De verwerkingsverantwoordelijke bepaalt waarom persoonsgegevens worden verwerkt en wat daarbij de wezenlijke middelen zijn. Een verwerker voert een verwerking voor die verantwoordelijke uit. De feitelijke zeggenschap is beslissend: een leverancier wordt geen verwerker doordat het contract hem zo noemt, en een opdrachtgever kan zijn verantwoordelijkheid niet wegschrijven door een leverancier alle praktische taken te laten uitvoeren.
Een juiste rolverdeling voorkomt dat partijen de verkeerde overeenkomst sluiten, verzoeken van betrokkenen naar elkaar doorsturen of allebei denken dat de ander een datalek beoordeelt. Deze gids, gecontroleerd op 28 september 2026, helpt u de rollen per activiteit vaststellen. De uitkomst kan binnen dezelfde samenwerking verschillen. Een softwarebedrijf kan bijvoorbeeld verwerker zijn voor klantdossiers en verantwoordelijke voor de eigen facturatiegegevens van contactpersonen.
Begin bij de verwerking, niet bij het organisatietype
Artikel 4 AVG definieert de rollen functioneel. Beschrijf daarom eerst een concrete handeling: sollicitaties beoordelen, loonstroken produceren, bestanden hosten of een gezamenlijke campagne uitvoeren. “Samenwerken met leverancier X” is te ruim. Ook het eigendom van de server, betaling voor de dienst of toegang tot gegevens geeft op zichzelf geen antwoord. Een verantwoordelijke kan wezenlijke beslissingen nemen zonder de persoonsgegevens zelf te bekijken.
Maak de beschrijving voldoende klein om verschillen zichtbaar te houden, maar vermijd een kunstmatige opdeling die één samenhangend proces verbergt. Bij een klantenportaal horen verzamelen en opslaan mogelijk bij dezelfde opdracht. Hergebruik van de inhoud voor een afzonderlijk commercieel doel vraagt een nieuwe beoordeling. Noteer het doel, de betrokken personen, de gegevens, de bewaartermijn, de ontvangers en wie elk van die onderdelen werkelijk bepaalt.
De EDPB-richtsnoeren 07/2020, versie 2.1 bieden voorbeelden en leggen uit waarom contracten aanwijzingen geven, maar niet doorslaggevend zijn. Gebruik die benadering bij twijfelgevallen. Een juridisch etiket behoort het werkelijke proces te beschrijven. Als medewerkers en systemen anders werken dan de overeenkomst veronderstelt, moet u de werkwijze aanpassen of de kwalificatie en afspraken opnieuw beoordelen.
Wie bepaalt doel en wezenlijke middelen?
Het doel is het beoogde gebruik van de gegevens: waarom vindt de verwerking plaats? De wezenlijke middelen betreffen onder meer welke personen en gegevens worden betrokken, hoe lang gegevens worden gebruikt en wie toegang krijgt. De verantwoordelijke neemt daarover de beslissende keuzes. Dat betekent niet dat hij zelf iedere database of versleutelingsinstelling moet kiezen. Een deskundige verwerker kan technische uitvoering bepalen binnen de goedgekeurde opdracht.
Stel dat een webshop een platform gebruikt voor orderadministratie. De webshop bepaalt welke klantgegevens nodig zijn, waarvoor zij deze gebruikt en wanneer de bestellingen moeten worden verwijderd. De aanbieder kiest binnen de afgesproken grenzen de database en de manier van onderhoud. Die technische vrijheid maakt de aanbieder nog geen verantwoordelijke voor de ordergegevens. Besluit hij zelfstandig die inhoud voor een eigen reclameprofiel te gebruiken, dan verandert de beoordeling van dat afzonderlijke gebruik.
