Ja, u heeft een verwerkersovereenkomst nodig zodra een externe partij namens u persoonsgegevens verwerkt. Artikel 28 AVG verplicht dit zonder uitzondering. Controleer per leverancier of die als verwerker optreedt, en vraag dan direct om een schriftelijke overeenkomst of gebruik een bestaand model. De Autoriteit Persoonsgegevens en de Rijksoverheid bieden hiervoor bruikbare uitgangspunten.
Kort samengevat:
- Elke externe partij die namens u persoonsgegevens verwerkt, moet volgens artikel 28 AVG een schriftelijke verwerkersovereenkomst krijgen, ongeacht de bedrijfsgrootte of hoeveelheid data.
- Bij twijfel of een partij verwerker of verwerkingsverantwoordelijke is, bepaalt de rol van wie het doel en de middelen van de gegevensverwerking vastlegt, de vereiste overeenkomst.
- Een minimumvereiste in de overeenkomst is dat de verwerker uitsluitend volgens schriftelijke instructies handelt en voldoende beveiligingsmaatregelen neemt.
- Veel organisaties onderschatten het aantal verwerkers en hebben daardoor een onvolledig verwerkingsregister, wat risico’s bij datalekken of toezicht kan vergroten.
- Het opzetten en periodiek herzien van een gestructureerd proces voor DPA-beoordeling voorkomt contractfouten en biedt juridische bescherming.
Inhoudsopgave
- Wanneer is een verwerkersovereenkomst verplicht volgens artikel 28 AVG?
- Verwerkingsverantwoordelijke of verwerker: hoe herkent u het verschil?
- Wat moet er minimaal in de verwerkersovereenkomst staan?
- Wanneer wél en wanneer geen verwerkersovereenkomst nodig is
- Verwerkersovereenkomsten checken: een stappenplan voor uw organisatie
- Waarom een sluitende verwerkersovereenkomst meer oplevert dan een vinkje op een lijst
- Hulp nodig bij uw verwerkersovereenkomst?
- Bronnen
- Veelgestelde vragen
Wanneer is een verwerkersovereenkomst verplicht volgens artikel 28 AVG?
Artikel 28 AVG stelt de regel simpel: zodra u een externe partij inschakelt die namens u persoonsgegevens verwerkt, moet die afspraak schriftelijk vastliggen. De Autoriteit Persoonsgegevens noemt dit een kernverplichting van de AVG, niet een optionele aanvulling. Er is geen ondergrens qua bedrijfsgrootte of hoeveelheid gegevens. Eén klant in een CRM-systeem bij een externe partij is al genoeg.
De verplichting geldt bij vrijwel elke uitbestede verwerking. Denk aan:
- Een CRM-pakket waarin klantgegevens bij een externe aanbieder staan.
- Cloudopslag of hosting van bestanden met persoonsgegevens.
- Een payrollbureau dat salarisadministratie verzorgt.
- Een e-mailmarketingtool die uw klantenlijst verstuurt.
Belangrijk is het onderscheid met gezamenlijke verwerkingsverantwoordelijken (joint controllers), waarbij twee partijen samen doel en middelen bepalen. Dan volstaat geen verwerkersovereenkomst, maar is een andere afspraak nodig over ieders verantwoordelijkheid. Puur intern gebruik, zonder externe partij die gegevens verwerkt, valt buiten deze verplichting.
Verwerkingsverantwoordelijke of verwerker: hoe herkent u het verschil?
De vraag wie welke rol heeft, bepaalt of er een verwerkersovereenkomst nodig is. De vuistregel: wie het doel en de middelen van de verwerking bepaalt, is verwerkingsverantwoordelijke. Wie uitsluitend op instructie werkt, is verwerker. Volgens Europa Decentraal is precies deze rolbepaling vaak de bron van verwarring bij ondernemers.
- Bepaalt de leverancier zelf waarom en hoe gegevens gebruikt worden? Dan is die partij zelfstandig verantwoordelijke, geen verwerker.
- Werkt de leverancier strikt volgens uw instructies? Dan is het een verwerker en heeft u een verwerkersovereenkomst nodig.
- Twijfelt u nog? Kijk naar het contract en de feitelijke praktijk, niet naar hoe de leverancier zichzelf noemt.
