De verwerkersovereenkomst: met wie wel, met wie niet — en hoe u het overzicht houdt
Zodra een dienstverlener persoonsgegevens voor u verwerkt, eist art. 28 AVG een contract — de verwerkersovereenkomst. Zonder dat contract is de doorgifte zelf al de overtreding, hoe zorgvuldig de dienstverlener ook werkt. Het goede nieuws: bij bijna elke aanbieder is de overeenkomst drie klikken verderop. Het slechte: in bijna elk bedrijf weet niemand waar die klikken al zijn gezet en waar niet.
Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op
De grondregel: verwerking in opdracht vraagt een contract
Een verwerker is wie persoonsgegevens in uw opdracht en volgens uw instructies verwerkt: de cloudopslag met uw klantbestanden, de nieuwsbrieftool met uw adressenlijst, het salariskantoor, de hoster, de AI-tool in de zakelijke variant. Met elk van hen eist art. 28 een overeenkomst met vaste minimuminhoud: onderwerp en duur, aard van de gegevens, instructiegebondenheid, vertrouwelijkheid, subverwerkers, wissing na afloop, bijstandsplichten.
Geen verwerkersovereenkomst is nodig met partijen die op eigen verantwoordelijkheid werken: accountants en advocaten (eigen beroepsverantwoordelijkheid), banken, de post. Vuistregel: wie slechts het verlengstuk van uw gereedschap is, heeft het contract nodig — wie een eigen vakverantwoordelijkheid draagt, niet.
De praktijkroute: bij standaarddiensten ligt de overeenkomst klaar
Zelf opstellen hoeft u vrijwel nooit. Microsoft, Google, Mailchimp, OpenAI en de rest houden kant-en-klare overeenkomsten aan — als „Data Processing Agreement/Addendum” in het klantaccount of automatisch als deel van de zakelijke voorwaarden. Uw taak is niet onderhandelen maar toetsen en documenteren: bestaat er voor elk tool met persoonsgegevens een verwerkersovereenkomst — en kunt u dat op verzoek laten zien?
Het typische gat: het gratis account
Persoonlijke en gratis versies van veel diensten sluiten geen verwerkersovereenkomst — die hoort bij de zakelijke variant. Precies daarom bestaat de regel „werkinhoud alleen in vrijgegeven tools”: het vrijgegeven tool is het tool mét contract. Een klantenlijst in een gratis privé-nieuwsbriefaccount is geen slordigheid — het is een doorgifte zonder grondslag.
Overzicht houden: één lijst, drie kolommen
De contractvraag is een registervraag. Per tool drie gegevens: persoonsgegevens ja/nee? overeenkomst aanwezig? doorgifte derde land? Staat er „persoonsgegevens: nee”, dan is de contractvraag zonder voorwerp; staat er „ja” en bij de overeenkomst „open”, dan hebt u uw takenlijst. Deze drie kolommen voeden tegelijk het verwerkingsregister en beantwoorden klantvragenlijsten — één inventarisatie, meerdere bewijzen.
Wat er achter de overeenkomst zit
Twee eerlijke toevoegingen. Ten eerste: de verwerkersovereenkomst heelt geen doorgifte naar een derde land — zit de aanbieder in de VS, dan is daarnaast een doorgiftegrondslag nodig (art. 44 e.v.). Ten tweede: het contract bindt de dienstverlener, maar ontslaat u niet van de keuzeplicht — u blijft verwerkingsverantwoordelijke en kiest verwerkers die „afdoende garanties” bieden (art. 28 lid 1).
Het startpunt
In het KlarComply-abonnement (vanaf € 49/maand) draagt uw toolregister precies deze drie privacygegevens per tool — zichtbaar in het bewijsdossier, printbaar voor de toezichthouder. Waar u staat, toont de gratis check van 2 minuten.
Veelgestelde vragen
Met welke dienstverleners heb ik een verwerkersovereenkomst nodig?
Met iedereen die persoonsgegevens in uw opdracht verwerkt: cloudopslag, nieuwsbriefdienst, hoster, salariskantoor, AI-tools in de zakelijke variant. Niet met partijen met eigen beroepsverantwoordelijkheid, zoals accountants, advocaten of banken.
Moet ik de verwerkersovereenkomst zelf opstellen?
Vrijwel nooit. Gevestigde aanbieders houden kant-en-klare overeenkomsten aan, meestal in het klantaccount of als deel van de zakelijke voorwaarden. Uw taak is toetsen en documenteren dat er voor elk tool met persoonsgegevens een bestaat.
Waar staat uw bedrijf?
De gratis quick-check loopt tien punten langs — AI-register, trainingsstand, transparantieplichten, verantwoordelijkheden. In twee minuten, zonder aanmelding, met een eerlijk resultaat en uw concrete hiaten.
Quick-check starten — gratis