Ook een standaarddienst kan als verwerking in opdracht worden geleverd. Een kleine klant hoeft niet iedere standaardinstelling te kunnen onderhandelen. Hij moet wel begrijpen welke essentiële keuzes het pakket vastlegt en de dienst bewust voor zijn doeleinden selecteren. “De leverancier is groter dan wij” is geen reden om de verantwoordelijkheid te verplaatsen. Kan het pakket de noodzakelijke beperking van gegevens of bewaartermijnen niet uitvoeren, dan is dat een probleem bij de selectie van de dienst.
Wanneer is een dienstverlener een verwerker?
Voor de verwerkersrol moet de dienstverlener een afzonderlijke partij zijn en persoonsgegevens namens de verantwoordelijke verwerken. De verwerking moet onderdeel zijn van de opdracht, niet slechts een toevallige mogelijkheid om gegevens te zien. Een externe partij die documenten op instructie digitaliseert, past vaak in deze rol. Een onderhoudsmonteur die incidenteel langs een scherm loopt, wordt daardoor niet automatisch verwerker. Wel kunnen beveiliging en geheimhouding nodig zijn.
Medewerkers handelen normaal gesproken onder het gezag van hun organisatie. Een interne IT-afdeling is geen zelfstandige contractspartij voor artikel 28. Een aparte rechtspersoon binnen dezelfde groep kan dat wél zijn, bijvoorbeeld wanneer zij de centrale salarisadministratie uitvoert. De concernstructuur geeft geen algemene vrijstelling. Onderzoek ook of de centrale partij gegevens voor eigen groepsdoelen gebruikt; dat gebruik kan een andere rol en een eigen rechtmatigheidsbeoordeling vragen.
Verwerken in opdracht betekent evenmin dat de verwerker geen eigen verplichtingen heeft. Onder meer beveiliging, bepaalde registers, medewerking aan toezicht en de voorschriften voor subverwerkers richten zich rechtstreeks tot hem. Hij moet een vermoedelijk onrechtmatige instructie onmiddellijk signaleren. Het uitgangspunt is dus geen onbeperkte gehoorzaamheid. De opdrachtgever moet op zijn beurt een leverancier met voldoende garanties selecteren en de verwerking behoorlijk afbakenen.
Een beslisroute die ook grensgevallen aankan
Vraag eerst of er persoonsgegevens worden verwerkt en of de andere partij een afzonderlijke actor is. Bepaal vervolgens voor welke activiteit u de rollen onderzoekt. Stel daarna vast wie de doeleinden en wezenlijke middelen bepaalt. Als één partij daarin de beslissende invloed heeft en de ander uitsluitend namens haar verwerkt, ligt een verantwoordelijke-verwerkerrelatie voor de hand. Controleer die voorlopige conclusie aan de hand van de feitelijke bevoegdheden en gegevensstromen.
Onderzoek vervolgens of de dienstverlener eigen doelen nastreeft met dezelfde gegevens. Een eigen factuuradministratie naast hosting maakt niet automatisch alle hosting tot verwerking voor eigen doeleinden. Een zelfstandig besluit om de klantinhoud aan andere afnemers beschikbaar te stellen, kan dat voor die handeling wel doen. Splits zulke verwerkingen expliciet. Schrijf op welke partij de nieuwe verwerking rechtvaardigt en hoe betrokkenen daarover worden geïnformeerd.
Als meerdere partijen invloed uitoefenen, onderzoek dan of zij gezamenlijk doelen en middelen bepalen of juist afzonderlijke verwerkingen achter elkaar uitvoeren. Alleen gegevens uitwisselen, gezamenlijk voordeel hebben of dezelfde infrastructuur gebruiken, is onvoldoende om gezamenlijke verantwoordelijkheid aan te nemen. Kijk naar de concrete beslissingen. Welke verwerking zou zonder de deelname van een partij niet op dezelfde manier plaatsvinden? Wie kan de essentiële inrichting daadwerkelijk wijzigen of blokkeren?
Sluit af met een korte onderbouwing in gewone taal. Vermeld de beoordeelde activiteit, de relevante feiten en de gekozen rol. Bewaar documenten die de conclusie ondersteunen, zoals een procesbeschrijving, productinstellingen of dienstspecificatie. Laat een verantwoordelijke functionaris de uitkomst bevestigen. Daarmee kan een nieuwe collega later begrijpen waarom een leverancier voor het ene onderdeel een verwerker is en voor een ander onderdeel een zelfstandige verantwoordelijke.
