Europese hosting zonder lock-in — wij doen het anders

De CLOUD Act (2018) verplicht Amerikaanse bedrijven om op verzoek van de US-overheid data af te staan — ook als die data fysiek in Amsterdam of Frankfurt staat. AWS, Microsoft Azure en Google Cloud zijn dus Amerikaanse juridische entiteiten, ongeacht de locatie van hun datacenters.

Het Schrems II-arrest (2020) van het Hof van Justitie EU maakte duidelijk dat dit structureel botst met de AVG. De Autoriteit Persoonsgegevens adviseert organisaties expliciet om voor gevoelige data niet blind te vertrouwen op US-cloudproviders — ook niet met het EU-US Data Privacy Framework als vangnet.

Los van de juridische risico's creëren grote cloudplatforms ook technische afhankelijkheid. Proprietary API's, gesloten dataformaten, migratiebeperkingen en escalerende prijzen na de initiële contractperiode: vendor lock-in is een bedrijfsmodel. Organisaties die hun platform hebben laten bouwen op AWS-specifieke services of een gesloten CMS merken dat overstappen duurder is dan blijven — en dat is precies de bedoeling.

Wij vinden dat anders. Een klant die bij ons weggaat, moet dat zonder penalty kunnen doen. Dat houdt ons scherp.

VDMi is een Nederlands bedrijf. Wij vallen uitsluitend onder Nederlands en Europees recht. Onze servers staan in Europese datacenters bij providers die ook 100% onder EU-recht opereren. Er is geen Amerikaanse moedermaatschappij, geen CLOUD Act-blootstelling.

Wij bouwen met Drupal — het toonaangevende open source CMS met de meest actieve enterprise-community ter wereld, gebruikt door onder andere de Europese Commissie, de Nederlandse rijksoverheid en honderden gemeenten. Drupal heeft geen licentiekosten, geen vendor lock-in en draait op standaard LAMP/LEMP-infrastructuur die u zelf kunt beheren of bij elke andere hoster kunt onderbrengen.

Waar de meeste bureaus standaard Google Analytics integreren (en daarmee data naar de VS sturen), kiezen wij voor Matomo — de Europese, open source analytics-oplossing die wij zelf hosten op uw eigen infrastructuur. Geen datadoorgifte, geen third-party cookies, volledig AVG-compliant. Uw bezoekersdata blijft van u. Meer over onze privacy-first aanpak.

Vendor lock-in is niet altijd bewust opgebouwd — soms sluipt het erin via kleine keuzes. Een proprietary page builder hier, een gesloten analytics-tool daar, API's die alleen op één cloudplatform werken. Na drie jaar bent u afhankelijk zonder dat u het zo hebt besloten. Wij bewaken dit actief. Concreet betekent 'geen lock-in' bij VDMi:

• Standaard exportformaten: Drupal-content is altijd exporteerbaar via JSON:API, REST of directe database-export. Geen gesloten formaten.
• Geen proprietary modules: wij bouwen op bijgedragen Drupal-modules en community-standaarden. Maatwerk dat wij schrijven, ontvangt u als open source code onder een open licentie.
• Infrastructuur als code: onze deployments zijn volledig reproduceerbaar via Docker Compose en gedocumenteerde scripts. Een andere partij kan uw omgeving overnemen zonder VDMi-specifieke kennis.
• Geen langlopende contracten: wij werken op basis van vertrouwen en geleverde kwaliteit, niet contractuele afhankelijkheid.

Onze keuze voor open source gaat verder dan kostenbesparingen. Open source software wordt gecontroleerd door een brede community — niet door één leverancier die de roadmap bepaalt op basis van eigen commerciële belangen. Drupal wordt bijvoorbeeld gebruikt en bijgedragen door de Europese Commissie, de Nederlandse rijksoverheid en duizenden organisaties wereldwijd. Die community-gedreven ontwikkeling garandeert continuïteit, veiligheid en onafhankelijkheid die geen proprietary platform kan bieden.

Compliance is bij ons geen checkbox-oefening — het is een architectuurkeuze. Elke implementatie die wij opleveren voldoet standaard aan:

• AVG (GDPR): data staat in Europa, verwerkersovereenkomsten zijn standaard onderdeel van elk contract, geen third-party trackers zonder toestemming
• NIS2 / Wbni: voor organisaties in vitale sectoren en 'belangrijke entiteiten' bouwen wij aantoonbaar aan de zorgplicht — supply chain security, meldplicht-readiness en logging
• BIO (Baseline Informatiebeveiliging Overheid): voor overheidsklanten sluiten wij aan op het BIO-kader
• WCAG 2.2: toegankelijkheid is voor ons geen optie — zie onze toegankelijkheidsblogs voor onze aanpak

Wij integreren Matomo Analytics als standaard alternatief voor Google Analytics. Matomo draait op uw eigen server (of de onze, in Europa), slaat geen data op bij derden en voldoet volledig aan de AVG. U krijgt dezelfde inzichten als met GA4 — zonder de datadoorgifte naar de VS en zonder de CLOUD Act-blootstelling. Meer weten? Bekijk hoe wij dit voor uw organisatie kunnen inrichten.

De wetgevingsontwikkelingen van de afgelopen jaren bevestigen de keuze die wij al jaren maken. Data-soevereiniteit is geen trend — het wordt wet.

Een migratie klinkt groot. In de praktijk is het een gestructureerd proces dat wij tientallen keren hebben doorlopen. Onze aanpak:

1. Inventarisatie: wij brengen uw huidige omgeving in kaart — welke systemen, welke data, welke afhankelijkheden. Dit levert direct inzicht op in uw compliance-positie.
2. Architectuurontwerp: op basis van de inventarisatie ontwerpen wij een Europese open source architectuur die past bij uw organisatie. Geen one-size-fits-all — elke implementatie is maatwerk.
3. Gefaseerde migratie: we migreren in waves, niet in één big bang. Minder risico, meer controle, geen downtime.
4. Validatie: na migratie voeren wij een compliance-check uit en updaten wij uw verwerkingsregister en verwerkersovereenkomsten.
5. Overdracht en documentatie: alles wordt gedocumenteerd zodat u — of een andere partij — de omgeving volledig kunt beheren.

Bent u benieuwd wat een overstap voor uw organisatie inhoudt? Bekijk onze referenties of neem direct contact op.