Wanneer is een verwerkersovereenkomst vereist?

Zodra een partij namens een ander persoonsgegevens verwerkt; AVG artikel 28 maakt een schriftelijke overeenkomst voor die verantwoordelijke-verwerker-relatie verplicht.

Hoe snel moet een datalek tussen partijen worden gemeld?

De verwerker moet de verantwoordelijke zonder onredelijke vertraging informeren; veel verwerkersovereenkomsten leggen een harde termijn vast (vaak 24 tot 72 uur) zodat de verantwoordelijke zijn eigen meldplicht haalt.

Moet een verwerkersovereenkomst worden bijgewerkt als een nieuwe subverwerker wordt toegevoegd?

Ja. De verwerker moet de verantwoordelijke vooraf informeren en een redelijke bezwaartermijn bieden; het enkel bijwerken van een websitelijst zonder voorafgaande kennisgeving voldoet mogelijk niet.

Mag een verwerker gegevens buiten de EER doorgeven?

Alleen met een passende waarborg zoals Standaard Contractuele Bepalingen (SCC's), een adequaatheidsbesluit of Bindende Bedrijfsregels. De verwerkersovereenkomst moet het gebruikte doorgiftemechanisme specificeren.

Wat gebeurt er als een verwerker buiten de instructies van de verantwoordelijke handelt?

De verwerker kan voor die verwerking een zelfstandige verwerkingsverantwoordelijke worden en daarvoor volledige AVG-aansprakelijkheid dragen, inclusief mogelijke boetes en claims van betrokkenen.

Verwerkersovereenkomst

Regelt hoe een verwerker persoonsgegevens namens een verwerkingsverantwoordelijke verwerkt, zoals vereist door AVG artikel 28.

Wat het is

Een verwerkersbeding of verwerkersovereenkomst legt de verantwoordelijke-verwerker-afspraken vast die AVG artikel 28 vereist: onderwerp, duur, instructies, beveiligingsmaatregelen, subverwerking, melding van inbreuken en verwijdering. Zij is verplicht zodra een partij namens een ander persoonsgegevens verwerkt.

Waarom het belangrijk is

Zonder een conforme verwerkersovereenkomst schenden beide partijen de AVG en lopen zij boetes en aansprakelijkheid voor claims van betrokkenen. De clausule verdeelt beveiligingsplichten en de meldtermijn bij inbreuken, wat cruciaal is bij een datalek.

Hoe u het toepast

Documenteer aard, doel, duur en categorieën van gegevens en betrokkenen.
Vereis verwerking uitsluitend op gedocumenteerde instructie en passende beveiligingsmaatregelen.
Regel toestemming voor subverwerkers, meldtermijn bij inbreuken en auditrechten.
Regel internationale doorgiften met een passende waarborg (bijv. SCC's).

Voorbeeldtekst

De Verwerker verwerkt Persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, treft passende technische en organisatorische maatregelen en meldt elke inbreuk in verband met persoonsgegevens zonder onredelijke vertraging.

Onderhandelingstips

• Verantwoordelijken moeten snelle inbreukmelding (bijv. binnen 24 tot 48 uur) en auditrechten eisen.
• Verwerkers moeten goedgekeurde subverwerkers vooraf opnemen en een wijzigingsmeldingsmechanisme gebruiken.

Veelgemaakte fouten

• De verwerkersovereenkomst als optionele standaardtekst zien in plaats van een verplichte AVG-eis.
• Waarborgen voor internationale doorgifte negeren als de verwerker buiten de EER zit.

Juridische bronnen

GDPR Art. 28 AVG: verplichtingen verwerker EU-recht
Uitvoeringswet AVG

Tenzij anders aangegeven verwijzen de bronnen naar Nederlands recht (Burgerlijk Wetboek); EU-regelgeving zoals de AVG geldt in de hele EU. Dit is algemene informatie, geen juridisch advies. Andere rechtsstelsels behandelen deze begrippen anders. Controleer de actuele tekst en uw situatie met een gekwalificeerde jurist.

Veelgestelde vragen

Veelgestelde vragen over deze clausule.