Verwerkersovereenkomst: wat moet erin? (artikel 28 AVG, checklist)
Een verwerkersovereenkomst is een schriftelijke afspraak tussen een organisatie en een partij die persoonsgegevens in haar opdracht verwerkt. Artikel 28 lid 3 van de AVG maakt die overeenkomst verplicht en somt op wat erin moet. Volgens de Autoriteit Persoonsgegevens zijn beide partijen in overtreding als de overeenkomst ontbreekt.
Of je een verwerkersovereenkomst nodig hebt, hangt af van de rollen. Lees eerst verwerker of verwerkingsverantwoordelijke als je twijfelt. Deze pagina geeft de complete checklist, voorbeeldformuleringen en de punten waarop een ISO 27701-auditor let.
Wanneer heb je een verwerkersovereenkomst nodig?
Je hebt een verwerkersovereenkomst nodig zodra een externe partij persoonsgegevens voor jou verwerkt en daarbij jouw instructies volgt. De partij bepaalt dus niet zelf het doel. Een paar herkenbare situaties:
| Situatie | Verwerkersovereenkomst nodig? |
|---|---|
| Je salarisadministratie loopt via een salarisverwerker | Ja, die verwerkt in jouw opdracht |
| Je CRM of boekhoudpakket draait in de cloud | Ja, de softwareleverancier is verwerker |
| Je IT-beheerder heeft toegang tot je mailbox en bestanden | Ja |
| Je doet loonaangifte bij de Belastingdienst | Nee, die ontvangt de gegevens voor een eigen wettelijke taak |
| Je werkt samen met een andere zorgverlener aan dezelfde patiënt | Nee, beiden zijn zelf verantwoordelijk |
Het label in het contract beslist niet. De AP kijkt naar de feitelijke situatie: wie bepaalt waarom en hoe de gegevens worden verwerkt? Staat in de overeenkomst dat de ander verantwoordelijk is, maar bepaal jij doel en middelen, dan ben jij het.
Checklist: wat moet er in een verwerkersovereenkomst?
De AVG vraagt eerst een algemene beschrijving van de verwerking. Daarna volgen acht verplichte afspraken (artikel 28 lid 3, onder a tot en met h). Gebruik deze tabel als checklist bij elke overeenkomst die je tekent of opstelt.
| Onderdeel | Wat je vastlegt | Voorbeeldformulering |
|---|---|---|
| Beschrijving | Onderwerp, duur, aard en doel, soorten gegevens, categorieën betrokkenen | ”Verwerker host het klantportaal. Gegevens: NAW, e-mail, bestelhistorie van klanten.” |
| a. Instructies | Verwerker werkt alleen op schriftelijke instructie, ook voor doorgifte buiten de EU | ”Verwerker gebruikt de gegevens uitsluitend voor de in bijlage 1 beschreven dienst.” |
| b. Geheimhouding | Medewerkers van de verwerker hebben een geheimhoudingsplicht | ”Iedereen met toegang heeft een geheimhoudingsverklaring getekend.” |
| c. Beveiliging | Passende maatregelen volgens artikel 32 | ”Maatregelen staan in bijlage 2 en worden jaarlijks herzien.” |
| d. Subverwerkers | Alleen met voorafgaande toestemming, zelfde plichten doorgeven | ”Verwerker meldt een nieuwe subverwerker 30 dagen vooraf; opdrachtgever kan bezwaar maken.” |
| e. Rechten van betrokkenen | Verwerker helpt bij inzage, correctie, verwijdering | ”Verwerker stuurt verzoeken binnen 2 werkdagen door.” |
| f. Overige plichten | Hulp bij beveiliging, datalekken, DPIA en voorafgaande raadpleging | ”Verwerker meldt een datalek binnen 24 uur na ontdekking.” |
| g. Einde van de dienst | Gegevens teruggeven of verwijderen, ook kopieën | ”Binnen 30 dagen na einde contract worden alle gegevens verwijderd, met verklaring.” |
| h. Audits | Informatie beschikbaar stellen en meewerken aan audits | ”Opdrachtgever mag jaarlijks een audit laten uitvoeren of een recent ISO-certificaat opvragen.” |
De termijnen in de voorbeeldformuleringen zijn keuzes, geen wettelijke eisen. De wet zegt bij datalekken alleen dat de verwerker “zonder onredelijke vertraging” moet melden. Een concrete termijn maakt de afspraak toetsbaar.
Je hebt als verantwoordelijke zelf maar 72 uur om een datalek bij de AP te melden. Spreek je met de verwerker “binnen 72 uur” af, dan heb je zelf geen tijd meer. Kies een kortere termijn. Meer daarover lees je op datalek melden.
