EU data residency voor evenementfoto’s: waarom het belangrijk is voor B2B-inkoop

Een fotodeel-tool voor je volgende conferentie lijkt op het eerste gezicht een low-stakes aankoop. Gasten scannen een QR-code, uploaden vanaf hun telefoon en je krijgt het album. Iets dat een eventmanager in een middag kan regelen — totdat het bij vendor risk terechtkomt en de eerste vraag luidt: waar staan de gegevens nu echt opgeslagen?

Voor een EU-bedrijf is deze vraag geen bureaucratisch gedoe — ze bepaalt of een tool überhaupt goedgekeurd kan worden. De foto's zijn persoonsgegevens van identificeerbare werknemers, klanten en gasten, en zodra ze een telefoon verlaten en op een server staan, plaatst de jurisdictie van die server de aankoop in een juridisch kader: de GDPR-regels over internationale doorgiften die procurement vooraf moet afdekken.

Deze gids is voor de mensen die die vraag beantwoorden: inkoop, IT en juridische teams die een platform voor evenementfoto’s beoordelen. Hij legt uit wat “EU data residency” nu echt betekent (en waarin het verschilt van “AVG-conform”), waarom dat een specifieke juridische last van je team haalt, hoe de EU-US transferregels er midden 2026 uitzien en hoe je de woonplaatsclaim van een leverancier controleert in plaats van alleen op een badge te vertrouwen. Hij is geschreven voor de EU/EEA-context.

Wat betekent "EU data residency" in de praktijk?

Data residency is het antwoord op in welk land uw servers fysiek staan en uw data verwerken. Bij een eventfotoplatform gaat het om de uploads zelf — foto’s, video’s, voice-berichten — en om database-records en eventuele back-ups die ze beschrijven.

Het is zinvol om drie zaken uit elkaar te zetten die leveranciers in marketing vaak door elkaar halen:

• Dataresidentie — waar data wordt opgeslagen en verwerkt (jurisdictie van het datacenter).

• Bedrijfslocatie — waar de aanbieder is gevestigd. Een bedrijf met hoofdkantoor in Berlijn kan je data nog steeds in Virginia opslaan; een in de VS gevestigd bedrijf kan in Frankfurt hosten. Ze hoeven niet te kloppen.

• “AVG-conform” is vooral een claim over de praktijk van de leverancier. Een US-gehoste tool kan AVG-conform zijn en toch een grensoverschrijdende overdracht veroorzaken zodra er foto’s van EU-medewerkers opstaan. Het is geen synoniem voor “EU-residentie”.

Dit onderscheid is cruciaal voor procurement, omdat residentie het enkelvoudige feit is dat bepaalt of er überhaupt een overdracht van persoonsgegevens buiten de EU heeft plaatsgevonden. Blijf je in de EU, dan zijn de transferregels uit hoofdstuk V van de GDPR niet van toepassing. Zet je de data in een derde land, dan wel — met alles wat erbij hoort.

Waarom is databetekening locatie voor B2B inkoop specifiek belangrijk?

Omdat de AVG bepaalt dat het verlaten van de EU een gereguleerd handelen is, en de bewijslast bij jullie ligt — bij de verwerkingsverantwoordelijke, niet bij de leverancier.

Volgens hoofdstuk V is een overdracht van persoonsgegevens naar een derde land slechts rechtmatig indien deze berust op een adequaatheidsbesluit (artikel 45) of, bij gebrek daaraan, op passende waarborgen zoals de Standard Contractual Clauses van de Europese Commissie op grond van artikel 46(2)(c), met afdwingbare rechten van betrokkene en effectieve rechtsmiddelen. Dit is geen vinkje dat een leverancier voor je invult. Als conferentiefoto’s in de Verenigde Staten worden verwerkt, moet jouw organisatie het mechanisme aangeven waardoor dit rechtmatig is en, na Schrems II, aantonen dat de bestemming is beoordeeld en aanvullende maatregelen zijn gedocumenteerd (meer over de actuele regels hieronder).

In de praktijk is dit precies het concrete werk dat een in de VS gehoste tool veroorzaakt en dat een in de EU gehoste tool wegneemt: een transfer impact assessment dat je moet uitvoeren en documenteren, een verdedigbare rechtsgrond klaarzetten voor de toezichthouder, en voortdurende blootstelling aan een juridische status die in het afgelopen decennium meer dan eens is verschoven — elke wijziging betekent een herbeoordeling voor elke Amerikaanse leverancier die je gebruikt. Als je de gegevens in de EU houdt, valt dat alles weg: geen transfer, dus geen keuzemodel, geen impact assessment en geen adequaatheidsbesluit waarvan je het lot hoeft te volgen. Voor een team dat een laag-risicopakket in één keer goed wil keuren zonder een maand juridische review, is dat de waarde van dataresidency: het verschil tussen een snelle goedkeuring en een open compliance dossier.

