Gratis sjabloon Verwerkersovereenkomst
Een juridisch deugdelijke verwerkersovereenkomst conform artikel 28 AVG voor de verwerking van persoonsgegevens door een verwerker namens een verwerkingsverantwoordelijke. Leg beveiligingsmaatregelen, subverwerkers en instructiebevoegdheid vast en download direct als PDF.
KvK: 12345678 · Vertegenwoordigd door: dhr. P. Jansen, directeur · E-mail: privacy@jansenretail.nl · FG: fg@jansenretail.nl
KvK: 87654321 · Vertegenwoordigd door: mevr. L. van der Berg, compliance officer · E-mail: dpa@cloudhost.nl · FG: fg@cloudhost.nl
- versleuteling (encryptie) van persoonsgegevens in rust en in transit (art. 32 lid 1 sub a AVG)
- strikt toegangsbeheer op basis van het need-to-know principe, inclusief logging
- regelmatige back-ups met hersteltest en gedocumenteerde herstelprocedure
Wat is een verwerkersovereenkomst?
Een verwerkersovereenkomst (ook: data processing agreement of DPA) is een schriftelijke overeenkomst die verplicht is op grond van artikel 28 lid 3 AVG wanneer een verwerkingsverantwoordelijke een verwerker inschakelt om persoonsgegevens te verwerken namens en in opdracht van de verwerkingsverantwoordelijke. De verwerker handelt uitsluitend op instructie van de verwerkingsverantwoordelijke en mag de gegevens niet voor eigen doeleinden gebruiken. Zonder een geldige verwerkersovereenkomst schendt de verwerkingsverantwoordelijke de AVG, wat kan leiden tot een boete van maximaal EUR 10 miljoen of 2% van de jaarlijkse wereldwijde omzet (art. 83 lid 4 AVG). De Autoriteit Persoonsgegevens (AP) treedt actief op tegen het ontbreken van verwerkersovereenkomsten.
De typische situaties waarbij een verwerkersovereenkomst vereist is, zijn breed: een marketingbureau dat klantdata van een opdrachtgever verwerkt, een salarisadministratiekantoor dat personeelsgegevens beheert, een cloudprovider die bedrijfsdata opslaat, een IT-dienstverlener die systemen beheert met toegang tot persoonsgegevens, of een callcenter dat klantenservice uitvoert met persoonsgegevens van eindklanten. De sleuteltest is: verwerkt de derde persoonsgegevens namens de opdrachtgever en op diens instructie? Als dat het geval is, is een verwerkersovereenkomst verplicht — ongeacht de grootte van de organisaties of de hoeveelheid gegevens.
Artikel 28 AVG stelt strikte eisen aan de inhoud van de verwerkersovereenkomst. De overeenkomst moet ten minste bevatten: het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens, de categorieën betrokkenen, de verplichtingen en rechten van de verwerkingsverantwoordelijke, de beveiligingsmaatregelen conform artikel 32 AVG, de regels voor subverwerkers (art. 28 lid 2 AVG), de bijstandsverplichting bij de uitoefening van rechten door betrokkenen (art. 12-22 AVG), de meldplicht bij datalekken (art. 33 AVG: melding binnen 72 uur bij de AP), en de teruggave of vernietiging van gegevens na afloop van de opdracht. Het Doxuno-sjabloon dekt al deze vereisten en voorziet in aanvullende clausules voor internationale doorgiften.
Wat staat er in dit sjabloon
De verwerkersovereenkomst van Doxuno dekt alle verplichte elementen van artikel 28 AVG en de best practices voor gegevensbescherming in de Nederlandse praktijk.
Partijidentificatie en rolverdeling
Naam en contactgegevens van verwerkingsverantwoordelijke en verwerker, inclusief de Functionaris voor Gegevensbescherming (FG) indien aanwezig.
Onderwerp en duur van de verwerking
Beschrijving van de verwerkingsactiviteiten en de looptijd van de verwerking.
Aard, doel en categorieën van gegevens
Welke soorten persoonsgegevens worden verwerkt, voor welk doel en van welke categorieën betrokkenen.
Instructiebevoegdheid
De verwerker handelt uitsluitend op schriftelijke instructie van de verwerkingsverantwoordelijke (art. 28 lid 3 sub a AVG).
