Waar een website staat: serverlocatie, AVG en de grenzen van het EU-argument

„Onze gegevens staan in Frankfurt" — zinnen als deze duiken in offertes van webdienstverleners steeds vaker op. Maar wat betekent de locatie van een datacenter werkelijk: voor de snelheid van een website, voor de gegevensbescherming, voor de rechtszekerheid? En waar houdt de geruststellende werking van het woord „EU-server" op? Een duiding voor bedrijven die willen begrijpen wat ze daar eigenlijk inkopen.

Transparantie: dit artikel verschijnt als advertentie en komt uit de omgeving van BitBau uit Osnabrück (Duitstalig), een webbureau dat klantprojecten op infrastructuur op de locatie Frankfurt draait. De tekst is geen juridisch advies — hij wil de technische en juridische samenhangen zo uitleggen dat je de eigen dienstverlener de juiste vragen kunt stellen.

Eerst de techniek. Hosting betekent: ergens staat een computer die de website uitlevert zodra iemand hem opvraagt. Tussen die computer en de bezoeker liggen glasvezel, knooppunten — en natuurkunde. Gegevens reizen snel, maar niet oneindig snel, en elke aanvraag pendelt meermaals heen en weer tussen browser en server. Hoe verder de server verwijderd is, hoe merkbaarder die wegen zich opstapelen.

Voor een publiek in Duitsland, Oostenrijk en Zwitserland is Frankfurt daarom geen toevallige keuze: de stad herbergt een van de belangrijkste internetknooppunten van Europa, hier komen de leidingen samen. Een in Frankfurt gehoste site antwoordt bezoekers uit het Duitse taalgebied simpelweg sneller dan dezelfde site vanaf de Amerikaanse oostkust. Het verschil ligt in de orde van tienden van seconden — wat onschuldig klinkt, maar meebeslist over gevoelde traagheid, bouncepercentages en de beoordeling door zoekmachines.

Moderne hostingplatformen relativeren de afstand deels door kopieën van de website over servers wereldwijd te verdelen. Voor het louter uitleveren van pagina's werkt dat goed. Maar zodra individuele aanvragen worden verwerkt — een formulier, een inlog, een boeking — moet de aanvraag daarheen waar de eigenlijke verwerking plaatsvindt. En daarmee zijn we bij het tweede, zwaarwegender thema: waar worden gegevens verwerkt, en naar welk recht?

Voordat die vraag te beantwoorden valt, loont een blik op wat „de website" in technische zin allemaal omvat. Want bij de site hoort meer dan de webserver: een database waarin inhoud en formulierinzendingen staan; back-ups die op een andere plek kunnen liggen dan het origineel; logbestanden die vastleggen wie wanneer wat heeft opgevraagd; de dienst die formulierinzendingen als e-mail bezorgt; mogelijk een werktuig voor foutbewaking. Elk van deze componenten kan bij een andere aanbieder in een andere wereldregio draaien — en over elk laat zich de locatievraag afzonderlijk stellen. Zij is daarom geen enkele vraag, maar een kleine inventarisatie van de eigen site.

Want een website zonder persoonsgegevens bestaat praktisch niet. Alleen al het opvragen van een pagina zendt het IP-adres van de bezoeker mee, dat naar Europees begrip als persoonsgegeven geldt; daar komen serverlogboeken, formulierinzendingen, cookies en ingesloten diensten bij. De Algemene verordening gegevensbescherming, de AVG, legt de verantwoordelijkheid daarvoor bij de websitehouder — niet bij de hoster. De dienstverlener verwerkt de gegevens juridisch in zijn opdracht, vastgelegd in een verwerkersovereenkomst.

Die overeenkomst is geen formaliteit, maar het centrale document van de verhouding tussen exploitant en dienstverlener. Zij regelt gewoonlijk welke gegevens voor welk doel worden verwerkt, dat de dienstverlener uitsluitend op instructie handelt, welke subverwerkers hij mag inzetten, hoe gegevens na afloop van het contract worden gewist en hoe hij de exploitant ondersteunt wanneer betrokkenen inzage of verwijdering verlangen. Grote platformen stellen zulke overeenkomsten gestandaardiseerd beschikbaar — met aanklikken is het echter niet gedaan: de exploitant zou het document daadwerkelijk moeten ophalen, opbergen en weten wat erin staat. Want bij twijfel moet hij zelf kunnen aantonen dat de verwerking ordelijk is overeengekomen.

