Midden in de Europese discussie over digitale soevereiniteit blijkt een opvallende trend: meer dan zes van de tien Duitse ondernemingen blijven hun persoonsgegevens naar landen buiten de Europese Unie sturen. De cijfers komen uit een recente enquête van de branchevereniging Bitkom, waarin 603 bedrijven met minstens twintig werknemers werden ondervraagd.

Zwaarwegende afhankelijkheid van internationale data‑overdrachten

62 % van de ondervraagde bedrijven geeft aan persoonlijke gegevens van klanten en medewerkers te verzenden naar niet‑EU‑staten. Het merendeel hiervan gebeurt via externe dienstverleners (45 %), zakelijke partners (41 %) en intra‑group entiteiten (19 %). Bijna alle organisaties (96 %) maken gebruik van grensoverschrijdende overdrachten om toegang te krijgen tot cloud‑diensten, terwijl 90 % video‑conferencing‑ en andere communicatiesystemen nodig heeft.

Voor de bedrijven die data buiten de EU verplaatsen, blijft de Verenigde Staten de belangrijkste bestemming: 61 % van de respondenten stuurt daar persoonsgegevens heen. Op de tweede plaats staat het Verenigd Koninkrijk (43 %), gevolgd door India (24 %), Japan (13 %) en China (12 %). Geen enkel bedrijf meldde data‑overdrachten naar Rusland.

Waarom deze aanpak?

Duitsland’s digitale economie leunt sterk op wereldwijde infrastructuren. Twee derde van de bedrijven (66 %) vertrouwt op global serviceproviders voor onder meer 24‑uur beveiligingsondersteuning. Andere motieven zijn facturatie‑ en databasebeheer (38 %), vestigingen buiten de EU (31 %) en internationale onderzoeks‑ en ontwikkelingssamenwerkingen (18 %).

Als wettelijke basis voor de overdrachten gebruiken 80 % van de bedrijven standaard contractuele clausules (SCC’s). Daarnaast doen 23 % een beroep op Binding Corporate Rules (BCR’s) en 21 % op het EU‑VS Data Privacy Framework (DPF). Twaalf procent baseert zich op expliciete toestemming van de betrokkenen. Een zorgwekkend signaal komt echter uit de enquête: 19 % van de bedrijven meldt nog steeds bezig te zijn met het aanpassen of bespreken van hun procedures nu eerdere regelgevingen (zoals het oude Privacy Shield) zijn afgeschaft.

Terwijl beleidsmakers in Europa pleiten voor meer digitale onafhankelijkheid en strengere controle over grensoverschrijdende data‑stromen, laten de cijfers van Bitkom zien dat de praktijk nog ver verwijderd is van deze ambitie. De omvangrijke afhankelijkheid van Amerikaanse en andere niet‑EU‑cloud‑leveranciers onderstreept de complexiteit van het realiseren van een echt Europese digitale soevereiniteit. Voor bedrijven betekent dit niet alleen hogere kosten en mogelijke concurrentienadelen bij een eventuele terugtrekking uit internationale data‑ecosystemen, maar ook een voortdurende juridische onzekerheid rondom de juiste naleving van privacy‑regels.