Een verwerkersovereenkomst maakt duidelijk wat een dienstverlener met persoonsgegevens mag doen, welke bescherming hij levert en hoe de opdrachtgever dat kan controleren. Artikel 28 AVG verlangt een schriftelijke, eventueel elektronische overeenkomst of een andere bindende rechtshandeling krachtens Unierecht of lidstatelijk recht. Een ondertekend model met lege bijlagen voldoet niet vanzelf: de afspraken moeten passen bij de echte verwerking en uitvoerbaar zijn wanneer iets misgaat.
Deze gids helpt u een overeenkomst opstellen of beoordelen. De juridische uitgangspunten zijn gecontroleerd op 28 september 2026. De nadruk ligt op gewone commerciële dienstverlening, waarbij partijen doorgaans een contract sluiten. De korte voorbeeldclausule hieronder is een vertrekpunt voor één onderdeel; voor een breder invuldocument kunt u de verwerkersovereenkomst met toelichting gebruiken. Ook daar blijven een juiste rolverdeling en concrete bijlagen noodzakelijk.
Wanneer is een verwerkersovereenkomst verplicht?
Begin met de activiteit, niet met de naam van de leverancier. Een verwerker verwerkt persoonsgegevens voor de verwerkingsverantwoordelijke en binnen diens opdracht. Denk aan opslag van klantdossiers of uitvoering van een salarisadministratie volgens vastgelegde instructies. De opdrachtgever bepaalt waarvoor de gegevens worden gebruikt en de wezenlijke middelen, zoals de betrokken personen, gegevenscategorieën en bewaartermijnen. De leverancier mag praktische technische keuzes maken zonder daardoor automatisch verantwoordelijke te worden.
Een advocaat die zelfstandig een geschil behandelt, kan voor die dienstverlening juist een eigen verwerkingsverantwoordelijke zijn. Een boekhouder kan verschillende rollen hebben bij verschillende diensten. Twee organisaties die gezamenlijk doelen en wezenlijke middelen bepalen, moeten hun verantwoordelijkheden volgens artikel 26 regelen. Met een verwerkersovereenkomst kunt u deze feiten niet veranderen. Werk twijfelgevallen eerst uit met de gids over verwerkingsverantwoordelijke en verwerker.
Ook binnen een concern telt de juridische en feitelijke verhouding. Een interne afdeling binnen dezelfde rechtspersoon is doorgaans geen afzonderlijke verwerker. Een aparte groepsmaatschappij die de personeelsadministratie uitvoert, kan dat wel zijn. Noteer daarom welke rechtspersoon de dienstverlening levert. Een handelsnaam, cloudmerk of algemene verwijzing naar een groep kan onduidelijk laten wie de bindende verplichtingen draagt en welke andere ondernemingen als subverwerker optreden.
Beschrijf de opdracht voordat u clausules bespreekt
Artikel 28 AVG verlangt dat de regeling het onderwerp, de duur, de aard en het doel van de verwerking vastlegt, samen met het soort persoonsgegevens, de categorieën betrokkenen en de rechten en verplichtingen van de verantwoordelijke. Deze beschrijving vormt het referentiepunt voor de overige afspraken. Alleen “alle gegevens die nodig zijn voor dienstverlening” biedt weinig houvast bij een geschil over een nieuwe functie.
Beschrijf bijvoorbeeld bij een ticketsysteem wie een account krijgt, welke inhoud medewerkers mogen uploaden, of bijlagen gezondheidsgegevens kunnen bevatten, welke ondersteuning de leverancier levert en wanneer verwijdering plaatsvindt. Een systeem voor technische storingen hoeft niet standaard medische documenten te verwerken omdat de software dat technisch ondersteunt. Neem de feitelijk toegestane invoer als uitgangspunt en benoem verboden gebruik afzonderlijk. Zo sluiten gebruikersinstructies en contract op elkaar aan.
Gebruik dezelfde procesbeschrijving in het verwerkingsregister, maar maak het contract niet afhankelijk van een intern document dat de leverancier nooit ontvangt. Bijlagen hebben een versienummer en een wijzigingsprocedure nodig. Leg vast wie namens de opdrachtgever instructies mag geven. Een verzoek van een willekeurige medewerker om een bestand naar een privéaccount te exporteren, is geen betrouwbare basis voor uitbreiding van de opdracht.
Instructies en geheimhouding: welke ruimte heeft de leverancier?
De verwerker verwerkt in beginsel uitsluitend op gedocumenteerde instructies, ook bij doorgifte buiten de EER. Artikel 28 kent een uitzondering voor Unierecht of lidstatelijk recht dat de verwerker tot verwerking verplicht. De verwerker informeert de verantwoordelijke daarover vóór de verwerking, tenzij dat recht die informatie om gewichtige redenen van algemeen belang verbiedt. Een algemene clausule over “alle toepasselijke wetten wereldwijd” geeft dus een ruimere bevoegdheid dan deze uitzondering.
