Beste Europese bestandsoverdrachtdiensten voor privacy

De beste Europese bestandsoverdrachtdiensten voor privacy in 2026 zijn HexaTransfer (Frankrijk, EU-gehost, E2EE AES-256-GCM, 10 GB gratis), SwissTransfer (Genève, 50 GB gratis, TLS + in rust AES-256), Tresorit Send (Zwitserland/Hongarije, E2EE XChaCha20-Poly1305), Proton Drive (Genève, OpenPGP E2EE) en Internxt Send (Valencia, libsodium op Storj). Europese hosting doet ertoe om drie redenen: AVG-afdwingbaarheid, EU-datasoevereiniteitsverplichtingen en afscherming van de Amerikaanse CLOUD Act. Niet alle "Europese" tools zijn gelijkwaardig; sommige gebruiken Amerikaanse infrastructuur achter een .eu-domein, wat het doel tenietdoet.

Waarom Europese hosting werkelijk belangrijk is

De AVG (Verordening 2016/679) geeft EU-inwoners afdwingbare rechten op toegang, verwijdering, portabiliteit en verwerkingsbeperking. Artikelen 44-50 beperken de doorgifte van persoonsgegevens buiten de EU/EEA tenzij het ontvangende land "adequate" bescherming biedt. De Amerikaanse CLOUD Act (2018) verplicht Amerikaanse bedrijven gegevens te overhandigen die zij wereldwijd bewaren, wat een conflict met de AVG schept. Een echt Europese dienst betekent EU- of Zwitserse bedrijfszetel, EU- of Zwitserse hosting en contracten met EU-jurisdictie voor geschillen. Een .eu-domein alleen betekent niets.

HexaTransfer: in Frankrijk gevestigd, EU-gehost

HexaTransfer draait in Frankrijk met EU-datacenters. AES-256-GCM-versleuteling vindt in je browser plaats via de Web Crypto API; de server ziet alleen versleutelde tekst. Geen account, geen e-mail, geen trackers. AVG is van nature van toepassing omdat het bedrijf een EU-verwerkingsverantwoordelijke is. Limiet van 10 GB, bewaartijd van 7 dagen, optionele PBKDF2-wachtwoordbeveiliging (600.000 iteraties). De eenvoudigste combinatie van "geen account plus E2EE plus EU" die beschikbaar is.

SwissTransfer: Genève-hosting met Zwitsers recht

Infomaniak beheert SwissTransfer vanuit Genèves datacenters. De herziene Zwitserse federale wet op gegevensbescherming (in werking getreden september 2023) sluit nu aan bij de AVG en voegt Zwitserlands niet-lidmaatschap van EU-inlichtingendelingsverbanden toe. Versleuteling is TLS 1.3 + AES-256 in rust, dus server-side en geen end-to-end. Voor niet-gevoelige grote bestanden is de cap van 50 GB met 30 dagen bewaartijd en geen account de sterkste in de categorie. Voor gevoelig materiaal: pre-versleutel met VeraCrypt of 7-Zip AES-256 vóór upload.

Tresorit: Zwitserse moeder, Hongaarse wortels

Tresorit werd in 2011 in Boedapest opgericht en in 2021 overgenomen door Swiss Post. Het draait vanuit Zwitserland en Duitsland met zijn zero-knowledge architectuur intact. XChaCha20-Poly1305 stroomversleuteling, HKDF-SHA-256 sleutelafleiding, periodieke externe audits (Cure53, NCC Group). De business-laag voegt SAML SSO (Okta, Microsoft Entra, Google Workspace), SCIM-provisioning en AVG-specifieke beheerdersopties toe, inclusief gegevenslocatiegaranties. De prijs waard voor gereguleerde sectoren die zowel E2EE als een compliance-papiertrail nodig hebben.

Proton Drive: Genève-gebaseerde PGP-stack

Proton AG is gevestigd in Genève met servers in Zwitserland, Duitsland en Noorwegen. Proton Drive gebruikt OpenPGP (Curve25519 ECC-sleutels + AES-256-CFB-sessiesleutels) end-to-end. Het bedrijf publiceert regelmatige transparantierapporten die nul overgedragen bestanden aan welke autoriteit dan ook tonen (omdat zero-knowledge betekent dat ze dat niet kunnen). Open-source clients, geauditeerd door SEC Consult. De bundel met Mail, Calendar en Pass maakt het een sterk EU-centrisch productiviteitsalternatief voor Google Workspace.

