GDPR mailhosting in 2026: waar mag je zakelijke mail staan?

# Mag zakelijke mail buiten de EU worden opgeslagen?

Ja, dat mag, zolang de doorgifte voldoet aan de artikelen 44 tot en met 49 van de AVG. De wet noemt geen verplichte opslaglocatie. Ze regelt wel onder welke voorwaarden persoonsgegevens het Europees Economisch Gebied (EER, de EU plus Noorwegen, IJsland en Liechtenstein) mogen verlaten.

Je mailbox bevat persoonsgegevens: namen, e-mailadressen, handtekeningen, offertes en facturen met klantgegevens, soms bijzondere gegevens zoals medische of HR-informatie. Jij bent als ondernemer de verwerkingsverantwoordelijke en je mailprovider is de verwerker. De verantwoordelijkheid voor een correcte doorgifte ligt bij jou, niet bij de provider.

De volledige tekst van de verordening vind je op <a href="https://eur-lex.europa.eu/eli/reg/2016/679/oj" rel="noopener">EUR-Lex. Voor praktische uitleg in het Nederlands is de website van de <a href="https://autoriteitpersoonsgegevens.nl" rel="noopener">Autoriteit Persoonsgegevens de officiele bron.

# Wat is het verschil tussen EU-hosting, data residency en data-soevereiniteit?

EU-hosting zegt waar de servers staan, data residency zegt waar data contractueel moet blijven en data-soevereiniteit zegt onder welk recht de aanbieder valt. Providers gebruiken deze termen door elkaar, maar juridisch maken ze groot verschil.

Een datacenter in Amsterdam beschermt je mail niet automatisch tegen een verzoek van een overheid buiten de EU. Als de aanbieder een moederbedrijf buiten de EU heeft dat onder wetgeving als de Amerikaanse CLOUD Act valt, kan dat bedrijf verplicht worden data te verstrekken, ook als die data op een server in de EU staat. Voor jouw AVG-beoordeling telt dus naast de locatie ook de rechtsmacht van de aanbieder.

# Welke juridische routes bestaan er voor mail op servers buiten de EER?

Er zijn vier routes: een adequaatheidsbesluit, standaardcontractbepalingen, bindende bedrijfsregels en, voor de VS, het EU-VS Data Privacy Framework. Zonder een van deze routes is doorgifte van persoonsgegevens naar een land buiten de EER niet toegestaan.

Het Hof van Justitie van de EU verklaarde op 16 juli 2020 in de Schrems II-uitspraak het Privacy Shield ongeldig. Sindsdien moet je bij standaardcontractbepalingen zelf beoordelen of het recht in het ontvangende land die bepalingen niet ondergraaft. Op 10 juli 2023 nam de Europese Commissie een nieuw adequaatheidsbesluit voor de VS aan. Dat geldt alleen voor bedrijven die onder het framework zijn gecertificeerd, en het besluit kan door het Hof van Justitie worden getoetst. Een overzicht staat op de <a href="https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en" rel="noopener">pagina van de Europese Commissie over EU-VS gegevensdoorgifte.

• <strong>Adequaatheidsbesluit:</strong> de Europese Commissie heeft vastgesteld dat een land een passend beschermingsniveau biedt, bijvoorbeeld Zwitserland en Japan. Je hebt dan geen extra waarborgen nodig.
• <strong>Standaardcontractbepalingen (SCC):</strong> modelcontracten van de Europese Commissie, in de huidige versie vastgesteld op 4 juni 2021. Je sluit ze met je provider en voegt een beoordeling van het ontvangende land toe.
• <strong>Bindende bedrijfsregels (BCR):</strong> goedgekeurde interne regels van een concern. Dit is in de praktijk een zaak van grote aanbieders, niet van jou als mkb-klant.
• <strong>EU-VS Data Privacy Framework:</strong> doorgifte naar gecertificeerde VS-bedrijven zonder extra waarborgen, zolang het adequaatheidsbesluit van 10 juli 2023 geldt.

# Welke trend zie je in 2026: van opslaglocatie naar rechtsmacht?

De vraag verschuift van "waar staan de servers" naar "onder welk recht valt de aanbieder". Een EU-datacenter is een noodzakelijke voorwaarde voor weinig juridisch gedoe, maar geen garantie.

