CLOUDOPLOSSINGEN VOOR SCHOLEN
Scholen verwerken dagelijks grote hoeveelheden gegevens van leerlingen en medewerkers. Clouddiensten maken dat beheer eenvoudiger, maar de keuze voor een aanbieder heeft directe gevolgen voor privacy, beveiliging en kosten. Het landschap verandert snel, mede door nieuwe Europese wetgeving en de groeiende zorg over afhankelijkheid van Amerikaanse techbedrijven.
Cloudoplossingen voor scholen
De meeste scholen werken al met cloud. E-mail, leerlingadministratie, digitale leeromgevingen, opslag van documenten: het staat zelden meer alleen op een server in de kelder. Toch worstelen veel schooldirecteuren en ICT-coördinatoren met dezelfde vragen. Welke aanbieder is AVG-compliant? Wat mag je eigenlijk met leerlingdata? En hoe kies je een oplossing die schaalbaar is zonder dat de kosten uit de hand lopen?
Wat maakt clousoplossingen voor scholen anders dan voor bedrijven?
Scholen zijn geen gewone organisaties. Ze verwerken persoonsgegevens van minderjarigen, van kwetsbare gezinnen en van medewerkers met contractuele rechten. De Autoriteit Persoonsgegevens houdt hier actief toezicht op. Dat betekent dat een cloudoplossing die prima werkt voor een middelgroot bedrijf, voor een school juridisch onhoudbaar kan zijn.
Het gaat niet alleen om de techniek. Het gaat om wie de gegevens verwerkt, waar die gegevens fysiek staan, wie er toegang toe heeft en welke contractuele afspraken er liggen. Een clouddienst die data doorstuurt naar servers buiten de Europese Unie, of die gebruikersdata inzet voor commerciële doeleinden, is voor scholen in principe in strijd met de AVG.
Microsoft, Google of een Europees alternatief
De twee dominante spelers in het onderwijs zijn Microsoft 365 en Google Workspace for Education. Beide hebben in Nederland een DPIA ondergaan. Die beoordelingen brachten aanzienlijke privacyrisico’s aan het licht, met name rond telemetriedata, diagnostische gegevens en de mogelijkheid dat data wordt verwerkt buiten de EU.
Voor Microsoft 365 geldt dat SURF en de rijksoverheid aanvullende afspraken hebben gemaakt over dataverwerkingsvoorwaarden. Die afspraken verminderen de risico’s, maar lossen ze niet volledig op. Scholen die Microsoft 365 gebruiken, moeten de inrichting zorgvuldig aanpakken, met name rond Intune, Purview en diagnostische instellingen. Op de pagina over Microsoft 365 voor het onderwijs vind je meer over hoe een privacyveilige inrichting eruitziet.
SURF heeft in 2025 goedkeuring gegeven aan Nextcloud als Europees alternatief. Die beoordeling, uitgevoerd samen met Privacy Company, concludeerde dat alle gevonden privacyrisico’s zijn opgelost of laag bleken. Scholen die zijn aangesloten bij SURF kunnen Nextcloud gebruiken via een beheerde dienst, met garantie dat data uitsluitend binnen de EU wordt verwerkt.
De keuze tussen aanbieders is zelden puur technisch. Ze is ook bestuurlijk: welke risico’s accepteer je, wat kun je verantwoorden tegenover ouders en de Autoriteit Persoonsgegevens, en hoe afhankelijk wil je zijn van één grote leverancier?
AVG-verplichtingen bij het gebruik van cloud
Verwerkersovereenkomst
Een overeenkomst sluit je af met elke externe partij die namens de school persoonsgegevens verwerkt. Dat geldt dus ook voor je cloudaanbieder. In die overeenkomst leg je vast wat de aanbieder wel en niet met de data mag doen, hoe datalekken worden gemeld en hoe je als school regie houdt over de gegevens.
Gegevensoverdracht buiten de EU
Veel Amerikaanse clouddiensten vallen onder de Cloud Act. Dat betekent dat Amerikaanse autoriteiten toegang kunnen eisen tot data, ook als die data fysiek in Europa staat. Voor scholen is dat een reëel risico, omdat leerlingdata bijzondere persoonsgegevens bevatten of nauwe verwantschap daarmee hebben. Diensten die data uitsluitend binnen de EU verwerken, beperken dit risico aanzienlijk.
DPIA bij nieuwe verwerkingen
Een Data Protection Impact Assessment is verplicht als een nieuwe cloudoplossing een hoog privacyrisico met zich meebrengt. Dat is bijna altijd het geval bij systemen die leerlinggedrag vastleggen, analyses maken op gebruikersniveau of data combineren van meerdere bronnen. Op onze pagina over AVG in het onderwijs vind je een uitleg van wanneer een DPIA precies verplicht is en hoe je die aanpakt.
