Een SaaS-bedrijf verwerkt vaak persoonsgegevens voor klanten én voor eigen doeleinden. Het is verleidelijk om het hele platform één AVG-rol te geven, maar de rol volgt de concrete gegevensstroom. Als een zakelijke klant doel en wezenlijke middelen van verwerking bepaalt en uw dienst namens hem handelt, bent u voor die stroom verwerker. Voor uw eigen sollicitaties, facturatie of marketing bepaalt u doorgaans zelf doelen en middelen en bent u verantwoordelijke. Zelfs binnen één product kunnen die rollen verschillen. Deze gids helpt de rol per functie te bepalen en vertaalt die keuze naar contracten, instellingen, subverwerkers, doorgifte en incidenten.
Belangrijkste punten
- Maak een datastroomkaart voordat u een standaard verwerkersovereenkomst aanbiedt. ‘Wij zijn altijd verwerker’ en ‘de klant is altijd verantwoordelijk’ zijn te grof.
- Artikel 28 AVG vereist voor verwerking namens een verantwoordelijke een schriftelijk contract of een andere bindende rechtshandeling krachtens Unie- of lidstaatrecht; elektronisch vastleggen mag.
- Een onderaannemer is subverwerker voor zover hij uw klantdata namens de klant verwerkt. Niet elke leverancier, zoals een betaaldienst voor uw eigen facturatie, heeft die rol.
- Bij een datalek informeert de verwerker de verantwoordelijke onverwijld. De verantwoordelijke beoordeelt de melding aan de toezichthouder zonder onredelijke vertraging en, waar mogelijk, binnen 72 uur na kennis, tenzij risico onwaarschijnlijk is.
- Een EU-datacenter alleen sluit internationale doorgifte niet uit; kijk ook naar daadwerkelijke toegang en ondersteuning vanuit derde landen.
Bepaal de rol per functie en doel
Stel eerst vijf vragen. Wie besloot waarom de gegevens worden verwerkt? Wie bepaalt welke personen en velden nodig zijn? Wie kiest de bewaartermijn en ontvangers? Mag uw bedrijf de data voor een eigen doel gebruiken? En welke vrijheid heeft u alleen over technische, niet-wezenlijke middelen? Een verwerker kan immers zelf keuzes maken over serverconfiguratie of beveiliging zonder automatisch verantwoordelijke te worden. Omgekeerd maakt een contractetiket ‘verwerker’ een eigen advertentieprofiel niet tot verwerking namens de klant. De uitleg over verantwoordelijke en verwerker helpt bij grensgevallen.
Neem een afsprakenplatform voor kapsalons. De salon bepaalt welke klanten worden geboekt en hoe lang reserveringen blijven staan; de SaaS-dienst verwerkt die afspraken volgens instructie. Het SaaS-bedrijf bepaalt zelf welke eigen medewerkers toegang tot sollicitatiebrieven krijgen. Voor de contactpersoon die het abonnement beheert, kan het bedrijf eigen facturatie- en relatiebeheerdoelen hebben. Producttelemetrie vraagt afzonderlijke analyse: geaggregeerde foutstatistiek kan buiten persoonsgegevens vallen, maar individuele gebruiksprofielen voor eigen productontwikkeling of upsell kunnen een eigen doel vormen. Leg per stroom de feiten en contractuele grenzen vast, en maak de privacyinformatie daarop passend.
| Gegevensstroom | Waarschijnlijke rol, te verifiëren | Praktische vervolgvraag |
|---|---|---|
| Klantinhoud in gehoste werkruimte | Verwerker namens zakelijke klant | Welke instructies, opslag en retourroute gelden? |
| Eigen HR en sollicitaties | Verantwoordelijke | Welke grondslag, informatie en termijn gelden? |
| Eigen verkoop en facturatie | Vaak verantwoordelijke | Welke contactgegevens zijn nodig en waarom? |
| Producttelemetrie | Afhankelijk van doel en keuzes | Klantbeveiliging, eigen analyse of beide? |
| Ingebouwde derde partij | Afhankelijk van verwerking en rol | Verwerkt zij klantdata namens u of voor eigen doelen? |
Een schema is geen vrijstelling van een feitelijke beoordeling. Sommige klanten zijn zelf verwerker voor een andere organisatie; dan kan uw SaaS-bedrijf verderop in de keten onderverwerker zijn. Bij een consumentenproduct kan de aanbieder voor de kernfunctie juist zelf verantwoordelijke zijn. Werk de kaart bij wanneer u nieuwe AI-analyse, cross-customer benchmarks of advertentiefuncties toevoegt. Een bestaand contract voor de oorspronkelijke hosting legitimeert geen nieuw eigen gebruik van klantinhoud.
