Krijg inzicht in hosting binnen de EU, internationale gegevensoverdrachten, het kader voor gegevensbescherming en de praktische vragen die u aan een leverancier van HR-software moet stellen.
Bij de keuze voor een HR-platform is het van belang te weten waar de gegevens van werknemers worden opgeslagen, wie er toegang toe heeft en welke beveiligingsmaatregelen van toepassing zijn. Een duidelijk antwoord dient betrekking te hebben op de database, documenten, back-ups, toegang tot ondersteuning en gekoppelde diensten.
Feiten gecontroleerd op 21 september 2026.
Hosting binnen de EU kan een nuttige aanbestedingsvoorwaarde zijn. Dit betekent op zichzelf nog geen naleving, en de AVG legt geen algemeen verbod op het opslaan of verwerken van persoonsgegevens buiten de Europese Economische Ruimte op. Voor internationale doorgiften is een geldige route op grond van hoofdstuk V vereist, naast de overige vereisten die op de verwerking van toepassing zijn. EDPB: internationale doorgiften van gegevens
Vraag de dienstverlener om onderscheid te maken tussen zijn statutaire zetel en zijn verwerkingslocaties. Een EU-bedrijf kan gebruikmaken van infrastructuur of ondersteuningsteams elders. Een serveradres alleen zegt ook weinig over wie de versleutelingssleutels in bezit heeft of op afstand toegang heeft tot de gegevens.
Het Schrems II-arrest uit 2020 heeft het Privacy Shield ongeldig verklaard, maar de standaardcontractbepalingen (SCC’s) als instrument voor gegevensoverdracht bekrachtigd, mits de vereiste beoordeling en beschermingsmaatregelen worden doorgevoerd. SCC’s vormen geen algemene goedkeuring voor elke gegevensoverdracht: de partijen moeten nagaan of deze in de betreffende omstandigheden geschikt zijn en waar nodig aanvullende maatregelen treffen. EDPB: aanvullende maatregelen
De Commissie heeft in 2023 het adequaatheidsbesluit inzake het EU-VS-kader voor gegevensbescherming aangenomen. Dit besluit heeft betrekking op doorgiften aan deelnemende Amerikaanse organisaties binnen het toepassingsgebied van hun certificering. Controleer of de ontvanger momenteel op de lijst staat en of deze de relevante gegevens omvat, waaronder, indien van toepassing, HR-gegevens. Europese Commissie: gegevensoverdrachten tussen de EU en de VS
In september 2025 heeft het Gerecht het beroep in de zaak Latombe tegen de Commissie verworpen, waarbij het de beschikking beoordeelde op het moment dat deze werd vastgesteld. Dit arrest mag niet worden beschouwd als een garantie met betrekking tot toekomstige rechtszaken of overheidsbeleid. Controleer de huidige stand van zaken inzake de adequaatheid wanneer u een aanbestedingsbeslissing neemt. Gerecht: arrest in de zaak Latombe
De CLOUD Act heeft verduidelijkt dat dienstverleners die onderworpen zijn aan relevante Amerikaanse rechtsprocedures, mogelijk gegevens moeten vrijgeven die in hun bezit, bewaring of beheer zijn, zelfs wanneer deze in het buitenland zijn opgeslagen. Dit betekent geen onbeperkte toegang tot elke database in het buitenland, en het feit dat een bedrijf in de VS is gevestigd, biedt op zichzelf geen antwoord op alle vragen met betrekking tot jurisdictie of zeggenschap. Ministerie van Justitie van de VS: toelichting op de CLOUD Act
Nuttige vervolgvragen zijn: welke entiteit heeft toegang tot de gegevens, wie beheert de toegangscodes, hoe worden verzoeken van overheidsinstanties beoordeeld en welke kennisgevingstermijn hanteert de dienstverlener? Die antwoorden zijn veelzeggender dan de belofte dat een bedrijf of serverlocatie elk juridisch risico uitsluit.
Vraag het volgende na voordat u een platform kiest:
Maak een onderscheid tussen applicatiegegevens en factureringsgegevens, maar ga er niet vanuit dat factureringsgegevens anoniem zijn. De contactgegevens van een bij naam genoemde accounteigenaar kunnen nog steeds persoonsgegevens zijn. Optionele integraties moeten worden beoordeeld op zowel de informatie die zij verzenden als de informatie die zij ontvangen.
Bewaar de gegevensverwerkingsovereenkomst (DPA) en de informatie over de gegevensverwerking van de dienstverlener bij uw beoordeling. Leg alle vereisten vast die voor uw organisatie van belang zijn, zoals een specifieke hostingregio of beperkingen op de toegang tot ondersteuning. Vraag schriftelijk om opheldering over onduidelijke punten voordat u vertrouwt op een algemene aanduiding als „gehost in de EU“.
Voor PersoHR kunt u beginnen met onze beveiligingsmaatregelen, gegevensverwerkingsovereenkomst en lijst met subverwerkers. Deze documenten beschrijven verschillende onderdelen van de dienst en dienen in hun onderlinge samenhang te worden gelezen. Een volledig overzicht van de gegevensstroom is nuttiger dan de bewering dat een product louter op basis van de geografische locatie aan de voorschriften voldoet.
Probeer PersoHR 30 dagen gratis. Geen creditcard nodig.
Start uw gratis proefperiode van 30 dagen