EU-hosting en datalocatie: waarom het voor GDPR uitmaakt

EU-hosting is niet wettelijk verplicht onder de GDPR.

Het verdict: voor EU hosting en GDPR geldt dat de plek van je data bepaalt hoe ingewikkeld en risicovol je compliance wordt.

Zodra persoonsgegevens de Europese Economische Ruimte (EER) verlaten, gelden er extra regels voor internationale doorgifte.

Die regels zijn sinds het Schrems II-arrest een stuk strenger geworden.

Eerst: wat de GDPR wel en niet eist. Daarna: wat datalocatie betekent, hoe Schrems II je hostingkeuze raakt en welke vragen je een host stelt.

Verplicht de GDPR dat je in de EU host?

Nee, de GDPR schrijft geen EU-hosting voor.

De verordening verbiedt niet dat persoonsgegevens buiten de EER worden opgeslagen of verwerkt. Wat ze wel doet, is strikt regelen hoe data de EER mag verlaten.

De bescherming reist als het ware met de data mee, ongeacht waar die uiteindelijk terechtkomt.

Je hebt een juridische grond nodig

Geef je gegevens door naar een land buiten de EER? Dan heb je daarvoor een geldige juridische grond nodig.

Er zijn twee hoofdroutes:

• Adequaatheidsbesluit: de Europese Commissie oordeelt dat een land gelijkwaardig beschermt
• Passende waarborg: standaardcontractbepalingen (SCC’s) of Binding Corporate Rules voor groepen

Met een adequaatheidsbesluit mag data volgens de Commissie naar dat land zonder verdere waarborgen. Op die lijst staan bijvoorbeeld Zwitserland, het Verenigd Koninkrijk, Japan en de VS. Voor de VS geldt dat enkel voor gecertificeerde bedrijven.

Het gevolg is simpel

Host je binnen de EER, dan is er geen sprake van een internationale doorgifte. Die hele laag aan verplichtingen valt weg.

Host je daarbuiten, dan moet je het juiste mechanisme kiezen, documenteren en kunnen verantwoorden.

Kort gezegd: EU-hosting is geen wettelijke plicht, maar wel de kortste route naar aantoonbare compliance.

Een bredere checklist vind je in een GDPR-proof website in België.

Wat betekent datalocatie of data residency precies?

Datalocatie, ook wel data residency genoemd, is de fysieke plek waar je gegevens worden opgeslagen en verwerkt.

Het klinkt eenvoudig.

Maar voor een website is het zelden één server op één plek.

Elke schakel heeft een eigen locatie

Achter een moderne B2B-website zitten vaak meerdere systemen die elk hun eigen locatie hebben:

• de webserver of het hostingplatform waar je site draait;
• de database met formulierinzendingen, accounts of leadgegevens;
• backups, die soms in een andere regio worden bewaard;
• het content delivery network (CDN) dat je pagina’s wereldwijd cachet;
• formulier-, e-mail- en marketingtools die data ontvangen;
• analytics- en trackingscripts;
• de toegang van support- of ontwikkelteams, die soms vanuit buiten de EER inloggen.

Elk van die schakels kan persoonsgegevens raken. Denk aan een naam en e-mailadres in een offerteformulier.

Hoe een CDN je pagina’s over de wereld verspreidt, lees je in onze uitleg over caching en CDN.

Waar je backups horen te staan, staat in een backupstrategie voor je website.

Waar het lek meestal zit

Datalocatie betekent dus niet alleen “waar staat mijn webserver”. Het betekent “waar belandt elk persoonsgegeven in de hele keten”.

Bijvoorbeeld: je site draait in Frankfurt, maar je formulieren gaan naar een Amerikaanse tool. Dan doe je alsnog aan internationale doorgifte.

Wie zijn data-architectuur niet in kaart brengt, mist precies de plekken waar het risico zit.

Welke scripts je site vandaag laadt, zie je met onze cookie scan.

Hoe verandert Schrems II je hostingkeuze?

