MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Een goed verwerkersovereenkomst voorbeeld bevat altijd dezelfde kern: een omschrijving van de verwerking, de instructiebinding, de beveiligingsplicht (artikel 32 AVG), afspraken over subverwerkers, de meldplicht bij datalekken en de teruggave of verwijdering van gegevens na afloop. Deze onderdelen zijn niet vrijblijvend — artikel 28 lid 3 AVG schrijft ze voor. Hieronder loop je de belangrijkste bepalingen langs, zodat je een voorbeeld op waarde kunt schatten.
Het korte antwoord
- Omschrijving verwerking: onderwerp, duur, aard, doel, soorten gegevens en betrokkenen.
- Instructiebinding: verwerker handelt alleen op schriftelijke instructie.
- Beveiliging: passende technische en organisatorische maatregelen (artikel 32).
- Subverwerkers: alleen met toestemming en met doorwerking van verplichtingen.
- Datalek en teruggave: meldplicht aan de verantwoordelijke en verwijdering na afloop.
Verwerkersovereenkomst voorbeeld: de vaste onderdelen
Elk bruikbaar voorbeeld opent met een omschrijving van de verwerking. Daarin staat het onderwerp, de duur, de aard en het doel van de verwerking, plus de soorten persoonsgegevens en de categorieën betrokkenen. Deze omschrijving is geen inleiding, maar begrenst wat de verwerker mag doen: alles daarbuiten valt niet onder de opdracht.
Direct daarna volgt de instructiebinding. De verwerker verwerkt de gegevens uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke. Wijkt hij daarvan af, dan handelt hij op eigen risico en kan hij zelf verwerkingsverantwoordelijke worden voor die verwerking.
Beveiliging (artikel 32)
De beveiligingsbepaling verwijst naar artikel 32 AVG: passende technische en organisatorische maatregelen. In een sterk voorbeeld staan die niet alleen abstract benoemd, maar wordt verwezen naar concrete maatregelen zoals encryptie, toegangsbeheer, logging en een periodieke evaluatie. Wat “passend” is, hangt af van de gevoeligheid van de gegevens en de risico’s van de verwerking.
Let op de geheimhoudingsclausule: iedereen die namens de verwerker toegang heeft tot de gegevens, is tot geheimhouding verplicht. Zonder die bepaling is de beveiligingsafspraak onvolledig.
Subverwerkers
Een verwerker schakelt vaak zelf partijen in — een hostingprovider, een back-updienst. De subverwerker-clausule regelt dat dit alleen mag met (algemene of specifieke) toestemming van de verwerkingsverantwoordelijke. Bovendien moet de verwerker dezelfde AVG-verplichtingen aan de subverwerker opleggen als in de verwerkersovereenkomst staan. De hoofdverwerker blijft aansprakelijk voor de naleving door zijn subverwerkers.
Meldplicht datalek
In een goed voorbeeld staat dat de verwerker een datalek onverwijld bij de verwerkingsverantwoordelijke meldt, met voldoende informatie om de ernst te beoordelen. De verwerker meldt niet zelf aan de Autoriteit Persoonsgegevens — dat blijft de verantwoordelijkheid van de verwerkingsverantwoordelijke, die binnen 72 uur na kennisname moet melden als het lek een risico oplevert. Leg vast welke gegevens de melding minimaal bevat en via welk kanaal die verloopt.
Teruggave en verwijdering
De slotbepaling regelt wat er na afloop gebeurt. De verwerker geeft de persoonsgegevens terug of vernietigt ze, naar keuze van de verwerkingsverantwoordelijke, en verwijdert bestaande kopieën — tenzij een wettelijke bewaarplicht anders eist. Een sterk voorbeeld noemt een concrete termijn en verlangt een bevestiging van de verwijdering.
Eerlijke aanbeveling
Een voorbeeld van een gerenommeerde leverancier is voor een standaarddienst meestal prima bruikbaar. Leg het naast de zes onderdelen hierboven: staan ze er allemaal in, dan kun je het zonder jurist gebruiken. Voor de gangbare mkb-situatie is dat voldoende.
Raadpleeg een jurist wanneer je bijzondere gegevens verwerkt, buiten de EU doorgeeft, of zelf verwerker bent en een voorbeeld als eigen model wilt aanbieden. Een voorbeeld klakkeloos overnemen zonder het aan te passen aan jouw feitelijke verwerking is een veelgemaakte fout.
Verder lezen: bekijk de checklist om het voorbeeld te toetsen, lees welke valkuilen je moet vermijden, of stel er direct een op via de verwerkersovereenkomst.
Veelgestelde vragen
Een omschrijving van de verwerking, de instructiebinding, de beveiligingsplicht (artikel 32 AVG), afspraken over subverwerkers, de meldplicht bij datalekken en de teruggave of verwijdering van gegevens na afloop. Deze onderdelen schrijft artikel 28 lid 3 AVG voor.
Niet klakkeloos. Pas het voorbeeld aan aan jouw feitelijke verwerking: soorten gegevens, doel, bewaartermijn en subverwerkers. Een voorbeeld dat niet klopt met de werkelijkheid geeft schijnzekerheid en kan in strijd zijn met de AVG.
Er is geen enkele belangrijkste bepaling: de kracht zit in de combinatie. Ontbreekt één verplicht onderdeel — bijvoorbeeld de subverwerker-clausule of de verwijderingsbepaling — dan voldoet het model niet aan artikel 28 AVG.
Dat de verwerker gegevens uitsluitend op gedocumenteerde instructie van de verwerkingsverantwoordelijke verwerkt. Wijkt hij daarvan af, dan handelt hij op eigen risico en kan hij zelf verwerkingsverantwoordelijke worden voor die verwerking.
De maatregelen moeten passend zijn bij de gevoeligheid van de gegevens en de risico’s (artikel 32 AVG). Een sterk voorbeeld noemt concrete maatregelen zoals encryptie, toegangsbeheer en logging, en verplicht tot geheimhouding door iedereen met toegang.
De verwerker meldt het lek onverwijld bij de verwerkingsverantwoordelijke. Die beslist of binnen 72 uur melding bij de Autoriteit Persoonsgegevens nodig is. Een goed voorbeeld legt vast welke informatie de melding bevat en via welk kanaal die verloopt.
Dat de verwerker de gegevens na afloop teruggeeft of vernietigt, naar keuze van de verwerkingsverantwoordelijke, en kopieën verwijdert tenzij een wettelijke bewaarplicht anders eist. Een concrete termijn en een bevestiging van de verwijdering horen erbij.
