AVG-proof hosting binnen de EU regelen: wat je moet vastleggen
AVG-proof hosting binnen de EU regel je met drie dingen: opslag binnen de EER, een getekende verwerkersovereenkomst en een actuele lijst subverwerkers. Zo controleer je dat bij je hostingpartij.
Hoe regel je AVG-proof hosting binnen de EU?
AVG-proof hosting binnen de EU regel je met drie dingen: je data staat aantoonbaar binnen de Europese Economische Ruimte, je hebt een getekende verwerkersovereenkomst met je hostingpartij, en je kunt laten zien welke subverwerkers er in de keten zitten. Ontbreekt een van die drie, dan kun je bij een controle of een datalek niet aantonen dat je zorgvuldig hebt gehandeld, en dat is precies wat de AVG van je vraagt.
De locatie van je server is dus niet het hele verhaal, maar wel het eerste dat je vastlegt. Staat je data buiten de EER, dan is er sprake van doorgifte naar een derde land en heb je aanvullende waarborgen nodig.
De drie dingen die je moet kunnen laten zien
| Wat | Waarom het moet | Waar je het vandaan haalt |
|---|---|---|
| Datalocatie binnen de EER | Buiten de EER geldt doorgifte naar een derde land, met extra waarborgen | Schriftelijke bevestiging van je hoster, met land en datacenter |
| Verwerkersovereenkomst | Verplicht op grond van artikel 28 AVG zodra een ander partij persoonsgegevens voor jou verwerkt | Je hostingpartij levert die aan, jij tekent en bewaart hem |
| Lijst met subverwerkers | Je moet weten wie er nog meer bij de data kan, en gewijzigde subverwerkers moeten gemeld worden | Bijlage bij de verwerkersovereenkomst |
| Back-uplocatie en bewaartermijn | Een back-up bevat dezelfde persoonsgegevens als de productieomgeving | De productpagina of het contract, met aantal dagen retentie |
| Procedure bij een datalek | Melden aan de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking | De verwerkersovereenkomst, plus je eigen datalekprotocol |
Meer over die 72-uursregel en hoe een protocol eruitziet staat in ons artikel over een datalek melden voor het mkb. Hoe je de verwerkersovereenkomst zelf aanpakt, staat in een verwerkersovereenkomst opstellen met je hostingprovider.
Is een EU-datacenter genoeg, of telt ook wie erbij kan?
Een datacenter binnen de EER is de eerste voorwaarde, maar niet de laatste: ook toegang op afstand telt als doorgifte. Kan een supportmedewerker of beheerder buiten de EER bij je data, of zit er een moederbedrijf boven je provider dat onder de Amerikaanse Cloud Act valt, dan heb je alsnog aanvullende waarborgen nodig, hoe Europees het adres van het datacenter ook is.
Vraag je provider daarom niet alleen waar de servers staan, maar ook deze vier dingen. Ze zijn stuk voor stuk met ja of nee te beantwoorden, en een ontwijkend antwoord is zelf ook een antwoord.
- Toegang op afstand: kunnen beheerders of supportmedewerkers buiten de EER bij de productieomgeving, en wordt die toegang gelogd?
- Eigendom: zit er een moeder- of holdingmaatschappij buiten de EU boven de provider?
- Doorverkochte capaciteit: draait de provider op eigen hardware of huurt hij door bij een partij die je niet kent, waardoor de subverwerkerslijst langer is dan hij lijkt?
- Back-ups en logs: staan die in dezelfde regio als de productiedata, of ergens anders?
Die laatste komt in de praktijk het vaakst verkeerd uit. De website draait keurig binnen de EER en de back-up of het loggingplatform staat buiten de EER, en dan is er alsnog sprake van doorgifte. Naast wie er digitaal bij kan telt trouwens ook de fysieke beveiliging van een datacenter, want iemand die bij de racks kan, kan ook bij de schijven.
Hoe de AVG je keuze voor webhosting beinvloedt
Zodra je via je website persoonsgegevens verwerkt, bijvoorbeeld via een contactformulier, een nieuwsbriefinschrijving of een webshop, val je onder de AVG. Dat betekent dat je niet alleen naar prijs en snelheid kijkt, maar ook naar waar je data staat en wie er toegang toe heeft. Op de site zelf speelt hetzelfde, want ook je WordPress-website AVG-proof maken met lokaal gehoste Google Fonts voorkomt dat bezoekersgegevens ongemerkt naar een derde land gaan.
Webhosting is daarmee geen puur technische keuze meer. Het is een juridische en organisatorische beslissing die gevolgen heeft voor je risico op datalekken, boetes en reputatieschade. In de praktijk zien we dat veel ondernemers die impact onderschatten, en pas gaan zoeken als een opdrachtgever ernaar vraagt.
Europese versus niet-Europese datacenters
De belangrijkste vraag is of jouw data binnen de Europese Economische Ruimte wordt opgeslagen. Kies je voor een hostingpartij die data buiten de EER plaatst, dan is er sprake van doorgifte van persoonsgegevens naar een derde land. Daarvoor gelden aanvullende eisen vanuit de AVG, zoals passende waarborgen en extra afspraken in de verwerkersovereenkomst.