Artikel 28 in een schaalbare dienstverlening
Voor verwerking namens een verantwoordelijke verlangt artikel 28 lid 3 AVG een schriftelijk contract of andere bindende Unie- of lidstaatrechtelijke rechtshandeling. In de gewone commerciële SaaS-relatie is een gestandaardiseerde verwerkersovereenkomst de praktische route. Neem onderwerp, duur, aard en doel, typen persoonsgegevens, categorieën betrokkenen en de rechten en plichten van de verantwoordelijke op. Regel daarnaast instructies, vertrouwelijkheid van bevoegde personen, beveiliging, subverwerkers, bijstand bij rechten en beveiligingsincidenten, audits en informatie, en wat aan het einde met gegevens gebeurt. Een verwijzing naar ‘AVG-conform’ zonder deze inhoud is onvoldoende. Het model voor een verwerkersovereenkomst kan een redactiestart zijn; stem het af op uw werkelijke product.
De verwerker handelt op gedocumenteerde instructies. Moet hij op grond van Unierecht of lidstaatrecht dat op hem van toepassing is anders verwerken, dan informeert hij de verantwoordelijke vóór die verwerking, tenzij dat recht dit wegens gewichtige redenen van algemeen belang verbiedt. Neem die uitzondering niet als algemene toestemming voor eigen hergebruik. Na beëindiging kiest de verantwoordelijke in beginsel voor teruggeven of wissen; de verwerker wist na eventuele teruggave ook bestaande kopieën, tenzij een bindende Unie- of lidstaatrechtelijke bewaarplicht geldt. In een technisch systeem moet u uitleggen hoe export, actieve opslag en back-ups feitelijk worden afgehandeld, zonder een niet-bestaande wettelijke instant-deletiontermijn te verzinnen.
Gebruik één actuele, versioneerde standaardtekst met een duidelijke aanvaarding en bijlagen per dienst. Grote klanten kunnen extra controles vragen. Houd afwijkingen in een contractregister bij, zodat engineering weet of een specifieke klant een andere exporttermijn of subverwerkersroute heeft. Een standaarddocument vermindert het aantal onderhandelingen, maar kan de feitelijke verwerking niet vervangen. Controleer of het contract dezelfde regio’s, beveiligingsmaatregelen en ondersteuningsdiensten noemt als de salespagina en technische architectuur. De artikel 28-gids verdiept de minimuminhoud.
Subverwerkers: de juiste leveranciers op de lijst
Cloudhosting, supportsoftware en e-mailafhandeling kunnen onderverwerkers zijn als zij in de levering van uw dienst persoonsgegevens van de klant namens die klant verwerken. Een betaalprovider die uw eigen facturen verwerkt, is daardoor niet automatisch een onderverwerker voor klantinhoud. Een marketingplatform voor uw eigen leads evenmin. Bekijk bij gemengde diensten welke toegang en welk doel werkelijk bestaan. Maak de lijst niet kunstmatig lang met leveranciers die buiten deze keten vallen, en laat een supportpartner die productiegegevens kan inzien niet ongemerkt weg.
Artikel 28 lid 2 vergt voorafgaande specifieke of algemene schriftelijke toestemming van de verantwoordelijke voor inschakeling van een andere verwerker. Bij algemene toestemming informeert de eerste verwerker over voorgenomen toevoeging of vervanging zodat bezwaar mogelijk is. Artikel 28 lid 4 eist dat dezelfde gegevensbeschermingsverplichtingen aan de onderverwerker worden opgelegd; de eerste verwerker blijft tegenover de verantwoordelijke aansprakelijk voor diens nakoming. Maak daarom een proces voor beoordeling, aankondiging, bezwaar en uitschakeling of alternatief. Een openbare lijst is nuttig, maar zonder overeengekomen kennisgevingsroute en onderliggend contract niet genoeg.
Benoem bij een bezwaar wat er operationeel gebeurt: kan de klant een regio kiezen, wordt een functie uitgeschakeld of eindigt de dienst? Belofte van een onbeperkt vetorecht zonder technisch alternatief is misleidend. Registreer per onderverwerker dienst, gegevenscategorieën, locatie, mogelijke externe toegang, startdatum en contractversie. De artikel 28-gids ondersteunt de beoordeling van deze keten. Neem subverwerkerwijzigingen op in uw releaseproces, zodat een ontwikkelaar niet pas na ingebruikname meldt dat een nieuwe observability-tool productiegegevens ontvangt.