Drie feiten bepalen dit beeld. Ten eerste rust de doorgifte naar de VS op een besluit van de Commissie dat het Hof van Justitie kan toetsen, dus het is geen vaststaande basis. Ten tweede reikt de CLOUD Act tot data die een Amerikaanse aanbieder beheert, ongeacht de fysieke locatie. Ten derde blijft de plicht om dit te beoordelen bij jou liggen als verwerkingsverantwoordelijke.

Voor een bedrijf met alleen zakelijke correspondentie is het risico klein, maar niet nul. Voor een bedrijf in de zorg, advocatuur, HR of financiele dienstverlening is een aanbieder die volledig onder EU-recht valt de verstandigste keuze. Dat verlaagt de beoordeling die je moet vastleggen tot een korte notitie.

# Wat moet je als mkb-ondernemer minimaal regelen voor je mailhosting?

Je moet minimaal een verwerkersovereenkomst, een verwerkingsregister, passende beveiliging en een procedure voor datalekken regelen. Dit geldt ongeacht of je mail in de EU of daarbuiten staat.

Bij hosting buiten de EER komt daar een beoordeling van de doorgifte bij: welke grondslag gebruik je, en waarom is de bescherming in de praktijk gelijkwaardig? Leg die beoordeling schriftelijk vast. De Autoriteit Persoonsgegevens kan erom vragen.

• <strong>Verwerkersovereenkomst (artikel 28 AVG):</strong> verplicht met elke provider die jouw mail opslaat. Controleer of de overeenkomst de opslaglocatie en eventuele subverwerkers noemt.
• <strong>Verwerkingsregister (artikel 30 AVG):</strong> mailverwerking is geen incidentele verwerking, dus de uitzondering voor kleine organisaties geldt hier niet. Neem je mailprovider op in het register.
• <strong>Beveiliging (artikel 32 AVG):</strong> versleutelde verbindingen, sterke wachtwoorden en tweestapsverificatie waar de provider dat biedt.
• <strong>Datalekmelding (artikel 33 AVG):</strong> melding bij de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking, als het lek risico oplevert voor betrokkenen.
• <strong>Privacyverklaring:</strong> vermeld dat je een verwerker inzet en, bij hosting buiten de EER, dat er doorgifte plaatsvindt en op welke grondslag.

# Hoe kies je een mailprovider op basis van locatie en rechtsmacht?

Kies een provider die de datacenterlocatie en de subverwerkers schriftelijk in de verwerkersovereenkomst noemt, en kijk daarna naar de herkomst van de aanbieder. Een mondelinge toezegging of een marketingpagina is geen contractuele basis.

De tabel hieronder geeft de drie gangbare situaties met de extra inspanning die elke situatie jou kost. De IMAP-gegevens van je nieuwe provider vind je op de pagina IMAP-instellingen per provider, zodat je die niet uit je hoofd hoeft in te vullen.

# Hoe verhuis je mail naar een provider in de EU zonder mail te verliezen?

Je verhuist mail veilig door alle mappen via IMAP te kopieren naar de nieuwe provider terwijl de oude mailbox blijft staan. Mailmigreren.nl werkt in 100% kopieermodus: de bron blijft ongewijzigd en de mail gaat via IMAP-APPEND streaming naar de nieuwe mailbox. Wachtwoorden blijven alleen in het werkgeheugen en worden niet op schijf bewaard.

Een mailbox van 5 GB kost 30 tot 90 minuten; bij 10 GB of meer duurt het enkele uren. Mailboxen in een bestelling worden na elkaar gemigreerd, niet tegelijk. De tool is provider-onafhankelijk, dus je kiest zelf de EU-provider waar je naartoe wilt, zonder dat je aan een hostingpakket vastzit. Gmail en Google Workspace werken met een app-wachtwoord. Microsoft 365 en Outlook.com worden niet ondersteund, omdat Microsoft IMAP met alleen een wachtwoord niet meer toestaat.

Providers zoals Hostnet, Hoasted en YourHosting bieden verhuisservices alleen naar hun eigen platform; Mijndomein biedt een gratis migratie bij een pakket vanaf 15 euro per maand met een maximum van 5 GB. Een provider-onafhankelijke tool kost bij mailmigreren.nl het volgende, alle bedragen excl. 21% btw.