Internxt: Spaans, gedecentraliseerde opslag

Internxt is gevestigd in Valencia, Spanje, en valt onder de AVG. Hun Send-product versleutelt bestanden met libsodium secretbox (XSalsa20-Poly1305) aan de clientzijde, verdeelt ze vervolgens als erasure-gecodeerde chunks over Storj-gedecentraliseerde opslagknooppunten. Geen enkel knooppunt heeft een volledig bestand; elk knooppunt ziet alleen versleutelde tekst. Spaanse jurisdictie, AVG, en het gedecentraliseerde model voegt een tweede laag van juridische complexiteit toe voor elke partij die gedwongen openbaarmaking zoekt. 5 GB gratis cap voor Send.

Vergelijkingsmatrix

| Dienst | Hoofdkantoor | Hosting | Versleuteling | Regelgeving | |---|---|---|---|---| | HexaTransfer | Frankrijk | EU | E2EE AES-256-GCM | AVG | | SwissTransfer | Genève | Zwitserland | TLS + in rust | Swiss FADP + AVG adequaat | | Tresorit | Zwitserland (Boedapest opgericht) | CH + DE | E2EE XChaCha20-Poly1305 | Swiss FADP + AVG | | Proton Drive | Genève | CH + DE + NO | E2EE OpenPGP | Swiss FADP + AVG adequaat | | Internxt | Spanje | Storj (gedistribueerd) | E2EE libsodium | AVG |

Diensten die Europees lijken maar het niet zijn

WeTransfer werd opgericht in Nederland, wat ideaal klinkt, maar werd in 2024 overgenomen door het Italiaanse Bending Spoons. De infrastructuur draait op AWS (Amerikaans hoofdkantoor), waardoor gegevens blootgesteld worden aan de CLOUD Act. Dropbox Business EU gebruikt AWS Ierland en Frankfurt maar blijft een Amerikaans bedrijf. Box heeft EU-gegevenslocatie voor enterprise-plannen, wederom op AWS. Een Europese domeinnaam zonder Europese bedrijfsstructuur en EU-gecontroleerde hosting is geen datasoevereiniteit.

AVG-rechten in de praktijk

Artikel 15 geeft je het recht op toegang tot alle persoonsgegevens die een verwerkingsverantwoordelijke bewaart. Artikel 17 geeft je het recht op verwijdering ("recht om vergeten te worden"). Artikel 20 geeft je portabiliteit. Voor een bestandsoverdrachtdienst betekent dit dat je (via e-mail aan de DPO) een dump kunt opvragen van alles dat gekoppeld is aan je IP of e-mail, onmiddellijke verwijdering kunt verzoeken en binnen 30 dagen antwoord kunt verwachten. Echt EU-gebaseerde diensten honoreren dit routinematig. Amerikaanse bedrijven met EU-gegevenslocatie moeten dit technisch ook doen, maar handhaving is complexer.

Schrems II en zijn nasleep

De Schrems II-beslissing (HvJ EU, juli 2020) maakte het EU-VS Privacy Shield ongeldig, en het EU-VS Data Privacy Framework (2023) staat al onder juridische aanvechting. Voor EU-verwerkingsverantwoordelijken die persoonsgegevens overdragen aan Amerikaanse verwerkers blijft de juridische basis voortdurend onzeker. Een volledig EU-stack gebruiken omzeilt dit volledig. Als je workflow AVG Artikel 9 bijzondere categorieën persoonsgegevens omvat (gezondheid, biometrisch, politieke opvattingen), is het vermijden van Amerikaanse infrastructuur geen paranoia maar due diligence.

Prijzen voor Europa-first stacks

HexaTransfer is gratis. SwissTransfer is gratis met vrijwillige Infomaniak-ondersteuning. Tresorit Business begint rond €14 per gebruiker per maand voor 1 TB. Proton for Business kost €7,99 per gebruiker per maand voor Business (500 GB per gebruiker) en €12,99 voor Business Plus (onbeperkt). Internxt Essentials is €2,99 per gebruiker per maand voor 1 TB. Voor kleine teams die een Europese stack willen zonder Amerikaanse afhankelijkheden is Proton plus HexaTransfer voor externe eenmalige verzendingen moeilijk te verslaan.

Wanneer Zwitsers beter is dan EU

Zwitserland valt niet onder de AVG maar heeft EU-adequaatheid verkregen. Het Zwitserse juridische kader voegt niet-lidmaatschap van Five Eyes toe en een federale toezichthouder (FDPIC) met tanden. Voor klanten die zich zorgen maken over backdoors van lidstaten (de inlichtingenwetten van Frankrijk, de bevoegdheden van de BND in Duitsland) biedt Zwitserse hosting een extra buffer. Voor strikt EU-nationale aanbestedingen (publieke sectoropdrachten die alleen EU-data vereisen) past een EU-gehoste dienst zoals HexaTransfer beter.

Probeer het op hexatransfer.com — gratis, zonder account, tot 10 GB.