Sinds de AVG van kracht is, hoor je het woord ‘verwerkersovereenkomst’ regelmatig vallen. Maar wat is het precies, wanneer is het verplicht en wat moet er in staan? In de praktijk merk ik dat veel ondernemers óf geen verwerkersovereenkomst hebben, óf eentje die ze blindelings van internet hebben gekopiëerd zonder te begrijpen wat erin staat. Beide situaties zijn riskant.
Een verwerkersovereenkomst is een verplicht schriftelijk contract tussen jou (de verwerkingsverantwoordelijke) en een externe partij die namens jou persoonsgegevens verwerkt (de verwerker). De verplichting vloeit rechtstreeks voort uit artikel 28 van de AVG. Zonder dit contract ben je direct in overtreding — ongeacht de omvang van je bedrijf.
Verwerkingsverantwoordelijke vs. verwerker
De AVG kent twee rollen die je goed uit elkaar moet houden:
- Verwerkingsverantwoordelijke — de partij die bepaalt waarom en hoe persoonsgegevens worden verwerkt (jij als bedrijf)
- Verwerker — de partij die uitsluitend in opdracht van de verwerkingsverantwoordelijke gegevens verwerkt (je boekhouder, hostingprovider, e-mailmarketingtool)
Zodra je een verwerker inschakelt, ben je verplicht een verwerkersovereenkomst te sluiten. Geen uitzondering, geen drempel qua bedrijfsomvang — het geldt voor elke ondernemer die persoonsgegevens laat verwerken.
Wanneer heb je een verwerkersovereenkomst nodig?
Vaker dan je denkt. De vuistregel: verwerkt een externe partij persoonsgegevens namens jou en op jouw instructie? Dan is er een verwerkersovereenkomst vereist. Enkele veelvoorkomende situaties:
| Situatie | Verwerker | Verwerkersovereenkomst? |
|---|---|---|
| Website gehost bij hostingpartij | Hostingprovider | Ja |
| Nieuwsbrieven via Mailchimp | Mailchimp | Ja (DPA in hun voorwaarden) |
| Boekhouding uitbesteed | Boekhouder | Ja |
| Salarisadministratie extern | Salariskantoor | Ja |
| Google Analytics op je website | Ja (DPA bij Google) | |
| CRM-systeem (Salesforce, HubSpot) | CRM-provider | Ja |
Wanneer is er géén verwerkersovereenkomst nodig? Als een partij de gegevens voor eigen doeleinden gebruikt — een advocaat die je bijstaat, een koeriersdienst die een pakket bezorgt op basis van een adres — is die partij een zelfstandige verwerkingsverantwoordelijke. Er is dan geen verwerker-verwerkingsverantwoordelijke relatie.
Wat moet er verplicht in staan?
Artikel 28, derde lid, van de AVG somt de verplichte onderdelen op. Ontbreekt een van deze elementen, dan voldoet de overeenkomst niet — ook al is er wél iets ondertekend.
1. Onderwerp en duur van de verwerking
Beschrijf concreet welke gegevens worden verwerkt, van wie (werknemers, klanten, websitebezoekers) en hoe lang de verwerking duurt. Is er geen einddatum? Koppel de looptijd dan aan de hoofdovereenkomst.
2. Aard en doel van de verwerking
Waarom worden de gegevens verwerkt? De verwerker mag de gegevens uitsluitend gebruiken voor het doel dat jij als verwerkingsverantwoordelijke hebt bepaald — nooit voor eigen marketingdoeleinden of analyse.
3. Soort persoonsgegevens en categorieën betrokkenen
Specificeer welke categorieën gegevens worden verwerkt: namen, e-mailadressen, IP-adressen, financiële gegevens, gezondheidsgegevens. Let extra op bij bijzondere categorieën — die vragen om aanvullende maatregelen.
4. Rechten en plichten van de verwerker
De verwerker handelt uitsluitend op schriftelijke instructie van jou. Zijn medewerkers zijn gebonden aan geheimhouding. Hij treft passende technische en organisatorische beveiligingsmaatregelen, staat audits toe en verleent bijstand bij verzoeken van betrokkenen. Na afloop worden de gegevens gewist of teruggegeven.
Stappenplan: zo stel je een verwerkersovereenkomst op
Veel ondernemers weten dat ze een verwerkersovereenkomst nodig hebben, maar niet hoe ze eraan beginnen. Hier een concreet stappenplan:
Stap 1 — Breng je verwerkers in kaart. Loop je register van verwerkingsactiviteiten door en noteer elke externe partij die persoonsgegevens namens jou verwerkt. Denk ook aan minder voor de hand liggende partijen: je ticketingsysteem, je HR-software, de chatbot op je website.
Stap 2 — Controleer of de overeenkomst al bestaat. Grote techbedrijven (Google, Microsoft, Mailchimp) bieden standaard een Data Processing Agreement (DPA) aan als onderdeel van hun servicevoorwaarden. Controleer of je die actief hebt geaccepteerd en bewaar een bewijs hiervan.
Stap 3 — Kies: template of maatwerk. Voor eenvoudige, laagrisico verwerkingen kan een goed model volstaan — mits je het aanpast aan de specifieke situatie. Voor bijzondere categorieën persoonsgegevens, grote volumes of grensoverschrijdende verwerking is juridisch maatwerk verstandiger. Zie ook onze uitleg over geheimhoudingsovereenkomsten als aanvullende bescherming van bedrijfsgevoelige informatie.
