Wanneer is een verwerkersovereenkomst nodig?
Zodra een andere partij persoonsgegevens verwerkt namens uw organisatie, en niet voor eigen doeleinden, is die partij verwerker en schrijft artikel 28 lid 3 AVG een overeenkomst of andere rechtshandeling voor. Denk aan de leverancier van een zaaksysteem, een hostingpartij, een printstraat of een partij die klanttevredenheidsonderzoek uitvoert. Bepaalt de andere partij zelf waarvoor en hoe zij de gegevens gebruikt, dan is zij geen verwerker en past een verwerkersovereenkomst niet. Daarover gaat ons artikel over de rolverdeling.
Deel 1: de omschrijving van de verwerking
De overeenkomst omschrijft volgens artikel 28 lid 3 vijf onderwerpen. Vink ze af:
- Onderwerp en duur van de verwerking. Concreet: de dienst bij naam en de looptijd, gekoppeld aan de hoofdovereenkomst.
- Aard en doel. Concreet: "registratie en afhandeling van meldingen woonoverlast", niet "ten behoeve van de dienstverlening".
- Soort persoonsgegevens. Concreet: een lijst, met aparte vermelding van bijzondere persoonsgegevens, strafrechtelijke gegevens en het BSN.
- Categorieën betrokkenen. Concreet: huurders, woningzoekenden, inwoners die melden, medewerkers.
- Rechten en verplichtingen van de verwerkingsverantwoordelijke.
Let op: de Autoriteit Persoonsgegevens schreef in november 2025 dat het herhalen van de wettekst niet genoeg is. Een bijlage die "nader in te vullen" zegt, telt niet als omschrijving. Zie wat de AP sinds november 2025 verwacht.
Deel 2: de acht verplichte afspraken (a tot en met h)
| Onderdeel | Wat de wet vraagt | Controlevraag |
|---|---|---|
| a | Verwerken alleen op schriftelijke instructie, ook voor doorgifte naar een derde land | Staat er waar de instructies liggen, en wat er gebeurt als een wettelijke plicht de verwerker iets anders oplegt? |
| b | Geheimhouding door iedereen die de gegevens verwerkt | Geldt de geheimhouding ook voor inhuur en subverwerkers? |
| c | Beveiligingsmaatregelen volgens artikel 32 | Zijn de maatregelen beschreven of verwijst de tekst alleen naar "passende maatregelen"? |
| d | Voorwaarden voor subverwerkers (lid 2 en 4) | Is er een lijst en een procedure voor wijzigingen? Zie subverwerkers. |
| e | Bijstand bij verzoeken van betrokkenen | Binnen welke termijn helpt de verwerker bij inzage, correctie of verwijdering? |
| f | Bijstand bij de artikelen 32 tot en met 36: beveiliging, datalekken, DPIA en voorafgaande raadpleging | Staat er een meldtermijn in uren en wat de melding bevat? Zie de meldtermijn. |
| g | Wissen of teruggeven na afloop, en kopieën verwijderen | Wie kiest, binnen welke termijn, en hoe wordt het vernietigen aangetoond? |
| h | Informatie om naleving aan te tonen, en audits en inspecties | Mag u zelf of een door u gekozen auditor controleren, en wie betaalt dat? |
Daarnaast moet de verwerker u volgens artikel 28 lid 3 direct inlichten als hij meent dat een instructie in strijd is met de privacywetgeving. En artikel 28 lid 1 vraagt dat u alleen zaken doet met een verwerker die afdoende garanties biedt. Dat is een plicht voor u, niet alleen een clausule in de overeenkomst.
Deel 3: wat niet in artikel 28 staat, maar wel thuishoort in de overeenkomst
- Doorgifte buiten de EER: waar staan de gegevens, wie heeft toegang op afstand en op welk doorgifte-instrument steunt dat? Zie Amerikaanse cloud en de AVG.
- Datum en herziening: wanneer is de overeenkomst voor het laatst bekeken en wanneer weer? De AP vraagt dat organisaties overeenkomsten bijhouden.
- Register: de verwerker houdt volgens artikel 30 lid 2 AVG een eigen register bij van de verwerkingen die hij voor u doet.
- Sectorregels: voor gemeenten de Standaard Verwerkersovereenkomst Gemeenten van de IBD; voor corporaties het sjabloon uit de AVG Routeplanner van Aedes; in de zorg de eisen uit het Besluit elektronische gegevensverwerking door zorgaanbieders (zie de verwerkersovereenkomst in de zorg).
Drie fouten die we het vaakst tegenkomen
- De lege bijlage. De overeenkomst zelf is netjes, maar de bijlage met gegevens, betrokkenen en subverwerkers is leeg of verwijst naar een offerte.
- "Zonder onredelijke vertraging". Dat is de wettekst van artikel 33 lid 2. Een afspraak wordt het pas met een termijn in uren, een contactpunt en een minimale inhoud van de melding.
- De overeenkomst van de leverancier. Een leverancier stuurt zijn eigen model mee, met een auditrecht dat alleen via een door de leverancier gekozen certificaat loopt en een aansprakelijkheid die bij de prijs van één maand stopt. Dat mag uitkomst van onderhandeling zijn, maar dan wel bewust.
Wat Datavoogd hiermee doet
Datavoogd toetst een verwerkersovereenkomst regel voor regel: dertien regels uit artikel 28, zestien uit de aanbevelingen van de AP, twee aanvullende AVG-regels en, voor gemeenten, de onderwerpen van de IBD-standaard. Per regel signaleert Datavoogd of de afspraak aanwezig, concreet en actueel is, met een letterlijk citaat uit uw document en de bron. Datavoogd signaleert; de functionaris gegevensbescherming beslist. U kunt het zien in het voorbeeldrapport.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 28 lid 1 tot en met 4, artikel 30 lid 2, artikel 32 en artikel 33 lid 2.
- Autoriteit Persoonsgegevens, aanbevelingen voor de verwerkersovereenkomst, november 2025.
- EDPB, Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG, versie 2.0 (2021).
- IBD/VNG, Standaard Verwerkersovereenkomst Gemeenten versie 2.54 (2026); Aedes, AVG Routeplanner, sjabloon verwerkersovereenkomst versie 1.3 (2023).
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.