AVG-hosting in Duitsland

AVG-hosting in Duitsland betekent dat je servers en de persoonsgegevens erop in een Duits datacenter onder EU-recht blijven, waardoor de lastigste AVG-vraag, internationale doorgifte, voor die data vervalt. Je project wordt daar niet vanzelf compliant van: je bepaalt nog steeds zelf wat je verzamelt, documenteert het, beveiligt het en kiest je andere diensten zorgvuldig.

Deze guide geeft praktische informatie, geen juridisch advies. Voor beslissingen met juridisch gewicht vraag je een privacyprofessional.

Wat de AVG van je vraagt

De Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR, in het Duits DSGVO) geldt zodra je persoonsgegevens van mensen in de EU verwerkt. Draai je een website, app of SaaS op een server, dan zijn dit de belangrijkste plichten:

• Grondslag. Elke verwerking heeft er een nodig: toestemming, overeenkomst, wettelijke verplichting, gerechtvaardigd belang en nog een paar andere.
• Dataminimalisatie. Verzamel alleen wat je nodig hebt en bewaar het niet langer dan nodig.
• Transparantie. Een privacyverklaring die in begrijpelijke taal uitlegt wat je met de data doet.
• Beveiliging. "Passende technische en organisatorische maatregelen" voor het risico.
• Verwerkers. Overeenkomsten met elke dienst die namens jou persoonsgegevens verwerkt.
• Doorgifte. Waarborgen wanneer data de EU of EER verlaat.
• Rechten. Mensen kunnen vragen om inzage, correctie, verwijdering en meer.
• Datalekken. Meld het binnen 72 uur bij de toezichthouder als een lek waarschijnlijk risico's oplevert.

Je keuze voor hosting raakt er drie direct: verwerkers, doorgifte en beveiliging.

Waarom de serverlocatie ertoe doet

Waar de data fysiek staat, bepaalt welk recht erbij kan en of er sprake is van doorgifte.

• Een server in Duitsland slaat data op binnen de EU. Voor die opslag zijn geen waarborgen voor doorgifte nodig.
• Een server in een derde land heeft een rechtsgrond voor de doorgifte nodig: een adequaatheidsbesluit, standaardcontractbepalingen met een transfer impact assessment, of een ander mechanisme. Dat betekent papierwerk en risico.
• Een provider met een hoofdkantoor buiten de EU kan onder buitenlandse wetten voor gegevenstoegang vallen, ook als de server in Europa staat. Veel organisaties wegen dit mee bij de keuze van een provider.

Voor een Europees publiek betekent een Duitse server ook lage latency vanuit het midden van Europa, dus de keuze voor privacy en de keuze voor prestaties wijzen dezelfde kant op.

Je provider als verwerker

Slaat een hostingprovider namens jou persoonsgegevens op of behandelt hij ze, dan is hij verwerker en ben jij verwerkingsverantwoordelijke. Artikel 28 AVG vereist een schriftelijke overeenkomst (een verwerkersovereenkomst, in het Engels DPA, in het Duits AVV) die het volgende regelt:

• verwerking alleen volgens jouw instructies;
• geheimhouding door medewerkers;
• beveiligingsmaatregelen;
• regels voor subverwerkers;
• hulp bij verzoeken van betrokkenen en bij datalekken;
• verwijdering of teruggave van data aan het einde.

Vraag je provider om de verwerkersovereenkomst en de lijst met subverwerkers voordat je persoonsgegevens op zijn servers zet.

Hoe Wolkra dit regelt

Wolkra heeft vandaag één locatie: Frankfurt am Main, Duitsland. Servers, blokopslag-volumes, back-ups en snapshots worden daar opgeslagen, en data blijft in Duitsland en de EU. Het privacybeleid noemt de diensten die accountgegevens verwerken: e-mails worden verstuurd via AWS in de regio Frankfurt, kaartbetalingen lopen via Stripe en Cloudflare beschermt de website en de console. Vragen stel je via een ticket in de console. Lees meer op EU-VPS en AVG.

De diensten rond je server

De server is vaak niet waar AVG-problemen beginnen. De gebruikelijke boosdoeners zijn de extra's:

Maak een eenvoudige lijst van elke dienst, welke persoonsgegevens die krijgt, waar die staat en of je een verwerkersovereenkomst hebt. Die lijst is het begin van je register van verwerkingsactiviteiten (artikel 30).

