Verwerkersovereenkomst

• Voldoe aan de AVG door afspraken over de verwerking van persoonsgegevens juridisch vast te leggen.
• Bescherm je organisatie tegen risico's met duidelijke afspraken over beveiliging, verantwoordelijkheden en datalekken.
• Stel eenvoudig een overeenkomst op maat op voor leveranciers die persoonsgegevens voor je opslaan, verwerken of beheren.

Wat is een verwerkersovereenkomst?

In een verwerkersovereenkomst maken de verwerkersverantwoordelijke en de verwerker afspraken. Er staat in wat de verwerker wel en niet mag/moet doen met de persoonsgegevens die de verantwoordelijke aanlevert. Denk aan afspraken over onder meer het beveiligingsbeleid en het doel van de verwerking.

Wat houdt de privacywetgeving in?

De Algemene Verordening Gegevensbescherming (AVG) legt meer verantwoordelijkheden neer bij bedrijven die persoonsgegevens verwerken. Mensen van wie gegevens worden verwerkt, hebben meer rechten gekregen. Met de verwerkersovereenkomst voldoe je volledig aan de privacywetgeving, ofwel de Algemene Verordening Gegevensbescherming. Deze wet is in werking getreden op 25 mei 2018.

Heb je een Engelstalige verwerkersovereenkomst nodig?

Klik hier voor de Engelse versie.

Wie is verwerkersverantwoordelijke en wie de verwerker?

Bedrijven schakelen vaak andere bedrijven in om persoonsgegevens voor hen te verwerken. Bijvoorbeeld door de boekhouding uit te besteden. Of door gebruik te maken van een clouddienst die persoonsgegevens opslaat. Zo'n ander bedrijf heet een verwerker. De organisatie die de verwerker inschakelt, is de verantwoordelijke. Twijfel je? Maak dan gebruik van onze adviesgenerator. Dan krijg je antwoord op je vraag of je een verwerker of verantwoordelijke voor de verwerking bent.

Wat staat er in de verwerkersovereenkomst?

Zoals in elk contract staan ook in de verwerkersovereenkomst de rechten en plichten van de partijen omschreven. De volgende onderwerpen komen aan bod:

• het doel van de verwerking;
• de verplichtingen van de verwerker;
• de opslag van gegevens in andere landen (met vaak hun eigen wetten!);
• het commitment van beide partijen aan de Nederlandse wetgeving;
• het vaststellen van de eigendom van de gegevens;
• de afspraken over de beveiliging;
• de meldplicht in geval van datalekken (zie ook calamiteiten plan datalekken);
• de regels over het bewerken of verwijderen van gegevens op verzoek van de betrokken persoon;
• het uitvoeren van een risicoanalyse data protection impact assessment (DPIA);
• een disclaimer van verantwoordelijkheden;
• geheimhoudingsverklaringen;
• de duur van het contract, verlenging en opzegging;
• eventuele wijzigingen en amendementen.

In welke situaties heb je een verwerkersovereenkomst nodig?

Hieronder staan veelvoorkomende situaties waarin organisaties een verwerkersovereenkomst afsluiten.

Je besteedt je salarisadministratie uit

Een extern salarisbureau verwerkt persoonsgegevens van medewerkers, zoals namen, adressen en salarisgegevens. Hiervoor is doorgaans een verwerkersovereenkomst nodig.

Je gebruikt een CRM-systeem

Bewaar je klantgegevens in een CRM-systeem zoals Salesforce, HubSpot of Microsoft Dynamics? Dan verwerkt de softwareleverancier persoonsgegevens namens jouw organisatie.

Je verstuurt nieuwsbrieven

Gebruik je een e-mailmarketingplatform voor nieuwsbriefabonnees? Dan worden persoonsgegevens verwerkt door een externe partij.

Je werkt met cloudopslag

Sla je documenten op via cloudopslagdiensten? Wanneer deze documenten persoonsgegevens bevatten, zijn afspraken over verwerking en beveiliging nodig.

Je schakelt een IT-beheerder in

Een externe IT-partij heeft mogelijk toegang tot klant- of personeelsgegevens tijdens onderhoud en supportwerkzaamheden.

Wanneer heb je géén verwerkersovereenkomst nodig?

Niet iedere samenwerking waarbij persoonsgegevens worden verwerkt vereist een verwerkersovereenkomst. Een verwerkersovereenkomst is alleen verplicht wanneer een organisatie persoonsgegevens verwerkt namens een andere organisatie. In de onderstaande situaties is een verwerkersovereenkomst meestal niet nodig.