Het maakte doorgifte naar de VS juridisch zwaarder en onzekerder.

Het Schrems II-arrest van het Hof van Justitie (juli 2020) verklaarde het toenmalige Privacy Shield ongeldig. Dat was het afsprakenkader voor data-uitwisseling met de VS.

Het Hof deed uitspraak op 16 juli 2020 in zaak C-311/18.

In hetzelfde arrest bleef het besluit over standaardcontractbepalingen geldig.

Wat het Hof precies besliste

De kern: de Amerikaanse surveillancewetgeving bood Europese burgers onvoldoende bescherming.

Standaardcontractbepalingen bleven geldig. Maar het Hof legde wel de verantwoordelijkheid bij de exporteur.

Die moet per geval beoordelen of de data in het ontvangende land werkelijk gelijkwaardig beschermd is. Die beoordeling staat bekend als een transfer impact assessment.

In de praktijk maakte dat doorgiftes naar de VS juridisch zwaarder en onzekerder.

Veel organisaties kozen daarom de eenvoudige weg. Hou de data binnen de EER en vermijd het vraagstuk.

Wat er sindsdien gebeurde

Zo liep het juridische kader voor doorgifte naar de VS:

In juli 2023 nam de Commissie een adequaatheidsbesluit voor het nieuwe EU-US Data Privacy Framework. Daarmee werd doorgifte naar gecertificeerde Amerikaanse bedrijven opnieuw mogelijk.

Dat kader doorstond in september 2025 een eerste juridische uitdaging. Het Gerecht van de EU verwierp op 3 september 2025 het beroep in zaak T-553/23.

Maar er loopt nog een hoger beroep, en kritiek op de houdbaarheid blijft bestaan.

Wat dat voor je website betekent

De juridische grond bestaat, maar staat opnieuw onder druk. Het vorige kader, Privacy Shield, sneuvelde al.

Bouw je je website op de aanname dat trans-Atlantische doorgifte voor altijd geregeld is? Dan neem je een gok.

Vuistregel: EU-hosting haalt die afhankelijkheid weg.

Welke vragen stel je voordat je een platform of host kiest?

De belangrijkste vraag is niet “is dit GDPR-proof”. Wel: “waar belandt mijn data, en kan de leverancier dat aantonen”.

Stel deze vijf vragen voordat je je vastlegt:

1. In welke regio draait de hosting, en kan ik die regio zelf kiezen? Sommige SaaS-platformen hosten op eigen infrastructuur. Je krijgt dan weinig controle over de locatie. Controleer of EER-hosting een optie is.
2. Waar staan de backups? Een EU-server met backups buiten de EER lost het probleem niet op.
3. Wie zijn de subverwerkers? Vraag de lijst op. CDN, e-mail, analytics en betalingsproviders tellen allemaal mee.
4. Stuurt het CMS of de formuliertool data naar buiten de EER? Dit is een veelvoorkomend lek bij headless-opstellingen, waar de headless CMS en de front-end op verschillende plekken kunnen draaien.
5. Welk transfermechanisme gebruikt de leverancier, en heb je een verwerkersovereenkomst? Een serieuze partij heeft een DPA en documenteert zijn doorgiftes.

Een uitgebreidere vergelijking van hostingpartijen staat in webhosting kiezen in België en een websitehosting kiezen.

Platformneutraliteit is hier belangrijk

Elk platform verdeelt de controle anders. Zo zien de drie opties eruit:

WordPress: vrije host, maar let op plug-ins

WordPress laat je vrij om een Europese host te kiezen. Maar de plug-ins en externe diensten die je toevoegt, bepalen mee waar data heen gaat.

WordPress.org, oktober 2026. De software is gratis, de keuze van host en plug-ins ligt bij jou.

Welke hosts daarvoor in aanmerking komen, lees je in WordPress-hosting vergelijken.