Stap 4 — Vul de verplichte elementen in. Gebruik de checklist uit artikel 28 AVG als leidraad: onderwerp, duur, aard, doel, categorieën gegevens, categorieën betrokkenen, rechten en plichten. Vaag geformuleerde bepalingen als ‘passende maatregelen’ zijn niet voldoende — maak het concreet.
Stap 5 — Onderteken en bewaar aantoonbaar. De AVG schrijft voor dat de verwerkersovereenkomst schriftelijk wordt vastgelegd — elektronisch mag ook. Een digitale handtekening is volledig rechtsgeldig. Sla het ondertekende document op een vaste locatie op en koppel het aan je verwerkingsregister.
Stap 6 — Plan een periodieke review. Een verwerkersovereenkomst is geen eenmalige exercitie. Wijzigt de aard van de verwerking, schakelt je verwerker nieuwe subverwerkers in, of verloopt de hoofdovereenkomst? Dan moet de verwerkersovereenkomst mee worden geactualiseerd.
Subverwerkers
Maakt je verwerker op zijn beurt gebruik van andere partijen? Dan zijn dat subverwerkers, en ook dát moet in de verwerkersovereenkomst zijn geregeld. Je kunt kiezen voor specifieke toestemming (je keurt elke subverwerker individueel goed) of algemene toestemming (de verwerker mag subverwerkers inschakelen, mits hij je informeert en je bezwaar kunt maken).
De verwerker moet aan zijn subverwerkers dezelfde verplichtingen opleggen als die in jullie overeenkomst staan. Als je als verwerkingsverantwoordelijke een AWS-hostingomgeving gebruikt via je softwareleverancier, is AWS een subverwerker — en moet dat zijn vastgelegd.
Datalekken: wat je van tevoren afspreekt
De verwerkersovereenkomst moet een duidelijke procedure bevatten voor het melden van datalekken. De verwerker informeert jou onverwijld zodra hij een datalek ontdekt. Jij bent vervolgens verantwoordelijk voor de melding bij de Autoriteit Persoonsgegevens — die moet in principe binnen 72 uur na ontdekking zijn gedaan.
Spreek vooraf af welke informatie de verwerker bij een melding moet aanleveren: aard van het incident, betrokken gegevens, geschat aantal betrokkenen, mogelijke gevolgen en contactpersoon voor verdere vragen. Voor een uitgebreide aanpak van datalekken verwijs ik je graag door naar onze pagina over de privacyverklaring en AVG-compliance.
Grensoverschrijdende verwerking
Verwerkt je leverancier persoonsgegevens buiten de Europese Economische Ruimte (EER)? Dan gelden aanvullende vereisten bovenop de verwerkersovereenkomst. Je hebt een passende overdrachtsgrondslag nodig: een adequaatheidsbesluit van de Europese Commissie voor het betreffende land, of standaardcontractbepalingen (Standard Contractual Clauses, SCC’s).
De Europese Commissie heeft in 2021 nieuwe SCC’s vastgesteld die voor zowel de verwerkersrelatie als de doorgifte naar derde landen gelden. Als je de nieuwe SCC’s gebruikt, vervangen die in de meeste gevallen de aparte verwerkersovereenkomst — omdat alle vereisten van artikel 28 AVG er al in zijn opgenomen.
Wat doet de Autoriteit Persoonsgegevens?
De Autoriteit Persoonsgegevens (AP) heeft actief onderzoek gedaan naar de kwaliteit van verwerkersovereenkomsten in de private sector. De conclusie: er is grote variatie, en ontbrekende of onvolledige overeenkomsten komen regelmatig voor. De AP kan bij overtredingen van artikel 28 AVG sancties opleggen, variërend van een waarschuwing of last onder dwangsom tot een bestuurlijke boete. De meest actuele boetes en sancties publiceert de AP op haar website: autoriteitpersoonsgegevens.nl/boetes-en-andere-sancties.
Wat veel ondernemers onderschatten: de AP controleert niet alleen na een datalek. Ze voert ook proactieve themaonderzoeken uit waarbij ze bij meerdere organisaties tegelijk kijkt of verwerkersovereenkomsten op orde zijn.
Veelgemaakte fouten
Geen overeenkomst sluiten is de meest basale fout. Een standaard template blind kopiëren zonder het aan te passen aan de specifieke verwerking is een goede tweede: een generieke overeenkomst biedt weinig bescherming als de inhoud niet aansluit bij wat er werkelijk gebeurt. Subverwerkers vergeten is ook een klassieke misser: als je softwareleverancier zijn data opslaat bij een cloudprovider, is die cloudprovider een subverwerker die in de overeenkomst thuishoort.
Tot slot: verwar een verwerkersovereenkomst niet met een geheimhoudingsovereenkomst (NDA). Een NDA beschermt bedrijfsinformatie; een verwerkersovereenkomst beschermt persoonsgegevens. Je hebt in veel gevallen beide nodig.
Wilt u weten welke andere contracten voor uw bedrijf van toepassing kunnen zijn? Bekijk ons register van contractenrecht in Nederland voor een volledig overzicht van modellen en juridische documenten.