Wanneer is een verwerkersovereenkomst verplicht, wat moet erin staan en met welke leveranciers sluit je er een? Met checklist voor je eigen bedrijf.
Een verwerkersovereenkomst sluit je met elke partij die persoonsgegevens voor jou verwerkt, zoals je hoster, je mailprovider, je boekhoudpakket of de bouwer die je website beheert. De AVG (artikel 28) verplicht dat. In de overeenkomst staat wat die partij met de gegevens mag doen en hoe ze die beveiligt.
Jij bent de ‘verwerkingsverantwoordelijke’: jij bepaalt waarom en hoe je klant- of personeelsgegevens gebruikt. De leverancier is de ‘verwerker’. Gaat er bij die leverancier iets mis, dan blijf jij verantwoordelijk. Met een goede overeenkomst weet je wat je van elkaar kunt verwachten. Dit is praktische uitleg, geen juridisch advies. Twijfel je over jouw situatie, kijk dan bij de officiële bron of vraag een jurist.
Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
Loop je systemen langs: mail en agenda, cloudopslag, website en hosting, webshop, boekhouding, CRM, nieuwsbriefdienst, salarisadministratie, telefonie, chat en AI-tools. Noteer per leverancier welke persoonsgegevens erin staan.
Verwerkt de partij de gegevens in jouw opdracht, dan is het een verwerker en heb je een overeenkomst nodig. Een accountant of advocaat die zelf beslist wat hij met de gegevens doet, is meestal zelf verantwoordelijk; dan is een verwerkersovereenkomst niet de juiste vorm.
Grote aanbieders zoals Microsoft, Google en de meeste boekhoudpakketten hebben een standaard verwerkersovereenkomst of ‘Data Processing Agreement’ (DPA) in hun voorwaarden. Download die en bewaar hem. Bij kleinere partijen vraag je erom.
Kijk of deze punten erin staan: welke gegevens en waarvoor, hoe lang, welke beveiliging, geheimhouding, of de verwerker andere partijen (subverwerkers) mag inschakelen, binnen welke tijd hij een datalek meldt, waar de gegevens staan (binnen of buiten de EU) en wat er gebeurt met de gegevens als je stopt.
Gaan gegevens naar een land buiten de Europese Economische Ruimte, dan moeten daar extra afspraken voor zijn. Bij grote Amerikaanse aanbieders staat dat meestal in de DPA. Kijk ook of je zelf kunt kiezen voor opslag in de EU.
Zet bij elke verwerking welke verwerker je gebruikt en waar de overeenkomst staat. Dan heb je bij een vraag van een klant of de toezichthouder alles bij de hand.
Neem je een nieuwe app, AI-dienst of koppeling in gebruik, kijk dan eerst of er een verwerkersovereenkomst is. Zonder overeenkomst geen klantgegevens in die tool.
Let op: Gebruik je een gratis consumentenversie van een dienst voor klantgegevens, dan is er vaak geen verwerkersovereenkomst mogelijk. Kies dan een zakelijke versie.
Veel bedrijven weten niet precies welke systemen klantgegevens bevatten. Daar beginnen we.
Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
Ja, als je persoonsgegevens laat verwerken door een leverancier. De AVG maakt geen uitzondering voor kleine bedrijven.
Ja, maar die zit bij zakelijke abonnementen al in de voorwaarden. Je hoeft er geen aparte te tekenen; bewaar wel de link of het document.
Dat kan allebei. Vaak gebruikt de leverancier zijn eigen standaard. Er bestaan ook modelovereenkomsten die je kunt gebruiken.
Dat kan. Bouw of beheer je systemen met klantgegevens van een ander bedrijf, dan ben jij voor hen de verwerker en vragen zij om een overeenkomst.
Ja. We maken samen een overzicht van je systemen, wie er beheerder is en waar de gegevens staan. Het juridische deel laat je door een jurist toetsen.
Hulp nodig van een mens? IT-consultancy · IT-beveiliging in jouw plaats · Hosting en onderhoud · Alle oplossingen
Website: IT Live