Webflow en SaaS: eenvoud, minder regiocontrole

Webflow en andere SaaS-platformen nemen hostingbeslissingen grotendeels voor je. Dat levert eenvoud op, maar minder regiocontrole.

Hoe Webflow zijn hosting regelt, staat in Webflow-hosting uitgelegd.

Headless of custom: de meeste controle

Een headless of custom opstelling geeft je de meeste controle. Dat heeft een prijs. Ze legt ook de verantwoordelijkheid om alles correct te configureren bij jou.

Geen enkele optie is per definitie “GDPR-veiliger”. Het hangt af van je leverancier, je tools en hoe zorgvuldig je de keten in kaart brengt.

Kort gezegd: de keten telt, niet het merk van het platform.

Is EU-hosting alleen een juridisch verhaal?

Nee, en dat is precies waarom het een sterke standaardkeuze is voor Benelux B2B.

Naast de juridische eenvoud levert EU-hosting twee tastbare voordelen op.

Voordeel 1: snelheid

Een server dicht bij je publiek betekent kortere laadtijden. Dat is goed voor je Core Web Vitals en dus voor conversie.

Voor een Belgisch of Nederlands publiek is een Europees datacenter fysiek dichterbij dan een Amerikaans.

Je ziet het effect in de veldgegevens van PageSpeed Insights, gemeten bij echte bezoekers:

Onze eigen mobiele veldgegevens in PageSpeed Insights, oktober 2026. LCP van 1,9 s valt binnen Googles grens van 2,5 seconden.

Hosting is maar een van de factoren achter die cijfers.

Meer daarover in hosting, snelheid en SEO, en test je eigen site met onze website snelheidstest.

Voordeel 2: vertrouwen

In B2B koopt niemand van een partij die slordig omgaat met data.

Kunnen aantonen dat je website en leads in Europa staan, is een geloofwaardigheidssignaal. Het past bij het bredere werk om vertrouwen te wekken op je B2B-website.

Het verlaagt de drempel in gevoelige sectoren, zoals zorg en financiële diensten. En bij grotere accounts met een eigen inkoop- of securityproces.

In de zorg speelt dat extra zwaar. Hoe je daar privacyveilige afspraak- en contactformulieren op een zorgwebsite opzet, werken we apart uit.

Datalocatie bij een verhuizing

Datalocatie is ook een aandachtspunt bij verhuizingen.

Wil je naar een andere host of regio?

Lees dan eerst onze gids over websitemigratie zonder rankingverlies.

Veelgestelde vragen over EU hosting en GDPR

Is hosting buiten de EU verboden onder de GDPR?

Nee. Het mag. Je hebt dan wel een geldige grond voor de doorgifte nodig, zoals een adequaatheidsbesluit of standaardcontractbepalingen.

Is mijn site GDPR-conform als de server in de EU staat?

Niet automatisch. Backups, CDN, formulieren, analytics en subverwerkers kunnen de data alsnog buiten de EER brengen.

Mag ik nog Amerikaanse tools gebruiken?

Ja, via het EU-US Data Privacy Framework als de leverancier gecertificeerd is. Of via standaardcontractbepalingen. Het kader staat wel juridisch onder druk.

De korte samenvatting

De GDPR dwingt je niet tot EU-hosting.

Maar de plek waar je data staat, bepaalt hoeveel regels, risico en bewijslast je op je nek haalt.

Blijf je binnen de EER, dan vermijd je het hele vraagstuk van internationale doorgifte. En de onzekerheid die sinds Schrems II rond trans-Atlantische data hangt.

Kies je een leverancier buiten de EER? Breng dan de volledige keten in kaart: server, backups, CDN, formulieren, subverwerkers en teamtoegang.

Voor de meeste Benelux B2B-bedrijven is EU-hosting de eenvoudigste keuze: juridisch netjes, snel en geloofwaardig.

Wil je dat goed geregeld hebben in een website die ook leads oplevert? Bekijk dan onze aanpak voor website ontwikkeling of begin bij de B2B-website gids.

Neem contact op