Definitie: Een verwerkersovereenkomst is een schriftelijke afspraak tussen een organisatie die bepaalt wat er met persoonsgegevens gebeurt (de verwerkingsverantwoordelijke) en een partij die die gegevens in haar opdracht verwerkt (de verwerker). De overeenkomst is verplicht onder artikel 28 van de AVG en legt vast welke gegevens worden verwerkt, waarvoor, hoe ze worden beveiligd en wat er gebeurt bij een datalek of na afloop.
In het kort
- Een verwerkersovereenkomst is nodig zodra een externe partij persoonsgegevens voor jou verwerkt, zoals een SaaS-leverancier, hostingpartij of salarisadministrateur.
- Artikel 28 lid 3 AVG bepaalt wat er minimaal in moet staan, zoals onderwerp, duur, aard en doel van de verwerking en de soorten gegevens.
- Bepaalt de andere partij zelf het doel en de middelen, dan is die zelf verwerkingsverantwoordelijke en is geen verwerkersovereenkomst nodig.
- Ontbreekt de overeenkomst, dan is dat volgens Captain Legal een zelfstandige overtreding, ook als er nooit iets misgaat.
Wat is een verwerkersovereenkomst?
Een verwerkersovereenkomst regelt de verantwoordelijkheden als een andere partij met persoonsgegevens werkt die eigenlijk van jou zijn. In de AVG-taal ben jij de verwerkingsverantwoordelijke: jij bepaalt waarom en hoe gegevens worden gebruikt. De partij die het werk voor je doet, is de verwerker. Denk aan het boekhoudpakket waarin je klantgegevens staan, de server waarop je webapplicatie draait of de e-maildienst die je nieuwsbrief verstuurt.
In het Engels heet de overeenkomst een data processing agreement (DPA).
Belangrijk om te weten: jij blijft verantwoordelijk. Ook als een verwerker de overeenkomst opstelt en je die alleen ondertekent, blijft de verwerkingsverantwoordelijke volgens de Vlaamse Toezichtcommissie altijd eindverantwoordelijk voor de bescherming van de gegevens.
Wanneer is een verwerkersovereenkomst verplicht?
Een verwerkersovereenkomst is verplicht als aan twee voorwaarden is voldaan:
- Een andere partij verwerkt persoonsgegevens. Verwerken is breed: opslaan, inzien, versturen, analyseren of verwijderen telt allemaal mee.
- Die partij doet dat in jouw opdracht en voor jouw doel, niet voor een eigen doel.
Volgens Rocket Lawyer geldt dat ook als je het werk uitbesteedt aan een eigen dochteronderneming. De AVG geldt daarbij voor alle organisaties die persoonsgegevens verwerken, dus ook voor mkb-bedrijven en zzp’ers.
Verwerker of zelfstandig verantwoordelijke?
Niet elke partij die gegevens van je ontvangt, is een verwerker. Rendement geeft een helder onderscheid: een externe salarisadministrateur werkt in jouw opdracht en is dus verwerker. Een pensioenuitvoerder of een arbodienst die verzuim registreert, bepaalt zelf doel en middelen en is daarmee zelf verwerkingsverantwoordelijke.
| Situatie | Rol van de andere partij | Verwerkersovereenkomst? |
|---|---|---|
| SaaS-pakket waarin je klantgegevens beheert | Verwerker | Ja |
| Hostingpartij van je webapplicatie | Verwerker | Ja |
| E-maildienst die je nieuwsbrieven verstuurt | Verwerker | Ja |
| Ontwikkelaar die toegang heeft tot de productiedatabase | Verwerker | Ja |
| Accountant die een wettelijke controle uitvoert | Zelfstandig verantwoordelijke | Nee |
| Pensioenuitvoerder of arbodienst | Zelfstandig verantwoordelijke | Nee |
Twijfel je, kijk dan wie bepaalt welke gegevens worden gebruikt en waarvoor.
Wat moet er in een verwerkersovereenkomst staan?
Artikel 28 lid 3 AVG noemt de onderdelen die minimaal geregeld moeten zijn. Legiscope en Captain Legal zetten ze op een rij:
- Onderwerp en duur van de verwerking.
- Aard en doel: wat de verwerker met de gegevens doet en waarom.
- Soorten persoonsgegevens, zoals naam, e-mailadres, adres of gezondheidsgegevens.
- Categorieën betrokkenen, zoals klanten, medewerkers of leads.
- Instructies: de verwerker verwerkt alleen op jouw gedocumenteerde instructies.
- Geheimhouding voor iedereen die bij de verwerker met de gegevens werkt.
- Beveiliging: welke technische en organisatorische maatregelen de verwerker neemt.
- Subverwerkers: alleen met voorafgaande schriftelijke toestemming.
- Medewerking bij verzoeken van betrokkenen, zoals inzage of verwijdering.
- Datalekken: hoe snel en hoe de verwerker een lek aan je meldt.
- Einde van de overeenkomst: gegevens teruggeven of verwijderen.
- Audits: je mag controleren of de verwerker zich aan de afspraken houdt.