Gezamenlijke verantwoordelijkheid is meer dan samenwerking
Gezamenlijke verantwoordelijkheid kan voortkomen uit een gezamenlijke beslissing of uit samenlopende beslissingen die elkaar aanvullen en noodzakelijk zijn voor de verwerking. De betrokkenheid hoeft niet identiek te zijn en partijen hoeven niet dezelfde toegang tot gegevens te hebben. Beperk de kwalificatie wel tot de verwerkingsfasen waarvoor die gezamenlijke invloed bestaat. Een partner wordt niet automatisch verantwoordelijk voor iedere latere verwerking die de andere partij zelfstandig uitvoert.
Het arrest Fashion ID, C-40/17, van 29 juli 2019 illustreert die begrenzing. De zaak ging over een website met een Facebookknop en werd nog onder Richtlijn 95/46 beoordeeld. Het Hof onderscheidde de verzameling en doorgifte via de website van latere verwerkingen door Facebook alleen. De zaak rechtvaardigt dus geen algemene uitspraak dat iedere websitebeheerder voor alle activiteiten van een platform verantwoordelijk is.
Bij gezamenlijke verantwoordelijkheid verlangt artikel 26 een transparante regeling van de onderlinge verantwoordelijkheden, tenzij die al bij toepasselijk recht zijn vastgelegd. Besteed in het bijzonder aandacht aan informatieverstrekking en verzoeken van betrokkenen. De wezenlijke inhoud van de regeling moet voor betrokkenen beschikbaar zijn. Een centraal contactpunt kan praktisch zijn, maar betrokkenen mogen hun rechten tegenover ieder van de gezamenlijke verantwoordelijken uitoefenen, ongeacht de interne verdeling.
Denk aan twee organisaties die samen een deelnemersbestand voor één evenement inrichten en gezamenlijk bepalen welke gegevens voor opvolging worden verzameld. Onderzoek wie over registratie en vervolgcommunicatie beslist. Een organisator die later zelfstandig een afzonderlijke nieuwsbrief wil sturen, kan daarvoor een andere verwerking uitvoeren. De gezamenlijke overeenkomst geeft hem niet automatisch een grondslag voor die nieuwsbrief of toestemming om alle registratiegegevens onbeperkt te bewaren.
Wat verandert er voor de rechtsgrond en informatieplicht?
De verantwoordelijke moet voor zijn verwerking een grondslag uit artikel 6 kunnen aanwijzen en de overige AVG-eisen naleven. Een overeenkomst met de dienstverlener is niet vanzelf de grondslag voor verwerking van gegevens van klanten of werknemers. Bij artikel 6, lid 1, onder b, moet de verwerking noodzakelijk zijn voor een overeenkomst waarbij de betrokkene partij is, of voor gevraagde voorbereidende maatregelen. Een zakelijke overeenkomst tussen twee ondernemingen dekt niet automatisch alle medewerkersgegevens.
Bij zuivere verwerking in opdracht steunt de verwerking op de opdracht en de rechtmatige doeleinden van de verantwoordelijke; de verwerker kiest daarvoor niet zelfstandig een concurrerend doel en een eigen grondslag. Voor eigen activiteiten als verantwoordelijke moet dezelfde leverancier dat juist wel doen. De toelichting op de zes AVG-grondslagen helpt deze beoordelingen uit elkaar houden. Bij bijzondere of strafrechtelijke gegevens gelden bovendien aanvullende voorwaarden.
In privacy-informatie moet de echte rolverdeling herkenbaar blijven. Een betrokkene moet weten welke organisatie verantwoordelijk is en waar hij terechtkan. Vermijd een opsomming waarin iedere leverancier zonder onderscheid “partner” heet. Bepaal per ontvanger welke categorie en informatie nodig is. De interne contractstructuur hoeft niet volledig te worden gepubliceerd, maar zij mag een begrijpelijke uitleg van de verwerking ook niet in de weg staan.
