Heb je een website, app of online dienst die met Europese gebruikers in aanraking komt? Dan ben je vrijwel zeker al eens tegen de AVG (in het Engels GDPR) aangelopen — via een compliancechecklist, een cookiebanner of een brief van een advocaat. Maar wat eist de AVG eigenlijk, en waarom speelt de fysieke locatie van je server een grotere rol dan je misschien denkt?
In dit artikel leggen we uit wat de AVG is, wat dat voor jouw data en je gebruikers betekent, en hoe de hostinglocatie meeweegt.
Wat de AVG is
De Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR) is een Europese verordening die in mei 2018 van kracht werd. De AVG regelt hoe organisaties persoonsgegevens van mensen in de EU en de EER (Europese Economische Ruimte) verzamelen, verwerken, opslaan en doorgeven.
"Persoonsgegevens" wordt in de AVG breed opgevat — het gaat om namen, e-mailadressen, IP-adressen, locatiegegevens, cookies en alles waarmee een specifieke persoon direct of indirect te identificeren is.
De AVG geldt voor elke organisatie die gegevens van EU-inwoners verwerkt, ongeacht waar die organisatie zelf gevestigd is. Een Amerikaans of Singaporees bedrijf dat e-mailadressen van Europese bezoekers verzamelt, valt net zo goed onder de AVG als een Duits bedrijf.
Kernprincipes die je moet kennen
De AVG is opgebouwd rond een aantal verwerkingsprincipes. Concreet betekenen ze dat:
- Je een rechtmatige grondslag hebt om gegevens te verzamelen (toestemming, overeenkomst, gerechtvaardigd belang, enzovoort)
- Je alleen verzamelt wat je nodig hebt — geen gegevens "voor het geval dat"
- Gegevens kloppen en actueel blijven
- Gegevens worden gewist of geanonimiseerd zodra ze niet meer nodig zijn
- Gegevens worden beveiligd met passende maatregelen
- Je kunt aantonen dat je voldoet — de bewijslast ligt bij jou
Daarnaast geeft de AVG mensen een aantal rechten: inzage in hun gegevens, correctie, verwijdering (het "recht om vergeten te worden"), beperking van het gebruik en in sommige gevallen het recht op overdracht naar een andere aanbieder.
Hoe de AVG van toepassing is op de gegevens van je gebruikers
Heb je een contactformulier, een nieuwsbrief, een analytics-tool of accounts voor gebruikers? Dan verwerk je persoonsgegevens. Dat betekent dat je het volgende moet regelen:
Een privacybeleid waarin staat welke gegevens je verzamelt, waarom, hoe lang je ze bewaart en met wie je ze deelt.
Geldige toestemming waar nodig — voorgekruiste vakjes tellen niet, en gebundelde toestemming (in één klik akkoord met de voorwaarden én marketing) is ook niet geldig.
Verwerkers gebruiken die zelf ook AVG-conform zijn. Dit geldt voor je hostingprovider, je e-mailplatform, je analytics-tool en elke andere derde partij die gebruikersgegevens verwerkt. Zijn zij niet compliant, dan is dat ook jouw probleem.
Datalekken melden bij de bevoegde toezichthouder binnen 72 uur, als er een risico voor betrokkenen is.
Waarom de hostinglocatie ertoe doet
Hier wordt het echt technisch — en dit punt wordt vaak over het hoofd gezien.
De AVG beperkt waarheen persoonsgegevens mogen worden doorgegeven. Het overdragen van gegevens buiten de EU/EER, naar een land zonder "passend" beschermingsniveau, vereist aanvullende juridische waarborgen, zoals modelcontractbepalingen (SCC's) of bindende bedrijfsvoorschriften.
De Verenigde Staten staan op dit moment bijvoorbeeld niet op de adequaatheidslijst van de EU. Daarom is de juridische geldigheid van datadoorgiften naar de VS herhaaldelijk onderwerp geweest van rechtszaken (Safe Harbor en Privacy Shield werden allebei ongeldig verklaard). Het EU-VS Data Privacy Framework uit 2023 is op dit moment het geldende mechanisme, maar staat nog steeds onder juridische druk.
Hosting binnen de EU omzeilt veel van die complexiteit. Staan je servers fysiek binnen de EU en valt de exploiterende partij onder EU-recht? Dan worden de regels voor grensoverschrijdende doorgifte simpelweg niet geactiveerd. De gegevens blijven daar waar de AVG ze beschermt.
Wat "AVG-conforme hosting" eigenlijk inhoudt
Er bestaat geen officieel keurmerk voor "AVG-conforme hosting" — iedere aanbieder kan dat claimen. Waar je in de praktijk op moet letten:
Infrastructuur in de EU. Servers die fysiek in de EU staan, niet alleen een Europees verkoopkantoor waarvan het dataverkeer via Amerikaanse datacenters loopt.
