Vrijwel elke organisatie heeft ze, en vrijwel niemand weet precies hoeveel: verwerkersovereenkomsten. Elke keer dat een leverancier persoonsgegevens voor jou verwerkt (je salarisadministratie, je CRM, je mailprovider, je boekhoudpakket), is er een verwerkersovereenkomst nodig. Niet als nette gewoonte, maar als wettelijke verplichting uit artikel 28 van de AVG.
In dit artikel lopen we langs wat er verplicht in moet staan, waar het in de praktijk misgaat, en hoe je overzicht houdt zodra je er tientallen hebt.
Dit artikel is algemene uitleg, geen juridisch advies. Voor een concrete situatie, zeker bij bijzondere persoonsgegevens of doorgifte buiten de EU, laat je de tekst nakijken door een privacyjurist.
Wanneer heb je er een nodig?
De AVG kent twee hoofdrollen. De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. De verwerker doet dat verwerken in opdracht van de verantwoordelijke.
Zodra die tweede partij in beeld komt, is een verwerkersovereenkomst verplicht. Een paar voorbeelden die in bijna elke organisatie spelen:
- Je salarisadministratiekantoor verwerkt loongegevens van je medewerkers
- Je CRM-leverancier slaat klantcontactgegevens op
- Je hostingpartij bewaart databases met persoonsgegevens
- Je mailmarketingtool beheert een abonneelijst
- Je arbodienst verwerkt verzuimgegevens
- Je sollicitatiesysteem bewaart cv's en motivatiebrieven
Let op het verschil met een partij die zelf bepaalt wat er met de gegevens gebeurt. Je accountant die een wettelijke controletaak uitvoert, is doorgaans zelfstandig verwerkingsverantwoordelijke en geen verwerker. Dan hoort er geen verwerkersovereenkomst, maar hooguit een afspraak over gezamenlijke verantwoordelijkheid.
Wat moet er volgens artikel 28 in staan?
Artikel 28 lid 3 AVG noemt eerst vier dingen die de overeenkomst moet vastleggen over de verwerking zelf:
- Het onderwerp en de duur van de verwerking
- De aard en het doel van de verwerking
- Het soort persoonsgegevens en de categorieën betrokkenen
- De rechten en verplichtingen van de verwerkingsverantwoordelijke
Daarna volgen acht verplichtingen die je de verwerker moet opleggen. Dit is het deel dat in standaardcontracten het vaakst incompleet is:
| Verplichting | Wat het betekent |
|---|---|
| Uitsluitend op instructie | De verwerker verwerkt alleen wat jij opdraagt, ook bij doorgifte naar een derde land |
| Geheimhouding | Iedereen die toegang heeft is tot vertrouwelijkheid verplicht |
| Beveiliging | Passende technische en organisatorische maatregelen, conform artikel 32 |
| Subverwerkers | Geen andere verwerker inschakelen zonder jouw toestemming, met dezelfde verplichtingen doorgelegd |
| Bijstand bij rechten | Helpen als een betrokkene inzage, correctie of verwijdering vraagt |
| Bijstand bij plichten | Helpen bij datalekmeldingen, DPIA's en voorafgaande raadpleging |
| Wissen of teruggeven | Na afloop van de opdracht gegevens verwijderen of retourneren, naar jouw keuze |
| Audits | Informatie beschikbaar stellen en audits mogelijk maken |
Ontbreekt een van deze acht, dan voldoet je overeenkomst formeel niet. En dat is geen theoretisch risico: bij een datalek is de verwerkersovereenkomst een van de eerste documenten waar de Autoriteit Persoonsgegevens naar vraagt.
De vijf valkuilen die we het vaakst zien
1. De leverancier levert zijn eigen versie, en die is in zijn voordeel
Grote softwareleveranciers sturen een standaard-DPA mee. Dat is efficiënt, maar de subverwerkersclausule is vaak een algemene toestemming vooraf met alleen een meldplicht achteraf. Juridisch mag dat, maar het betekent wel dat je geen echte zeggenschap hebt over wie er straks bij je gegevens kan. Lees in elk geval de subverwerkerslijst door.
2. Niemand weet welke er zijn
Dit is in de praktijk het grootste probleem, en het is geen juridisch maar een organisatorisch probleem. Verwerkersovereenkomsten worden per tool afgesloten, vaak door de afdeling die de tool aanschaft, en belanden in een mailbox. Twee jaar later weet niemand meer welke er zijn, laat staan wanneer ze aflopen.
3. De bewaartermijn staat er niet in
"Na afloop wissen of teruggeven" is verplicht, maar zonder termijn is het een lege afspraak. Leg vast bínnen hoeveel dagen na beëindiging de gegevens verwijderd worden, en of je een verwijderingsverklaring krijgt.