Verwerkingsregister
Elke cloudoplossing die je inzet, hoort thuis in het verwerkingsregister van de school. Zonder dat register is er geen overzicht, en zonder overzicht is AVG-compliance een lege huls. Het register dwingt je ook om periodiek na te gaan of verwerkersovereenkomsten nog actueel zijn.
Beveiliging van clouddata in het onderwijs
Scholen zijn een aantrekkelijk doelwit voor cybercriminelen. Leerlingadministraties, financiële gegevens, persoonsdata van medewerkers: het onderwijs beschikt over een brede mix aan waardevolle informatie. Ransomware-aanvallen op scholen nemen toe, en ook phishing gericht op schoolmedewerkers is een groeiend probleem.
Een clouddienst is op zichzelf geen veiligheidsrisico, maar ook geen veiligheidsgarantie. De veiligheid hangt af van hoe de omgeving is ingericht. Multifactorauthenticatie, strak toegangsbeheer, encryptie van data in transit en in rust, en duidelijke procedures bij incidenten zijn minimale randvoorwaarden.
Onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, krijgen schoolbesturen straks directe verantwoordelijkheid voor digitale weerbaarheid. Bestuurders die onvoldoende maatregelen hebben getroffen, kunnen persoonlijk aansprakelijk worden gesteld. Meer over cybersecurity in het onderwijs en wat NIS2 en het IBP-normenkader voor jouw school betekenen lees je hier.
Voor cloudopslag geldt bovendien dat je moet weten waar back-ups staan, wie toegang heeft tot die back-ups en hoe snel data te herstellen is na een incident. Die vragen worden bij cloudaankopen regelmatig overgeslagen.
Kosten van cloudoplossingen voor scholen
Clouddiensten lijken goedkoop tot je de werkelijke kosten bij elkaar optelt. Licenties, implementatie, beheer, training van medewerkers en de tijd die nodig is om een omgeving AVG-compliant in te richten: het loopt snel op.
Scholen die samenwerken in een coöperatief verband kunnen op drie manieren kosten drukken. Ten eerste via gezamenlijke inkoop: wie als collectief onderhandelt, krijgt betere prijzen dan wie afzonderlijk inkoopt. Ten tweede via gedeeld beheer: een beheerder die voor meerdere scholen werkt, is per school goedkoper dan een eigen FTE. Ten derde via standaardisatie: scholen die dezelfde oplossingen gebruiken, kunnen kennis delen en zijn minder kwetsbaar als medewerkers vertrekken.
SURFcumulus, het inkoopplatform van SURF, biedt onderwijsinstellingen toegang tot raamcontracten met grote cloudaanbieders. Via dat platform kunnen scholen en instellingen tegen gunstige voorwaarden cloud-diensten afnemen, inclusief de bijbehorende privacywaarborgen. SURF heeft hiervoor een raamwerk van 450 miljoen euro beschikbaar.
Over hoe samenwerking ICT betaalbaar maakt, lees je op betaalbare ICT in het onderwijs.
Digitale soevereiniteit: een groeiend thema
Soevereiniteit klinkt abstract, maar de praktische vraag is concreet: wat gebeurt er als een grote cloudleverancier besluit zijn voorwaarden te wijzigen, zijn dienst te beëindigen of zijn prijs te verdubbelen? En wat als een buitenlandse overheid toegang eist tot data die bij die leverancier staat?
Die vragen spelen steeds zwaarder in het onderwijs, mede door geopolitieke ontwikkelingen. SURF en Kennisnet adviseren scholen om afhankelijkheden in kaart te brengen en bewust te kiezen voor aanbieders die Europese waarborgen bieden. Dat hoeft niet te betekenen dat je alle Amerikaanse software schrapt, maar wel dat je weet wat je in handen hebt gegeven en welke risico’s daaraan kleven.
Europese alternatieven zoals Nextcloud zijn inmiddels volwassen genoeg voor gebruik in het onderwijs. Ze vereisen meer expertise bij de implementatie, maar bieden in ruil daarvoor meer controle over data en minder afhankelijkheid van externe beleidskeuzes.
Praktische stappen bij de keuze voor een cloudoplossing
Voordat je een cloudoplossing kiest, is het zinvol om een aantal vragen te beantwoorden. Welke gegevens worden in de cloud opgeslagen? Welke medewerkers hebben toegang en op basis van welke rol? Waar staan de servers van de aanbieder? Welke contractuele afspraken zijn er over datagebruik, datalekken en beëindiging van de dienst? En is er een recente DPIA beschikbaar?
