Is GDPR-compliant cloud storage possible with a US provider?

Not fully. Even when data is stored in an EU region, US-headquartered providers remain subject to the US CLOUD Act and FISA 702, which can compel disclosure of customer data regardless of physical location. The Schrems II ruling invalidated Privacy Shield precisely because of this exposure. To be GDPR-compliant end-to-end you need a provider with no US parent, no US operator, and no US legal entity in the processing chain.

What does 'data residency' mean under GDPR?

Data residency is the physical and legal location where personal data is stored and processed. GDPR does not ban transfers outside the EU/EEA, but Article 44+ requires an adequacy decision or supplementary measures. Keeping data in EU-operated data centres removes the transfer-mechanism problem entirely.

What must a GDPR Data Processing Agreement (DPA) contain?

Article 28 GDPR requires the DPA to define subject-matter, duration, nature and purpose of processing, categories of data subjects and personal data, and the controller's rights. It must also list sub-processors, describe security measures, and commit the processor to assist with data-subject requests and breach notification.

Which technical measures does GDPR expect from a cloud provider?

Article 32 requires appropriate measures including encryption in transit and at rest, integrity and availability of systems, ability to restore access after an incident, and regular testing of controls. Look for ISO 27001, documented backup and disaster-recovery procedures, EU-hosted key management, and role-based access with audit logging.

How is vBoxxCloud different from Microsoft 365 or Google Workspace 'EU regions'?

Microsoft's EU Data Boundary and Google's Sovereign Controls keep data in EU data centres but are operated by US companies. That leaves them exposed to US extraterritorial law. vBoxxCloud is operated by vBoxx B.V. in the Netherlands, on infrastructure we own in NL and DE, with no US parent and no US sub-processor, so lawful access requests from US authorities cannot compel disclosure.

AVG-gids

AVG-naleving voor cloudopslag

Een praktische gids voor Europese bedrijven die cloudproviders beoordelen. Wat de AVG werkelijk vereist, waarom een 'EU-regio' niet hetzelfde is als soevereine EU-opslag, en hoe je de dataresidentie, verwerkersovereenkomst en technische maatregelen van een provider in één keer controleert.

De vier pijlers van AVG-conforme cloudopslag

De AVG certificeert geen producten, maar stelt resultaten vast die verwerkingsverantwoordelijken moeten bereiken. Wanneer je een cloudopslagprovider kiest, neem je diens antwoorden op deze vier vragen over. Kloppen die niet, dan maakt het verantwoordingsbeginsel (artikel 5, lid 2) het je probleem.

1. Dataresidentie

Hoofdstuk V van de AVG beperkt doorgiften van persoonsgegevens buiten de EU/EER. Uitsluitend opslaan en verwerken in door de EU beheerde datacenters neemt het probleem van het doorgiftemechanisme weg: geen SCC's, geen TIA, geen discussie over adequaatheid.

2. Verwerkersovereenkomst

Artikel 28 vereist een schriftelijke verwerkersovereenkomst die doel, duur, subverwerkers, beveiligingsmaatregelen en meldplichten bij datalekken vastlegt. Controleer of de provider deze standaard aanbiedt, niet alleen op verzoek.

3. Technische en organisatorische maatregelen

Artikel 32: versleuteling tijdens transport en in rust, beschikbaarheid en herstel na incidenten, regelmatig testen. Let op ISO 27001, gedocumenteerde noodherstelprocedures, in de EU gehost sleutelbeheer, RBAC en auditlogs.

4. Juridische blootstelling

Schrems II maakte duidelijk: een EU-locatie alleen is niet genoeg als de beheerder onder Amerikaanse extraterritoriale wetgeving valt (CLOUD Act, FISA 702, EO 12333). Kies bij voorkeur providers zonder Amerikaans moederbedrijf, zonder Amerikaanse infrastructuurleverancier en zonder Amerikaanse rechtspersoon in de keten.

Soevereine EU-cloudopslag vs Amerikaanse providers

Na Schrems II was de vraag niet langer 'waar staan de gegevens?' maar 'wie heeft zeggenschap over de beheerder?' Zo verhouden de twee modellen zich tot de AVG-pijlers.

Criterium	Soeverein EU (vBoxxCloud)	Amerikaanse hyperscaler 'EU-regio'
Locatie datacenter	Nederland en Duitsland, eigendom van vBoxx	EU-regio, Amerikaans beheerd
Juridische beheerder	EU-entiteit (vBoxx B.V., NL)	Amerikaans moederbedrijf + EU-dochter
Blootstelling aan CLOUD Act / FISA 702	Geen	Ja, extraterritoriale reikwijdte is van toepassing
Doorgifterisico Schrems II	Geen doorgifte naar derde land	Lopend juridisch debat
Verwerkersovereenkomst standaard aangeboden	Ja, inbegrepen in het abonnement	Beschikbaar, vaak per contract
Subverwerkers	Alleen EU, gepubliceerde lijst	Wereldwijd, vaak incl. Amerikaanse dochters
ISO 27001-gecertificeerd	Ja	Ja
Sleutelbeheer	Gehost in de EU	Standaard vaak gehost in de VS

Checklist voor het beoordelen van providers

Vraag de provider vóór ondertekening schriftelijk om een duidelijk antwoord op elk van de volgende punten. Luidt een antwoord 'dat hangt ervan af' of 'op aanvraag', dan verschuift de verantwoordingsplicht ongemerkt terug naar jou.

