De DPO valideert “100% EU” Franse accommodatie. De technische leiding schakelt vervolgens Cloudflare in voor caching en DDoS-bescherming – geen DPA, geen regiobeperkingen, logs zichtbaar vanaf het Amerikaanse dashboard. De productieresidentie is Europees; de randlaag niet.
De Europese residentie is een belofte in de hele hele behandelingsketen. Een CDN, beheerde applicatiefirewall of global balancer herdistribueert kopieën, logs en soms verzoekteksten – vaak vergeten in het register.
Het privacybeleid kopieert en plakt “onze gegevens worden gehost in Frankrijk op [host]” zonder de analyses van Cloudflare, reCAPTCHA of Polylang te vermelden. De DPO leest het register; de gebruiker leest het beleid; de luisteraar traceert de DNS. Ze moeten alle drie hetzelfde verhaal vertellen – anders is een EU-residentie een marketingfictie.
Productieketen → rand → boomstammen
| Koppeling | Typische gegevens | Woonplaatsvraag |
|---|---|---|
| Herkomst (EU-gastheer) | Bestanden, HTML, API | DC gedocumenteerd |
| CDN-rand | Cache, bezoekers-IP | POP buiten de EER? |
| CDN-logboeken | IP, URL, UA | Retentie waar? |
| WAF / vechtbots | Geblokkeerde verzoeken | Amerikaanse onderaannemer? |
| CDN-ondersteuning | Kaartjes met kranten | Wereldwijde toegang |
Houd toezicht op een CDN onder AVG
Onderteken een DPA bij de CDN-provider. Beperk regio's indien beschikbaar (alleen EU PoP). Logboeken minimaliseren: duur, IP-anonimisering. Update het register: CDN = onderaannemer gescheiden van de host. Voer een overdrachtsanalyse uit als een entiteit of logt buiten de EER — zie Schrems II.
Sommige hosts hebben een Europees CDN. Controleer of de logs bij hen of bij een derde partij blijven.
Scenario's A versus B
Scenario A – Strenge EU: EU-oorsprong plus CDN met contractuele EU PoP plus EU-logboeken plus geen Amerikaanse ondersteuning. Soms lagere kosten en betere prestaties: een geaccepteerde keuze.
Scenario B — Toezicht op de algehele prestaties: mondiaal CDN plus standaardcontractbepalingen plus aanvullende maatregelen plus gedocumenteerde impactanalyse. Juridisch belastender; aanvaardbaar indien gerechtvaardigd.
Vergelijk met toestemmingscookies CDN als tracking is gekoppeld.
Praktische DNS-audit
Los vanaf uw computer het publieke domein op en noteer de IP-adressen van de randen. Gebruik tools voor het traceren van verzoeken om te zien of de responsinstantie via een niet-EU-netwerk gaat. Vraag het CDN om een export van de regio's die op uw account zijn geactiveerd. De marketingkaart voor 'wereldwijde aanwezigheid' zegt niet welke zones voor u actief zijn.
In het geval van een klant die een strikt ingezetenschap vereist, archiveert u dit bewijsmateriaal bij de DPA: de audit is gebaseerd op gedateerde opnames, niet op een marketingverklaring.
De DPO moet antwoord kunnen geven: waar het IP-adres vandaag wordt geregistreerd, hoe lang, wie er toegang toe heeft, op welke rechtsgrond. Zonder een scherp antwoord stort de ‘100% Europese’ belofte in bij de eerste due diligence-vraag.
B2B-klanten vragen steeds vaker om een stroomdiagram en een lijst met onderaannemers inclusief CDN. Integreer deze mapping in uw bedrijfsproces – niet alleen in het interne register na ondertekening.
De top: de belofte van de EU stopt bij de eerste CNAME
Dit is de kloof tussen het gekopieerde en geplakte privacybeleid: oorsprong ≠ gebruikerstraject.
Beslis en ga vooruit zonder blinde vlek
Inventariseer eerst alle CNAME's en proxy's vóór uw oorsprong. Onderteken de CDN DPA en configureer de UE-modus alleen indien nodig. Werk het register en het privacybeleid dienovereenkomstig bij. Test headers en DNS-resolutie om te zien waar de edge daadwerkelijk reageert. Vergelijk ten slotte Europese CDN's via de overzicht en de vergelijker.
Veelgestelde vragen
CDN ongeldig verblijf in de EU?
Kan overdrachten en verwerkingen buiten de EER creëren - analyseer DPA, geactiveerde regio's en loginhoud.
Welke metadata ziet het CDN?
IP's, URL's, headers, mogelijke cookies, user-agent, beveiligingslogboeken - vaak persoonlijke gegevens.
CDN beperken tot EU?
Mogelijk bij sommige aanbiedingen: controleer het contract en de configuratie, geen standaardinstellingen.
EU-host + gratis Cloudflare?
Mogelijk met DPA, standaardclausules en EU-configuratie – nooit automatisch of vrijgesteld van Schrems-analyse.
Traceer de CNAME voordat u de “100% Europese” belofte ondertekent – dit is vaak waar kranten beginnen.