Een Europees datacenter alleen maakt cloudopslag niet AVG-proof. Minstens zo belangrijk is waar het moederbedrijf zit, want Amerikaanse bedrijven vallen onder de CLOUD Act, en wie de sleutels van je bestanden beheert. Voor Nederlandse en Belgische gebruikers zijn pCloud (Zwitsers, opslag in Luxemburg mogelijk) en Proton Drive (Zwitsers, standaard end-to-end versleuteld) de sterkste kandidaten.

Dit artikel is geen juridisch advies. De gegevens over pCloud en Proton hebben we op 17 september 2026 nagekeken op hun eigen sites.

Wat de AVG van cloudopslag vraagt

De Algemene Verordening Gegevensbescherming (AVG), elders in Europa GDPR genoemd, regelt hoe persoonsgegevens worden opgeslagen, verwerkt en beschermd. Bewaar je als particulier je eigen foto's en documenten, dan is de AVG daar niet op van toepassing. Ben je zzp'er, ondernemer, vereniging of organisatie en bewaar je gegevens van klanten of leden in de cloud, dan moet je er wel aan voldoen.

Voor zakelijk gebruik let je op vier dingen. De gegevens worden verwerkt binnen de EER of in een land met een adequaatheidsbesluit. Er is een verwerkersovereenkomst als de aanbieder persoonsgegevens voor je verwerkt. De technische en organisatorische beveiliging past bij de stand van de techniek. En de mensen van wie je gegevens bewaart, kunnen hun rechten uitoefenen, zoals inzage en verwijdering.

De CLOUD Act

De CLOUD Act (Clarifying Lawful Overseas Use of Data Act) is een Amerikaanse wet die Amerikaanse bedrijven verplicht om gegevens af te geven als Amerikaanse autoriteiten daar rechtmatig om vragen, ongeacht waar die gegevens fysiek staan.

Beheren Microsoft, Google, Dropbox of Apple je bestanden, dan kunnen die dus worden opgevraagd, ook als de servers in Amsterdam of Frankfurt staan. Voor bedrijven die in Zwitserland of de EU gevestigd zijn en geen Amerikaans moederbedrijf hebben, geldt de CLOUD Act niet op dezelfde manier.

Waarom een EU-server niet genoeg is

Veel aanbieders adverteren met servers in Europa of een datacenter in Nederland. Dat helpt, maar zegt niet alles. Dit zijn de vragen die ertoe doen:

Vraag Waarom
Waar zit het moederbedrijf? Een Amerikaans bedrijf valt onder de CLOUD Act, waar de server ook staat
Is er een verwerkersovereenkomst? Nodig als de aanbieder persoonsgegevens voor je verwerkt
Wie beheert de sleutels? Heeft de aanbieder ze, dan kan die bestanden lezen en afgeven
Kun je zelf versleutelen? Heb alleen jij de sleutel, dan valt er niets leesbaars af te geven
Welke subverwerkers zijn er? Worden er Amerikaanse diensten ingeschakeld?

De aanbieders

pCloud

pCloud is een Zwitsers bedrijf. Bij het aanmaken van een account kies je of je bestanden in de EU (Luxemburg) of in de Verenigde Staten (Dallas) komen te staan. Standaard versleutelt pCloud onderweg (TLS/SSL) en in opslag (AES-256) en beheert het zelf de sleutels. Met de betaalde uitbreiding pCloud Crypto versleutel je bestanden op je eigen apparaat, zodat alleen jij ze kunt lezen.

Over de verwerkersovereenkomst is pCloud duidelijk. Het ziet zichzelf als leverancier van opslaginfrastructuur die de inhoud van je bestanden niet indexeert, inziet of gebruikt, en schrijft daarom dat je met pCloud for Business geen verwerkersovereenkomst met pCloud AG nodig hebt. Wil je organisatie er toch een, of twijfel je of die redenering voor jouw situatie klopt, leg het dan voor aan je functionaris gegevensbescherming of jurist.

Een Lifetime-abonnement met 2 TB kostte op 17 september 2026 eenmalig € 499. Meer in onze pCloud review.

Proton Drive

Proton Drive hoort bij Proton, dat ook Proton Mail en Proton VPN maakt, en is in Zwitserland gevestigd. Proton versleutelt alle bestanden standaard end-to-end: ook Proton kan ze niet lezen. Voor organisaties publiceert Proton een verwerkersovereenkomst en een transparantierapport. Proton Unlimited, met 500 GB opslag en Mail, VPN, Calendar en Pass, kost € 9,99 per maand bij jaarbetaling.

Proton Drive past bij journalisten, advocaten, artsen en iedereen die bestanden bewaart die echt niemand anders mag zien. Zie ook Proton Drive vs pCloud.

Tresorit

Tresorit (Zwitsers-Hongaars) versleutelt standaard end-to-end en richt zich vooral op bedrijven en teams. Het is duurder dan pCloud en Proton Drive, maar ingericht op organisaties met strenge eisen aan compliance.

Sync.com

Sync.com zit in Canada, versleutelt standaard end-to-end en is een optie voor wie buiten de VS en buiten Europa wil opslaan. Het heeft minder functies dan pCloud.

Google Drive, OneDrive, Dropbox en iCloud

Alle vier zijn van Amerikaanse bedrijven en vallen onder de CLOUD Act. Ze hebben Europese datacenters en verwerkersovereenkomsten, maar het Amerikaanse juridische risico blijft. Voor privégebruik vinden veel mensen dat acceptabel. Bewaar je klantgegevens, dan is het een onzekerheid waar je beter juridisch advies over vraagt.

Checklist

Deze vragen helpen bij het kiezen van een cloudaanbieder voor zakelijk gebruik:

  1. Is het bedrijf gevestigd in de EU of Zwitserland, zonder Amerikaans moederbedrijf?
  2. Staan de servers in de EER, of kun je dat kiezen?
  3. Is er een verwerkersovereenkomst, of legt de aanbieder uit waarom die niet nodig is?
  4. Wie beheert de sleutels, jij of de aanbieder?
  5. Worden er Amerikaanse subverwerkers ingeschakeld?
  6. Publiceert de aanbieder een transparantierapport?

Vraag 5 hebben we voor dit artikel bij geen van de aanbieders nagekeken. Kijk daarvoor in de lijst met subverwerkers van de aanbieder die je overweegt.

Onderdeel van een back-up

Een cloud die bij de AVG past, is één deel van een back-up. Volgens de 3-2-1-regel bewaar je drie kopieën op twee soorten opslag, waarvan één buiten je huis of kantoor. pCloud of Proton Drive kan die kopie buiten de deur zijn. Zet er een lokale kopie op een NAS of externe SSD naast.

Conclusie

Wil je in Nederland of België werken met cloudopslag die zo goed mogelijk bij de AVG past, dan zijn pCloud en Proton Drive de sterkste keuzes: Zwitserse bedrijven buiten de CLOUD Act, met versleuteling die ook de aanbieder kan buitensluiten. pCloud is onze aanbeveling als je gebruiksgemak, functies en prijs samen weegt. Proton Drive is de keuze als standaard end-to-end-versleuteling zwaarder weegt.

Twijfel je? Onze diagnose helpt je in een paar klikken.

Bronnen

Nagekeken op 17 september 2026: