Kort antwoord: digitale soevereiniteit betekent dat jij, en het recht van je eigen land, bepalen wat er met je gegevens en diensten gebeurt. Niet alleen de plek van de server telt, maar vooral welk bedrijf hem beheert: een Amerikaans bedrijf moet gegevens ook uit een Europees datacenter afgeven als Amerikaanse autoriteiten dat eisen (de CLOUD Act). Soevereiniteit is geen alles-of-niets. Begin bij wat het gevoeligst is (je e-mail en klantgegevens) en bij wat je onmisbaar is (je domeinnaam), en kies daar een Europese aanbieder met sleutels in eigen hand en een makkelijke weg naar buiten.
Wat is digitale soevereiniteit?
Het woord klinkt groot, maar voor een ondernemer komt het neer op vier vragen over elke dienst die je gebruikt:
- Waar staan je gegevens?In welk land staan de servers, en waar staan de back-ups?
- Welk recht geldt?In welk land zit het bedrijf dat de dienst levert, en het moederbedrijf daarboven? Dat bepaalt welke overheid gegevens kan opeisen, niet de plek van de server.
- Wie heeft de sleutels?Kan de aanbieder (of iemand die hem dwingt) je gegevens lezen, of zijn ze versleuteld met een sleutel die een ander niet heeft? En wie mag wijzigingen doen in je account?
- Kun je weg?Krijg je je gegevens mee in een gewoon formaat, en kun je naar een andere aanbieder zonder alles opnieuw te bouwen? Wie niet weg kan, is afhankelijk, hoe goed de voorwaarden ook zijn.
Soevereiniteit is dus meer dan privacy. Het gaat ook om continuïteit: blijft je dienst werken als een buitenlandse overheid, een handelsconflict of een eenzijdige prijsverhoging tussen jou en je aanbieder komt?
Waarom het nu speelt
- De CLOUD Act. Deze Amerikaanse wet uit 2018 verplicht Amerikaanse aanbieders gegevens af te geven die zij in hun bezit of beheer hebben, "ongeacht" of die in de Verenigde Staten of daarbuiten staan. Een Europees datacenter van een Amerikaans bedrijf valt daar dus ook onder.
- Aanbieders zeggen het zelf. Microsoft France verklaarde in juni 2025 onder ede in de Franse Senaat dat het niet kan garanderen dat gegevens van Franse klanten nooit zonder toestemming van Franse autoriteiten aan de VS worden gegeven. Het voegde eraan toe dat dat nog nooit was gebeurd.
- Afspraken die kunnen schuiven. Gegevens naar de VS sturen mag onder de AVG op basis van het EU-VS Data Privacy Framework uit 2023. Het Gerecht van de EU liet dat in september 2025 in stand, maar het rust op Amerikaanse toezeggingen en toezicht. Twee eerdere afspraken (Safe Harbor en Privacy Shield) werden door het Europese Hof vernietigd.
- De overheid kiest. De Tweede Kamer nam in maart 2025 moties aan om de afhankelijkheid van Amerikaanse clouddiensten te verkleinen, met als doel dat de digitale overheid niet rechtstreeks afhankelijk is van partijen uit de VS. De Europese Commissie maakte soevereiniteit meetbaar met een Cloud Sovereignty Framework (acht doelstellingen, van juridisch tot operationeel en de toeleveringsketen) en gunde in april 2026 haar eigen soevereine cloudcontracten aan vier Europese aanbieders.
Voor de meeste ondernemers is de kans klein dat een buitenlandse overheid ooit hun mail opvraagt. Het punt is dat je het niet in de hand hebt, en dat je het bij een verwerkersovereenkomst, een aanbesteding of een klant met gevoelige gegevens steeds vaker moet kunnen uitleggen.
Een Europees datacenter is niet genoeg
Veel Amerikaanse aanbieders bieden een "EU-regio" of een "EU Data Boundary": je gegevens blijven in Europese datacenters. Dat helpt voor de AVG en voor de snelheid, maar het verandert niet wie de aanbieder is. Het moederbedrijf blijft onder Amerikaans recht vallen, en daarmee onder de CLOUD Act. Sommige aanbieders hebben daarom aparte "soevereine" varianten met een Europese dochter of een Europese partner die het beheer doet. Of dat genoeg is, hangt af van wie er uiteindelijk zeggenschap heeft over de software, de updates en de sleutels. Vraag dat na; de naam alleen zegt het niet.
Andersom is een Europees bedrijf niet automatisch soeverein. Ook een Europese aanbieder kan zijn back-ups of een deel van zijn diensten bij een Amerikaanse partij onderbrengen. Kijk daarom ook naar de lijst met subverwerkers: daar moet elke aanbieder vermelden met wie hij werkt en waar.