Waar worden klantgegevens fysiek opgeslagen, en door welke rechtspersoon?
Zit er een Amerikaans moederbedrijf, subverwerker of infrastructuurleverancier in de keten?
Wordt een verwerkersovereenkomst volgens artikel 28 AVG standaard aangeboden, en kunnen wij die vóór ondertekening inzien?
Welke subverwerkers hebben toegang, en hoe worden wij op de hoogte gesteld van wijzigingen?
Worden gegevens versleuteld tijdens transport en in rust? Waar worden de sleutels beheerd?
Welke certificeringen onderbouwen de technische maatregelen (ISO 27001, ISAE 3402)?
Wat is de RTO/RPO voor herstel na een incident?
Hoe worden verzoeken van betrokkenen om inzage, rectificatie en wissing afgehandeld?
Wat is de SLA voor het melden van datalekken aan de verwerkingsverantwoordelijke?
Hoe lang zijn gegevens na beëindiging beschikbaar voor export, en wanneer worden ze verwijderd?

FAQ

Veelgestelde vragen

Is AVG-conforme cloudopslag mogelijk bij een Amerikaanse provider?

Niet volledig. Ook wanneer gegevens in een EU-regio worden opgeslagen, blijven providers met een Amerikaans hoofdkantoor onderworpen aan de US CLOUD Act en FISA 702, die de verstrekking van klantgegevens kunnen afdwingen, ongeacht de fysieke locatie. De Schrems II-uitspraak verklaarde Privacy Shield juist om deze reden ongeldig. Om van begin tot eind AVG-conform te zijn, heb je een provider nodig zonder Amerikaans moederbedrijf, zonder Amerikaanse beheerder en zonder Amerikaanse rechtspersoon in de verwerkingsketen.

Wat betekent 'dataresidentie' onder de AVG?

Dataresidentie is de fysieke en juridische locatie waar persoonsgegevens worden opgeslagen en verwerkt. De AVG verbiedt doorgiften buiten de EU/EER niet, maar artikel 44 e.v. vereist een adequaatheidsbesluit of aanvullende maatregelen. Door gegevens in door de EU beheerde datacenters te houden, verdwijnt het probleem van het doorgiftemechanisme volledig.

Wat moet een AVG-verwerkersovereenkomst bevatten?

Artikel 28 AVG vereist dat de verwerkersovereenkomst het onderwerp, de duur, de aard en het doel van de verwerking, de categorieën betrokkenen en persoonsgegevens en de rechten van de verwerkingsverantwoordelijke vastlegt. Ook moet zij de subverwerkers vermelden, de beveiligingsmaatregelen beschrijven en de verwerker verplichten te helpen bij verzoeken van betrokkenen en bij het melden van datalekken.

Welke technische maatregelen verwacht de AVG van een cloudprovider?

Artikel 32 vereist passende maatregelen, waaronder versleuteling tijdens transport en in rust, integriteit en beschikbaarheid van systemen, het vermogen om de toegang na een incident te herstellen en het regelmatig testen van maatregelen. Let op ISO 27001, gedocumenteerde back-up- en noodherstelprocedures, in de EU gehost sleutelbeheer en op rollen gebaseerde toegang met auditlogging.

Hoe verschilt vBoxxCloud van de 'EU-regio's' van Microsoft 365 of Google Workspace?

De EU Data Boundary van Microsoft en de Sovereign Controls van Google houden gegevens in EU-datacenters, maar worden beheerd door Amerikaanse bedrijven. Daardoor blijven ze blootgesteld aan Amerikaanse extraterritoriale wetgeving. vBoxxCloud wordt beheerd door vBoxx B.V. in Nederland, op infrastructuur die wij zelf bezitten in NL en DE, zonder Amerikaans moederbedrijf en zonder Amerikaanse subverwerker, zodat verzoeken van Amerikaanse autoriteiten geen verstrekking kunnen afdwingen.

Nog een vraag? Neem contact op

Verplaats je bestanden naar een soevereine EU-cloud

vBoxxCloud wordt gebouwd, gehost en beheerd binnen de EU: geen blootstelling aan de CLOUD Act, verwerkersovereenkomst inbegrepen, ISO 27001 gecertificeerd.