Datasoevereiniteit voor het MKB: waar staan je klantgegevens eigenlijk?

Je runt een installatiebedrijf met vijftien man. De mail draait bij Microsoft, de offertes staan in Dropbox en de planning zit in een app waarvan je de naam steeds vergeet. Het werkt. Waar al die gegevens staan, heb je nooit hoeven weten.

Tot een klant ernaar vraagt. Een woningcorporatie, een gemeente of een zorginstelling wil in een aanbesteding weten waar jij hun gegevens bewaart. Dan wil je een antwoord hebben dat klopt.

Wat datasoevereiniteit betekent

Datasoevereiniteit betekent dat jij bepaalt wat er met je gegevens gebeurt. Dat hangt van twee dingen af: waar de gegevens staan, en onder welk recht de partij valt die ze voor je bewaart.

Dat tweede wordt vaak vergeten. Een Amerikaans bedrijf valt onder de CLOUD Act uit 2018, ook als het je gegevens in een Europees datacenter bewaart. Amerikaanse autoriteiten kunnen dan via dat bedrijf gegevens opvragen. De bedrijven vechten dat soms aan, maar de juridische onzekerheid blijft. Dat is geen reden voor paniek. Wel een reden om het een keer uit te zoeken.

Waarom het jou als ondernemer raakt

Je denkt misschien dat dit iets is voor ministeries en ziekenhuizen. Toch raakt het jou op een paar plekken:

• Je klanten. Onder de Cyberbeveiligingswet, sinds 15 augustus 2026 van kracht (rijksoverheid.nl), moeten veel organisaties de risico's in hun toeleveringsketen beheersen. Als hun leverancier ben jij die keten.
• De AVG. Jij bent verantwoordelijk voor de persoonsgegevens van je klanten en medewerkers, ook als een leverancier ze voor je bewaart.
• Je afhankelijkheid. Als prijzen of voorwaarden veranderen, wil je kunnen overstappen zonder dat je bedrijf stilvalt.
• Je gemoedsrust. Weten waar je spullen staan, scheelt een hoop gedoe bij een datalek of een lastige vraag van een klant.

Waar begin je?

Je hoeft niet alles om te gooien. Begin met drie gegevensstromen, want daar zit bijna altijd het meeste:

1. Je mail. Hier staat bijna alles: offertes, contracten, klantvragen en persoonsgegevens.
2. Je bestanden. Tekeningen, facturen, personeelsdossiers.
3. Je klantenbestand. Namen, adressen, afspraken en soms meer dan dat.

Zoek per stroom op wie de leverancier is, in welk land de gegevens staan en onder welk recht de leverancier valt. Meestal staat dat in de verwerkersovereenkomst of op een pagina met sub-verwerkers. Staat het er niet, vraag het dan. Een goede leverancier heeft dat antwoord klaarliggen.

Kijk ook naar wat je medewerkers zelf gebruiken: een gratis vertaaldienst, een AI-chat of een persoonlijke opslagdienst. Daar verdwijnen gegevens vaak ongemerkt naartoe. Spreek met elkaar af wat wel en niet mag, en bied een alternatief dat net zo makkelijk werkt.

Een voorbeeld

Stel: je wilt een onderhoudscontract met een woningcorporatie. In de aanbesteding staat een vraag over huurdersgegevens. Waar bewaar je ze, wie heeft toegang en welke sub-verwerkers zijn er?

Met drie leveranciers in drie landen is dat een middag uitzoekwerk, met antwoorden waar je niet helemaal zeker van bent. Staan je mail, bestanden en contacten op één plek in de EU, dan schrijf je het antwoord in twee zinnen. Dat scheelt tijd, en de inkoper ziet dat je het op orde hebt.

En als je wilt overstappen?

Kies een leverancier die deze vragen helder beantwoordt. Let op de status van wat je nodig hebt: wat is live, wat is beta en wat is nog gepland? Test eerst met een paar collega's voordat je iets opzegt. Onze gids over een soevereine werkplek kiezen helpt je bij het vergelijken.

Bij Noveu staan je gegevens en back-ups in een Hetzner-datacenter in Falkenstein, Duitsland, en Noveu is een Nederlands bedrijf. Mail, bestanden, documenten en contacten zijn live. Je betaalt per maand. De bedragen en de voorwaarden van een eventuele proef staan op de prijspagina.