Waar letten op bij een verwerkersovereenkomst van de leverancier?
Grote leveranciers sturen hun eigen verwerkersovereenkomst mee, vaak als “data processing agreement” of DPA. Je kunt die zelden aanpassen. Controleer daarom vooral deze vijf punten.
- Locatie van de gegevens. Staan de servers en supportteams binnen de EER? Zo niet, op welke basis is de doorgifte geregeld?
- Lijst van subverwerkers. Is die openbaar, en word je geïnformeerd over wijzigingen?
- Meldtermijn datalekken. Is die concreet, en kort genoeg voor jouw 72 uur?
- Exit. Krijg je je gegevens terug in een bruikbaar formaat voordat ze worden gewist?
- Aansprakelijkheid. Veel standaardovereenkomsten beperken de aansprakelijkheid sterk. Weeg dat af tegen het risico.
Kun je niet onderhandelen, leg dan in je eigen leveranciersbeheer vast welke risico’s je accepteert. Dat is ook wat een auditor wil zien.
Voorbeeld: verwerkersovereenkomst met een salarisverwerker
Fictief voorbeeld. Een webshop met 25 medewerkers besteedt de salarisadministratie uit. De salarisverwerker stuurt een standaardovereenkomst. De privacyverantwoordelijke loopt de checklist langs.
| Checkpunt | Bevinding | Actie |
|---|---|---|
| Beschrijving | Compleet, inclusief BSN en IBAN | Geen |
| Subverwerkers | Hostingpartij genoemd, wijzigingen “worden gepubliceerd op de website” | Vragen om actieve melding per e-mail |
| Datalekken | ”Zonder onredelijke vertraging” | Vragen om 24 uur; anders vastleggen als geaccepteerd risico |
| Einde dienst | Gegevens worden na 3 maanden verwijderd | Eerst export van loonstroken afspreken |
| Audits | Verwijzing naar ISO 27001-certificaat | Certificaat opvragen en scope controleren |
Na een gesprek gaat de leverancier akkoord met een meldtermijn van 48 uur. De webshop legt de overeenkomst vast in het verwerkingsregister, bij de verwerking “salarisadministratie”.
Verwerkersovereenkomsten en ISO 27701
ISO 27701 behandelt verwerkersovereenkomsten vanaf twee kanten. De maatregelen voor verantwoordelijken vragen dat je contracten met verwerkers afsluit en bewaakt. De maatregelen voor verwerkers vragen dat je alleen op instructie werkt, subverwerkers beheerst en je klanten helpt bij hun plichten. Welke maatregelen bij je rol horen, staat op eisen van ISO 27701.
De auditor kijkt niet alleen of er overeenkomsten zijn. Hij controleert ook of ze aansluiten op de praktijk. Ontbrekende overeenkomsten met kleinere cloudtools, zoals een enquêtetool of een planningsapp, zijn een veelvoorkomende bevinding.
Veelgemaakte fouten
- Alleen de grote leveranciers geregeld. Elke tool met persoonsgegevens telt, ook gratis apps.
- Overeenkomst getekend, nooit meer bekeken. Neem je meer diensten af, dan klopt de beschrijving niet meer. De AP adviseert de afspraken regelmatig te herzien.
- Subverwerkers onbekend. Je weet niet waar je gegevens werkelijk staan.
- Geen afspraak over het einde. Bij een overstap blijven gegevens jaren bij de oude leverancier staan.
Veelgestelde vragen over de verwerkersovereenkomst
Mag de verwerker de verwerkersovereenkomst opstellen?
Ja. Meestal neemt de verantwoordelijke het initiatief, maar het mag ook andersom. Je blijft als verantwoordelijke wel altijd verantwoordelijk voor de inhoud.
Is een verwerkersovereenkomst in de algemene voorwaarden genoeg?
Dat kan, als alle verplichte onderdelen van artikel 28 lid 3 erin staan. De AVG vraagt een schriftelijke overeenkomst, en elektronisch telt daarbij mee. Een losse zin als “wij houden ons aan de AVG” is niet genoeg.
Wat als een leverancier geen verwerkersovereenkomst wil tekenen?
Dan kun je niet met die leverancier samenwerken. Werk je toch samen zonder overeenkomst, dan zijn volgens de AP beide partijen in overtreding.
Meer lezen
- Verwerker of verwerkingsverantwoordelijke? - Bepaal eerst je rol
- Datalek melden - Wat de verwerker bij een datalek moet doen
- DPIA uitvoeren - De verwerker moet je daarbij helpen
- AP over de verwerkersovereenkomst - Uitleg van de toezichthouder