Verwerkersovereenkomsten (DPA's). De AVG vereist een schriftelijke overeenkomst tussen jou (verwerkingsverantwoordelijke) en elke partij die in jouw opdracht gegevens verwerkt (de verwerker). Serieuze hostingaanbieders hebben deze beschikbaar.
Minimale gegevensverzameling door de provider. De hostingprovider zelf hoort de gegevens van jouw gebruikers niet voor eigen doeleinden te verzamelen of te delen.
Transparantie over subverwerkers. Gebruikt de hostingprovider derde partijen die gegevens verwerken of opslaan (CDN, back-upopslag, enzovoort)? Dan moet dat duidelijk zijn.
Fysieke en netwerkbeveiliging. Tier III- of Tier IV-datacenters, versleutelde opslag en duidelijke toegangsregels dragen allemaal bij aan je AVG-positie.
Nederlandse hosting en de AVG
Nederland is om een aantal redenen een sterke keuze voor EU-conforme hosting. Net als alle EU-lidstaten valt Nederland volledig onder de AVG. De Autoriteit Persoonsgegevens is een gevestigde toezichthouder met heldere richtsnoeren. En in de praktijk vormt Nederland — en met name Amsterdam — het hart van de Europese internetinfrastructuur, met grote internet exchanges zoals AMS-IX die verbindingen met lage latency door heel Europa mogelijk maken.
Hosten in Nederland betekent dat je data zonder enige twijfel binnen de EU-jurisdictie valt, zonder aparte doorgiftemechanismen of aanvullende juridische constructies.
Waar jij zelf verantwoordelijk voor blijft
Ook met EU-hosting is AVG-naleving niet automatisch geregeld. De hostingprovider zorgt voor de infrastructuurbeveiliging en de verwerkersovereenkomsten; al het andere ligt nog steeds bij jou.
Daaronder valt de beveiliging van je applicatie, hoe je toestemming en cookiebanners afhandelt, je privacybeleid, hoe lang je gebruikersgegevens bewaart en welke scripts van derden je laadt (Google Analytics, Facebook Pixel en dergelijke hebben elk hun eigen consequenties voor de AVG).
Hosting in de EU is een noodzakelijke voorwaarde voor een nette AVG-positie — maar op zichzelf niet voldoende.
Bedankt voor het lezen!
Heb je hosting nodig die je data binnen de EU houdt? QDE biedt krachtige VPS in Nederland, gehost in een Tier III-datacenter in Amsterdam met directe AMS-IX-peering, NVMe-opslag en 10 Gbps-uplinks. We verzamelen minimale data, bieden verwerkersovereenkomsten en delen je gegevens niet met derden.
Klaar om aan de slag te gaan of heb je vragen over onze infrastructuur? Neem contact op met ons team om het juiste pakket voor je project te vinden.
Veelgestelde vragen over AVG en hosting
Geldt de AVG ook voor mij als ik niet in de EU ben gevestigd?
Ja, als je persoonsgegevens van inwoners van de EU of EER verzamelt of verwerkt, geldt de AVG voor jou — ongeacht waar je bedrijf is gevestigd. Dat geldt voor websitebezoekers, nieuwsbriefabonnees en klanten.
Ben ik AVG-conform als ik alleen in de EU host?
Niet automatisch. EU-hosting haalt complicaties rond grensoverschrijdende gegevensoverdracht weg, maar je blijft verantwoordelijk voor je privacybeleid, je toestemmingsmechanismen, je bewaartermijnen en de naleving door de externe tools die je gebruikt.
Wat is een verwerkersovereenkomst (DPA) en heb ik er een nodig?
Een verwerkersovereenkomst is een contract tussen jou (als verwerkingsverantwoordelijke) en een derde partij die in jouw opdracht persoonsgegevens verwerkt (een verwerker, zoals een hostingprovider). De AVG vereist dat zo'n overeenkomst aanwezig is. Serieuze hostingaanbieders bieden die als standaardonderdeel van hun dienst aan.
Wat gebeurt er als ik niet aan de AVG voldoe?
Boetes kunnen bij ernstige overtredingen oplopen tot € 20 miljoen of 4% van de wereldwijde jaaromzet — afhankelijk van wat hoger is. Lichtere overtredingen kennen boetes tot € 10 miljoen of 2% van de omzet. Daarnaast kunnen toezichthouders de verwerking laten stoppen, wat operationeel zeer ingrijpend kan zijn.
Is Nederland een goede keuze voor AVG-conforme hosting?
Ja. Nederland valt volledig onder de AVG, heeft een gevestigde toezichthouder, en de netwerkinfrastructuur in Amsterdam (waaronder AMS-IX) zorgt voor uitstekende connectiviteit door heel Europa zonder problemen rond datasoevereiniteit.
Biedt QDE verwerkersovereenkomsten?
Ja. QDE wordt geëxploiteerd door Hizakura B.V., een Nederlands bedrijf, en biedt verwerkersovereenkomsten aan klanten die deze nodig hebben voor AVG-doeleinden. Neem contact op voor de details.