Die vragen zijn niet alleen technisch. Ze zijn ook bestuurlijk. Het schoolbestuur is en blijft verwerkingsverantwoordelijke, ook als de data buiten de school wordt beheerd. De implementatie van het IBP-normenkader, dat 69 normen voor informatiebeveiliging bevat, helpt scholen om die verantwoordelijkheid gestructureerd in te vullen.
Wat KIEN doet op het gebied van cloud
KIEN ICT begeleidt scholen in het primair en voortgezet onderwijs in Zuid-Holland bij de keuze, inrichting en het beheer van cloudoplossingen. Dat begint met een helder beeld van wat er al in gebruik is en welke risico’s daarmee samenhangen. Vanuit dat overzicht adviseren we over aanbiedersselectie, helpen we bij het opstellen en beoordelen van verwerkersovereenkomsten en ondersteunen we bij de technische implementatie.
Omdat KIEN een coöperatie is waarbij scholen mede-eigenaar zijn, werken we altijd vanuit het belang van de school, niet van een leverancier. Gezamenlijke inkoop, gedeeld beheer en kennisdeling tussen scholen zorgen ervoor dat kwaliteit en kosten in balans blijven.
Voor scholen die werken met Microsoft 365 bieden we beheer en advies over een privacyveilige inrichting. Voor scholen die willen overstappen of diversifiëren naar Europese alternatieven denken we mee over de transitie.
Complete ICT-ontzorging binnen het onderwijs
Er zijn talrijke voordelen om je als school aan te sluiten bij KIEN. De drie belangrijkste zijn:
1) De diepte van de dienstverlening
Belangrijk, gezien de toenemende complexiteit van ICT.
2) De controle
Leden zijn eigenaar, dus betrokken bij elke keuze. en
3) Het inkoopvoordeel
Natuurlijk doordat wij gezamenlijk met elkaar optrekken.
Alleen ga je snel, samen kom je verder.
Kom met ons in contact
Ontdek meer over de voordelen van een lidmaatschap bij ons.
Veelgestelde vragen over cloudoplossingen voor scholen
Mag een school Microsoft 365 of Google Workspace gebruiken?
Ja, maar niet zonder meer. Beide diensten zijn beoordeeld via een DPIA. Voor Microsoft 365 gelden aanvullende verwerkingsafspraken die zijn vastgelegd tussen SURF en Microsoft. Die afspraken verminderen de privacyrisico’s, maar de inrichting van de omgeving blijft cruciaal. Standaardinstellingen zijn zelden voldoende.
Wat is het verschil tussen SaaS, IaaS en PaaS voor scholen?
SaaS (Software as a Service) is wat de meeste scholen gebruiken: kant-en-klare software via de cloud, zoals Microsoft 365 of een leerlingvolgsysteem. IaaS (Infrastructure as a Service) levert rekenkracht en opslag zonder software, geschikt voor scholen met eigen applicaties. PaaS (Platform as a Service) zit daartussenin en is minder relevant voor het primair en voortgezet onderwijs.
Wanneer is een DPIA verplicht voor een cloudoplossing?
Een DPIA is verplicht als de verwerking waarschijnlijk een hoog risico inhoudt voor betrokkenen. Bij cloudoplossingen die leerlingdata verwerken, gedragsanalyses uitvoeren of data combineren uit meerdere bronnen, is dat risico snel aanwezig. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd verplicht is.
Wat is Nextcloud en is het geschikt voor het onderwijs?
Nextcloud is open-source software voor bestandsdeling, samenwerking aan documenten en interne communicatie, ontwikkeld door een Duits bedrijf. SURF heeft de dienst in 2025 laten toetsen via een uitgebreide DPIA en goedgekeurd voor gebruik in het onderwijs. Scholen die zijn aangesloten bij SURF kunnen de dienst als beheerde oplossing afnemen.
Hoe bescherm ik leerlingdata in de cloud?
De basis bestaat uit een actuele verwerkersovereenkomst, multifactorauthenticatie voor alle gebruikers, rolgebaseerd toegangsbeheer, encryptie van data in transit en in rust, en een procedure voor het melden en afhandelen van datalekken. Daarbovenop helpt het IBP-normenkader om systematisch te werken aan informatiebeveiliging.
Wat betekent digitale soevereiniteit voor mijn school?
Soevereiniteit gaat over de vraag in hoeverre je als school zelf de regie hebt over je digitale omgeving. Dat betekent: weten waar data staat, onder welk recht die data valt, en wat er gebeurt als een leverancier stopt of zijn voorwaarden wijzigt. Het is geen alles-of-niets-keuze, maar een bewust afwegen van afhankelijkheden.