Spreek praktisch af hoe partijen een instructie vastleggen en hoe een spoedopdracht wordt bevestigd. Bij een vermoedelijk onrechtmatige instructie moet de verwerker de verantwoordelijke onmiddellijk informeren. Een escalatieroute voorkomt dat een helpdeskmedewerker zelf juridisch moet beslissen of juist iedere opdracht stilzwijgend uitvoert. Benoem contactpersonen, bereikbaarheid en de behandeling van een verschil van inzicht. Het contract moet ook duidelijk maken welke verwerking tijdens dat overleg veilig kan worden voortgezet.
Personen die persoonsgegevens mogen verwerken, moeten zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen. Een aparte geheimhoudingsverklaring voor iedere medewerker is daarom niet steeds de enige route. Controleer wel wie toegang krijgt, hoe toegang wordt beperkt en hoe de verplichting blijft gelden na vertrek. Een personeelsbeleid zonder aansluiting op tijdelijke medewerkers of externe beheerders kan precies de mensen missen die productiegegevens kunnen bekijken.
Beveiliging moet controleerbaar zijn
Een belofte “wij voldoen aan de AVG” beschrijft geen beveiliging. De bijlage moet informatie geven waarmee u kunt beoordelen of de maatregelen passen bij de risico’s. Denk aan toegangsbeheer, sterke authenticatie voor beheerders, herstelmogelijkheden, versleuteling waar passend, scheiding tussen klanten en de behandeling van kwetsbaarheden. Artikel 32 is risicogericht: niet iedere verwerking vereist exact dezelfde techniek, maar een lager budget neemt de beschermingsplicht niet weg.
De EDPB-richtsnoeren 07/2020, versie 2.1 benadrukken dat afspraken concrete uitvoering moeten beschrijven. Vraag daarom niet alleen of back-ups bestaan, maar ook wie herstel mag starten en hoe de leverancier controleert dat teruggezette gegevens weer correct worden behandeld. Een verwijderverzoek kan anders bij het volgende herstel onbedoeld worden teruggedraaid. De uitwerking van artikel 32 en beveiligingsmaatregelen helpt bij deze beoordeling.
Maak ook wijzigingen bespreekbaar. Een leverancier moet systemen kunnen verbeteren, maar mag het overeengekomen beschermingsniveau niet ongemerkt uithollen. Onderscheid gewone technische updates van wijzigingen die gevolgen hebben voor risico’s, gegevenslocaties of toegang. Leg vast welke informatie vooraf beschikbaar komt en wanneer toestemming nodig is. Een oude certificering is daarbij geen vervanging voor inzicht in de huidige dienstverlening, het onderzochte toepassingsgebied en nog openstaande tekortkomingen.
Subverwerkers: toestemming én zicht op de keten
Voor inschakeling van een andere verwerker is voorafgaande specifieke of algemene schriftelijke toestemming van de verantwoordelijke nodig. Bij algemene toestemming moet de leverancier voorgenomen toevoegingen of vervangingen melden en de opdrachtgever gelegenheid geven bezwaar te maken. Een lijst die ergens op een website verandert zonder gerichte kennisgeving geeft weinig praktische mogelijkheid om dat recht uit te oefenen. Spreek een werkbare kennisgevingsroute en beoordelingstermijn af.
De lijst behoort duidelijk te maken welke juridische entiteit welke dienst verricht en waar relevante verwerking plaatsvindt. Een hostingbedrijf, ondersteuningspartij en verzenddienst kunnen verschillende gegevens zien. Vraag dus niet automatisch de volledige contracten van elke partij op, maar verzamel genoeg informatie om de garanties te beoordelen. Leg tevens vast wat gebeurt wanneer bezwaar niet kan worden opgelost: een alternatief, beperking van de betrokken functie of beëindiging van dat deel van de dienst.
Artikel 28, lid 4, verlangt dat dezelfde gegevensbeschermingsverplichtingen aan de subverwerker worden opgelegd via een overeenkomst of andere bindende rechtshandeling krachtens Unierecht of lidstatelijk recht. Ook hiervoor geldt de schriftelijke vorm, inclusief elektronisch. De eerste verwerker blijft tegenover de verantwoordelijke volledig aansprakelijk voor de nakoming door de subverwerker. Een clausule die iedere verantwoordelijkheid doorschuift naar een onbekende onderaannemer past daar niet bij.