Een clouddienst die uw data alleen opslaat en verwerkt volgens uw configuratie, is meestal verwerker. Een advocaat die op basis van eigen vakinhoudelijke afwegingen werkt, is meestal zelf verantwoordelijke. Misclassificatie is geen kleinigheid: het verkeerde contract laat u onbeschermd achter bij een datalek of een onderzoek van de toezichthouder.
Wat moet er minimaal in de verwerkersovereenkomst staan?
Artikel 28 lid 3 AVG somt de verplichte onderwerpen op. Een DPA die deze punten mist, voldoet niet aan de wet, ongeacht hoe professioneel het document oogt.
- Onderwerp, duur en aard van de verwerking, plus het doel en type persoonsgegevens.
- De verplichting dat de verwerker uitsluitend op schriftelijke instructie handelt.
- Geheimhoudingsplicht voor iedereen die bij de verwerker toegang heeft tot de gegevens.
- Passende technische en organisatorische beveiligingsmaatregelen.
- Voorwaarden voor het inschakelen van subverwerkers, inclusief toestemming vooraf.
- Bijstand bij verzoeken van betrokkenen en bij datalekken.
- Teruggave of verwijdering van gegevens na afloop van de dienstverlening.
- Auditrecht: de mogelijkheid om naleving te controleren of te laten controleren.
Vraag bij twijfel om een verwerkingsomschrijving, een beveiligingsbijlage en een actuele lijst van subverwerkers. Bij doorgifte van gegevens buiten de EER zijn de standaardcontractbepalingen van de Europese Commissie de gangbare waarborg. Vraag de leverancier expliciet of, en hoe, deze clausules zijn opgenomen.
Pro-tip: Vraag niet alleen om de DPA zelf, maar ook om de bijlage met subverwerkers. Veel leveranciers werken met derde partijen voor hosting of support, en die vallen ook onder uw verantwoordelijkheid.
Wanneer wél en wanneer geen verwerkersovereenkomst nodig is
Sommige situaties zijn duidelijk, andere blijven verwarrend. Een overzicht van beide kanten helpt om snel te schakelen.
- Wél nodig: een CRM-leverancier, een clouddienst voor bestandsopslag, een payrollverwerker, een e-mailmarketingtool en een hostingpartij die klantdata beheert.
- Niet nodig: een bank die zelfstandig verantwoordelijke is voor haar eigen verwerkingen, of een advocaat die op eigen professionele titel werkt en niet louter op instructie handelt.
- Veelgemaakte fout: een geheimhoudingsverklaring aanzien als vervanging van een verwerkersovereenkomst. Dat is het niet. Een NDA regelt vertrouwelijkheid, geen verwerkingsvoorwaarden.
- Tweede fout: een standaard-DPA van een leverancier blind ondertekenen zonder te checken of subverwerkers en beveiligingsmaatregelen kloppen met uw situatie.
Verwerkersovereenkomsten checken: een stappenplan voor uw organisatie
Een gestructureerde aanpak voorkomt dat u leveranciers over het hoofd ziet of een DPA tekent die niet aansluit bij de praktijk.
- Inventariseer alle externe partijen die persoonsgegevens namens u verwerken, van boekhouder tot marketingtool.
- Classificeer elke partij als verwerker, zelfstandig verantwoordelijke of joint controller.
- Vraag om de DPA bij elke geïdentificeerde verwerker, of stel er zelf een op via een modelovereenkomst.
- Controleer subverwerkers en beveiliging in de bijlagen, niet alleen de hoofdtekst.
- Koppel elke overeenkomst aan uw verwerkingsregister, zodat u een compleet overzicht behoudt.
- Herzie periodiek, zeker bij nieuwe leveranciers of wijzigingen in bestaande diensten.
Begin met de leveranciers die de gevoeligste gegevens verwerken: HR, payroll, CRM en cloudopslag hebben voorrang boven kleinere tools. Het beoordelen van een standaard-DPA kost meestal 30 tot 90 minuten, bij onderhandelingen over maatwerkbepalingen loopt dit op tot 3 tot 8 uur.
Pro-tip: Plan de DPA-check al bij de onboarding van een nieuwe leverancier, niet pas als er iets misgaat. Achteraf onderhandelen is altijd lastiger dan vooraf afspreken.
