"Ja, wij hosten in de EU" is als antwoord op de vraag "staat mijn data in Europa" te kort. Het is waar en het is niet het hele verhaal.

Deze post beantwoordt hem voor onszelf, met namen erbij. Wij zijn geen juristen en dit is geen juridisch advies. Het is hoe wij het hebben ingericht en waarom.

01 / de vraag achter de vraagWaarom wil je dit eigenlijk weten?

De aardrijkskunde zelf is het punt niet. Achter de vraag zit één van deze drie redenen:

• Je klanten vragen ernaar. Zorg, onderwijs, financiële dienstverlening: daar staat het in de inkoopvoorwaarden en moet je het gewoon kunnen beantwoorden.
• Je hebt een verwerkersovereenkomst nodig en daarin moet staan welke partijen jouw klantgegevens verwerken. Dan heb je een lijst nodig, geen geruststelling.
• Je wilt weten wie er bij je gegevens kan. Dat is de echte vraag, en het antwoord daarop is niet "Duitsland".

Die derde is de belangrijkste. Waar de schijf staat is een technisch feit. Wie er bij mag, is een juridisch feit. Ze lopen niet vanzelf gelijk op.

Waar die gegevens ontstaan, zie je als je je klantreis langsloopt. Per moment ontstaat er iets, en het landt ergens:

1. Eerste contact. Naam, bedrijf, wat iemand zoekt. Ontstaat op je website of in je mailbox.
2. Gesprek. Wat iemand eigenlijk wil en wat hij eerder probeerde. Dit is de waardevolste data van de hele reis, en hij landt meestal nergens.
3. Voorstel. Wat je aanbiedt en tegen welke voorwaarden. Landt in een documenttool, soms met een ondertekendienst erbij.
4. Levering. Dossiers, verslagen, uren, correspondentie. Verspreid over projectomgeving, mailbox en schijf.
5. Nazorg. Facturen, evaluaties, alles wat je bewaart om later te kunnen teruglezen. Landt in de boekhouding en de rest nergens.

Bij elke stap is er ook een schaduwkopie: een export in iemands downloadmap, een gedeelde map met oude offertes, een mailbox die twaalf jaar teruggaat. Die kopieën vallen onder dezelfde regels als het origineel, en bij een datalek zijn ze meestal de bron.

02 / waar het staatWelke server, welk land?

Onze servers staan in Duitsland en Finland, bij één leverancier. De actuele stand van onze servers en kosten staat op datadriftdigital.nl/stack/.

De leverancier is Hetzner: een Duits bedrijf, met Duitse en Finse datacenters. Dat is de reden dat wij "in Europa" kunnen zeggen zonder een sterretje erachter: niet alleen de servers staan er, het bedrijf zelf valt eronder.

Dat onderscheid is het hele punt van deze post, en het komt terug in blok 4.

03 / wat wel de grens over gaatWaar is het níét waar?

Bij zeven leveranciers, en één ervan is Amerikaans. Hier zijn ze.

Wij hebben op onze eigen site ooit "één subverwerker" willen schrijven. Dat was niet waar en het is eruit gehaald voordat het live ging. Het zijn er acht, en een lijst met namen is bruikbaarder dan een getal dat een jurist met één vraag onderuit haalt.

Een leverancier die je vertelt dat hij één subverwerker heeft, heeft ze niet geteld.

Wat je hieruit kunt meenemen: vraag om de lijst, niet om de geruststelling. Iedereen die klantgegevens verwerkt hoort die lijst te hebben liggen.

04 / het verschil met "EU region"Wat koop je als een leverancier dat belooft?

Een locatie. Niet per se een rechtsgebied.

Grote aanbieders bieden je de keuze om je gegevens in een Europees datacenter te zetten. Dat is echt en het helpt: het scheelt in snelheid, en het is vaak precies wat er in een inkoopvoorwaarde gevraagd wordt.

Maar het beantwoordt de derde vraag uit blok 1 niet. Waar de schijf staat, zegt niets over welk recht geldt voor het bedrijf dat de schijf beheert. Een Amerikaans moederbedrijf blijft een Amerikaans bedrijf, ook als de server in Frankfurt staat.

Wij zijn geen juristen en gaan hier geen uitspraak doen over hoe dat in een concreet geval uitpakt. Wat we wel kunnen zeggen: het zijn twee verschillende vragen. Houd ze gescheiden, ook als een verkoper ze op één hoop gooit.

Voor de duidelijkheid: wij gebruiken zelf twee Amerikaanse diensten voor dingen die ertoe doen. We zeggen dus niet dat het niet mag. We zeggen dat je moet weten wat je hebt.

Open source lost een deel hiervan op, en een deel niet. Waar je software draait bepaalt de privacy, niet de licentie: open software op een Amerikaanse server is nog steeds data op een Amerikaanse server.

• Lost het op: vastzitten aan één leverancier, en niet kunnen nagaan wat er onder de motorkap gebeurt.
• Lost het niet op: waar de servers staan, wie er toegang heeft, en of je inrichting deugt.

05 / wat je kunt vragenZes vragen aan elke leverancier, ook aan ons

Deze zes scheiden een echt antwoord van een geruststelling.

1. Geef me de lijst met subverwerkers, met naam en land. Komt er een getal in plaats van een lijst, dan is hij niet geteld.
2. Onder welk recht valt het bedrijf zelf, los van waar de server staat? Dit is de vraag die "EU region" niet beantwoordt.
3. Op wiens naam staan de accounts waarin gebouwd wordt? Staat er "de onze", dan weet je genoeg: dan bezit je de gegevens niet, maar heb je er toegang toe.
4. Wat kan ik morgen exporteren, en in welk formaat? Een antwoord zonder formaat is geen antwoord.
5. Wie kan er bij mijn data, en hoe wordt dat vastgelegd? Vraag naar de logging, niet naar de belofte.
6. Hoe lang wordt wat bewaard? Onbeperkt bewaren is geen luxe maar in strijd met het uitgangspunt dat je gegevens niet langer houdt dan nodig.

Bij ons is het antwoord op de derde: de accounts staan op jouw naam. Wij bouwen erin, niet ernaast. Er is geen omgeving van ons waar jouw klantgegevens naartoe verhuizen en waarvan wij de sleutel houden. Stop je met ons, dan stopt het onderhoud en niet je toegang.

Deze tekst is met AI-ondersteuning tot stand gekomen en door een mens gecontroleerd en vastgesteld voor publicatie.