Data-residentie in de EU: eisen voor hosting van bestanden
Begrijp de EU-vereisten voor data-residentie bij bestandshosting, inclusief waar gegevens moeten worden opgeslagen en hoe je voldoet aan lokale regelgeving.
EU-data-residentie betekent dat persoonsgegevens fysiek op servers binnen de Europese Economische Ruimte blijven, met back-ups, caches en ondersteunende tooling ook beperkt tot EER-grenzen. De AVG eist geen residentie op zich — ze eist dat elke overdracht buiten de EER voldoet aan Hoofdstuk V-voorwaarden (adequaatheidsbesluit, SCCs, BCRs). Maar sectorale regels bovenop — Schrems II-jurisprudentie, Frans SecNumCloud, Duits C5 en aanbestedingsregels voor de publieke sector — dwingen residentie effectief af voor gezondheids-, financiële en overheidsbestanden. Als je klantbestanden host, is de vraag niet of residentie belangrijk is; het gaat om welk datacentrum de bytes bewaart.
Wat "residentie" werkelijk betekent op byteniveau
Residentie is niet alleen de objectopslagregio. Het omvat waar CDN-edge-caches het bestand bewaren, waar databasereplica's schrijfbewerkingen afspelen, waar back-ups slapen en waar de laptop van een supportmedewerker verbinding maakt wanneer ze een sample voor debugging ophalen. AWS Frankfurt (eu-central-1) bewaart objecten in Duitsland, maar CloudFront-edge-locaties in Ashburn, Virginia zullen ze cachen tenzij je de distributie beperkt tot EU-edge-knooppunten. De geo-redundante opslag van Azure repliceert over gekoppelde regio's, wat voor West Europe Amsterdam plus Dublin betekent — prima. Verkeerd configureer de koppeling en je belandt in het VK of de VS.
Het Schrems II-multiplicatoreffect
De CJEU-uitspraak van juli 2020 in Gegevensbeschermingscommissaris v. Facebook Ireland en Schrems maakte het Privacy Shield ongeldig en dwong elke EU-naar-VS-overdracht door een Overdrachtsimpactbeoordeling te gaan. De praktische consequentie: zakelijke kopers begonnen leveranciers te vragen "waar zitten mijn gegevens?" in plaats van "is de leverancier AVG-conform?" Omdat Amerikaans recht (FISA 702, CLOUD Act) Amerikaanse aanbieders bereikt zelfs voor data die elders is opgeslagen, beschermt residentie alleen EU-klanten niet tegen dagvaardingen — tenzij de aanbieder EU-eigendom is en geen Amerikaanse dochter heeft. Dat is waarom Gaia-X, OVH, Scaleway, Hetzner en Infomaniak aanbestedingen winnen die Microsoft Azure en Google Cloud verliezen ondanks identieke regionale voetafdrukken.
Frans SecNumCloud en Duits C5
ANSSI in Frankrijk publiceert SecNumCloud, een kwalificatie voor cloudaanbieders die gevoelige data verwerken. Versie 3.2 (maart 2022) bevat een immuniteitsclausule die vereist dat aanbieders vrij zijn van niet-EU-wetgeving (lees: CLOUD Act). OVH's Bleu en Outscale hebben SecNumCloud-kwalificatie; AWS niet. Duitslands BSI publiceert de C5-criteriacatalogus, die minder streng is over eigendom maar gedetailleerder over technische controles — 125 criteria over 17 categorieën. Kopers in de gezondheidszorg en defensie in beide landen verlangen routinematig contractueel minimaal C5 Type 2-attestatie. Een bestandsoverdrachtaanbieder die zich op die sectoren richt zonder minimaal C5 Type 2-attestatie is onverkoopbaar.
Opslagklassen en hun residentie-voetafdruk
Hot storage — S3 Standard, Azure Hot Blob, GCS Standard — respecteert doorgaans de geconfigureerde regio. Cold storage kan je verrassen. AWS Glacier Deep Archive belooft de regio die je kiest, maar het ophaalproces stageert gegevens tijdelijk in regionale edge-locaties; voor gevoelige bestanden: controleer of de ophaalregio overeenkomt. Backblaze B2 biedt EU Central (Amsterdam); Cloudflare R2 biedt EU-jurisdictieregio's met metadata-vastlegging die zowel bytes als metadata in de EU houdt. OVH Object Storage in Gravelines of Straatsburg geeft je Franse grondgaranties met contractuele tanden.