Waar begin je als ondernemer?
Je hoeft niet alles tegelijk om te zetten. Begin waar het meeste op het spel staat:
- Je e-mail. Hierin staan offertes, contracten, klantgegevens en wachtwoordherstel van al je andere accounts. Het is meestal je gevoeligste en belangrijkste dienst. Zie overstappen van Microsoft 365 of van Google Workspace, en eerlijk wanneer je beter blijft.
- Je domeinnaam en DNS. Wie je domeinnaam beheert, beheert je website én je e-mail. Kies een extensie met een Europese registry: .nl (SIDN), .be (DNS Belgium) of .eu (EURid). De registry van .com en .net is het Amerikaanse Verisign. Beveilig je account met een passkey en zet DNSSEC aan.
- Klantgegevens in je website of webapp. Een formulier, een klantportaal of een database met bestellingen hoort op servers van een Europees bedrijf, met een verwerkersovereenkomst.
- Back-ups. Een back-up bij een andere partij is goed tegen uitval, maar versleutel hem voordat hij vertrekt. Dan maakt het minder uit waar hij staat.
Een openbare website zonder formulieren is minder gevoelig: wat erop staat, is toch al voor iedereen te zien. Daar telt vooral of je weg kunt.
Zes vragen voor je aanbieder
- In welk land zit uw bedrijf, en heeft het een moederbedrijf buiten de EU?
- Waar staan mijn gegevens en de back-ups, en welke subverwerkers kunnen erbij?
- Zijn back-ups versleuteld voordat ze naar een andere partij gaan, en wie heeft de sleutel?
- Wie in uw bedrijf (of daarbuiten) kan in mijn account en mijn gegevens, en zie ik dat terug in een log?
- Hoe krijg ik al mijn gegevens mee, in welk formaat, en kost dat iets?
- Wat gebeurt er met mijn dienst als u stopt, verkocht wordt of de prijzen verhoogt?
Een goede aanbieder beantwoordt deze vragen op zijn website, zonder dat je erom hoeft te vragen.
Hoe CloudVikings het doet, eerlijk per onderdeel
CloudVikings is een Nederlands bedrijf uit Uden, zonder buitenlands moederbedrijf. We beheren onze eigen servers. Maar we zijn niet voor honderd procent Europees, en dat zeggen we liever zelf:
| Onderdeel | Bij wie | Waar | Toelichting |
|---|---|---|---|
| Mijn CloudVikings (portaal) | Eigen servers bij Hetzner (Duits bedrijf) | Finland | Alle gegevens van je account en organisatie. |
| Hosting (Sites en Apps) | Eigen servers bij Hetzner | Duitsland | Ook de databases van apps. |
| Zakelijke e-mail | Eigen mailservers bij Hetzner | Duitsland en Finland | Drie servers; berichten, agenda's en contacten. |
| DNS | Hetzner (hoofdserver, ns2), OVH (Frans bedrijf, ns3), Vultr (Amerikaans bedrijf, ns1) | Finland, Duitsland, Frankrijk, Amsterdam | ns1 staat bij een Amerikaans bedrijf. Het bevat alleen een kopie van je DNS, en die is toch al openbaar. Valt ns1 weg, dan antwoorden ns2 en ns3 gewoon. |
| Back-ups | Wasabi (Amerikaans bedrijf) | Amsterdam | Wasabi is een Amerikaans bedrijf, daarom versleutelen we de back-ups van het portaal, van de databases van apps en van mailboxen voordat ze de server verlaten, met een sleutel die alleen wij hebben. De versies van websites staan er onversleuteld: dat zijn de bestanden die je publiceert. |
| Domeinnamen | Registrar Realtime Register (Nederlands) | Nederland | De registry hangt af van de extensie: .nl, .be en .eu zijn Europees, .com en .net niet. |
| Betalingen en boekhouding | Mollie en Moneybird (Nederlands) | Nederland | |
| Servicemails | Lettermint (Nederlands) | Nederland | Meldingen, codes en facturen. |
| Mail van ons team | Microsoft 365 | EU (EU Data Boundary) | Als je ons mailt, staat dat bij Microsoft, een Amerikaans bedrijf. Je gegevens in Mijn CloudVikings niet. |
| Statuspagina | Atlassian Statuspage (Amerikaans) | VS | Alleen het e-mailadres van wie zich abonneert op storingsmeldingen. |
| Certificaten voor https | Let's Encrypt (VS) en ZeroSSL | VS en Oostenrijk | Ontvangen alleen de domeinnaam, die toch openbaar wordt gelogd. |
De volledige en actuele lijst staat op subverwerkers. Wijzigingen kondigen we minstens 30 dagen vooraf aan.
