Waarom hosting in de EU belangrijk is voor SaaS- en AI-teams: AVG, Schrems II en de CLOUD Act

De AVG (GDPR) is van toepassing wanneer je persoonsgegevens verwerkt in het kader van de activiteiten van een vestiging in de EU (artikel 3, lid 1), en, als je geen vestiging in de EU hebt, op de verwerking van persoonsgegevens van mensen in de EU wanneer die verband houdt met het aanbieden van goederen of diensten aan hen of met het monitoren van hun gedrag daar (artikel 3, lid 2). Waar die gegevens worden gehost en welk bedrijf ze host, bepaalt vervolgens hoeveel internationale doorgiften en toegang door buitenlandse autoriteiten een rol spelen. De AVG beperkt de doorgifte van persoonsgegevens buiten de EER, Amerikaans recht kan Amerikaanse cloud- en communicatieaanbieders verplichten om gegevens af te geven die ze in het buitenland bewaren, en AI-prompts zitten vaak vol persoonsgegevens.

Dit artikel legt de regels in gewone taal uit en eindigt met een checklist om een aanbieder te kiezen. Het is geen juridisch advies: raadpleeg voor jouw specifieke situatie je functionaris voor gegevensbescherming of een advocaat.

De AVG-regel voor doorgiften

Hoofdstuk V van de AVG (artikel 44 tot en met 50) gaat over “doorgiften van persoonsgegevens aan derde landen of internationale organisaties”. Een derde land is elk land buiten de EU en de Europese Economische Ruimte. Artikel 44 legt het principe vast: persoonsgegevens mogen alleen worden doorgegeven als aan de voorwaarden van dat hoofdstuk is voldaan. Er zijn drie hoofdroutes:

• Adequaatheidsbesluit (artikel 45): de Europese Commissie besluit dat een land persoonsgegevens beschermt op een niveau dat in wezen gelijkwaardig is aan dat in de EU. Gegevens kunnen dan zonder verdere waarborgen naar dat land gaan.
• Passende waarborgen (artikel 46): bijvoorbeeld de standaardcontractbepalingen die de Commissie heeft vastgesteld in Uitvoeringsbesluit (EU) 2021/914, of bindende bedrijfsvoorschriften binnen een groep van ondernemingen (artikel 47).
• Afwijkingen (artikel 49): beperkte uitzonderingen voor specifieke situaties, geen basis voor gewone hosting.

Wie deze regels overtreedt, valt in de hoogste boetecategorie van de AVG: tot 20 miljoen euro of 4% van de totale wereldwijde jaaromzet, als dat bedrag hoger is (artikel 83, lid 5).

Schrems II: waarom een contract alleen niet genoeg was

Op 16 juli 2020 deed het Hof van Justitie van de EU uitspraak in zaak C-311/18, bekend als Schrems II. Het Hof verklaarde het Privacy Shield tussen de EU en de VS, destijds het adequaatheidsbesluit voor de Verenigde Staten, ongeldig. Het oordeelde dat Amerikaanse surveillanceprogramma's niet beperkt waren tot wat strikt noodzakelijk is, en dat mensen van wie gegevens werden doorgegeven geen mogelijkheid hadden om een zaak voor te leggen aan een onafhankelijke instantie met waarborgen die gelijkwaardig zijn aan het EU-recht.

De standaardcontractbepalingen bleven overeind, maar met een voorwaarde. De bescherming moet in wezen gelijkwaardig zijn aan die in de EU, en de beoordeling moet rekening houden met de relevante onderdelen van het rechtsstelsel van het land van bestemming, met name toegang door overheidsinstanties. Exporteur en ontvanger moeten dit vóór de doorgifte controleren. Als de bepalingen niet kunnen worden nageleefd, moet de doorgifte worden opgeschort of beëindigd.

Voor teams volstaat een handtekening dus niet: voordat je op de bepalingen vertrouwt, moet je het recht beoordelen van het land waar je gegevens naartoe gaan.