Vertrouwelijkheid
Verplicht de verwerker medewerkers die toegang hebben tot persoonsgegevens tot vertrouwelijkheid (art. 28 lid 3 sub b AVG).
Technische en organisatorische beveiligingsmaatregelen
Beveiligingsverplichtingen conform artikel 32 AVG: encryptie, pseudonimisering, toegangscontrole en periodieke tests.
Subverwerkers
Procedure voor het inschakelen van subverwerkers en doorstroming van AVG-verplichtingen (art. 28 lid 2 AVG).
Bijstand bij rechten van betrokkenen
Verplichtingen van de verwerker bij inzageverzoeken, rectificatie, wissing en bezwaar (art. 12-22 AVG).
Datalekprocedure
Meldplicht van de verwerker aan de verwerkingsverantwoordelijke bij datalekken (art. 33 AVG: binnen 72 uur).
Audit- en inspectierecht
Recht van de verwerkingsverantwoordelijke om de naleving van de verwerkersovereenkomst te controleren (art. 28 lid 3 sub h AVG).
Internationale doorgifte
Regeling voor doorgifte van persoonsgegevens buiten de EER conform hoofdstuk V AVG (SCCs, adequaatheidsbesluit).
Teruggave en verwijdering van gegevens
Verplichting tot teruggave of vernietiging van persoonsgegevens na afloop van de verwerkingsopdracht (art. 28 lid 3 sub g AVG).
Hoe stelt u een verwerkersovereenkomst op
Met het Doxuno-sjabloon legt u de verwerkersrelatie vast in overeenstemming met alle vereisten van artikel 28 AVG.
- 1
Stel de rolverdeling vast
Bepaal wie de verwerkingsverantwoordelijke is (degene die het doel en de middelen van de verwerking bepaalt) en wie de verwerker is (degene die verwerkt namens de verwerkingsverantwoordelijke). Let op: als beide partijen zelfstandig het doel bepalen, zijn zij gezamenlijk verwerkingsverantwoordelijken (art. 26 AVG) — dan geldt een andere overeenkomst. Raadpleeg bij twijfel over de rolkwalificatie de AVG-richtsnoeren van het EDPB.
- 2
Beschrijf de verwerkingsactiviteiten
Vul bijlage 1 van de verwerkersovereenkomst zo gedetailleerd mogelijk in: welk soort persoonsgegevens worden verwerkt (naam, e-mail, BSN, gezondheidsgegevens), van welke categorieën betrokkenen (klanten, werknemers, patiënten), voor welk doel en voor hoe lang. Een vage omschrijving is onvoldoende voor AVG-compliance; wees specifiek.
- 3
Stel de beveiligingsmaatregelen vast
Beschrijf in bijlage 2 de technische en organisatorische beveiligingsmaatregelen die de verwerker toepast conform artikel 32 AVG: versleuteling van data in transit en at rest, toegangscontrole (rolgebaseerd, MFA), pseudonimisering, back-up- en herstelbeleid, beveiligingsincidentprocedure en periodieke penetratietests. Hoe specifieker de maatregelen, hoe minder discussie bij een incident.
- 4
Regel subverwerkers en internationale doorgiften
Maak een lijst van eventuele subverwerkers (bijlage 3) die de verwerker inzet bij de uitvoering van de opdracht, zoals cloudproviders (AWS, Azure, Google Cloud) of softwareleveranciers. Als gegevens buiten de EER worden verwerkt, zijn aanvullende doorgiftemechanismen vereist op grond van hoofdstuk V AVG: gebruik Standard Contractual Clauses (SCCs) of controleer of er een adequaatheidsbesluit geldt voor het bestemmingsland.
- 5
Laat beide partijen tekenen en bewaar de overeenkomst
Laat de verwerkersovereenkomst tekenen door bevoegde vertegenwoordigers van beide organisaties. Bewaar de ondertekende overeenkomst in het verwerkingsregister van de verwerkingsverantwoordelijke (art. 30 AVG). Evalueer de overeenkomst jaarlijks of bij significante wijzigingen in de verwerkingsactiviteiten of de beveiligingsmaatregelen. Download de PDF als werkinstrument voor het privacydossier.