Waarom een sluitende verwerkersovereenkomst meer oplevert dan een vinkje op een lijst
Ondernemers behandelen de verwerkersovereenkomst vaak als formaliteit: iets dat je tekent en wegbergt. Dat is een misvatting die pas zichtbaar wordt op het slechtst mogelijke moment, namelijk bij een datalek of een onderzoek van de toezichthouder. Een DPA die daadwerkelijk beschrijft welke subverwerkers zijn ingeschakeld en hoe een melding binnen de gestelde termijn verloopt, maakt het verschil tussen een beheersbaar incident en een langslepende aansprakelijkheidskwestie.
Veel MKB-organisaties onderschatten bovendien hoeveel verwerkers ze daadwerkelijk hebben. Tussen de 8 en 15 leveranciers ligt voor kleinere bedrijven geen uitzondering, van boekhoudsoftware tot marketingtools. Zonder structuur raakt het overzicht kwijt en blijven contracten verouderd of onvolledig liggen. Wie dit koppelt aan een verwerkingsregister en periodiek herziet, voorkomt dat verouderde afspraken jarenlang ongemerkt blijven bestaan.
Structurele juridische begeleiding loont hier meer dan een eenmalige actie. Een jurist die uw dossier kent, herkent sneller welke leverancier een risico vormt en welke clausule ontbreekt.
— Juridische redactie Legalec
Hulp nodig bij uw verwerkersovereenkomst?
Een verwerkersovereenkomst zelf beoordelen kost tijd, en juridisch jargon maakt het er niet makkelijker op. Er zijn diensten die toegang bieden tot een vaste jurist die uw dossier kent, zodat u niet telkens opnieuw hoeft uit te leggen welke leveranciers u heeft en wat er speelt.
Naast een abonnement met doorlopende ondersteuning bestaat ook de mogelijkheid om eenmalig een document te laten opstellen of toetsen, zoals een verwerkersovereenkomst of een aanverwant contract. Dat past bij ondernemers die niet meteen een abonnement willen, maar wel snel een sluitend document nodig hebben. Twijfelt u of uw huidige DPA’s compleet zijn, of wilt u weten wat rechtsbijstand precies inhoudt voordat u een keuze maakt? Bekijk de mogelijkheden en vraag een jurist om uw situatie te beoordelen, zonder ingewikkelde juridische stappen vooraf.
Bronnen
Voor wie zelf verder wil lezen of een model wil downloaden, zijn deze bronnen de meest betrouwbare startpunten:
- Verwerkersovereenkomst — Autoriteit Persoonsgegevens
- Verwerkersovereenkomst AVG: wanneer verplicht en hoe? — Digitaalgezag
- Standard contractual clauses (SCC’s) — Europese Commissie
Dit artikel bevat algemene informatie en vervangt niet het advies van een gekwalificeerde advocaat. Raadpleeg een gekwalificeerde juridische professional over uw eigen situatie voordat u op basis van deze inhoud handelt.
Veelgestelde vragen
Is een verwerkersovereenkomst altijd nodig?
Ja, zodra een externe partij namens u persoonsgegevens verwerkt, verplicht artikel 28 AVG een schriftelijke verwerkersovereenkomst. Alleen bij zelfstandig verantwoordelijke partijen of puur interne verwerking geldt deze plicht niet.
Is een verwerkingsregister verplicht naast een verwerkersovereenkomst?
Ja, de meeste organisaties moeten een verwerkingsregister bijhouden waarin ze vastleggen welke verwerkingen plaatsvinden en met welke verwerkers. Koppel elke verwerkersovereenkomst aan dit register om overzicht te houden.
Is een verwerkersovereenkomst standaard of maatwerk?
Een standaard-DPA van de Rijksoverheid vormt een goed vertrekpunt, maar moet altijd getoetst worden op uw specifieke situatie. Subverwerkers, beveiligingsmaatregelen en doorgifte buiten de EER vragen vaak om aanvullende afspraken.
Wat is een verwerkersovereenkomst volgens de AVG precies?
Een verwerkersovereenkomst, ook wel DPA genoemd, is een schriftelijk contract tussen een verwerkingsverantwoordelijke en een verwerker. Het legt vast hoe persoonsgegevens verwerkt worden, welke beveiliging geldt en wat er gebeurt bij een datalek of na afloop van de dienstverlening.
Wat is het verschil tussen een verwerkersovereenkomst en een privacyverklaring?
Een verwerkersovereenkomst regelt de afspraken tussen een organisatie en haar leverancier over gegevensverwerking. Een privacyverklaring informeert betrokkenen, zoals klanten of bezoekers, over hoe hun gegevens gebruikt worden. Het zijn twee losse documenten met een ander doel.
