Locatie is geen jurisdictie: waarom 'onze data staat in Frankfurt' bijna niets zegt

Vraag een ondernemer waar zijn bedrijfsdata staat en je krijgt, als hij het al weet, vrijwel altijd een geografisch antwoord. “Onze data staat gewoon in Frankfurt.” Of Amsterdam, of Dublin. En meestal klopt dat antwoord ook — de servers stáán daar echt.

Het probleem is dat het antwoord op de verkeerde vraag is. Er lopen hier twee vragen door elkaar die niets met elkaar te maken hebben: wáár staat je data, en onder welk recht valt hij. De eerste is een geografische vraag, de tweede een juridische. Ze kunnen — en dat is het hele punt van dit stuk — tegengesteld beantwoord worden. Je data kan fysiek in Frankfurt staan en juridisch onder Amerikaans recht vallen. Sterker: voor een flink deel van het Nederlandse MKB is dat precies de situatie.

Niet het datacenter, maar het contract

De jurisdictievraag wordt niet beantwoord door de plek van de server, maar door de vraag: met wie heb je eigenlijk een overeenkomst, en onder wiens zeggenschap valt die partij?

Een uitgewerkt voorbeeld dat we in de praktijk voortdurend tegenkomen. Een Nederlandse WooCommerce-webshop draait via Cloudways, een populair beheerplatform, op een server in Frankfurt. Gevoelsmatig: Europese hosting. Maar volg de contractketen. Cloudways is sinds de overname in 2022 onderdeel van DigitalOcean Holdings, Inc. — een Amerikaans beursgenoteerd bedrijf. De partij waarmee de webshop een overeenkomst heeft, en die feitelijk de zeggenschap heeft over de omgeving waar de klantdata in staat, is dus een Amerikaanse onderneming. De server staat in Duitsland; het bedrijf dat erover gaat, valt onder Amerikaans recht.

De twee wetten die je moet kennen — in twee alinea’s

De CLOUD Act (2018) regelt dat Amerikaanse autoriteiten, met een geldig bevel, data kunnen vorderen bij bedrijven die onder Amerikaanse jurisdictie vallen — ongeacht waar die data fysiek staat. De wet is expliciet op dit punt: opslag buiten de Verenigde Staten is geen verweer. Een Amerikaans bedrijf met een datacenter in Frankfurt kan dus een vordering krijgen over de data ín dat Frankfurtse datacenter. De CLOUD Act is permanente wetgeving; er zit geen einddatum aan.

FISA Section 702 is de bevoegdheid waaronder Amerikaanse inlichtingendiensten communicatie van niet-Amerikanen buiten de VS mogen verzamelen bij Amerikaanse aanbieders van communicatiediensten — zonder individuele rechterlijke toets per doelwit. Wie de actualiteit volgt, weet dat deze wet in juni 2026 is verlopen nadat het Congres er niet uitkwam over herautorisatie. Maar let op de nuance, want die is leerzaam: de jaarlijkse certificeringen die de FISA-rechtbank in maart 2026 goedkeurde, blijven gewoon geldig tot maart 2027, en medewerking aan lopende bevelen blijft voor bedrijven verplicht. De wet is verlopen; de praktijk draait door, terwijl in Washington over een nieuwe versie wordt onderhandeld.

De nuchtere weging

En nu de vraag die er echt toe doet: maakt dit voor jou iets uit?

Hier past eerlijkheid, want er wordt rond dit onderwerp veel angst verkocht. De kans dat de klantdata van een Nederlandse bloemenwebshop ooit het onderwerp is van een Amerikaanse vordering is verwaarloosbaar. Die data is geen doelwitcategorie, en de bevoegdheden hierboven beschrijven wat autoriteiten kunnen, niet wat ze dagelijks bij MKB-bedrijven doen. Wie je vertelt dat je morgen moet migreren omdat de CLOUD Act bestaat, verkoopt je iets met de verkeerde argumenten.

