Digitale soevereinheid in de gemeente — wat dit concreet betekent

„Digitale soevereinheid is geen kwestie van een vinkje zetten bij ‘AVG-conform’, maar van de vraag wie er straks daadwerkelijk zeggenschap heeft over uw data en systemen.“ — Dr. Thomas Jarzombek, CDU-Bundestagsabgeordneter en digitaalexpert

„Digitale soevereinheid” staat inmiddels in bijna elke digitale strategie van de federale overheid, de deelstaten en gemeenten. In de praktijk blijft de term vaak vaag — en wordt deze al snel gelijkgesteld aan „AVG-conform”. Dat is te kort door de bocht. Soevereiniteit gaat niet om de vraag of een dataverwerking toegestaan is, maar wie er feitelijk over de data kan beschikken: wie kan ze inzien, wie kan de dienst uitschakelen, wie bepaalt over prijzen en functionaliteit, en hoe komt een gemeente er weer uit? Voor de circa 1,6 miljoen werknemers bij Duitse gemeenten (Destatis, openbare dienst 2024) zijn dit geen abstracte vragen — ze bepalen welke tools in het gemeentehuis, op de werkplaats en in de buitendienst überhaupt mogen worden ingezet. Deze bijdrage zet de term op een rijtje en maakt hem toetsbaar voor de praktijk.

Wat betekent digitale soevereiniteit voor een gemeente?

Digitale soevereiniteit betekent: de gemeente behoudt de controle over haar data, haar systemen en haar operationele capaciteit — ook wanneer aanbieders, prijzen of politieke kaders veranderen.

De term kent drie niveaus die in de praktijk vaak door elkaar lopen. Ten eerste het dataniveau: waar liggen de data, onder welk rechtsstelsel vallen ze, wie heeft technisch toegang? Ten tweede het technologieniveau: hoe afhankelijk is de gemeente van één enkele aanbieder, diens roadmap en prijsbeleid? Ten derde het handelniveau: kan de gemeente haar taken ook uitvoeren als een dienst uitvalt, duurder wordt of om politieke redenen niet meer beschikbaar is?

Voor een gemeente betekent dit niet dat alles zelf moet worden beheerd. Soevereiniteit is geen autarkie, maar keuzevrijheid: bewust kunnen beslissen welke afhankelijkheden men aangaat — en deze beslissing later kunnen herzien, zonder dat data of processen verloren gaan. Juist deze terugneembaarheid onderscheidt een soevereine inkoop van een die alleen formeel aan de AVG voldoet.

Waarom is „AVG-conform” als criterium niet meer voldoende?

Omdat de AVG regelt of een verwerking juridisch is toegestaan — niet wie er in geval van nood daadwerkelijk toegang toe heeft.

Een dienst kan een verwerkingsovereenkomst, een verwerkingsregister en standaardcontractclausules volledig naleven en toch draaien in een structuur waarin de gemeente geen feitelijke controle heeft. AVG-conformiteit is een minimale eis, geen onderscheidend kenmerk — elke serieuze aanbieder voldoet eraan.

Soevereiniteit gaat een stap verder en vraagt naar de daadwerkelijke beschikkingsbevoegdheid: wie is de eigenaar van de aanbieder? Onder welk recht valt de moedermaatschappij? Welke onderaannemers zijn betrokken en in welke landen zitten ze? Kunnen beheerders van de aanbieder technisch bij de inhoud? Wat gebeurt er met de data als het contract eindigt? Deze vragen worden niet beantwoord in een privacyverklaring — ze horen thuis in de aanbiederevaluatie en in de aanbesteding. Wie alleen „AVG-conform” afvraagt, krijgt van alle bieders een „ja” en heeft geen criterium gewonnen.

Welke rol speelt de Amerikaanse CLOUD Act?

De CLOUD Act verplicht Amerikaanse aanbieders om Amerikaanse autoriteiten toegang te verlenen tot data — ongeacht in welk land deze data zijn opgeslagen.

De Clarifying Lawful Overseas Use of Data Act uit 2018 is de kern van het probleem dat niet wordt opgelost door alleen Europese hosting. De wet geldt voor bedrijven die onder Amerikaans recht vallen — dus ook voor Europese dochterondernemingen van Amerikaanse concerns. Een datacenter in Frankfurt verandert daar niets aan als de moedermaatschappij in de VS zit.

Daarnaast is de rechtspositie bij datatransfer onzeker: het Europees Hof van Justitie heeft met het Schrems-II-arrest (zaak C-311/18, juli 2020) het toenmalige Privacy Shield ongeldig verklaard. De opvolger, het EU-US Data Privacy Framework, staat sinds de inwerkingtreding onder juridische observatie. Voor een gemeente betekent dit een planningsrisico: een inkoopbeslissing waarvan de rechtsgrondslag afhangt van één enkele adequaatheidsbeslissing, kan binnen maanden door een vonnis in twijfel worden getrokken. Een aanbieder die volledig onder Europees recht valt, heeft dit risico structureel niet.

Waaraan herkent u een soevereine platform?

Aan vier toetsbare punten: waar de data liggen, wie de exploitant is, welke AI-modellen erachter draaien — en hoe u eruit komt.