Ondersteuning bij rechten, DPIA’s en incidenten
De verantwoordelijke blijft de aangewezen partij om verzoeken van betrokkenen af te handelen, maar heeft vaak technische hulp nodig. Leg vast hoe de leverancier gegevens zoekt, exporteert, corrigeert, beperkt of verwijdert en welke identificatie hij daarvoor nodig heeft. Een contract dat alleen ondersteuning “naar beschikbaarheid” belooft, kan wettelijke termijnen praktisch onhaalbaar maken. Beperk interne reactietijden daarom voldoende om de opdrachtgever nog een inhoudelijke beoordeling te laten uitvoeren.
Een verzoek om inzage in persoonsgegevens is niet automatisch een opdracht om alle bestanden rechtstreeks naar de verzoeker te sturen. Er kunnen gegevens van anderen in staan. Regel daarom dat de leverancier verzoeken die hij ontvangt tijdig doorstuurt en alleen volgens de afgesproken bevoegdheden reageert. Houd ondersteuning voor een DPIA eveneens concreet: architectuur, toegangsrechten en risico-informatie zijn nuttiger dan een standaardverklaring zonder verband met de verwerking.
Bij een persoonsgegevenslek moet de verwerker de verantwoordelijke zonder onredelijke vertraging informeren zodra hij er kennis van heeft. Zijn wettelijke termijn is niet simpelweg 72 uur. De verantwoordelijke meldt aan de toezichthouder zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname, tenzij het lek waarschijnlijk geen risico oplevert voor betrokkenen. Bij een latere melding moet hij de vertraging motiveren. Alle persoonsgegevenslekken moeten worden gedocumenteerd; communicatie aan betrokkenen bij hoog risico is een afzonderlijke beoordeling.
Het contract kan voor de eerste waarschuwing een kortere concrete termijn afspreken en vervolginformatie gefaseerd laten aanleveren. Benoem welke feiten meteen nodig zijn: betrokken systemen, mogelijke gegevens, tijdlijn, reeds genomen maatregelen en een bereikbaar incidentcontact. Niet ieder technisch incident is een persoonsgegevenslek, maar wachten op een volledig forensisch rapport kan te laat zijn. Laat de afspraken aansluiten op uw procedure voor datalekken melden bij de AP.
Audits en bewijs zonder onwerkbare toegang
De verwerker moet alle informatie beschikbaar stellen die nodig is om naleving aan te tonen en audits, waaronder inspecties, door de verantwoordelijke of diens gemachtigde mogelijk maken en ondersteunen. Dat betekent niet dat iedere klant onbeperkt toegang krijgt tot de gegevens van andere klanten. Een gelaagde aanpak kan beginnen met relevante rapportages en gerichte vragen en, waar nodig, verder gaan met een onderzoek onder passende vertrouwelijkheidswaarborgen.
Let op voorwaarden die het recht feitelijk blokkeren. Een extreem lange aankondigingstermijn kan ongeschikt zijn na een ernstig incident. Een tariefregeling mag geen vrijbrief worden om noodzakelijke ondersteuning onbereikbaar te maken. Bespreek vooraf wie bevindingen beoordeelt, hoe herstel wordt gevolgd en wat gebeurt bij een herhaald tekort. De verantwoordelijke moet bij de selectie voldoende garanties vaststellen en die beoordeling gedurende de samenwerking actueel houden.
Een praktisch controledossier bevat daarom niet alleen het contract, maar ook de beveiligingsbijlage, relevante onderzoeksrapporten, antwoorden op wezenlijke vragen en beslissingen over resterende risico’s. Verdeel het werk tussen inkoop, IT en privacy. Inkoop kan contractuele wijzigingen bewaken, terwijl IT bijvoorbeeld controleert of de overeengekomen export werkelijk werkt. Zo wordt aantoonbaarheid onderdeel van leveranciersbeheer in plaats van een map die pas na een klacht wordt geopend.
Internationale doorgifte is een aparte toets
Een artikel 28-overeenkomst maakt een doorgifte naar een derde land niet vanzelf rechtmatig. Onderzoek of hoofdstuk V AVG van toepassing is en welke route beschikbaar is, zoals een toepasselijk adequaatheidsbesluit of passende waarborgen. Afwijkingen uit artikel 49 zijn aan specifieke voorwaarden gebonden en vormen geen algemene uitweg voor structurele uitbesteding. Ook toegang door een afzonderlijke dienstverlener buiten de EER kan relevant zijn, terwijl de primaire server in Nederland staat.
De Europese Commissie heeft met Besluit 2021/915 standaardbepalingen voor verantwoordelijken en verwerkers vastgesteld. Die mogen niet worden verward met het afzonderlijke instrument voor internationale doorgifte. Controleer welk model u gebruikt en welke voorwaarden daarbij horen. Vul de feitelijke bijlagen daadwerkelijk in. De gids over doorgifte naar derde landen behandelt de aanvullende beoordeling uitgebreider.
