KPN kondigt 'Europese cloud' met Lidl-moeder aan

Op 28 mei kondigde KPN een samenwerking aan met Schwarz Digits, het IT-bedrijf van het Duitse Schwarz-concern. KPN presenteert de geplande Nederlandse dienst als een Europese soevereine cloud en noemt medio 2027 als beoogde beschikbaarheid. De uiteindelijke contracten en technische inrichting bepalen welke waarborgen klanten werkelijk krijgen.

De deal past in de Europese beweging richting digitale soevereiniteit. Voor Nederlandse bedrijven telt uiteindelijk niet alleen het vestigingsland, maar ook de volledige leveranciersketen, contracten, beveiliging en mogelijke doorgiften.

Wat de samenwerking inhoudt

De rolverdeling is helder:

• KPN levert de datacenters in Nederland, de connectiviteit en IT-diensten.
• Schwarz Digits levert het cloudplatform STACKIT — een Europees alternatief voor AWS, Azure of Google Cloud dat al draait in Duitsland en Oostenrijk.
• Data wordt volgens de aankondiging in Nederlandse KPN-datacenters opgeslagen; controleer bij beschikbaarheid de contractuele en technische voorwaarden.

KPN-topman Joost Farwerck zei in het persbericht: "Nederlandse bedrijven en publieke organisaties zoeken in toenemende mate naar meer controle over hun data en een veilige Europese cloud op schaal." De doelgroep zijn nadrukkelijk de zogenoemde "vitale organisaties": overheidsinstanties, financiële dienstverleners, energiebedrijven en zorginstellingen.

Waarom nu? Het Cloud Act-probleem

De grote drie cloud-providers — Amazon Web Services, Microsoft Azure en Google Cloud — bieden datacenters in de EU aan. Hun Amerikaanse moederbedrijven vallen daarnaast onder de Amerikaanse Cloud Act van 2018. Dat maakt de juridische beoordeling breder dan alleen de fysieke serverlocatie.

Die wet stelt dat Amerikaanse autoriteiten gegevens kunnen opvragen die door US-bedrijven worden beheerd, ook als de fysieke servers in een ander land staan. Dat klemt vooral sinds:

• Het Schrems II-arrest (2020) van het Europese Hof van Justitie, dat het oude Privacy Shield ongeldig verklaarde voor data-doorgifte naar de VS.
• Het EU-US Data Privacy Framework, dat een adequaatheidsroute biedt voor gecertificeerde Amerikaanse ontvangers.

RTL Nieuws verwoordde het puntig: "Zo zou de Amerikaanse overheid techbedrijven kunnen dwingen om gegevens van Europese klanten te delen, of zelfs de toegang tot hun diensten af te sluiten."

Digitale soevereiniteit als concept

Digitale soevereiniteit wordt per beleid, contract en risicomodel anders ingevuld. Veel gebruikte controlepunten zijn:

• welke rechtspersoon contractspartij en verwerkingsverantwoordelijke of verwerker is;
• waar gegevens, beheer en supportverwerking plaatsvinden;
• welke extraterritoriale wetten, doorgiftewaarborgen en technische afhankelijkheden gelden.

Voor vitale processen tellen daarnaast continuïteit, exitmogelijkheden, portabiliteit en hersteltests.

Wat het voor de Nederlandse markt betekent

KPN richt de aangekondigde dienst op organisaties die meer controle over infrastructuur en data zoeken. Of de dienst aan een specifieke compliance-eis voldoet, moet later blijken uit de definitieve inrichting, contracten en onafhankelijke toetsing.

Voor MKB en kleinere bedrijven zijn prijs en beschikbaarheid nog niet gepubliceerd. Daarover is dus nog geen verantwoorde vergelijking mogelijk.

Er zijn ook aanbieders met een Europese vestiging of een selecteerbare EU-regio. Dat zijn verschillende eigenschappen; controleer per dienst de rechtspersoon, gekozen regio, verwerkers en contracten:

Hoe pdfsamenvoegen.nl past in dit verhaal

De eigen infrastructuur laat ook zien waarom alleen het vestigingsland niet genoeg zegt. Concreet:

• Onze applicatie draait bij Netcup in Duitsland; voor netwerkbeveiliging en tijdelijke objectopslag gebruiken we Cloudflare R2. Voor die R2-opslag publiceren we momenteel geen gegarandeerde EU-jurisdictieregio.
• Wij zijn een Nederlandse onderneming (Samautomation, KvK 68369492) — vallen onder Nederlands recht.
• Er is momenteel geen gepubliceerde verwerkersovereenkomst (DPA).
• Originelen worden binnen 1 uur na verwerking automatisch uit de actieve objectopslag verwijderd.

Bij pdfsamenvoegen.nl draait de applicatie bij Netcup in Duitsland en verzorgt Cloudflare netwerkbeveiliging en tijdelijke objectopslag. Dat maakt onze dienst niet automatisch soeverein of AVG-conform voor iedere verwerking. Controleer de volledige keten en lees de actuele AVG-gids voor PDF samenvoegen.

Wat dit zegt over de toekomst

De aankondiging laat zien dat KPN en Schwarz Digits vraag verwachten naar Europese infrastructuur met meer regionale controle. Voor een inkoopbesluit blijven de concrete rechtspersoon, regio, subverwerkers, doorgiftewaarborgen, beveiliging, continuïteit en contracten doorslaggevend.

Bron

Primaire bronnen: KPN over KPN Sovereign Cloud powered by STACKIT en de samenwerking en rolverdeling. Aanvullend: het RTL Nieuws-bericht "KPN gaat 'Europese cloud' bouwen in Nederland" (28 mei 2026).

Veelgestelde vragen

Wanneer is de KPN-Schwarz Digits-cloud beschikbaar?

KPN noemt medio 2027 als beoogde beschikbaarheid in Nederland. Controleer de actuele primaire KPN-bron hierboven voordat je hier een inkoopbesluit op baseert.

Wat is het verschil tussen "EU-hosting" en "soevereine cloud"?

EU-hosting zegt waar data wordt verwerkt of opgeslagen. Een soevereine cloud probeert daarnaast zeggenschap, beheer en juridische afhankelijkheden binnen Europa te houden. Welke waarborgen nodig zijn, hangt af van de gegevens en het risico.

Is AWS in Frankfurt niet EU-hosting?

Ja, eu-central-1 is EU-hosting. Omdat Amazon een Amerikaanse moedermaatschappij heeft, moet een organisatie daarnaast mogelijke Cloud Act-toegang en de toepasselijke doorgiftewaarborgen beoordelen. EU-eigendom kan een soevereiniteitscriterium zijn, maar is geen algemene voorwaarde voor AVG-conformiteit.

Welke Europese alternatieven kan ik nu al gebruiken?

Afhankelijk van je behoefte: Hetzner of TransIP voor servers, Proton voor e-mail, Nextcloud voor file-sharing, pdfsamenvoegen.nl voor PDF-werk, Tresorit voor encrypted storage. Zie de tabel hierboven voor een breder overzicht.

Wat als ik AVG-conform wil zijn maar het MKB-budget heb?

Een DPA met een Europese host is één onderdeel, geen volledige AVG-toets. Controleer ook de grondslag, transparantie, beveiliging, bewaartermijn, subverwerkers en mogelijke doorgiften. Er is momenteel geen gepubliceerde DPA; gebruik de dienst niet wanneer artikel 28 AVG die voor jouw verwerking vereist.