Deze vier vragen kunt u elke aanbieder stellen en schriftelijk laten beantwoorden:

1. Hosting en rechtsstelsel. In welk land staan de servers, wie exploiteert het datacenter, zijn er replicaties of back-ups buiten de EU? Een concrete datacenterexploitant is een betrouwbaar antwoord, „in de EU” alleen niet.
2. Eigendomsstructuur van de exploitant. Wie is de eigenaar van het bedrijf, onder welk recht valt het, zijn er Amerikaanse moedermaatschappijen of investeerders met doorgriffsrechten?
3. AI-componenten. Steeds meer platforms integreren taalmodellen. Cruciaal is welke modellen dit zijn en waar ze draaien — anders verlaten inhoud via de AI-functie de rechtsruimte die u bij hosting net heeft veiliggesteld.
4. Exit-capaciteit. Welke data krijgt u in welke formaten terug, hoe lang duurt een export, en wat gebeurt er met de data na afloop van het contract? Zonder een betrouwbaar antwoord is elke soevereiniteitsverklaring slechts een momentopname.

Hoe brengt u soevereiniteit in de aanbesteding?

Door deze als toetsbare criteria te formuleren in plaats van als intentieverklaring — en bewijzen te vragen, geen zelfverklaringen.

De meest gemaakte fout in aanbestedingen is de formulering „De aanbieder moet AVG-conform zijn.” Dat beantwoordt elke bieder met „ja” en de aanbestedende dienst staat zonder differentiatie. Toetsbare criteria zien er anders uit: benaming van de datacenterexploitant en locatie, opsomming van alle onderaannemers inclusief vestigingsland, opgave van de gebruikte AI-modellen en hun exploitatielocatie, beschrijving van de data-export met formaten en termijnen, gegevens over de eigendomsstructuur van de aanbieder.

Het is ook zinvol om soevereiniteit niet alleen als uitsluitingscriterium, maar als gewogen gunstcriterium te hanteren. Dan concurreren aanbieders niet alleen op prijs, maar ook op hoe betrouwbaar ze deze vragen beantwoorden. En het praktische neveneffect: wie de antwoorden eenmaal schriftelijk heeft liggen, kan ze direct gebruiken voor de ondernemingsraad, de functionaris voor gegevensbescherming en de IT-beveiligingsfunctionaris — drie organen die deze vragen toch al zullen stellen.

Waar kunnen gemeenten praktisch beginnen?

Het beste daar waar vandaag de grootste lacune zit — meestal bij de interne communicatie van de operationele afdelingen.

De overstap naar soevereine oplossingen wordt vaak gezien als een groot project: office-suite, e-mail, vakapplicaties, alles in één keer. Dat is de zekerste weg om niets voor elkaar te krijgen. Realistischer is een afgebakend gebied met hoge pijnpunten en lage migratiekosten. In veel gemeenten is dat de interne communicatie van de werkplaats, de kinderopvang, de brandweer en de buitendienst — daar verloopt de afstemming vandaag vaak via privé-messengerdiensten, dus via een oplossing die noch dienstplichtig noch soeverein is. Hoe u dat kunt vervangen, leest u in de bijdrage Dienstcommunicatie in plaats van privé-WhatsApp; de bredere context vindt u in Duitse alternatieven voor Microsoft Teams & Office.

Kibi Connect pakt dit precies zo aan: het platform wordt ontwikkeld door de Weslink GmbH in Coesfeld en uitsluitend gehost in Duitse datacenters (Hetzner); de geïntegreerde AI-functies draaien op Europese modellen die in de EU worden gehost. Zo wordt een gebied gedekt dat meer dan 40 % van de werknemers betreft — zonder dat daarvoor de hele IT-infrastructuur hoeft te worden aangepast.

Checklist voor de aanbiederselectie

• Locatie en exploitant van het datacenter namentelijk genoemd — niet alleen „EU”
• Eigendomsstructuur van de aanbieder openbaar gemaakt, geen doorgriffsrechten uit derde landen
• Volledige lijst van onderaannemers inclusief vestigingsland
• Gebruikte AI-modellen genoemd, exploitatielocatie in de EU
• Data-export in gangbare formaten gegarandeerd, met termijn en omvang
• Concept voor verwijdering na afloop van het contract schriftelijk vastgelegd
• Verwerkingsovereenkomst, rollen- en rechtenconcept, SSO-aansluiting beschikbaar
• Soevereiniteitscriteria als gewogen gunstcriterium in de aanbesteding

Conclusie: soevereiniteit is een kwestie van beschikkingsbevoegdheid, niet van serverlocatie

Een Duits datacenter is een noodzakelijke, maar geen voldoende voorwaarde — cruciaal is wie daadwerkelijk zeggenschap heeft over data en dienst. Voor gemeenten betekent dit dat de aanbiederevaluatie moet worden uitgebreid met vier vragen: rechtsstelsel, eigendomsstructuur, AI-componenten en exit-capaciteit. Wie deze punten in de aanbesteding opneemt en bewijzen vraagt, neemt een beslissing die ook na het volgende arrest van het Europees Hof van Justitie standhoudt. En wie klein begint — bij de interne communicatie van de operationele teams — behaalt snel resultaten, in plaats van te wachten op een groot project.

Hoe gemeenten, werkplaatsen en buitendienst op één gemeenschappelijke platform samenwerken, leest u op Medewerkersplatform voor gemeenten.

Nu gratis uitproberen | Demo aanvragen | Prijzen bekijken