Verplicht, maar vaak onderschat
Organisaties besteden bij de naleving van de Algemene Verordening Gegevensbescherming (AVG) vaak veel aandacht aan privacyverklaringen en datalekken. De verwerkersovereenkomst blijft daarbij geregeld onderbelicht, terwijl dit document een centrale rol speelt bij uitbestede gegevensverwerkingen. In de praktijk zien wij dat verwerkersovereenkomsten ontbreken, verouderd zijn of onvoldoende aansluiten bij de feitelijke verwerking.
In dit artikel lichten wij toe wanneer een verwerkersovereenkomst verplicht is, wat daarin moet worden geregeld en waar in de praktijk de grootste risico’s liggen.
1. Wanneer is een verwerkersovereenkomst verplicht?
Een verwerkersovereenkomst is verplicht wanneer een organisatie (de verwerkingsverantwoordelijke) persoonsgegevens laat verwerken door een derde (de verwerker), zonder dat die derde zelf het doel en de middelen van de verwerking bepaalt (artikel 28 AVG).
Veelvoorkomende voorbeelden zijn:
- IT‑dienstverleners en cloudproviders.
- Salarisadministrateurs.
- CRM‑ en marketingsoftwareleveranciers.
- Hosting‑ en back‑updiensten.
Van belang is dat niet de contractuele benaming doorslaggevend is, maar de feitelijke rolverdeling. Dat een partij zichzelf “verwerker” noemt, betekent niet automatisch dat dit ook juridisch juist is.
2. Verwerker, verwerkingsverantwoordelijke of gezamenlijk verantwoordelijk?
In de praktijk ontstaat regelmatig verwarring over de kwalificatie van partijen. Dat kan verstrekkende gevolgen hebben.
- Verwerker: handelt uitsluitend in opdracht van de verwerkingsverantwoordelijke.
- Verwerkingsverantwoordelijke: bepaalt zelf het doel en de middelen van de verwerking.
- Gezamenlijke verwerkingsverantwoordelijkheid: partijen bepalen gezamenlijk het doel en de middelen (artikel 26 AVG).
Een verwerkersovereenkomst is alleen geschikt bij een echte verwerkersrelatie.
Bij gezamenlijke verantwoordelijkheid moeten de betrokken partijen onderling een duidelijke regeling treffen waarin hun respectieve verantwoordelijkheden worden vastgelegd. Dit is verplicht volgens artikel 26 AVG en moet transparant maken wie welke taken uitvoert, bijvoorbeeld bij het afhandelen van verzoeken van betrokkenen of het melden van datalekken. De regeling dient bovendien voor de betrokkenen toegankelijk te zijn, zodat zij weten tot wie zij zich kunnen wenden met vragen of verzoeken.
Een onjuiste kwalificatie kan leiden tot ongeldige afspraken en handhavingsrisico’s.
3. Wat moet minimaal in een verwerkersovereenkomst staan?
De AVG schrijft voor welke onderwerpen verplicht moeten worden vastgelegd. Een verwerkersovereenkomst moet onder meer bepalingen bevatten over:
- het onderwerp en de duur van de verwerking;
- de aard en het doel van de verwerking;
- het type persoonsgegevens en categorieën betrokkenen;
- de verplichting voor de verwerker om uitsluitend op schriftelijke instructie te handelen;
- passende technische en organisatorische beveiligingsmaatregelen;
- inschakeling van subverwerkers;
- ondersteuning bij verzoeken van betrokkenen;
- medewerking bij datalekken en toezichthoudend onderzoek;
- verwijdering of teruggave van gegevens na afloop van de dienstverlening.
Standaardtemplates voldoen hier lang niet altijd aan, zeker niet als de verwerking complex of sectorspecifiek is.
4. Subverwerkers: vaak vergeten, maar cruciaal
Veel verwerkers schakelen op hun beurt andere partijen in, zoals hostingproviders of supportdiensten. De AVG stelt hier duidelijke eisen aan:
- subverwerkers mogen alleen worden ingeschakeld met toestemming van de verwerkingsverantwoordelijke;
- dezelfde privacyverplichtingen moeten worden opgelegd;
- de verwerkingsverantwoordelijke moet inzicht hebben in de keten.
In de praktijk zien wij dat subverwerkerslijsten niet worden bijgehouden of dat wijzigingen niet worden gecommuniceerd, met alle risico’s van dien.
5. Aansprakelijkheid en boetes: wie draait ervoor op?
Een veelgehoorde misvatting is dat aansprakelijkheid automatisch bij de verwerker ligt. Dat is onjuist. Onder de AVG kunnen zowel verwerkingsverantwoordelijke als verwerker aansprakelijk worden gesteld door betrokkenen of de Autoriteit Persoonsgegevens.
Daarom is het van belang om contractueel duidelijke afspraken te maken over:
- aansprakelijkheidsverdeling;
- vrijwaringen;
- beperking of uitsluiting van indirecte schade (voor zover toegestaan).
Zeker gezien de hoogte van mogelijke boetes en schadeclaims is dit geen formaliteit.
6. Verouderde verwerkersovereenkomsten: een onderschat risico
Veel organisaties werken nog met verwerkersovereenkomsten die jaren geleden zijn opgesteld en niet zijn aangepast aan:
- gewijzigde verwerkingen;
- nieuwe wetgeving of jurisprudentie;
- gewijzigde IT‑inrichting;
- internationale doorgifte van gegevens.
Een verwerkersovereenkomst is geen eenmalig document, maar vergt periodieke herbeoordeling.
7. Tot slot
De verwerkersovereenkomst is een essentieel onderdeel van AVG‑compliance. Een ontbrekende of gebrekkige overeenkomst kan leiden tot handhaving, aansprakelijkheid en reputatieschade. Tegelijkertijd biedt een goed ingerichte verwerkersovereenkomst duidelijkheid, risicobeheersing en houvast bij incidenten.
Kortom: de verwerkersovereenkomst is geen administratieve bijlage, maar een juridisch kernstuk dat structurele aandacht verdient.
Heeft u vragen over verwerkersovereenkomsten of wilt u bestaande afspraken laten toetsen? Wij denken graag met u mee en bieden praktisch en juridisch onderbouwd advies.