Metadata versus bestandsinhoud
Mensen zijn geobsedeerd door bestandsinhoud en negeren metadata, die net zoveel lekt. Bestandsnaam, e-mailadres van afzender, e-mailadres van ontvanger, IP-adres, tijdstempel en bestandsgrootte samen onthullen genoeg om zakelijke relaties te reconstrueren. Een overdrachtsservice die inhoud client-side versleutelt maar bestandsnamen en e-mailadressen naar een Amerikaans analyseplatform stuurt, heeft residentie mislukt. Controleer het privacybeleid voor elke externe subverwerker — foutregistratie (Sentry, Datadog), analyse (Mixpanel, Amplitude), e-maillevering (SendGrid, Postmark). Als deze via Amerikaanse infrastructuur routeren, verlaat metadata de EER ook al doet de payload dat niet.
Sectorspecifieke residentievereisten
Gezondheidsdata onder nationale implementaties van de AVG plus lokale regels: Frans HDS-certificering (Hébergeur de Données de Santé) verplicht Franse of EU-hosting voor patiëntendossiers. Duits §203 StGB en §75b SGB V vereisen equivalente bescherming. Financiële diensten onder DORA (Verordening 2022/2554, van kracht januari 2025) leggen ICT-risicobeheer op met expliciete derdenconcentratievereisten en subcontractantenkartering. Overheidsaanbestedingen onder nationale kaders — France's Doctrine Cloud au Centre, Italië's ACN Cloud — vereisen ENISA-gekwalificeerde EUCS High-level aanbieders voor gevoelige classificaties.
Subverwerkersketens en transparantie
Je aanbieder kan in Frankfurt zitten maar een CDN-leverancier gebruiken die via Cloudflare (globale anycast) routeert, een supportplatform op Zendesk (VS) en een zoekindex op Algolia (Frankrijk/VS). Elke schakel in die keten is een potentiële residentiebreuk. Artikel 28(4) maakt de verwerkingsverantwoordelijke verantwoordelijk voor naleving door subverwerkers. Eis een volledige lijst met updatenotificaties — 30 dagen vooraankondiging is de marktnorm voor materiële wijzigingen. Gerenommeerde EU-gerichte aanbieders publiceren dit op hun trustpagina's: Tresorit, Proton, Infomaniak en HexaTransfer onderhouden allemaal openbare subverwerkersregisters.
Residentieclaims verifiëren
Marketingpagina's zeggen "EU-gehost." Contracten zeggen minder. Trustpagina's zeggen het meest. Vraag drie artefacten voordat je tekent: (1) de verwerkersovereenkomst die de specifieke datacenterstad noemt, niet alleen het land of de regio; (2) het ISO 27001- of SOC 2 Type 2-scopestatement met de betreffende locaties; (3) een subverwerkersregister met jurisdicties en doel. Voer je eigen DNS-opzoekingen uit op de upload- en downloadendpoints — als het A-record resolveert naar Cloudflare- of Fastly-anycast, vraag dan welke edge-locatie jouw gebruikers raken. Test uploads vanuit een browser met een Europees IP en controleer de antwoordheaders; de meeste CDN's tonen de POP in x-amz-cf-pop of cf-ray.
Kosten- en prestatieafwegingen
Uitsluitend EU-hosting kost 10-20% meer dan multi-regio-equivalenten omdat de schaal kleiner is en de elektriciteitsprijzen hoger. Latency verbetert voor EU-gebruikers (Parijs naar Frankfurt is ~20 ms) en verslechtert voor VS-gebruikers (Parijs naar New York is ~75 ms). Als je gebruikersbestand voor 80% Europees is, is de afweging voor de hand liggend. Als je wereldwijde contractors bedient, versloeg een hybride opzet — EU-residentie voor EU-klanten met duidelijke routeringsregels — iedereen op één regio dwingen. Aanbieders zoals HexaTransfer houden alle bestanden in EU-infrastructuur terwijl client-side versleuteling betekent dat grensoverschrijdende ontvangers nooit plaintext aan buitenlandse servers blootstellen.
Kies residentie zoals je een verzekering kiest: precies afgestemd op het risico. Probeer het op hexatransfer.com — gratis, zonder account, tot 10 GB.
Verstuur grote bestanden veilig met end-to-end-versleuteling
Draag bestanden tot 10 GB gratis over met end-to-end-versleuteling. Geen account nodig. Uw bestanden worden in uw browser versleuteld voordat ze worden geüpload — niemand anders kan ze lezen.
Een bestand verzenden