AVG-proof hosting binnen de EU regelen: wat je moet vastleggen
AVG-proof hosting binnen de EU regel je met drie dingen: opslag binnen de EER, een getekende verwerkersovereenkomst en een actuele lijst subverwerkers. Zo controleer je dat bij je hostingpartij.
Hoe regel je AVG-proof hosting binnen de EU?
AVG-proof hosting binnen de EU regel je met drie dingen: je data staat aantoonbaar binnen de Europese Economische Ruimte, je hebt een getekende verwerkersovereenkomst met je hostingpartij, en je kunt laten zien welke subverwerkers er in de keten zitten. Ontbreekt een van die drie, dan kun je bij een controle of een datalek niet aantonen dat je zorgvuldig hebt gehandeld, en dat is precies wat de AVG van je vraagt.
De locatie van je server is dus niet het hele verhaal, maar wel het eerste dat je vastlegt. Staat je data buiten de EER, dan is er sprake van doorgifte naar een derde land en heb je aanvullende waarborgen nodig.
De drie dingen die je moet kunnen laten zien
| Wat | Waarom het moet | Waar je het vandaan haalt |
|---|---|---|
| Datalocatie binnen de EER | Buiten de EER geldt doorgifte naar een derde land, met extra waarborgen | Schriftelijke bevestiging van je hoster, met land en datacenter |
| Verwerkersovereenkomst | Verplicht op grond van artikel 28 AVG zodra een ander partij persoonsgegevens voor jou verwerkt | Je hostingpartij levert die aan, jij tekent en bewaart hem |
| Lijst met subverwerkers | Je moet weten wie er nog meer bij de data kan, en gewijzigde subverwerkers moeten gemeld worden | Bijlage bij de verwerkersovereenkomst |
| Back-uplocatie en bewaartermijn | Een back-up bevat dezelfde persoonsgegevens als de productieomgeving | De productpagina of het contract, met aantal dagen retentie |
| Procedure bij een datalek | Melden aan de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking | De verwerkersovereenkomst, plus je eigen datalekprotocol |
Meer over die 72-uursregel en hoe een protocol eruitziet staat in ons artikel over een datalek melden voor het mkb. Hoe je de verwerkersovereenkomst zelf aanpakt, staat in een verwerkersovereenkomst opstellen met je hostingprovider.
Hoe de AVG je keuze voor webhosting beinvloedt
Zodra je via je website persoonsgegevens verwerkt, bijvoorbeeld via een contactformulier, een nieuwsbriefinschrijving of een webshop, val je onder de AVG. Dat betekent dat je niet alleen naar prijs en snelheid kijkt, maar ook naar waar je data staat en wie er toegang toe heeft.
Webhosting is daarmee geen puur technische keuze meer. Het is een juridische en organisatorische beslissing die gevolgen heeft voor je risico op datalekken, boetes en reputatieschade. In de praktijk zien we dat veel ondernemers die impact onderschatten, en pas gaan zoeken als een opdrachtgever ernaar vraagt.
Europese versus niet-Europese datacenters
De belangrijkste vraag is of jouw data binnen de Europese Economische Ruimte wordt opgeslagen. Kies je voor een hostingpartij die data buiten de EER plaatst, dan is er sprake van doorgifte van persoonsgegevens naar een derde land. Daarvoor gelden aanvullende eisen vanuit de AVG, zoals passende waarborgen en extra afspraken in de verwerkersovereenkomst.
Bij hosting binnen de EU is de juridische basis doorgaans helderder. Dat maakt je niet automatisch volledig AVG-proof, maar het scheelt een hoop complexiteit. Let op het verschil tussen een Amerikaans bedrijf met een Europese regio en een Europese partij: bij de eerste speelt de Cloud Act mee, wat we uitleggen in de Cloud Act en Europese websites.
De rol van cloud en gedeelde infrastructuur
Steeds meer hosting draait op cloudinfrastructuur, vaak verspreid over meerdere datacenters. Dat is goed voor beschikbaarheid en snelheid, maar het maakt lastiger om aan te tonen waar data precies staat. Voor de AVG is het essentieel dat je hostingpartij kan aangeven in welke regio data wordt opgeslagen, welke subverwerkers worden ingezet en hoe toegang wordt gelogd en beperkt. In ons overzicht van managed webhosting lees je hoe die verantwoordelijkheden verdeeld zijn.
Hoe doet PC Patrol dit?
PC Patrol draait sinds 2010 eigen hardware in een EU-datacenter in Duitsland, in eigen beheer en zonder doorverkochte capaciteit. Bij elk hostingpakket hoort een verwerkersovereenkomst, en de back-ups van Cloud VPS staan in een gescheiden datacenter met zeven dagen retentie. Bij WordPress-hosting loopt de retentie op van zeven dagen bij Personal tot dertig dagen bij Business en Enterprise.
- Datalocatie: EU-datacenter in Duitsland, eigen hardware
- Verwerkersovereenkomst: standaard beschikbaar bij elk pakket
- Back-upretentie WordPress-hosting: 7 dagen (Personal), 14 dagen (Professional), 30 dagen (Business en Enterprise)
- Externe back-up Cloud VPS: 2,50 euro per maand, dagelijks, 7 dagen bewaard, gescheiden datacenter
- Contact bij incidenten: 085 130 8931, werkdagen 9 tot 17 uur, weekend via SLA
Alle bedragen zijn exclusief btw en gelden per september 2026. Hoe wij zelf met persoonsgegevens omgaan staat in ons privacy statement.
Veelgestelde vragen over AVG en hosting
Is hosting binnen de EU verplicht volgens de AVG?
Nee. De AVG verbiedt hosting buiten de EER niet, maar stelt er wel extra eisen aan, zoals passende waarborgen bij doorgifte naar een derde land. Binnen de EER hosten is de eenvoudigste route, niet de enige.
Heb ik een verwerkersovereenkomst nodig met mijn hostingpartij?
Ja. Zodra je hostingpartij persoonsgegevens voor jou verwerkt, en dat is bij vrijwel elke website het geval, is een verwerkersovereenkomst verplicht op grond van artikel 28 van de AVG.
Telt een back-up buiten de EU ook mee?
Ja. Een back-up bevat dezelfde persoonsgegevens als je productieomgeving. Staat de back-up buiten de EER terwijl je website erbinnen draait, dan is er alsnog sprake van doorgifte.
Binnen welke termijn moet ik een datalek melden?
Binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het datalek een risico oplevert voor betrokkenen. Je hostingpartij hoort jou te melden zodra er bij hen iets speelt.
Waar vraag ik naar bij het vergelijken van hosters?
Vraag naar de exacte datacenterlocatie, de lijst met subverwerkers, de back-uplocatie en bewaartermijn, en of er een SLA is met een reactietijd bij incidenten. Ontwijkende antwoorden op die vier vragen zeggen genoeg.
Zo pak je het aan
Leg je keuzes rondom hosting en datalocatie vast op een centrale plek: datacenter, technische maatregelen, verwerkersovereenkomst en interne procedures. De AVG vraagt dat je kunt aantonen dat je zorgvuldig omgaat met persoonsgegevens, en dat lukt alleen als het ergens staat.
Wil je dit voor je eigen site geregeld hebben zonder er zelf achteraan te gaan? Bekijk managed webhosting of bel 085 130 8931. We verhuizen je bestaande website gratis en schakelen pas om als alles getest is.
