Heb je echt Europese hosting nodig?

“Het moet in Europa draaien.” Ik hoor dit vaak, neergezet als harde eis, meestal zonder dat iemand kan zeggen waar die eis vandaan komt. Soms klopt het. Soms is het een gevoel dat verhard is tot een regel.

Europese hosting kan echt belangrijk zijn. Het kan ook een aanname zijn die je de betere tool, de goedkopere rekening of de snellere lancering kost, zonder voordeel dat je daadwerkelijk kunt aanwijzen. Het eerlijke antwoord is: het hangt ervan af, en het hangt van iets specifiekers af dan de meeste founders verwachten.

Dit artikel kijkt naar waar de eis “moet Europees zijn” eigenlijk vandaan komt, wanneer die standhoudt, wanneer niet, en welke vraag je in plaats daarvan zou moeten stellen.

Waar de eis eigenlijk vandaan komt

De meeste founders herleiden “Europese hosting” tot de AVG. Dat is de juiste buurt, maar het verkeerde huisnummer. De AVG zegt niet dat je data op Europese bodem moet staan. Hij regelt hoe persoonsgegevens verwerkt worden en, los daarvan, wat er geregeld moet zijn als persoonsgegevens de EU verlaten.

Dat tweede deel is waar de ruis vandaan komt. Jarenlang was de juridische basis voor het versturen van persoonsgegevens naar de VS wankel. Privacy Shield werd ongeldig verklaard. De standaardcontractbepalingen bleven overeind, maar met extra huiswerk. Founders hoorden “doorgifte naar de VS is riskant” en concludeerden “dus houd alles in Europa”. Begrijpelijk, maar een paar stappen te breed.

Sinds 2023 biedt het EU-VS Data Privacy Framework een rechtsgrond voor doorgifte naar Amerikaanse bedrijven die zich daaronder certificeren. Daaronder vallen de grote cloudproviders. Het is geen permanente garantie, dit soort kaders zijn eerder aangevochten, maar op dit moment is doorgifte naar een DPF-gecertificeerde Amerikaanse provider een verdedigbaar standpunt, geen automatische overtreding.

De blanco regel “geen Amerikaanse providers” klopt dus niet meer. De echte vraag is smaller.

Wanneer Europese hosting echt telt

Er zijn situaties waarin data in de EU houden, of bij een in de EU gevestigde provider, de juiste keuze is en soms een harde eis.

Publieke sector en aanbestedingen. Overheid en aanverwante kopers eisen regelmatig EU-hosting, alleen EU-subverwerkers of specifieke nationale eisen in hun aanbestedingen. Verkoop je hier, dan is dit geen discussie maar een vakje dat je aanvinkt of de deal verliest.

Zorg en andere gereguleerde sectoren. Medisch, financieel en vergelijkbare domeinen leggen sectorregels bovenop de AVG. Sommige daarvan vereisen feitelijk EU-residentie of sluiten Amerikaanse providers uit, los van het Data Privacy Framework.

Echt gevoelige data. Medische dossiers, biometrische gegevens, data over kinderen, alles waar een lek of een toegangsverzoek van een buitenlandse overheid een reëel en serieus risico is. Hier is exposure beperken door data in de EU te houden een redelijke, verdedigbare keuze.

Klantverwachting als verkoopfeit. Soms is EU-hosting geen juridische eis maar een koopeis. Enterprise-kopers, vooral in Duitsland en de publieke sector, stellen de vraag en haken af bij het verkeerde antwoord. Dat is een commercieel feit dat respect verdient, ook als de wet het niet afdwingt.

Zit je in een van deze gevallen, dan is Europese hosting geen hype. Dan is het de eis.

Wanneer “moet Europees zijn” wordt aangenomen maar niet nodig is

Voor een groot deel van de vroege startups geldt niets van het bovenstaande, en is de eis geërfd in plaats van geanalyseerd.

Een B2C-app met gewone accountdata. E-mail, naam, gebruiksdata. Rechtmatig verwerkt, doorgegeven onder het Data Privacy Framework, is dit het alledaagse geval waarvoor het kader gemaakt is.

Een interne tool of vroeg B2B-product zonder gereguleerde kopers of gevoelige categorieën. De beperking hier zijn de aanbestedingsregels van je klanten, als ze die hebben, niet een abstract principe.

“Het voelt veiliger.” Dit is de meest voorkomende. Veiliger is geen eis. Kun je de regelgeving, de koper of de datacategorie niet benoemen die het verlangt, dan betaal je waarschijnlijk belasting op een gevoel.

De kosten van de aanname zijn reëel: een slechtere managed service, een regio met hogere latency naar je echte gebruikers, of weken besteed aan het zelf draaien van iets dat een Amerikaanse PaaS voor je had gedaan.

De vraag die echt telt: subverwerkers en de datakaart

De serverlocatie is het deel waar founders op fixeren. Het is zelden het deel dat een audit laat sneuvelen.

De AVG is breder dan waar je VM staat. Hij let op elke partij die namens jou persoonsgegevens aanraakt, je subverwerkers. Je analytics, je e-mailverzender, je error tracker, je betaalprovider, je support-inbox, je LLM-provider. Je kunt je database in Frankfurt hosten en alsnog ongemerkt persoonsgegevens naar een tiental Amerikaanse diensten sturen via je SDK’s.

De nuttige oefening is dus niet “kies een Europees datacenter”. Het is: schrijf elke plek op waar persoonsgegevens heen gaan, wie die runt, waar ze zitten, en op welke rechtsgrond de doorgifte rust. Die datakaart vertelt je veel meer over je echte exposure dan de vlag op je hostingrekening.

Wil je toch EU-hosting, dan zijn de opties goed

De Europese markt is geen compromis meer. Hetzner (Duitsland) en OVHcloud (Frankrijk) bieden sterke, goedkope VPS en dedicated hosting. Scaleway (Frankrijk) dekt managed services en serverless. En de hyperscalers, AWS, Azure en Google Cloud, draaien allemaal EU-regio’s; je resources vastpinnen op Frankfurt, Parijs of Dublin houdt data in de EU terwijl je toch hun managed services gebruikt, al blijft de provider een Amerikaans bedrijf en die nuance telt voor de strengste kopers.

Je kiest niet tussen “Europees” en “goed”. Meestal kun je beide hebben.

Een simpele beslisregel

Kies standaard waar je product en je gebruikers het best mee gediend zijn. Stap over op EU-only hosting wanneer een regel, een koper of een echt gevoelige datacategorie het vereist, niet wanneer het alleen verantwoorder voelt.

En welke kant je ook op gaat, breng eerst je subverwerkers in kaart. Daar zit het echte AVG-werk, lang nadat de vraag over de serverlocatie beslist is.

Dit is geen juridisch advies, en voor gereguleerde of publieke-sector-producten check je de details met iemand die daarvoor gekwalificeerd is. Het framework voor de Europese-hostingkeuze loopt stap voor stap dezelfde vragen door.

---

Loop je hier tegenaan?

Vertel me waar je mee zit, per mail of in een gratis gesprek. Samen bepalen we de slimste volgende stap.

Vertel me over je situatie → · Mail direct: hello@yourstartup.expert