Verwerkersovereenkomst: wanneer je die nodig hebt en wat erin moet

🇳🇱 Dit artikel is geschreven op Nederlands recht. De genoemde wetsartikelen en termijnen gelden zo niet in jouw land; de contractmodellen maken we voor jou wél naar het recht dat bovenaan staat ingesteld.

Je stapt over naar een nieuw boekhoudpakket in de cloud. Handig: de leverancier bewaart al je klantgegevens, stuurt facturen en houdt betalingen bij. Of je huurt een marketingbureau in dat namens jou e-mails verstuurt naar je klantenbestand. In beide gevallen geef je persoonsgegevens uit handen aan een ander bedrijf. En precies daar begint een verplichting die veel ondernemers over het hoofd zien: de verwerkersovereenkomst.

Wat regelt de AVG hier?

De Algemene verordening gegevensbescherming (AVG) bepaalt hoe je met persoonsgegevens moet omgaan. Persoonsgegevens zijn alle gegevens die te herleiden zijn tot een persoon: namen, e-mailadressen, telefoonnummers, klantnummers, IP-adressen, noem maar op. Zodra jij zulke gegevens verwerkt, gelden er regels.

Vaak doe je dat niet allemaal zelf. Je maakt gebruik van externe partijen: een clouddienst, een softwareleverancier, een salarisadministratiekantoor, een mailtool. Zo'n partij die in jouw opdracht persoonsgegevens verwerkt, heet een verwerker. Jij blijft de verwerkingsverantwoordelijke: jij bepaalt waarom en hoe de gegevens worden gebruikt.

Artikel 28 van de AVG schrijft voor dat je met zo'n verwerker schriftelijke afspraken maakt. Dat gebeurt in een verwerkersovereenkomst. Zonder die overeenkomst mag de verwerker eigenlijk niet met jouw gegevens aan de slag, en overtreed je de regels.

Wanneer heb je er een nodig?

De vuistregel is simpel: schakel je een ander bedrijf in dat namens jou persoonsgegevens verwerkt, dan heb je een verwerkersovereenkomst nodig. Denk aan:

• een online boekhoud- of facturatiepakket;
• een clouddienst waar je klant- of personeelsgegevens opslaat;
• een extern administratie- of salariskantoor;
• een e-mailmarketingtool of CRM-systeem;
• een IT-leverancier die je systemen beheert.

Let op het verschil met partijen die zelf bepalen wat ze met gegevens doen. Je accountant die op eigen verantwoordelijkheid jaarstukken opstelt, of een andere ondernemer met wie je gegevens deelt voor een gezamenlijk doel, is meestal geen verwerker. Dan gelden andere afspraken. Twijfel je? Kijk wie bepaalt waarom de gegevens worden gebruikt: doet de ander dat in jouw opdracht, dan is het een verwerker.

Wat moet erin staan?

Artikel 28 stelt eisen aan de inhoud. Een goede verwerkersovereenkomst legt in elk geval vast:

• Onderwerp en duur van de verwerking: welke gegevens, waarvoor en hoe lang.
• Doel en aard van de verwerking en om welke categorieën personen het gaat.
• Dat de verwerker alleen op jouw instructie handelt en niet zelf iets anders met de gegevens doet.
• Beveiligingsmaatregelen die de verwerker treft om de gegevens te beschermen.
• Afspraken over het inschakelen van subverwerkers: mag dat, en onder welke voorwaarden.
• Hulp bij verzoeken van betrokkenen (bijvoorbeeld iemand die zijn gegevens wil inzien of laten verwijderen).
• Melding van datalekken aan jou, zodat jij op tijd kunt handelen.
• Wat er na afloop met de gegevens gebeurt: teruggeven of verwijderen.

De meeste grote leveranciers hebben zelf een standaard verwerkersovereenkomst die je kunt ondertekenen of online accepteren. Dat is prima, maar lees hem wel door. Je blijft namelijk als verantwoordelijke aanspreekbaar als er iets misgaat met de gegevens van jouw klanten of personeel.

Waar let je op

• Maak een overzicht van je leveranciers. Zet op een rij welke externe partijen persoonsgegevens voor je verwerken. Voor elk van hen check je of er een verwerkersovereenkomst is.
• Regel het vóóraf, niet achteraf. Teken de overeenkomst voordat de leverancier met de gegevens begint. Voeg het toe aan je standaard onboarding van nieuwe leveranciers.
• Lees de standaardovereenkomst kritisch. Kijk vooral naar de beveiligingsafspraken, de melding van datalekken en wat er met subverwerkers gebeurt. Sluiten die aan bij wat jij je klanten belooft?

Dit artikel is algemene informatie, geen juridisch advies. Twijfel je over jouw situatie? Scan je contract gratis — en als het advies moet worden, tekent er een jurist.