4. Doorgifte buiten de EER is niet geregeld
Staat er een subverwerker in de Verenigde Staten of India, dan heb je een aanvullende grondslag nodig: standaardcontractbepalingen, een adequaatheidsbesluit, of een andere waarborg uit hoofdstuk V AVG. Een verwerkersovereenkomst alleen is dan niet genoeg.
5. Hij wordt nooit meer bekeken
Een verwerkersovereenkomst is geen eenmalig document. Verandert de dienstverlening, komt er een subverwerker bij, of wijzigt de beveiligingsstandaard, dan moet de overeenkomst mee. Zonder een moment waarop je ernaar kijkt, gebeurt dat niet.
Checklist voor je eigen verwerkersovereenkomsten
- Zijn onderwerp, duur, aard en doel van de verwerking concreet beschreven?
- Staat er welke categorieën persoonsgegevens en betrokkenen het betreft?
- Zijn alle acht verplichtingen uit artikel 28 lid 3 opgenomen?
- Is de subverwerkerslijst actueel en heb je een bezwaartermijn?
- Staat er een concrete termijn voor verwijdering na beëindiging?
- Is doorgifte buiten de EER apart geregeld?
- Weet je wie binnen je organisatie eigenaar is van deze overeenkomst?
- Staat er een datum waarop je hem opnieuw beoordeelt?
Van losse documenten naar overzicht
De juridische kant is met een goed model goed te dekken. Het lastige deel begint daarna: weten welke verwerkersovereenkomsten er zijn, bij welke leverancier ze horen, wanneer ze aflopen en wie erover gaat.
Dat is precies waar contractmanagementsoftware voor bedoeld is. In Looop leg je een verwerkersovereenkomst vast als contracttype, gekoppeld aan de leverancier waar hij bij hoort. Je ziet in één overzicht welke er lopen, en filtert op type, status of relatie.
Drie dingen die daarbij in de praktijk het meeste schelen:
- Automatische verloopmeldingen op basis van de einddatum en de opzegtermijn, zodat een aflopende overeenkomst niet ongemerkt stilzwijgend doorloopt
- Risico's vastleggen bij het contract zelf, met impact, kans en een eigenaar, zodat "subverwerker in een derde land" een geregistreerd risico is en geen losse aantekening
- Rechten per gebruiker, zodat alleen de mensen die erbij moeten kunnen deze documenten zien
Werk je met een juridisch team, dan is de pagina over contractbeheer voor juridische teams een goed startpunt. Ben je vooral vanuit inkoop bezig, kijk dan bij contractbeheer voor inkoop.
Hoeveel heb je er eigenlijk?
De meeste organisaties schatten dit te laag in. Elke SaaS-tool die iemand ooit heeft aangezet telt mee, en juist die vergeten afspraken verlengen zichzelf stilzwijgend.
Wil je een reële schatting maken, gebruik dan de contractchecklist die we op de pagina over de ROI-berekening hebben staan. Die loopt elf categorieën langs, van huurovereenkomsten tot verwerkersovereenkomsten, zodat je niet op je geheugen hoeft te vertrouwen.
Begin klein: zet eerst de verwerkersovereenkomsten van je tien belangrijkste leveranciers op een rij, met einddatum en opzegtermijn. Dat levert meestal binnen een uur al twee of drie verrassingen op.
De verwerkersovereenkomst hoort vaak bij een SaaS-contract. Waar je in dat hoofdcontract op let, lees je in de SaaS-overeenkomst: waar let je op?
Verder lezen
Wil je weten hoe een verwerkersovereenkomst zich verhoudt tot de rest van je contractadministratie, lees dan wat CLM software precies is. En onze eigen verwerkersovereenkomst kun je gewoon inzien op de pagina verwerkersovereenkomst, inclusief subverwerkers en beveiligingsmaatregelen.
Veelgestelde vragen
- Wanneer heb je een verwerkersovereenkomst nodig?
- Zodra een partij persoonsgegevens verwerkt in jouw opdracht, bijvoorbeeld je salarisadministratie, CRM-leverancier, hostingpartij of arbodienst. Bepaalt die partij zelf doel en middelen, zoals een accountant met een wettelijke controletaak, dan is het geen verwerker.
- Wat moet er volgens artikel 28 AVG in een verwerkersovereenkomst staan?
- Onderwerp, duur, aard en doel van de verwerking, de soorten persoonsgegevens en betrokkenen, en acht verplichtingen voor de verwerker: alleen op instructie, geheimhouding, beveiliging, subverwerkers, bijstand bij rechten en plichten, wissen of teruggeven, en audits.
- Wat gaat er het vaakst mis met verwerkersovereenkomsten?
- Een standaardversie van de leverancier met ruime subverwerkersclausule, geen overzicht van welke overeenkomsten er zijn, geen concrete verwijdertermijn, doorgifte buiten de EER die niet apart is geregeld, en een overeenkomst die na ondertekening nooit meer wordt bekeken.
