Je leverancier werkt met jouw gegevens: een verwerkersovereenkomst opstellen
Je hostingpartij, je salarisverwerker en je software draaien op de gegevens van jouw klanten en personeel. Maar wat heb je met die leveranciers eigenlijk afgesproken? Wij zetten het op papier, zodat je weet wie wat doet als het misgaat.
Je besteedt het werk uit, niet de verantwoordelijkheid
Je webshop draait bij een hostingpartij. De salarisadministratie gaat naar een extern bureau, je klantenbestand staat in een CRM in de cloud en de nieuwsbrief gaat via een marketingtool. Allemaal leveranciers die met persoonsgegevens werken die jij ze toevertrouwt. Tot er bij een van hen iets misgaat.
Dan blijkt wat je hebt afgesproken. De AVG eist dat je die afspraken vastlegt in een verwerkersovereenkomst (het contract tussen jou en de partij die gegevens in jouw opdracht verwerkt). Een verwerkersovereenkomst opstellen is dus geen formaliteit om af te vinken, maar het moment waarop je regelt wie wat doet bij een datalek, wie er nog meer bij de gegevens kan en wat er gebeurt als je afscheid neemt van de leverancier. Wie de overeenkomst ook heeft opgesteld, jij blijft verantwoordelijk voor de verwerking.
Ons eerste werk is daarom niet het contract, maar het overzicht. Welke leveranciers werken met welke gegevens? Welke daarvan zijn verwerker, en welke niet? Wat is er al getekend, en waar ontbreekt het? Daarna weet je waar je staat en met welke leverancier je begint.
Wat wij doen bij een verwerkersovereenkomst
De vragen die we krijgen lijken op elkaar. Mijn leverancier stuurt zijn eigen model, moet ik dat tekenen? Heb ik er met iedere leverancier een nodig? En wat als mijn softwarepartij de gegevens in Amerika opslaat? Wij geven daar een helder antwoord op. Daarna stellen we de overeenkomst op, of we lezen het model van je leverancier na en zeggen je eerlijk wat je kunt laten staan en waar je moet onderhandelen.
Waar we je bij helpen
Nog geen verwerkersovereenkomst met je hostingpartij, softwareleverancier of salarisadministratie
Het standaardmodel van je leverancier: wat erin staat en wat eraan ontbreekt
De rollen bepalen: is je dienstverlener verwerker, of zelf verantwoordelijk
Subverwerkers en opslag buiten Europa: grip op de hele keten
Een datalek bij je leverancier: wie meldt wat, aan wie en hoe snel
Eerst de rollen, dan het contract
Niet elke leverancier is een verwerker. Een verwerker verwerkt gegevens alleen in jouw opdracht en voor jouw doelen, zoals een boekhouder aan wie je de administratie uitbesteedt of een clouddienst die je gegevens opslaat. Bepaalt een partij zelf waarvoor en hoe zij de gegevens gebruikt, dan is zij zelf verantwoordelijk. Voor die partij hoeft er geen verwerkersovereenkomst te komen. Wat er op papier staat, beslist dat niet: de toezichthouder kijkt naar wat er feitelijk gebeurt.
Is de rol helder, dan kies je de route. Stel je zelf een model op, of werk je met dat van de leverancier? Allebei kan. Grote softwarepartijen leggen vaak hun eigen tekst neer en onderhandelen weinig; dan zit de winst in de bijlagen, zoals de beveiligingsmaatregelen en de lijst met subverwerkers. Bij een kleinere leverancier ligt je eigen model meestal beter. Regel het in elk geval vóórdat de hoofdovereenkomst getekend is. Daarna is je onderhandelingsruimte kleiner.
Wil je weten waar je staat met je leveranciers? Neem contact op met onze privacyadvocaat Esmée voor een vrijblijvend gesprek. Wat we verder doen rond de AVG, staat op onze pagina over privacyrecht.
Wat erin moet, en wat erin hoort
De AVG schrijft een vaste kern voor (art. 28 lid 3 AVG). Daarin staan onder meer het onderwerp, de duur en het doel van de verwerking, welke gegevens het betreft en van wie. De verwerker werkt alleen op jouw schriftelijke instructies, zorgt voor geheimhouding en passende beveiliging, helpt je bij verzoeken van betrokkenen en bij datalekken, wist of retourneert de gegevens na afloop en werkt mee aan audits. Schriftelijk is verplicht, elektronisch mag ook (art. 28 lid 9 AVG).
Maar een overeenkomst die alleen de wet herhaalt, helpt je niet als het misgaat. De Autoriteit Persoonsgegevens onderzocht in 2025 de rol van de verwerkersovereenkomst bij grote cyberaanvallen op dienstverleners. Ontbrekende of onduidelijke afspraken zorgden ervoor dat klanten niet op tijd of onvolledig werden geïnformeerd. Wij maken de afspraken daarom concreet: wie het aanspreekpunt is bij een datalek, hoe je leverancier je bereikt, wanneer en met welke informatie. Jij moet een datalek in beginsel binnen 72 uur nadat je ervan weet bij de toezichthouder melden (art. 33 lid 1 AVG). De wet zegt alleen dat je leverancier je zonder onredelijke vertraging inlicht (art. 33 lid 2 AVG). Hoe snel dat is, spreek je dus beter zelf af.
