Wat de AVG vraagt
Artikel 28 lid 2 AVG is kort: de verwerker neemt geen andere verwerker in dienst zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Bij algemene toestemming moet de verwerker u vooraf inlichten over toevoegingen en vervangingen, zodat u bezwaar kunt maken.
Artikel 28 lid 4 voegt twee dingen toe. De subverwerker krijgt dezelfde verplichtingen als de verwerker, bij overeenkomst. En als de subverwerker tekortschiet, blijft de verwerker tegenover u volledig aansprakelijk.
Specifieke of algemene toestemming?
| Specifieke toestemming | Algemene toestemming | |
|---|---|---|
| Hoe | U stemt per subverwerker in, vooraf | U stemt in één keer in; de verwerker meldt wijzigingen vooraf |
| Grip | Groot: zonder uw ja geen nieuwe partij | Afhankelijk van de meldtermijn en uw recht op bezwaar |
| Werklast | Hoger, zeker bij clouddiensten | Lager, mits de meldingen ook gelezen worden |
| Past bij | Verwerkingen met gevoelige gegevens, zoals jeugdzorg, schuldhulp of zorgdossiers | Standaard SaaS met veel infrastructuurleveranciers |
Algemene toestemming is niet verkeerd, maar alleen goed met drie afspraken erbij: hoe de melding komt (naar welke mailbox, niet alleen een wijziging op een webpagina), hoe lang u de tijd hebt om bezwaar te maken, en wat er gebeurt als u bezwaar maakt. Kunt u dan kosteloos opzeggen, of verandert er niets? De EDPB wijst er in de richtsnoeren 07/2020 op dat het recht op bezwaar betekenis moet hebben.
De subverwerkerslijst: vier kolommen
De AP vraagt in de aanbevelingen van november 2025 dat organisaties weten welke subverwerkers er zijn, waar zij zitten en wat zij doen. Een bruikbare lijst heeft minimaal:
- Naam van de rechtspersoon, niet alleen een merknaam.
- Land van vestiging en land van verwerking, inclusief toegang op afstand.
- Dienst en verwerking: hosting, back-up, e-mail, support, betaalverkeer.
- Doorgifte-instrument als het land buiten de EER ligt, zoals een adequaatheidsbesluit of standaardcontractbepalingen.
Voorbeeld: "Subverwerkers: zie www.leverancier.nl/subverwerkers" is een verwijzing naar een lijst die de leverancier zonder u kan wijzigen. Neem de lijst op als bijlage, met datum, en spreek af dat wijzigingen via de afgesproken meldprocedure lopen.
Doorgeven van de verplichtingen
Artikel 28 lid 4 vraagt dat de subverwerker "dezelfde verplichtingen inzake gegevensbescherming" krijgt. Controleer dus of de overeenkomst dat uitdrukkelijk regelt, en of het ook geldt voor de meldtermijn bij datalekken. Een verwerker die u binnen 24 uur moet informeren, heeft daar weinig aan als zijn hostingpartij hem pas na 72 uur inlicht. Over die termijnen gaat ons artikel over de meldtermijn.
Voor gemeenten en corporaties
De Standaard Verwerkersovereenkomst Gemeenten van de IBD heeft een vaste bijlage voor subverwerkers. Het sjabloon in de AVG Routeplanner van Aedes vraagt hetzelfde per subverwerker. Een lege bijlage in een verder correcte standaard is precies wat de AP bedoelt met een overeenkomst die "op papier" klopt.
Bij samenwerkingsverbanden (een regionale uitvoeringsdienst, een gezamenlijk klantcontactcentrum, een ICT-samenwerking van corporaties) loopt de keten nog een schakel verder. Maak dan ook duidelijk wie verwerker is en wie niet: zie verwerker, verwerkingsverantwoordelijke of gezamenlijk?
Wat Datavoogd hiermee doet
Datavoogd heeft aparte toetsregels voor subverwerkers: de toestemming volgens artikel 28 lid 2, het doorgeven van verplichtingen volgens lid 4, en uit de AP-aanbevelingen de lijst, de wijzigingsprocedure en de doorgifte buiten de EER. Per regel signaleert Datavoogd wat ontbreekt of vaag is, met een citaat uit het document. De demo laat het zien op een synthetische verwerkersovereenkomst van Gemeente Voorbeeldstad.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 28 lid 2, 3 onder d en lid 4.
- Autoriteit Persoonsgegevens, aanbevelingen voor de verwerkersovereenkomst, november 2025 (aanbeveling 2: grip op de leveranciersketen).
- EDPB, Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG, versie 2.0 (2021), deel 2 over subverwerkers.
- IBD/VNG, Standaard Verwerkersovereenkomst Gemeenten versie 2.54 (2026); Aedes, AVG Routeplanner, sjabloon verwerkersovereenkomst versie 1.3 (2023).
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.