De sleutels in jouw hand
- Niemand wijzigt iets zonder jou. Inloggen kan alleen met een passkey of authenticator-app, en elke wijziging bevestig je opnieuw. Een webbureau of AI-assistent kan alleen voorstellen. Zie veiligheid.
- Je ziet wat er gebeurt. Elke actie, ook van ons als we je helpen, staat in een activiteitenlog. Dat log kan niet achteraf worden aangepast zonder dat het opvalt: de controlesom publiceren we elk uur op verankering.
- Een AI-assistent kies je zelf. Koppel je Claude, ChatGPT of een andere assistent, dan ziet die aanbieder wat de assistent leest. Die partijen zijn meestal Amerikaans en geen subverwerker van ons. Je bepaalt zelf welke assistent je koppelt en wat hij mag; zie veilig werken met AI.
Je kunt altijd weg
- Domeinnamen: je kunt altijd naar een andere aanbieder verhuizen. De verhuiscode vraag je zelf op in Mijn CloudVikings; bij sommige extensies stuurt de registry hem rechtstreeks naar je toe. Zie verhuiscode opvragen.
- Websites: een Site bestaat uit gewone HTML-, CSS- en JavaScript-bestanden. Elke versie download je als zip.
- Apps: een App draait vanuit je eigen Dockerfile. De database en de bestanden download je in één export.
- E-mail: mailboxen werken met open standaarden (IMAP, CalDAV en CardDAV). Je mail, agenda en contacten neem je met elk mailprogramma mee.
- DNS: al je records zie je in Mijn CloudVikings en kun je bij elke andere DNS-aanbieder opnieuw invoeren. Zie nameservers wijzigen.
Veelgestelde vragen
Staat je vraag er niet bij? Bel 0413 - 410 014 of mail info@cloudvikings.nl.
Is mijn mail bij CloudVikings veilig voor de CLOUD Act?
De CLOUD Act geldt voor bedrijven onder Amerikaans recht. CloudVikings is een Nederlands bedrijf en de mailservers staan bij Hetzner, een Duits bedrijf. De back-up staat bij Wasabi, een Amerikaans bedrijf, maar is versleuteld voordat hij de server verlaat, met een sleutel die Wasabi niet heeft. Nederlandse autoriteiten kunnen met een wettelijke grondslag wel gegevens opvragen; zie misbruik en meldingen.
Is een EU-regio bij Microsoft, Google of Amazon niet genoeg?
Voor de AVG kan dat genoeg zijn: een verwerkersovereenkomst en het EU-VS Data Privacy Framework maken het gebruik toegestaan. Voor soevereiniteit niet helemaal: het bedrijf blijft Amerikaans en valt onder de CLOUD Act, ook voor gegevens in Europa. Hoe zwaar je dat laat wegen, hangt af van je gegevens en je klanten.
Is Hetzner een Europees bedrijf?
Ja. Hetzner Online GmbH is een Duits bedrijf. Onze servers bij Hetzner staan in Duitsland en Finland; daar draaien Mijn CloudVikings, de hosting en de mail.
Moet ik nu alles overzetten?
Nee. Begin met wat het gevoeligst of het belangrijkst is, meestal je e-mail en je domeinnaam. Gebruik je Teams, SharePoint of Google Docs intensief, dan is overstappen een grotere stap; dat hoeft niet in één keer.
Is versleuteling niet genoeg, ongeacht waar het staat?
Versleuteling helpt veel, mits alleen jij of je Europese aanbieder de sleutel heeft. Bij een dienst die je gegevens moet kunnen lezen om te werken (zoals webmail, een zoekfunctie of een database) heeft de aanbieder de sleutel wel. Daar telt dus weer wie de aanbieder is.
Is een .com-domeinnaam een risico?
De registry van .com is het Amerikaanse Verisign. In de praktijk werkt een .com voor Europese bedrijven gewoon. Wil je je belangrijkste adres zo Europees mogelijk houden, kies dan .nl, .be of .eu als hoofddomein en gebruik een .com hooguit als extra.
Bronnen (geraadpleegd 27 oktober 2026): CLOUD Act, 18 U.S.C. § 2713 ("regardless of whether such communication, record, or other information is located within or outside of the United States"); Sénat: hoorzitting Microsoft France, commissie d'enquête commande publique (10 juni 2025); Gerecht van de EU, zaak T-553/23 Latombe/Commissie (3 september 2025); Dutch IT Channel: Tweede Kamer akkoord met moties over Europese alternatieven (19 maart 2025); Europese Commissie: Commission advances cloud sovereignty through strategic procurement (17 april 2026); onze subverwerkers.