Het EU-US Data Privacy Framework

Op 10 juli 2023 stelde de Commissie Uitvoeringsbesluit (EU) 2023/1795 vast, een nieuw adequaatheidsbesluit voor het EU-US Data Privacy Framework (DPF). Persoonsgegevens kunnen zonder aanvullende waarborgen naar Amerikaanse bedrijven gaan die aan het framework deelnemen. Bedrijven sluiten zich aan door een reeks privacyverplichtingen op zich te nemen; het Amerikaanse ministerie van Handel (Department of Commerce) beheert het framework, en de Federal Trade Commission of het ministerie van Transport (Department of Transportation), afhankelijk van de organisatie, handhaaft de toezeggingen. Aan overheidszijde beperkt het framework de toegang van Amerikaanse inlichtingendiensten tot wat noodzakelijk en evenredig is, en het heeft een Data Protection Review Court opgericht voor klachten van mensen uit de EU.

Twee dingen om in gedachten te houden:

• Het geldt alleen voor deelnemende bedrijven. Een Amerikaanse aanbieder die niet gecertificeerd is, heeft een andere route nodig, zoals standaardcontractbepalingen.
• Het is aangevochten. Het Gerecht van de EU verwierp een beroep tot nietigverklaring op 3 september 2025 (zaak T-553/23), en de verzoeker ging in hoger beroep bij het Hof van Justitie (zaak C-703/25 P); dat hoger beroep liep nog toen dit artikel werd geschreven. Beide eerdere frameworks voor de VS, Safe Harbour en Privacy Shield, zijn door dat Hof ongeldig verklaard.

De Amerikaanse CLOUD Act: locatie is niet het hele verhaal

De Clarifying Lawful Overseas Use of Data Act werd op 23 maart 2018 aangenomen als onderdeel van de Consolidated Appropriations Act, 2018. De wet voegde 18 U.S.C. 2713 toe: aanbieders van elektronische communicatiediensten of remote computing services moeten hun verplichtingen onder dat hoofdstuk (hoofdstuk 121 van titel 18) nakomen om communicatie en klantgegevens in hun “possession, custody, or control” (bezit, bewaring of zeggenschap) te bewaren, er een backup van te maken of ze openbaar te maken, via de toepasselijke juridische procedure, ongeacht of die gegevens zich binnen of buiten de Verenigde Staten bevinden.

In de praktijk kan een Amerikaanse aanbieder met een datacenter in Frankfurt een Amerikaans bevel krijgen dat gegevens omvat die daar zijn opgeslagen. De AVG trekt de andere kant op: volgens artikel 48 kan een vonnis van een buitenlandse rechter of een besluit van een buitenlandse autoriteit dat een doorgifte of verstrekking eist, in de EU alleen worden erkend of ten uitvoer gelegd als het gebaseerd is op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtshulp. Dat sluit niet elke verstrekking uit, omdat artikel 48 geldt “onverminderd andere gronden voor doorgifte”, maar elke verstrekking heeft nog steeds een rechtsgrond nodig onder artikel 6 en een doorgiftegrond onder hoofdstuk V. De aanbieder moet dat conflict oplossen, en jouw gegevens zitten er middenin.

Voor een Amerikaanse ontvanger die onder het DPF is gecertificeerd, dekt het adequaatheidsbesluit de doorgifte zelf: volgens de EDPB is er geen apart doorgifte-instrument nodig en zijn er geen aanvullende maatregelen nodig. Controleer of de ontvanger op dit moment op de DPF List staat, en blijf je andere AVG-verplichtingen nakomen. Een EU-regio verandert op zichzelf niet onder welk nationaal recht de aanbieder valt.