Technische maatregelen op een VPS

"Passende maatregelen" schalen mee met het risico. Voor een gemiddelde server is dit een stevige basis:

Toegang

• Alleen SSH-sleutels, geen wachtwoorden (guide over SSH-sleutels).
• Tweefactorauthenticatie op het hostingaccount en op beheerpanelen.
• Teamleden met de laagste rol die ze nodig hebben. Wolkra ondersteunt organisaties met de rollen owner, admin, billing en member, plus rollen per project en een activiteitenlog (teams en beveiliging).

Netwerk

• Een firewall die standaard alles weigert, met databases en beheertools die nooit publiek bereikbaar zijn.
• Privénetwerken voor verkeer tussen je eigen servers, zodat databases helemaal geen publiek IP hebben.
• Overal TLS. Een reverse proxy zoals Caddy regelt certificaten automatisch (Caddy-guide).

Data

• Versleutel back-ups die de server verlaten, bijvoorbeeld met restic of age.
• Versleutel bijzonder gevoelige velden in de applicatie.
• Stel bewaartermijnen in: verwijder logs en oude records volgens een schema.

Een eenvoudig voorbeeld van een bewaartermijn voor logs met journald:

sudo mkdir -p /etc/systemd/journald.conf.d
sudo tee /etc/systemd/journald.conf.d/retention.conf >/dev/null <<'EOF'
[Journal]
MaxRetentionSec=30day
SystemMaxUse=1G
EOF
sudo systemctl restart systemd-journald

Laat bij logs van de webserver het IP-adres weg of kort het in. Veel teams bewaren volledige logs een paar dagen voor de beveiliging en anonimiseren ze daarna.

Patchen en monitoren

• Automatische beveiligingsupdates (een Ubuntu-server beveiligen).
• Houd de grafieken van resources in de gaten op vreemde pieken, die op misbruik kunnen wijzen.

Herstel

De AVG noemt "het vermogen om bij een incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen". In de praktijk: back-ups die je hebt getest. Zie de guide over back-upstrategie.

Verzoeken van betrokkenen afhandelen

Bedenk hoe je zou antwoorden voordat iemand erom vraagt:

• Inzage: kun je alles exporteren wat je over één persoon bewaart?
• Verwijdering: kun je het verwijderen, ook uit zoekindexen en caches? Back-ups verlopen meestal vanzelf binnen hun normale bewaartermijn, wat over het algemeen wordt geaccepteerd als het gedocumenteerd is.
• Correctie: kan een gebruiker zijn eigen gegevens aanpassen?

Een korte interne notitie met de SQL-query's of beheerstappen bespaart je later veel stress.

Datalekken

Zijn persoonsgegevens verloren gegaan, gelekt of zonder toestemming ingezien:

1. Beperk de schade: vervang sleutels, dicht het lek, haal de server zo nodig offline.
2. Beoordeel het risico voor de betrokkenen.
3. Meld het binnen 72 uur bij je toezichthouder als er een risico is.
4. Informeer de betrokkenen als het risico hoog is.
5. Documenteer wat er is gebeurd, ook als je besluit het niet te melden.

Snapshots die je maakt voordat je opruimt, helpen je achteraf te begrijpen wat er is gebeurd.

Een praktische checklist

• Server en back-ups in de EU (bijvoorbeeld Frankfurt)
• Verwerkersovereenkomst met de hostingprovider en andere verwerkers
• Lijst van alle diensten die persoonsgegevens ontvangen
• Privacyverklaring bijgewerkt
• SSH-sleutels, 2FA, rollen met minimale rechten
• Firewall die standaard weigert, privénetwerk voor databases
• TLS op elk publiek endpoint
• Bewaartermijn voor logs ingesteld, externe back-ups versleuteld
• Herstel getest
• Een plan voor verzoeken om inzage en verwijdering, en voor datalekken

Hosting in Duitsland geeft je een schoon vertrekpunt. De rest zijn goede gewoonten, en de meeste daarvan maken je project hoe dan ook veiliger. Wil je providers op alle criteria vergelijken, lees dan een VPS in Duitsland kiezen.