Ingewikkeld wordt het zodra gegevens de EU verlaten. De AVG staat doorgiften naar derde landen alleen onder bijzondere voorwaarden toe, en om geen enkel derde land wordt zo intensief geworsteld als om de Verenigde Staten. Tweemaal al heeft het Europese Hof van Justitie regelingen onderuitgehaald die het gegevensverkeer over de Atlantische Oceaan moesten waarborgen — voor het laatst in 2020 in de uitspraak die als „Schrems II" bekend werd. Sinds 2023 geldt met het EU-US Data Privacy Framework de derde aanloop: Amerikaanse bedrijven die zich daaronder certificeren, gelden als toelaatbare ontvangers.

Eerlijkheidshalve hoort daarbij: ook deze derde aanloop wordt juridisch aangevochten, en niemand kan garanderen dat hij op den duur standhoudt. Voor bedrijven betekent dat geen paniek, maar voorzorg. Overeenkomsten met dienstverleners zouden naast het framework ook de klassieke standaardcontractbepalingen moeten voorzien, zodat bij een nieuwe val niet van de ene op de andere dag de rechtsgrondslag ontbreekt. Wie vandaag infrastructuur inkoopt, koopt de vraag mee in hoe crisisbestendig de juridische grondslag daarvan is.

Op dit punt stelt zich voor veel bedrijven de principiële vraag: een Europese aanbieder of een Amerikaans platform met een Europese locatie? Beide zijn verdedigbaar, en beide hebben hun prijs. Een hoster met vestiging in Duitsland of de EU vereenvoudigt de juridische situatie merkbaar — daar staat tegenover dat meer beheerwerk bij de dienstverlener of bij het bedrijf zelf ligt: updates, schaling en publicatieprocessen willen georganiseerd zijn, en de technische integratie van moderne frameworks is niet altijd zo hecht als bij de gespecialiseerde platformen. De grote Amerikaanse aanbieders nemen juist dat werk uit handen, maar brengen de beschreven doorgiftevragen mee. Belangrijk is minder welk antwoord een bedrijf kiest, dan dat het de keuze bewust maakt, de afweging vastlegt — en haar desgevraagd kan onderbouwen.

Tegen die achtergrond wordt duidelijk wat een EU-serverlocatie presteert — en wat niet. Zij zorgt ervoor dat de lopende verwerking ruimtelijk in Europa plaatsvindt, verkort de wegen en vereenvoudigt de gegevensbeschermingsrechtelijke argumentatie aanzienlijk. Maar zij maakt van een Amerikaanse aanbieder geen Europees bedrijf: exploiteert een Amerikaanse moedermaatschappij het platform, dan blijven er vragen — bijvoorbeeld de veelbesproken vraag of Amerikaanse autoriteiten onder bepaalde omstandigheden afgifte kunnen verlangen van gegevens die fysiek in Europa staan. Dat juridische debat is niet afgesloten. Serieus is het te benoemen in plaats van het weg te lachen.

Hoe gaat men daar praktisch mee om? Dat laat zich tonen aan het voorbeeld van het bureau achter dit artikel. BitBau draait klantprojecten op Vercel-infrastructuur op de locatie Frankfurt. De afweging daarachter is typerend voor veel digitale projecten: het platform is technisch nauw toegesneden op het gebruikte framework en neemt de exploitant veel beheerwerk uit handen; de locatie Frankfurt houdt latentie en lopende gegevensverwerking binnen de Europese ruimte. Tegelijk is Vercel een Amerikaans bedrijf — waarom verwerkersovereenkomst, certificering onder het Data Privacy Framework en standaardcontractbepalingen tot het verplichte programma horen, niet tot de vrije oefening. Een EU-locatie vervangt dat huiswerk niet; zij vult het aan.