De hele keten, ook buiten Europa
Je leverancier werkt zelden alleen. Achter de softwarepartij zit een hostingbedrijf, en daarachter soms weer een ander. Zo’n subverwerker mag alleen met jouw voorafgaande schriftelijke toestemming worden ingeschakeld. Bij een algemene toestemming moet je leverancier je vooraf inlichten over wijzigingen, zodat je bezwaar kunt maken (art. 28 lid 2 AVG). Wij regelen dat met een lijst in de bijlage en een termijn om bezwaar te maken. Schiet een subverwerker tekort, dan blijft je leverancier tegenover jou volledig aansprakelijk (art. 28 lid 4 AVG).
Staan de gegevens buiten de Europese Economische Ruimte, dan komt er een laag bij. Doorgifte naar zo’n land mag alleen als de Europese Commissie het beschermingsniveau daar passend vindt, of met passende waarborgen, zoals de standaardbepalingen van de Commissie (art. 45 en 46 AVG). Wij vragen na waar de gegevens echt staan, niet alleen waar het contract zegt dat ze staan. En we leggen vast wat er gebeurt als dat verandert.
Actief in Groningen, Drenthe en Friesland
Een webwinkel in Groningen die zijn hosting en betaaldienst wil regelen, een fysiotherapiepraktijk in Drenthe die overstapt op een nieuw patiëntensysteem, een installatiebedrijf in Friesland dat de salarisadministratie uitbesteedt. Andere leveranciers, dezelfde vraag: wie doet wat met de gegevens, en wat als het misgaat? We kennen de ondernemers in de regio en schrijven afspraken die passen bij een MKB-bedrijf, niet bij een multinational. Gaat het niet om de persoonsgegevens maar om het contract met je softwareleverancier zelf, zoals een SaaS-overeenkomst of een IT-project dat vastloopt? Kijk dan bij IT-recht.
Veelgestelde vragen over de verwerkersovereenkomst
Wie moet de verwerkersovereenkomst opstellen, ik of mijn leverancier?
Dat mag allebei. In de praktijk neemt meestal de partij het initiatief die het werk uitbesteedt, dus jij. Maar veel leveranciers hebben een eigen model klaarliggen, en dat is geen probleem zolang het voldoet aan de AVG en past bij jouw situatie. Let op: ook als de leverancier de tekst heeft geschreven, blijf jij verantwoordelijk voor de verwerking. Lees zo’n model dus kritisch voordat je tekent. Ben jij juist de leverancier die een overeenkomst van zijn klant krijgt? Lees dan onze blog over de verwerkersovereenkomst als leverancier.
Heb ik met elke leverancier een verwerkersovereenkomst nodig?
Nee, alleen met leveranciers die als verwerker persoonsgegevens in jouw opdracht verwerken. Denk aan hosting, cloudopslag, een CRM, een boekhoud- of salarispakket of een extern administratiekantoor. Een partij die de gegevens voor eigen doelen gebruikt, is zelf verantwoordelijk. De Autoriteit Persoonsgegevens noemt als voorbeeld de logistieke dienstverlener die pakketten bezorgt: die is geen verwerker. Twijfel je over een leverancier, kijk dan naar wat hij feitelijk met de gegevens doet. Dat bepaalt de rol, niet de naam die jullie er in het contract aan geven. Wij maken die inventarisatie graag met je.
Mag ik een voorbeeld van internet of het model van de Europese Commissie gebruiken?
Ja, maar vul het in voor jouw situatie. De Europese Commissie heeft standaardbepalingen vastgesteld die voldoen aan de eisen van de AVG voor een verwerkersovereenkomst (Uitvoeringsbesluit (EU) 2021/915). Ook brancheverenigingen hebben vaak een model. Dat is een goed vertrekpunt. Het werk zit in de bijlagen: welke gegevens, welke beveiligingsmaatregelen, welke subverwerkers en welke afspraken bij een datalek. Een model met lege bijlagen voldoet op papier, maar helpt je niet als er iets gebeurt. Wij vullen het model in of lezen jouw versie na.
Wat gebeurt er als ik geen verwerkersovereenkomst heb?
Dan zijn jij en je leverancier allebei in overtreding. De AVG verplicht beide partijen om de verwerking in een overeenkomst te regelen. De toezichthouder kan daarvoor een boete opleggen; het wettelijk maximum voor deze categorie is 10 miljoen euro of 2 procent van de wereldwijde jaaromzet als dat hoger is (art. 83 lid 4 AVG). Het grotere risico zit vaak in de praktijk: bij een datalek weet niemand wie wat moet doen. Heb je het nog niet geregeld, begin dan bij de leveranciers met de meest gevoelige gegevens.
Mijn software slaat gegevens op in de Verenigde Staten. Wat moet ik extra regelen?
Dan gaat het om doorgifte buiten de Europese Economische Ruimte, en daarvoor gelden eigen regels. Doorgifte mag als de Europese Commissie heeft besloten dat het land een passend beschermingsniveau biedt, of met passende waarborgen zoals de standaardbepalingen van de Commissie (art. 45 en 46 AVG). Op welke grond jouw leverancier de gegevens naar de Verenigde Staten brengt, verschilt per leverancier. Vraag dat na en laat het vastleggen in de verwerkersovereenkomst. Wij kijken mee of de onderbouwing van je leverancier klopt.
Bekijk ook:
Heb je een ander vraagstuk?
Merkenkwestie, auteursrechtelijk issue of privacyvraag? Of een snelle check op een contract? Mail of bel gerust.
Onze werkwijze
Vooraf maken we heldere afspraken over de aanpak en de kosten. Geen uurtje-factuurtje zonder duidelijkheid. Je weet waar je aan toe bent. Transparant, betrokken en doelgericht.
Begin
Tijdens
Expert in 