Juridische aandachtspunten bij de verwerkersovereenkomst
De verwerkersovereenkomst is een van de zwaarst gereguleerde contractvormen onder de AVG. Gebreken in de overeenkomst leiden direct tot aansprakelijkheid.
Dit sjabloon is uitsluitend bedoeld ter informatie en vormt geen juridisch of privacyrechtelijk advies. Raadpleeg een privacyadvocaat of gecertificeerde FG bij complexe verwerkersrelaties, doorgifte buiten de EER of bijzondere categorieën persoonsgegevens.
Getoetst door juridische professionals. De inhoud van deze pagina en de clausules in het sjabloon zijn beoordeeld door in Nederland werkzame privacyadvocaten voor gebruik in standaard B2B-verwerkersrelaties.
Aansprakelijkheid van de verwerker jegens betrokkenen
Artikel 82 AVG bepaalt dat zowel de verwerkingsverantwoordelijke als de verwerker aansprakelijk kan zijn voor materiële of immateriële schade die betrokkenen lijden door een inbreuk op de AVG. De verwerker is aansprakelijk als hij niet heeft voldaan aan de specifiek tot hem gerichte verplichtingen van de AVG of als hij heeft gehandeld buiten de rechtmatige instructies van de verwerkingsverantwoordelijke. De verwerker kan zich exonereren door te bewijzen dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende evenement. De verwerkersovereenkomst dient interne regresafspraken te bevatten over hoe aansprakelijkheid intern wordt verdeeld bij schadevorderingen van betrokkenen.
Subverwerkers: toestemming en doorstroming van verplichtingen
Artikel 28 lid 2 AVG vereist dat de verwerker voor het inschakelen van subverwerkers toestemming heeft van de verwerkingsverantwoordelijke. Er zijn twee modellen: specifieke toestemming per subverwerker (veiliger maar bewerkelijker) of algemene schriftelijke toestemming waarbij de verwerkingsverantwoordelijke het recht heeft bezwaar te maken tegen nieuwe subverwerkers (praktischer). De verwerker moet dezelfde AVG-verplichtingen contractueel opleggen aan zijn subverwerkers. Als een subverwerker zijn verplichtingen niet nakomt, blijft de verwerker jegens de verwerkingsverantwoordelijke volledig aansprakelijk op grond van artikel 28 lid 4 AVG.
Datalekken en de 72-uur meldplicht
Artikel 33 AVG verplicht de verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor betrokkenen. De verwerker dient de verwerkingsverantwoordelijke onverwijld te informeren zodra hij een datalek ontdekt (art. 33 lid 2 AVG) — doorgaans geldt een maximumtermijn van 24 of 36 uur in de verwerkersovereenkomst om de 72-uur termijn van de verwerkingsverantwoordelijke haalbaar te houden. De verwerkersovereenkomst dient de meldprocedure, de inhoud van de melding en de coördinatie tussen verwerker en verwerkingsverantwoordelijke nauwkeurig te beschrijven. De AP kan bij schending van de meldplicht een boete opleggen tot EUR 10 miljoen of 2% van de wereldwijde omzet.
Internationale doorgifte buiten de EER
Hoofdstuk V AVG verbiedt in beginsel de doorgifte van persoonsgegevens naar landen buiten de Europese Economische Ruimte (EER), tenzij er sprake is van een adequaatheidsbesluit van de Europese Commissie, of de partijen gebruik maken van Standard Contractual Clauses (SCCs — Uitvoeringsbesluit EU 2021/914) of Binding Corporate Rules. De verwerkersovereenkomst dient te specificeren in welke landen de gegevens worden verwerkt of opgeslagen. Populaire cloudproviders als AWS, Google Cloud en Microsoft Azure bieden standaard SCCs aan, maar de verwerkingsverantwoordelijke dient een Transfer Impact Assessment (TIA) uit te voeren om het feitelijke beschermingsniveau in het derde land te beoordelen, zoals vereist na het Schrems II-arrest van het Europees Hof van Justitie (C-311/18).
Veelgestelde vragen
Klaar om uw verwerkersovereenkomst op te stellen?
Vul de gegevens van uw verwerkersrelatie in en download in enkele minuten een AVG-conforme verwerkersovereenkomst als PDF.
Free · Instant PDF · No account required