Subverwerkers: de keten achter de leverancier
Een SaaS-leverancier draait vaak zelf weer op een cloudplatform, gebruikt een e-maildienst en misschien een AI-dienst. Dat zijn subverwerkers. Volgens Legiscope mag een verwerker die alleen inschakelen met jouw voorafgaande schriftelijke toestemming, specifiek of algemeen. Bij algemene toestemming moet de leverancier wijzigingen vooraf melden, zodat je bezwaar kunt maken. De eerste verwerker blijft tegenover jou volledig aansprakelijk voor wat de subverwerker doet.
Bij software is deze keten belangrijker dan vaak gedacht. Een applicatie die gebruikmaakt van externe diensten voor hosting, e-mail, betalingen of AI, stuurt persoonsgegevens naar meerdere partijen.
Datalekken en meldplicht
De verwerker moet een datalek volgens artikel 33 lid 2 AVG zonder onredelijke vertraging aan jou melden. Daarna heb je als verwerkingsverantwoordelijke zelf 72 uur om een ernstig lek bij de Autoriteit Persoonsgegevens te melden. Leg daarom in de overeenkomst een korte termijn vast, zodat er na de melding van de verwerker nog tijd overblijft om te beoordelen wat er is gebeurd.
Wat als je geen verwerkersovereenkomst hebt?
Zonder overeenkomst overtreed je de AVG, ook als er nooit een datalek is. Volgens Rocket Lawyer kan de Autoriteit Persoonsgegevens een boete opleggen van maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Die boete kan zowel de opdrachtgever als de verwerker treffen. De AP heeft in het verleden bij ongeveer dertig bedrijven gegevens opgevraagd om te controleren of zij een verwerkersovereenkomst hadden die aan de AVG voldoet.
De Vlaamse Toezichtcommissie wijst nog op een ander gevolg: een verwerker zonder overeenkomst kan zich niet beroepen op de grondslag van de opdrachtgever en mag de gegevens dus eigenlijk niet verwerken.
Verwerkersovereenkomst bij softwareontwikkeling
Bij een maatwerk applicatie spelen meerdere rollen tegelijk:
- Jij bent verwerkingsverantwoordelijke voor de gegevens van je klanten en medewerkers in de applicatie.
- De hostingpartij is verwerker, omdat de gegevens op haar servers staan.
- De ontwikkelaar is verwerker als die toegang heeft tot de productieomgeving, bijvoorbeeld voor beheer of het oplossen van fouten.
- Externe diensten in de applicatie, zoals een e-maildienst of een AI-model, zijn subverwerkers of aparte verwerkers.
Een praktische stap is een overzicht van alle diensten waar persoonsgegevens naartoe gaan, met per dienst de rol, de locatie van de gegevens en of er een overeenkomst is.
Wat betekent dit voor jouw project?
Bij een nieuwe applicatie kijk ik vroeg naar de gegevensstroom: wat komt binnen, wie moet ermee verder en welke informatie heeft die persoon nodig? Daaruit volgt ook welke persoonsgegevens echt nodig zijn en naar welke externe diensten ze gaan. In de betaalde blauwdruk leg ik die afhankelijkheden vast, zodat duidelijk is welke partijen een rol spelen voordat er gebouwd wordt.
Ik ben geen jurist en geef geen juridisch advies. Wat ik wel belangrijk vind, is dat de techniek en de afspraken op elkaar aansluiten. Een verwerkersovereenkomst die zegt dat gegevens in de EU blijven, heeft weinig waarde als een van de gekoppelde diensten ze ergens anders opslaat.
Vraag? Wil je een applicatie laten bouwen waarin persoonsgegevens een rol spelen? Stuur me wie ermee werkt, welke gegevens erin komen en welke systemen al meedoen. Dan bepalen we samen de logische eerste stap. Lees meer over een webapplicatie laten maken.
Veelgestelde vragen over de verwerkersovereenkomst
Wanneer heb je een verwerkersovereenkomst nodig?
Je hebt een verwerkersovereenkomst nodig zodra een externe partij in jouw opdracht persoonsgegevens verwerkt, bijvoorbeeld een SaaS-leverancier, hostingpartij of salarisadministrateur. Bepaalt die partij zelf het doel en de middelen, dan is zij zelf verwerkingsverantwoordelijke en is geen verwerkersovereenkomst nodig.
Wat moet er in een verwerkersovereenkomst staan?
Volgens artikel 28 lid 3 AVG staan er minimaal onderwerp, duur, aard en doel van de verwerking in, de soorten gegevens en betrokkenen, en de rechten en plichten van beide partijen. Daarnaast gaat het onder meer over beveiliging, geheimhouding, subverwerkers, datalekken en wat er na afloop met de gegevens gebeurt.
Is een verwerkersovereenkomst nodig bij software?
Ja, als de software persoonsgegevens voor jou opslaat of verwerkt, zoals een online pakket, een hostingpartij of een ontwikkelaar met toegang tot de productieomgeving. Bij SaaS accepteer je vaak een standaard verwerkersovereenkomst van de leverancier.
Verwante termen
Privacy by design · Datasoevereiniteit en EU-hosting · SaaS · SLA · Geheimhoudingsovereenkomst · Encryptie
← Terug naar de kennisbank