“We hebben toch al een DPA” — is dat niet genoeg?

Een DPA en dataresidentie beantwoorden twee verschillende vragen, en je hebt beide meestal nodig. Als een externe tool persoonsgegevens namens jou en volgens jouw gedocumenteerde instructies verwerkt, verlangt art. 28(3) een bindende schriftelijke overeenkomst — de DPA — die regelt hoe de processor met de data omgaat. Maar die overeenkomst beantwoordt niet automatisch waar de data staan of of grensoverschrijdende overdracht legaal is; dat is de afzonderlijke vraag uit hoofdstuk V. Een leverancier kan een perfecte Art. 28 DPA geven en toch jouw foto's in een derde land verwerken, waardoor de transfervraag open blijft. De inkoopchecklist is dus niet “DPA of EU-hosting”, maar “DPA en een duidelijk antwoord op residentie.” (Wat een Art. 28 DPA echt moet bevatten, lees je in onze begeleidende gids Data Processing Agreements for Event Tech.)

Hoe staan de EU- VS-overdrachtsregels er in het midden van 2026 voor?

Dat is het punt dat hosting aantrekkelijk maakt als vereenvoudiging. Kort gezegd: overdrachten naar de VS zijn momenteel mogelijk, maar het speelveld is veranderd en een beroep is lopend, dus een US-hosted tool is een doorlopende beoordeling en geen vaste keuze. Stand per midden 2026:

• De standaardcontractuele clausules overleefden, maar met voorwaarden. Schrems II schrapte de oude Privacy Shield in 2020 maar hield de SCC’s in principe in stand — met een gevalsafhankelijke transfer impact assessment en aanvullende maatregelen zoals hierboven beschreven.

• De adequaatheidsbeslissing van het EU-US Data Privacy Framework geldt. Aangenomen op 10 juli 2023, maakt het overdracht naar DPF-gecertificeerde Amerikaanse organisaties op basis van artikel 45 mogelijk. Het EU-Gerechts (algemene) verwierp op 3 september 2025 de eerste rechtszaak ertegen (T-553/23, Latombe tegen de Commissie), waarmee werd bevestigd dat de VS een adequaat beschermingsniveau bieden.

• Er loopt echter een beroep. Een beroep tegen dat arrest (C-703/25 P) is in behandeling bij het Hof van Justitie, zonder aangekondigde zittingsdatum per half 2026. Praktisch: de DPF is nu bruikbaar, maar niet risicovrij, en SCC’s plus een transfer-impact assessment blijven de verstandige uitweg.

Niets hiervan is reden voor paniek over Amerikaanse tools. Het betekent dat de keuze voor één leverancier een vraag met zich meebrengt waarvan het antwoord al eens is veranderd en opnieuw kan veranderen — en dat je dan elke keer alle betrokken leveranciers opnieuw moet beoordelen. Een EU-resident tool betekent dat die vraag niet telkens opengaat, en je buiten de vuurlinie van de volgende Schrems-achtige beslissing blijft.

De markt splitst scherp op residentie — zo ziet het eruit

Controleer waar deze tools de gegevens echt hosten en dan valt de markt in drie kampen. Het onderstaande weerspiegelt de publiek beschikbare bedrijfs- en privacyinformatie van elke aanbieder zoals geregistreerd op 2026-06-08 — de hiaten zijn net zo veelzeggend als de claims.

Expliciet VS-gebaseerd. Verschillende populaire tools vermelden duidelijk dat gegevens in de Verenigde Staten staan, zonder EU-optie: GuestCam (gehost op VS-gebaseerde cloudopslag, geen EU/Europees hosting), Kululu (primaire inhoud op Google Cloud / Firebase-servers in de VS), Fotify (geïntegreerd door Lumenlio, LLC, een Delaware-bedrijf) en Wedibox (een VS-bedrijf, Wedibox LLC). Voor elk van deze geldt dat een EU-onderneming die medewerkers- of gastfoto’s verwerkt zich in het terrein van doorgifte naar derde landen bevindt en de volledige beoordeling draagt.

Uitdrukkelijk EU-resident. Een kleinere groep noemt expliciet hosting in de EU/EER: EventPics (uitgevoerd door een Oostenrijkse onderneming, Aigner Software e. U., hosting in een EU-regio), JoinMyMoment (EU/EER-hosting, met onderaannemers in Duitsland [Hetzner], Frankrijk [Scaleway] en AWS Frankfurt), en Lense (servers in de Europese Unie, persoonsgegevens vooral opgeslagen en verwerkt daar). Dat zijn de tools waarbij de transfer-vraag niet speelt.