Beëindiging, teruggave en verwijdering
Na afloop van de verwerkingsdiensten kiest de verantwoordelijke voor wissen of terugbezorgen van de persoonsgegevens. Bij terugbezorging moeten bestaande kopieën eveneens worden gewist, tenzij Unierecht of lidstatelijk recht opslag verplicht. Een contractuele wens van de leverancier om gegevens later nog nuttig te gebruiken, is geen wettelijke bewaarplicht. Vraag welke categorieën worden bewaard, op welke rechtsregel dat berust, wie toegang houdt en wanneer die bewaring eindigt.
Een goed vertrekplan beschrijft exportformaat, volledigheidscontrole, overdracht en de behandeling van back-ups. Artikel 28 geeft geen universele technische termijn voor iedere back-up. Partijen moeten wel een uitvoerbare verwijderingsregeling afspreken, ongeoorloofd hergebruik voorkomen en eventuele wettelijke uitzondering nauwkeurig begrenzen. Plan een proefexport vóórdat een contractconflict ontstaat. Bij SaaS-dienstverlening blijken rechten, bijlagen en gebruikersinstellingen soms lastiger overdraagbaar dan de zichtbare documenten.
Aansprakelijkheid en een afgebakend clausulevoorbeeld
Artikel 82 AVG bepaalt wanneer een betrokkene schadevergoeding kan vorderen. Een verwerker is niet automatisch voor ieder tekort van de verantwoordelijke aansprakelijk: relevant is onder meer schending van specifiek tot verwerkers gerichte verplichtingen of handelen buiten of in strijd met rechtmatige instructies. Een partij kan zich bevrijden wanneer zij bewijst op geen enkele wijze verantwoordelijk te zijn voor het schadeveroorzakende feit. Zijn meerdere partijen bij dezelfde verwerking betrokken en verantwoordelijk, dan kan ieder onder de wettelijke voorwaarden voor de volledige schade worden aangesproken.
Interne afspraken over vergoedingen, verzekeringen en regres veranderen de wettelijke rechten van betrokkenen niet. Controleer bovendien dat commerciële aansprakelijkheidsclausules de verplichte verantwoordelijkheden uit artikel 28 niet ondergraven. Een aansprakelijkheidsplafond is daarom een onderhandelingspunt dat samen met de dienstverlening en het toepasselijke recht moet worden beoordeeld; een algemeen bedrag zegt weinig zonder die context.
Het volgende fragment gaat uitsluitend over incidentcommunicatie. Vul de contactgegevens en contractuele termijn in en verbind het met de overige afspraken; het is geen complete verwerkersovereenkomst.
De verwerker informeert [incidentcontact] zonder onredelijke vertraging
na kennisname van een inbreuk in verband met persoonsgegevens.
Partijen spreken voor de eerste waarschuwing aanvullend [termijn] af.
Ontbrekende gegevens worden zonder onredelijke verdere vertraging
nagezonden. De verwerker bewaart relevante feiten en ondersteunt de
verantwoordelijke bij diens beoordeling en wettelijke verplichtingen.
Veelgestelde vragen
Moet het document altijd apart worden ondertekend?
Een afzonderlijk document is niet noodzakelijk. De bindende artikel 28-afspraken kunnen onderdeel zijn van een bredere overeenkomst, zolang ze schriftelijk, ook elektronisch, zijn vastgelegd en alle verplichte onderwerpen dekken. Bewaar bewijs welke versie partijen hebben aanvaard. Een link naar voorwaarden die de leverancier onbeperkt kan veranderen, verdient bijzondere aandacht: u moet kunnen vaststellen welke verplichtingen daadwerkelijk golden.
Is een certificaat voldoende om een leverancier te accepteren?
Een relevant certificaat of goedgekeurd mechanisme kan bijdragen aan het bewijs van voldoende garanties. Het vervangt de rolbeoordeling, verplichte afspraken en beoordeling van uw verwerking niet. Controleer de onderzochte dienst, locatie, geldigheid en beperkingen. Een certificaat voor een datacenter bewijst bijvoorbeeld niet automatisch dat de helpdesk van een afzonderlijke leverancier toegang zorgvuldig beheert.
Wanneer moet een bestaande overeenkomst worden herzien?
Beoordeel wijzigingen zodra de verwerking wezenlijk verandert: nieuwe gegevenscategorieën, functies, landen, subverwerkers of een ander vertrekproces kunnen gevolgen hebben. Daarnaast is een periodieke controle verstandig. De AVG schrijft hiervoor geen algemene jaarlijkse herondertekening voor. Het doel is dat contract, feitelijke dienstverlening en risicobeoordeling overeenstemmen en dat afgesproken verbeteringen aantoonbaar zijn uitgevoerd.