Waarom AI dit urgenter maakt

De AVG definieert persoonsgegevens als alle informatie over een geïdentificeerde of identificeerbare persoon, bijvoorbeeld via een naam, een identificatienummer, locatiegegevens of een online identificator (artikel 4, punt 1). Kijk wat AI-functies meestal verwerken:

• supporttickets en chatgeschiedenissen met namen, e-mailadressen en ordernummers,
• cv's, contracten, facturen en medische brieven die worden geüpload voor samenvattingen of extractie,
• transcripties van gesprekken en vergadernotities,
• complete documentarchieven die zijn geïndexeerd voor retrieval-augmented generation (RAG).

Elke prompt met zulke inhoud is verwerking van persoonsgegevens, en als het model in een derde land draait, kan het een doorgifte zijn. Stel dus voor elk AI-onderdeel dezelfde vragen als voor je database: waar draait de inference, worden prompts en output opgeslagen of gelogd en hoe lang, worden ze gebruikt voor training, en welke modelaanbieder zit achter de API als subverwerker?

Checklist: een aanbieder kiezen

1. Vestiging en eigendom. Waar is de aanbieder opgericht, en van wie is hij? De CLOUD Act gaat over gegevens in het bezit, de bewaring of onder de zeggenschap van een aanbieder, dus het bedrijf achter de dienst telt net zo zwaar als het datacenter.
2. Regio van de gegevens. Kun je een EU-regio kiezen voor apps, databases, backups en logs, en blijven gegevens daar tenzij jij ze verplaatst? Waar draaien het dashboard, de API en de accountgegevens?
3. Toegang op afstand en verdere doorgiften. Wie heeft toegang tot de gegevens, en vanaf waar? Toegang door eigen medewerkers van de aanbieder in het buitenland vraagt om passende beveiliging. Gegevens beschikbaar stellen aan een apart bedrijf buiten de EER, zoals een subverwerker, vereist een doorgiftegrondslag onder hoofdstuk V, die de exporteur moet beoordelen en documenteren. Servers in Frankfurt lossen dat op zichzelf niet op.
4. Subverwerkers. Vraag om de lijst met het land van elk bedrijf. Volgens artikel 28, lid 2 mag een verwerker geen andere verwerker inschakelen zonder jouw voorafgaande schriftelijke toestemming, specifiek of algemeen. Controleer hoe je over wijzigingen wordt geïnformeerd.
5. Verwerkersovereenkomst (DPA). Artikel 28, lid 3 vereist een overeenkomst (of een andere rechtshandeling) met je verwerker. Controleer of je die kunt tekenen zonder enterprise-deal, en op welke doorgifteroute die steunt als gegevens de EU verlaten.
6. Certificeringen. ISO 27001- of SOC 2-rapporten voor de aanbieder en zijn datacenters laten zien dat beveiligingsmaatregelen worden geaudit. Ze zeggen niets over welk nationaal recht van toepassing is, dus lees ze samen met punt 1 en 2.
7. AI-specifiek. Locatie van de inference, bewaring van prompts en output, gebruik voor training en de modelaanbieder achter de API.

Zo pakt Nodion dit aan

Nodion wordt beheerd door Nodion GmbH, een Duits bedrijf met hoofdkantoor in Stuttgart. De API's en het control plane van Nodion worden in Duitsland gehost. De regio EU Central ligt in Frankfurt am Main; volgens de documentatie over regio's heeft het datacenter ISO 27001-, ISO 9001-, ISO 14001- en ISO 50001-certificeringen, voldoet het aan PCI DSS en heeft het een SOC 2-rapport, en heeft de infrastructuuraanbieder ISO 27001, voldoet die aan PCI DSS en heeft die een SOC 1-rapport.

Je kiest de regio wanneer je een service aanmaakt, en die verandert later niet. Apps, databases, volumes, buckets, de registry, logs en metrics van die service blijven in de regio die je hebt gekozen. De infrastructuuraanbieders per regio staan als subverwerkers in de documentatie over regio's, en je kunt de DPA zelf afsluiten. Nodion heeft ook regio's in de VS, dus kies EU Central wanneer je een service aanmaakt die in de EU moet draaien.