Internationale toegang beoordelen
Hoofdstuk V AVG wordt relevant bij een doorgifte aan een ontvanger in een derde land. Onderzoek fysieke opslag, beheer op afstand, support, log-export en toegang door onderverwerkers. ‘EU-hosting’ is geen afdoend antwoord als medewerkers of een dienstverlener buiten de EER klantdata kunnen zien. Omgekeerd volgt uit een buitenlandse moedermaatschappij op zichzelf nog niet elke concrete doorgifte. Leg de werkelijke stromen en ontvangers vast. Bij een adequaatheidsbesluit controleert u of de specifieke ontvanger en verwerking binnen de reikwijdte vallen. Voor het EU-VS Data Privacy Framework vergt dat onder meer een passende certificering van de ontvangende Amerikaanse organisatie.
Bij standaardcontractbepalingen moet u ook de omstandigheden van de doorgifte en waar nodig aanvullende maatregelen beoordelen. Maak geen automatisme van ‘SCC getekend, klaar’. Geef klanten inzicht in de doorgifteketen, contractuele waarborgen en beperkingen van de dienst. Een regionale optie kan nuttig zijn, maar verkoop haar niet als volledige juridische oplossing zonder de support- en beheerkanalen te verifiëren. De stappen voor internationale doorgifte helpen bij het dossier. Houd een wijziging in leverancier of toegangspolitiek als een trigger voor herbeoordeling.
Beveiliging en privacy by design in productkeuzes
Artikel 25 AVG vraagt passende bescherming door ontwerp en standaardinstellingen; artikel 32 vraagt passende beveiliging op basis van risico. De verplichtingen zijn niet gelijk aan een universele lijst van verplichte functies voor iedere SaaS-dienst. Bepaal eerst welke data worden verwerkt en welke schade mogelijk is. Voor een systeem met gezondheidsdossiers kunnen toegangsscheiding, logging en herstel zwaarder wegen dan voor een eenvoudige zakelijke takenlijst. Versleuteling, pseudonimisering, back-ups en toegangsbeperking zijn voorbeelden die afhankelijk van context passend zijn. Documenteer waarom u opties toepast of niet.
Maak standaardinstellingen toetsbaar. Nieuwe accounts mogen niet onnodig publiek worden. Een exportfunctie mag niet per ongeluk data van een andere tenant bevatten. Verwijdering moet ook de afgeleide indexen en kopieën in beeld brengen, binnen de toepasselijke bewaarroutes. Test rollen met een gebruiker die minder rechten heeft dan een beheerder. Laat support-toegang alleen toe met een vastgelegd doel en beperkte duur. Beschrijf deze maatregelen eerlijk in een beveiligingsbijlage in plaats van niet-gecontroleerde claims als ‘volledig AVG-proof’. De gids over privacy by design biedt een toets voor nieuwe functies.
Datalekken: twee mogelijke meldstromen
Een incident kan tegelijk klantgegevens en eigen gegevens raken. Als verwerker meldt u een inbreuk in persoonsgegevens aan de verantwoordelijke zonder onredelijke vertraging na kennis; wacht niet op een definitieve forensische conclusie. Lever de bekende feiten, gevolgen en maatregelen aan en vul later aan. De klant beoordeelt op basis van artikel 33 of melding aan diens toezichthouder nodig is. Voor gegevens waarvoor u zelf verantwoordelijke bent, beoordeelt u zelf de melding: zonder onredelijke vertraging en, waar mogelijk, binnen 72 uur na kennis, behalve wanneer risico voor betrokkenen onwaarschijnlijk is. Is de melding later, dan moet de vertraging worden uitgelegd. Bij waarschijnlijk hoog risico volgt ook een afzonderlijke beoordeling van communicatie aan betrokkenen onder artikel 34.
Zet een incident niet in één generieke mailbox. Leg vast welke klanttenants en eigen systemen geraakt zijn, welk contactpunt bereikbaar is en wie vervolgvragen afhandelt. Een vroeg bericht met ‘onderzoek loopt’ kan nodig zijn; stuur geen verzonnen aantallen of ongefundeerde zekerheid. Elke bevestigde inbreuk in persoonsgegevens van uw eigen verantwoordelijke-verwerkingen moet worden gedocumenteerd op grond van artikel 33 lid 5, ook zonder externe melding. De Nederlandse datalekprocedure beschrijft de stappen; de beveiligingsgids helpt maatregelen te toetsen.