Niet gezegd of onduidelijk — en dat is op zichzelf een rode vlag. Veel relevante tools geven niet duidelijk aan waar gegevens staan opgeslagen. Sommige apps die in Duitsland of de EU worden verkocht schermen met teksten als “Made in Germany” of “Europese servers”, zonder expliciete serververklaring; anderen — met een onbekende bedrijfslocatie, of op Google Cloud zonder vermelding van een EU-regio — laten de rechtsgrond werkelijk onbekend. Bij inkoop is niet-genoemde woonplaats een bevinding, niet neutraal. Als een leverancier niet schriftelijk kan aangeven waar de hosting plaatsvindt, kun je je overdrachtsanalyse niet afronden en de tool mag niet als beoordeeld tellen totdat dit is gebeurd.

Belangrijke kanttekening: een claim over EU-residentie op een marketingpagina is een beginpunt, geen bewijs. In de volgende sectie wordt die leemte gedicht.

Hoe controleer je de EU-dataresidentieclaim van een leverancier?

“AVG-conform” op een homepage is een marketingstelling. Een inkoopteam heeft bewijs nodig dat in een dossier kan worden bewaard. Vijf vragen maken een claim controleerbaar:

1. Noem de datacenterregio schriftelijk. Niet gewoon “Europa” in het algemeen — de concrete rechtsgebied (bijv. Duitsland/Frankfurt) voor zowel opgeslagen uploads als de database. Vraag dit op in de DPA of een bestelformulier, zodat het contractueel wordt in plaats van alleen maar een intentieverklaring.

1. Vraag de lijst met onderaannemers op. De meeste platformen draaien op infrastructuur van derden — cloudopslag, een database-host, e-mail- en sms-verzending — en elke onderaannemer heeft een eigen locatie. Een leverancier die in de EU host maar meldingen via een Amerikaanse onderaannemer afhandelt, verplaatst nog steeds persoonsgegevens over de grens. Vraag om de volledige lijst en de locatie van elk onderdeel.

1. Vraag waar back-ups en logs staan. Primaire opslag in de EU helpt niet als nachtelijke back-ups naar een VS-regio repliceren. Dataresidency moet de kopieën omvatten, niet alleen live data.

1. Controleer of de DPA dit weerspiegelt. De verplichting rond verblijf/duur en de voorwaarden voor subverwerkers moeten in het Art. 28-contract staan dat je daadwerkelijk ondertekent, zodat de verplichting afdwingbaar is — niet alleen in een blogpost beschreven.

1. Vraag naar het uitwissingstraject. Bij woonplaats gaat het niet alleen om waar, maar ook om hoelang en hoe het verwijderd wordt. Bevestig dat de leverancier een verzoek tot verwijdering van een betrokkene kan uitvoeren binnen de wettelijke termijn — op grond van artikel 17 moet de verantwoordelijke zonder onredelijke vertraging wissen, en artikel 12(3) stelt een reactietermijn van één maand (verlengbaar met twee maanden bij echt complexe verzoeken, met kennisgeving). Een gedefinieerde bewaartermijn plus een duidelijk verwijderpad is wat de opslagbeperking (Art. 5(1)(e)) in de praktijk vraagt.

Beantwoord alle vijf vragen helder en schriftelijk, dan heb je een verdedigbare woonplaats. Verwijs alleen naar één badge, en je hebt een claim die je niet kan verliezen.

Waar Gathmo op dit vlak staat

Gathmo is gebouwd voor de procurementvraag waar dit artikel over gaat. De dataresidentie is in de EU, met objectopslag in de EU, de primaire database in Frankfurt, EU-gebaseerde compute en DPAs met verwerkers. Een DPA is op verzoek beschikbaar voor de per-event tiers en inbegrepen in B2B Studio, Agency en Enterprise. Retentie is gedefinieerd en eindig in plaats van onbeperkt (per-event tiers variëren van 30 dagen tot 1 jaar, afhankelijk van tier), precies de opslagbeperking waar Art. 5(1)(e) om vraagt. Voor een inkoop- of IT-team dat vraagt “blijven onze eventdata in Europa?”, is dat een bevestigend antwoord mét bewijs: een aangeduid datacenter en processor-DPA’s, niet alleen een marketingbadge.

Twee punten van eerlijkheid, omdat inkoop ze eerder van ons dan later hoort. Ten eerste: Gathmo biedt bij lancering geen gezichtsherkenning of face-search — dat staat op de Phase 2-roadmap, geen live feature. Voor een corporate buyer is dat op zich een voordeel: gewone fotogaleries die geen gezichtsprofielen opbouwen vermijden de extra, separate verplichting voor biometrische toestemming die face-matching onder artikel 9 kan triggeren. Ten tweede: residency is een drukke claim geworden — meerdere leveranciers adverteren Europese servers — daarom positioneren we het voordeel van Gathmo niet als “de enige EU-optie”, maar als verifieerbare EU-residency: benoemde jurisdictie, sub-processor transparantie en ondertekende DPA. Doorloop hierboven de vijf-vragencheck met ons; dat is waar die voor bedoeld is.