Je deelt persoonsgegevens met een zelfstandige verwerkingsverantwoordelijke

Sommige organisaties verwerken persoonsgegevens voor hun eigen doeleinden en bepalen zelf hoe zij dat doen. Zij zijn dan geen verwerker, maar een zelfstandige verwerkingsverantwoordelijke. Denk bijvoorbeeld aan een:

• accountant;
• advocaat;
• notaris;
• verzekeraar;
• arbodienst. Omdat deze organisaties zelf bepalen waarom en hoe zij persoonsgegevens verwerken, is een verwerkersovereenkomst meestal niet nodig.

Er is sprake van gezamenlijke verwerkingsverantwoordelijkheid

Soms bepalen twee organisaties samen waarom en hoe persoonsgegevens worden verwerkt. In dat geval kan sprake zijn van gezamenlijke verwerkingsverantwoordelijkheid. Voorbeeld:

• twee organisaties beheren gezamenlijk een klantenportaal;
• twee bedrijven organiseren samen een evenement en beheren gezamenlijk de deelnemersgegevens. In deze situaties wordt vaak geen verwerkersovereenkomst gesloten, maar een regeling voor gezamenlijke verwerkingsverantwoordelijken.

Er worden geen persoonsgegevens verwerkt

De AVG is alleen van toepassing op persoonsgegevens van natuurlijke personen. Wanneer uitsluitend bedrijfsgegevens worden verwerkt, zoals:

• een algemeen bedrijfsadres;
• een KvK-nummer;
• bedrijfsinformatie zonder koppeling aan een persoon;
• is een verwerkersovereenkomst meestal niet nodig.

Twijfel je of je een verwerkersovereenkomst nodig hebt?

Het onderscheid tussen een verwerker en een verwerkingsverantwoordelijke is niet altijd duidelijk. Twijfel je over jouw situatie? Controleer dan eerst welke rol iedere partij heeft bij de verwerking van persoonsgegevens. Pas daarna kun je bepalen of een verwerkersovereenkomst verplicht is.

Wanneer heb je een verwerkersovereenkomst nodig?

Je hebt meestal een verwerkersovereenkomst nodig wanneer een externe partij namens jouw organisatie persoonsgegevens verwerkt. Denk bijvoorbeeld aan:

• salarisadministratie;
• cloudopslag;
• CRM-software;
• nieuwsbriefsoftware;
• IT-beheer;
• hostingdiensten.

Wanneer heb je géén verwerkersovereenkomst nodig?

Een verwerkersovereenkomst is meestal niet nodig wanneer:

• een organisatie zelf verwerkingsverantwoordelijke is;
• sprake is van gezamenlijke verwerkingsverantwoordelijkheid;
• er geen persoonsgegevens worden verwerkt.

Veelgestelde vragen over de verwerkersovereenkomst

Is een verwerkersovereenkomst verplicht volgens de AVG?

Ja. De AVG verplicht organisaties om een verwerkersovereenkomst te sluiten wanneer een externe partij persoonsgegevens verwerkt namens de organisatie. In de overeenkomst leg je onder meer afspraken vast over beveiliging, geheimhouding, datalekken en de verwerking van persoonsgegevens.

Wie moet de verwerkersovereenkomst opstellen?

De verwerkingsverantwoordelijke en de verwerker zijn samen verantwoordelijk voor het vastleggen van de afspraken. In de praktijk levert één van beide partijen vaak een concept aan dat vervolgens wordt gecontroleerd en ondertekend door beide organisaties.

Met welke partijen moet ik een verwerkersovereenkomst sluiten?

Je sluit een verwerkersovereenkomst met partijen die persoonsgegevens namens jou verwerken, zoals:

• boekhoudkantoren;
• salarisverwerkers;
• cloudopslagdiensten;
• CRM-leveranciers;
• e-mailmarketingplatformen;
• IT-beheerders.

Heb ik een verwerkersovereenkomst nodig voor Microsoft 365, Google Workspace of andere cloudsoftware?

Ja, wanneer je via deze diensten persoonsgegevens opslaat of verwerkt, is doorgaans sprake van een verwerking door een externe leverancier. Controleer daarom altijd welke privacy- en verwerkersafspraken van toepassing zijn.

Kan ik dezelfde overeenkomst gebruiken voor meerdere leveranciers?

Nee. Een verwerkersovereenkomst wordt gesloten tussen jouw organisatie en één specifieke verwerker. De afspraken moeten aansluiten op de werkzaamheden van die partij.

Wat is het verschil tussen een verwerker en een verantwoordelijke?

De verantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. De verwerker verwerkt deze gegevens uitsluitend in opdracht van de verantwoordelijke.

Wat gebeurt er als ik geen verwerkersovereenkomst heb?

Wanneer een verwerkersovereenkomst verplicht is maar ontbreekt, voldoet jouw organisatie mogelijk niet volledig aan de AVG-verplichtingen. Dit kan leiden tot juridische en compliance-risico's.