Welke afspraken horen bij welke verhouding?
Bij verwerking in opdracht is artikel 28 het vertrekpunt: een schriftelijke, eventueel elektronische overeenkomst of andere bindende rechtshandeling krachtens Unierecht of lidstatelijk recht. Die moet de concrete verwerking en verplichte verplichtingen regelen. Daartoe behoren instructies, geheimhouding, beveiliging, ondersteuning, subverwerkers, controle en afwikkeling. De gids over artikel 28-afspraken werkt de beoordeling uit; het toegelichte model biedt een documentstructuur.
Tussen afzonderlijke verantwoordelijken past niet automatisch een verwerkersovereenkomst. Zij moeten ieder de rechtmatigheid van verstrekking en ontvangst beoordelen. Schriftelijke afspraken kunnen niettemin nuttig zijn over doeleinden, toegestane gegevens, beveiliging, fouten en contactpersonen. Daarmee ontstaat geen vrijstelling van informatieplichten of andere AVG-eisen. Een contractuele toezegging dat de andere partij “de AVG regelt” maakt de eigen verwerking niet aantoonbaar rechtmatig.
Bij gezamenlijke verantwoordelijkheid is de artikel 26-regeling nodig voor de gezamenlijk bepaalde verwerking. Koppel daarin iedere taak aan een bevoegde partij en een praktische werkwijze. Wie beheert toestemming als die de grondslag vormt? Wie verwerkt een correctie die gevolgen heeft voor beide systemen? Wie bewaakt dat de privacy-informatie de echte gegevensstroom beschrijft? Zo voorkomt u een formele taakverdeling die voor de betrokkene geen werkend loket oplevert.
Praktijkgevallen: salaris, professionele dienstverlening en software
Een salarisbureau dat loonstroken berekent op instructie van de werkgever is voor die handeling doorgaans verwerker. Dat het technisch aangiften indient, maakt het niet zonder meer zelfstandig verantwoordelijke. Onderzoek op wie de wettelijke verplichting rust en welke eigen beslissingen het bureau neemt. Voor eigen personeelsadministratie of eigen wettelijke administratieplichten kan het bureau een andere rol hebben. De werkgever houdt zijn verplichtingen voor personeelsgegevens.
Bij een accountant hangt de beoordeling af van de dienst. Het uitvoeren van afgebakende administratieve handelingen kan verschillen van een onafhankelijke controleopdracht met eigen professionele verplichtingen. De gids voor accountantskantoren behandelt de sectorcontext. Ook bij advocatenkantoren is professionele zelfstandigheid relevant: een advocaat die zelfstandig bepaalt hoe hij een cliënt in een geschil vertegenwoordigt, is niet louter een verwerker omdat de cliënt betaalt.
Een leverancier van SaaS-software moet vaak meerdere gegevensstromen onderscheiden. De inhoud van klantdossiers kan onder instructies vallen, terwijl eigen contactbeheer een zelfstandige verwerking is. Telemetrie verdient een aparte analyse: welke gebeurtenissen worden vastgelegd, voor welk doel en op wiens initiatief? Een algemene toestemming in commerciële voorwaarden beantwoordt de rolvraag niet. Nieuwe analysefuncties kunnen aanleiding geven om de oorspronkelijke kwalificatie opnieuw te beoordelen.
Registers, rechten en datalekken organiseren
Artikel 30 kent een register voor verantwoordelijken en een ander register voor verwerkers. Een verwerker beschrijft onder meer categorieën verwerkingen die hij voor iedere verantwoordelijke uitvoert. De uitzondering voor organisaties met minder dan 250 personen is beperkt: zij geldt niet voor relevante verwerkingen die niet incidenteel zijn, waarschijnlijk risico opleveren of bijzondere dan wel strafrechtelijke gegevens omvatten. Gewone doorlopende dienstverlening verdwijnt dus niet uit beeld doordat een leverancier weinig personeel heeft.