Maar er zijn drie situaties waarin het verhaal kantelt. De eerste: je levert — direct of via een tussenpartij — aan overheid, zorg of onderwijs. Sinds juli 2026 verplicht het herziene rijksbrede cloudbeleid overheidsorganisaties om per clouddienst een risicoanalyse en exitplan te hebben, inclusief jurisdictie-afweging; die vraag komt via inkoop onvermijdelijk bij leveranciers terecht. De tweede: je verwerkt data waarvan de gevoeligheid het gesprek waard is — persoonsgegevens op schaal, medische gegevens, concurrentiegevoelige informatie van klanten. De derde, en meest onderschatte: je kunt op dit moment simpelweg niet aantonen hoe het zit. En aantoonbaarheid — niet het vorderingsrisico — is voor de meeste bedrijven het werkelijke punt. De vraag “waar staat onze data en onder welk recht valt hij?” komt tegenwoordig van accountants, van verzekeraars, van opdrachtgevers met een eigen cloudbeleid, van aanbestedingsteams. “Dat weten we eigenlijk niet” is in die gesprekken een slechter antwoord dan elk eerlijk feitelijk antwoord — inclusief “onder Amerikaans recht, en dat vinden we voor onze situatie acceptabel”.

Waarom je dit niet weet van je eigen stack

Als je nu denkt: ik zou het van mijn eigen bedrijf niet zeker weten — dat is geen nalatigheid, dat is hoe de markt in elkaar zit. Merknamen verhullen contractketens. Het “Nederlandse” hostingpakket blijkt bij doorvragen een wederverkoper op een Amerikaans platform. De nieuwsbrieftool die een vorige marketeer ooit aanzette, mailt al jaren via een Amerikaanse dienst zonder dat iemand die keuze bewust heeft gemaakt. Overnames veranderen de keten zonder dat jij iets merkt: wie in 2021 bewust voor Cloudways koos vanwege de Europese servers, werd in 2022 zonder eigen toedoen klant van een Amerikaans concern.

De snelste bron van waarheid is daarom niet je hostingdashboard maar je factuur. Daar staat de juridische entiteit waarmee je daadwerkelijk zaken doet — en die naam is verrassend vaak een andere dan het merk op de doos.

Zelf checken in tien minuten

Wil je een eerste beeld, pak dan drie facturen: hosting, e-mail, domeinregistratie. Zoek per factuur de juridische entiteit op die erop staat, en zoek van die entiteit het moederbedrijf en het land van zeggenschap. Drie antwoorden, tien minuten werk, en je weet meer over je jurisdictiepositie dan de meeste van je concurrenten over de hunne.

Wat je dan nog níét weet: welke partijen er via je website meelezen (analytics, fonts, chatwidgets), waar je back-ups fysiek staan, welke subverwerkers je leveranciers gebruiken en wat er contractueel geregeld is over doorgifte en beëindiging.

Soms is het antwoord: dit is prima

Dit stuk is geen oproep om te migreren. Voor een flink deel van de bedrijven die wij scannen is de conclusie voor minstens een deel van hun stack dat blijven verdedigbaar is — en dan staat dat zo in het rapport. Het verschil tussen vóór en na zo’n onderzoek is niet per se dat er iets verandert aan je infrastructuur. Het verschil is dat je van “we denken dat het wel goed zit” naar “we weten hoe het zit, en hier staat het zwart op wit” gaat. In een tijd waarin de regels aan beide kanten van de oceaan in beweging zijn — een verlopen surveillancewet hier, een wankelend adequaatheidsbesluit daar — is dat wéten de enige positie die houdbaar blijft, wat er ook verschuift.

Wil je het voor jouw bedrijf uitgezocht hebben, tot op contractniveau en met migratiepaden waar dat zinvol is? Dat is precies wat de Soevereiniteitsscan doet — vaste prijs, en een rapport dat je kunt doorsturen naar iedereen die erom vraagt.

---

Bronnen: CLOUD Act — Congress.gov · CRS-rapport FISA Section 702 en RISAA · Brennan Center: Section 702 explained + status certificeringen · Uitspraak Gerecht EU over Data Privacy Framework, sept. 2025 + officiële DPF-informatie · Herziening rijksbreed cloudbeleid 2026, ministerraad 3 juli 2026.