Bij hosting binnen de EU is de juridische basis doorgaans helderder. Dat maakt je niet automatisch volledig AVG-proof, maar het scheelt een hoop complexiteit. Let op het verschil tussen een Amerikaans bedrijf met een Europese regio en een Europese partij: bij de eerste speelt de Cloud Act mee, wat we uitleggen in de Cloud Act en Europese websites.
De rol van cloud en gedeelde infrastructuur
Steeds meer hosting draait op cloudinfrastructuur, vaak verspreid over meerdere datacenters. Dat is goed voor beschikbaarheid en snelheid, maar het maakt lastiger om aan te tonen waar data precies staat. Voor de AVG is het essentieel dat je hostingpartij kan aangeven in welke regio data wordt opgeslagen, welke subverwerkers worden ingezet en hoe toegang wordt gelogd en beperkt. Versleutel daarnaast het verkeer van en naar je site, want met geldige SSL-certificaten is onderweg niets mee te lezen, ongeacht waar de server staat. In ons overzicht van managed webhosting lees je hoe die verantwoordelijkheden verdeeld zijn.
Hoe doet PC Patrol dit?
PC Patrol is een Nederlands bedrijf uit Someren en beheert sinds 2010 zijn eigen servers, die we huren in EU-datacenters: Helsinki (Finland) voor webhosting en WordPress-hosting, Nuremberg (Duitsland) voor Cloud VPS. De datacenterpartij staat daarom op onze lijst met subverwerkers, die je op de trustpagina vindt. Bij elk hostingpakket hoort een verwerkersovereenkomst, en de back-ups van Cloud VPS staan in een gescheiden datacenter met zeven dagen retentie. Bij WordPress-hosting loopt de retentie op van zeven dagen bij het instappakket tot dertig dagen bij Business en Enterprise.
- Datalocatie: Helsinki (Finland) voor webhosting en WordPress-hosting, Nuremberg (Duitsland) voor Cloud VPS, door ons beheerd
- Beheer: door PC Patrol zelf, vanuit Someren in Noord-Brabant
- Verwerkersovereenkomst: standaard beschikbaar bij elk pakket
- Back-upretentie WordPress-hosting: 7 dagen bij het instappakket, 14 dagen bij Professional, 30 dagen bij Business en Enterprise
- Externe back-up Cloud VPS: 1,20 euro per maand, dagelijks, 7 dagen bewaard, gescheiden datacenter
- Contact bij incidenten: 085 130 8931, werkdagen 9 tot 17 uur, weekend via SLA
Alle bedragen zijn exclusief btw en gelden per 18 september 2026. Vraag de actuele bewaartermijn van je eigen pakket op voordat je hem in een verwerkersovereenkomst vastlegt, want die verschilt per pakket. Hoe wij zelf met persoonsgegevens omgaan staat in ons privacy statement.
Veelgestelde vragen over AVG en hosting
Is hosting binnen de EU verplicht volgens de AVG?
Nee. De AVG verbiedt hosting buiten de EER niet, maar stelt er wel extra eisen aan, zoals passende waarborgen bij doorgifte naar een derde land. Binnen de EER hosten is de eenvoudigste route, niet de enige.
Is een datacenter in de EU genoeg om aan de AVG te voldoen?
Nee. Toegang op afstand door personeel buiten de EER telt ook als doorgifte, net als een moederbedrijf in een derde land of een back-up die buiten de EER staat. Vraag dus door op wie er bij de data kan, niet alleen op waar de schijven liggen.
Heb ik een verwerkersovereenkomst nodig met mijn hostingpartij?
Ja. Zodra je hostingpartij persoonsgegevens voor jou verwerkt, en dat is bij vrijwel elke website het geval, is een verwerkersovereenkomst verplicht op grond van artikel 28 van de AVG.
Telt een back-up buiten de EU ook mee?
Ja. Een back-up bevat dezelfde persoonsgegevens als je productieomgeving. Staat de back-up buiten de EER terwijl je website erbinnen draait, dan is er alsnog sprake van doorgifte.
Binnen welke termijn moet ik een datalek melden?
Binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het datalek een risico oplevert voor betrokkenen. Je hostingpartij hoort jou te melden zodra er bij hen iets speelt.
Waar vraag ik naar bij het vergelijken van hosters?
Vraag naar de exacte datacenterlocatie, de lijst met subverwerkers, de back-uplocatie en bewaartermijn, en of er een SLA is met een reactietijd bij incidenten. Ontwijkende antwoorden op die vier vragen zeggen genoeg.
Zo pak je het aan
Leg je keuzes rondom hosting en datalocatie vast op een centrale plek: datacenter, technische maatregelen, verwerkersovereenkomst en interne procedures. De AVG vraagt dat je kunt aantonen dat je zorgvuldig omgaat met persoonsgegevens, en dat lukt alleen als het ergens staat.
Wil je dit voor je eigen site geregeld hebben zonder er zelf achteraan te gaan? Bekijk managed webhosting of bel 085 130 8931. We verhuizen je bestaande website gratis en schakelen pas om als alles getest is.