Leg de onderscheiden rollen vast in het register van verwerkingsactiviteiten. Gebruik dat overzicht ook bij een inzageverzoek van een betrokkene. De verantwoordelijke beoordeelt het verzoek; de verwerker verleent de afgesproken ondersteuning en reageert niet zelfstandig buiten zijn bevoegdheid. Wanneer een verantwoordelijke geen gevolg geeft aan een verzoek, verlangt artikel 12, lid 4, zonder vertraging en uiterlijk binnen één maand een gemotiveerde reactie met informatie over klacht en rechterlijke voorziening.
Bij een persoonsgegevenslek informeert de verwerker de verantwoordelijke zonder onredelijke vertraging na kennisname. De verantwoordelijke beoordeelt de melding aan de toezichthouder: zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname, tenzij het lek waarschijnlijk geen risico voor betrokkenen oplevert. Een latere melding vraagt motivering. Ieder persoonsgegevenslek wordt gedocumenteerd; communicatie aan betrokkenen bij hoog risico wordt apart beoordeeld. De procedure voor melding bij de AP moet deze rolverdeling weerspiegelen.
Wat als de oorspronkelijke kwalificatie verkeerd blijkt?
Herstel eerst de feiten. Onderzoek welke partij welke persoonsgegevens heeft gebruikt en voor welk doel. Artikel 28, lid 10, bepaalt dat een verwerker die in strijd met de AVG zelf doeleinden en middelen bepaalt, voor die verwerking als verantwoordelijke wordt beschouwd. Dat maakt de nieuwe verwerking niet automatisch rechtmatig. De partij moet ook kunnen uitleggen welke grondslag, informatie en waarborgen het eigen gebruik ondersteunen.
Werk vervolgens documenten en uitvoering samen bij. Alleen het woord “verwerker” in een bijlage vervangen, herstelt geen ongeoorloofd hergebruik of ontbrekende informatie. Beoordeel of verwerking moet stoppen, gegevens moeten worden verwijderd en andere maatregelen nodig zijn. Betrek de juiste interne verantwoordelijken bij die beslissing. Als het probleem risico’s voor betrokkenen heeft veroorzaakt, kan ook een afzonderlijke incidentbeoordeling nodig zijn; verkeerde kwalificatie is op zichzelf niet altijd een datalek.
Veelgestelde vragen
Kunnen wij de rol met onze leverancier afspreken?
U kunt afspraken maken over de inrichting van de dienst en de beslissingsruimte. De juridische kwalificatie volgt vervolgens uit de feitelijke verwerking. Een rolclausule is nuttig bewijs wanneer zij klopt met die inrichting, maar heeft geen voorrang op de werkelijkheid. Leg daarom naast het etiket ook de beslissingen en grenzen vast die de gekozen rol verklaren.
Zijn wij samen verantwoordelijk zodra wij gegevens delen?
Nee. Twee zelfstandige verantwoordelijken kunnen gegevens uitwisselen zonder gezamenlijk doel en middelen te bepalen. Onderzoek de invloed op dezelfde verwerking en beperk gezamenlijke verantwoordelijkheid tot de betrokken fasen. Ook zonder gezamenlijke verantwoordelijkheid moet de verstrekking rechtmatig zijn, moeten passende waarborgen bestaan en moeten betrokkenen de informatie krijgen waarop zij recht hebben.
Wanneer herhalen wij de rolbeoordeling?
Bij een wezenlijke wijziging van doel, dienst, gegevensgebruik of beslissingsruimte. Denk aan nieuwe productanalyses, samenwerking met een extra partij of centralisatie binnen een concern. Een periodieke controle helpt veranderingen ontdekken, maar een vaste jaarlijkse datum vervangt de beoordeling bij een concrete wijziging niet. Bewaar de eerdere conclusie en leg uit waarom de nieuwe feiten wel of niet tot een andere rol leiden.