Die eerlijkheid onderscheidt houdbaar advies van etikettenzwendel. „Serverlocatie Duitsland" is een argument, geen vrijbrief: een website kan in Frankfurt gehost zijn en toch problemen met gegevensbescherming hebben — bijvoorbeeld wanneer hij lettertypen, video's of analysewerktuigen van servers van derden nalaadt die bezoekersgegevens over de hele wereld doorgeven. Duitse rechters hebben er al aanstoot aan genomen dat alleen al het insluiten van lettertypen die van Amerikaanse servers worden geladen, het IP-adres van de bezoeker ongevraagd doorgeeft. De ketting is zo sterk als haar zwakste schakel.

Daarom loont de blik op de hele website, niet alleen op de hoster. Welke diensten van derden zijn ingesloten — kaartdiensten, lettertypen, video's, statistiek? Laten lettertypen zich lokaal vanaf de eigen server uitleveren in plaats van vanaf vreemde? Is dat externe analysewerktuig werkelijk nodig, of volstaat een gegevensbesparend alternatief? Zulke vragen beslissen in de praktijk vaker over de gegevensbeschermingskwaliteit van een website dan de keuze van het datacenter.

Bij zorgvuldigheid hoort ten slotte dat de papieren werkelijkheid gelijke tred houdt met de echte. Wisselt de hoster, komt er een analysewerktuig bij of valt een dienst weg, dan moet de privacyverklaring dat weergeven — een verklaring die diensten opsomt die allang zijn uitgezet, of nieuwe verzwijgt, is meer dan een schoonheidsfoutje. Hetzelfde geldt voor de interne documentatie van de verwerkingen, die op dezelfde stand zou moeten zijn als de website zelf. Dat is geen eenmalige projecttaak voor de livegang, maar lopend onderhoud — en tegelijk een goede aanleiding om het bestand aan diensten van derden eens per jaar principieel te bevragen: wat daarvan is eigenlijk nog nodig, en wat loopt alleen maar mee omdat niemand het ooit heeft verwijderd?

Voor het gesprek met de eigen dienstverlener volstaat dan een korte vragenlijst. Is er een verwerkersovereenkomst, en heeft het bedrijf die ook daadwerkelijk in bezit? In welke regio worden website, database en back-ups verwerkt — en is dat contractueel vastgelegd of slechts een standaardinstelling? Welke subverwerkers zijn erbij betrokken, en waar zitten die? Op welke rechtsgrondslag steunen doorgiften naar derde landen? En ten slotte: wie meldt zich binnen welke termijn wanneer er iets misgaat?

Wie op deze vragen heldere antwoorden krijgt, werkt met een dienstverlener die zijn vak serieus neemt. Ontwijkende antwoorden — „daar zorgt de hoster voor", „dat is allemaal gecertificeerd" — zijn daarentegen een waarschuwingssignaal, want verantwoordelijk blijft uiteindelijk de websitehouder zelf. Gegevensbescherming laat zich delegeren zoals de boekhouding: je kunt vakmensen inschakelen, maar de verantwoordelijkheid niet afgeven.

Dat geldt overigens ongeacht de omvang van het project. Ook wie zijn website met een bouwpakket exploiteert, heeft een hostingaanbieder — hij heeft die alleen niet bewust gekozen, omdat hij in het pakket zit. De vragen blijven dezelfde: waar verwerkt de aanbieder de gegevens, is er een verwerkersovereenkomst, welke subverwerkers zijn erbij betrokken? Het verschil is enkel dat de antwoorden in de contractstukken van de bouwpakketaanbieder staan in plaats van in een individueel onderhandelde overeenkomst. Nalezen zou je ze in beide gevallen moeten — de verantwoordelijkheid van de exploitant krimpt niet mee met de maandprijs.

Blijft de uitgangsvraag: telt de locatie? Ja — zelfs in drievoud. Technisch, omdat nabijheid snelheid betekent en snelheid over gebruik beslist. Juridisch, omdat verwerking binnen de Europese rechtsruimte de argumentatie vereenvoudigt en de afhankelijkheid van fragiele trans-Atlantische regelingen verkleint. En als signaal, omdat een dienstverlener die open spreekt over locaties, contracten en grensgevallen, vermoedelijk ook verder zuiver werkt. Slechts één ding is de locatie nooit: een vervanging voor het eigen huiswerk — zuinig omgaan met diensten van derden, zuivere contracten en een privacyverklaring die beschrijft wat er werkelijk gebeurt.