dat model draait ergens. Staat het bij een aanbieder buiten de EER, dan is er doorgifte — ook als de opslag netjes in Amsterdam staat.
Dat maakt de vraag "waar draait het model" belangrijker dan de vraag "waar staat de database". En het is precies de vraag die in een verkoopgesprek zelden gesteld wordt, omdat "EU-hosting" al geruststellend genoeg klinkt.
Hoe je dit toetst bij een leverancier
Vier vragen, en ze zijn geen van alle technisch. Eén: waar staat de opslag, en in welk land? Twee: waar draait het model dat de berichten verwerkt? Drie: welke subverwerkers zijn er, en waar draaien die? Vier: als er iets buiten de EER gebeurt, op welke grondslag — een adequaatheidsbesluit, een modelcontract, of het Data Privacy Framework?
Een leverancier die op alle vier een concreet antwoord heeft, hoeft geen jurist te zijn. Wie op vraag twee uitwijkt naar vraag één, heeft de vraag beantwoord die hij makkelijker vindt.
Wie feitelijk bepaalt waarvoor en hoe de gegevens verwerkt worden, bepaalt overigens ook wie verwerkingsverantwoordelijke is — de toezichthouder kijkt daarbij naar de werkelijke situatie en niet naar wat het contract zegt. Die vraag hangt dus samen met deze.
Dit artikel is geen juridisch advies en vervangt geen toetsing van je eigen situatie. Wat het wel doet: het verschil scherp maken tussen waar gegevens staan en waar ze langskomen.