Bewijs voor klanten en intern eigenaarschap
Een professionele klant kan vragen om contractversies, beveiligingsbeschrijvingen, subverwerkers, locaties, incidentcontacten en bewijs van periodieke beoordeling. Bied informatie die u kunt onderbouwen. Een auditrecht uit artikel 28 betekent dat u informatie beschikbaar stelt en audits mogelijk maakt; ontwerp een werkbare procedure voor vertrouwelijkheid en toegang, maar schrap het wettelijke recht niet met een algemene verkoopvoorwaarde. Zorg dat sales, security en juridisch dezelfde versie gebruiken. Een documentportaal kan helpen, mits oude bijlagen niet blijven circuleren.
Maak ook een eigen verwerkingsregister voor de relevante activiteiten als verantwoordelijke en, waar artikel 30 van toepassing is, als verwerker. De uitzondering voor organisaties onder 250 personen is per activiteit beperkt: onder meer niet-incidentele verwerking, de wettelijke risicovoorwaarde en artikel 9- of 10-gegevens kunnen haar uitsluiten. Een terugkerende SaaS-dienst is doorgaans niet incidenteel, maar beoordeel de concrete activiteit. Het AVG-overzicht voor kleine bedrijven behandelt die nuance verder.
Een nieuwe functie door de rolkaart leiden
Stel dat u een AI-samenvatting voor klantdocumenten toevoegt. De bestaande hostingafspraak zegt nog niet of de modellen gegevens voor training gebruiken, wie prompts kan inzien of hoe lang uitkomsten blijven staan. Begin met het productdoel en de instructie van de klant. Inventariseer invoer, uitvoer, logging, modelaanbieder en supporttoegang. Bepaal daarna per verwerking de rol en of een nieuwe onderverwerker, doorgifte, beveiligingsmaatregel of informatieplicht ontstaat. Schakel de functie pas in nadat klantcontract en technische instellingen overeenkomen. Een opt-in in de beheerinterface kan een productkeuze zijn, maar vervangt geen toepasselijke AVG-grondslag voor een eigen doel.
Laat ook een klant kunnen begrijpen wat er bij uitschakelen gebeurt: verdwijnen prompts uit actieve opslag, blijven foutlogs tijdelijk staan en is export mogelijk? Schrijf de werkelijke termijnen op. Bij een functie die gegevens uit meerdere klanten combineert, is het risico op tenantoverschrijding of eigen hergebruik groter. Test daarom met gescheiden proefaccounts en leg de resultaten vast. Zo wordt privacy by design een concrete releasecontrole in plaats van een algemene belofte in een salesdocument.
FAQ
Is mijn SaaS-bedrijf altijd verwerker voor klantdata?
Niet automatisch. De klant kan doel en wezenlijke middelen bepalen en u op instructie laten handelen; dan bent u verwerker. Gebruikt u dezelfde gegevens voor een eigen doel, dan kan uw rol voor dat gebruik anders zijn. Onderzoek elke gegevensstroom, waaronder logging, support en productanalyse, en schrijf het resultaat in contract en privacyinformatie.
Moet iedere klant een apart onderhandelde verwerkersovereenkomst krijgen?
Nee. Een standaard schriftelijk of elektronisch contract kan werken als het op de relatie van toepassing is en de verplichte inhoud van artikel 28 bevat. De AVG staat ook een andere bindende rechtshandeling krachtens Unie- of lidstaatrecht toe. In een gewone commerciële dienst is een controleerbare standaardovereenkomst meestal praktisch.
Is iedere leverancier een subverwerker?
Nee. De leverancier moet persoonsgegevens binnen uw verwerking namens de klant verwerken. Een partij voor uw eigen boekhouding heeft daarvoor niet vanzelf die rol. Een hosting- of supportpartner met toegang tot klantinhoud kan haar wel hebben. Beoordeel feitelijke toegang en doel, niet alleen de factuurrelatie.
Mag ik klantgegevens buiten de EER laten verwerken?
Alleen met een toepasselijke doorgifteroute en naleving van de overige AVG-plichten. Controleer ontvanger, toegang, contracten en waar nodig aanvullende maatregelen. Een EU-regio, standaardcontractbepalingen of een bekende leveranciersnaam is afzonderlijk geen volledige analyse.
Wie meldt een incident bij de toezichthouder?
De verantwoordelijke beoordeelt de wettelijke melding. De verwerker informeert hem onverwijld bij een inbreuk in persoonsgegevens. Bent u voor eigen gegevens tegelijk verantwoordelijke, dan maakt u voor die stroom ook uw eigen risico- en meldbeoordeling. Eén technisch incident kan dus meer dan één communicatieroute hebben.
Primaire bronnen: AVG artikelen 4, 25, 28, 30, 32–34 en hoofdstuk V, EDPB-richtsnoeren rollen verantwoordelijke en verwerker en AP-informatie over datalekken.