MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Een verwerkersovereenkomst voor een softwarebedrijf voorbeeld laat zien welke bepalingen als SaaS-leverancier onmisbaar zijn: instructiegebondenheid, beveiliging (art. 32 AVG), subverwerkers en datalokatie, meldplicht bij datalekken, audit, en teruggave of verwijdering van data bij het einde van de dienst. Hieronder loop je die kernbepalingen langs vanuit de verwerker-kant, met per onderdeel waar het op aankomt. Let op: een voorbeeld is een startpunt, geen kant-en-klare oplossing — de kracht zit in het invullen op je feitelijke techniek en subverwerkers.
Het korte antwoord
- Rollen en instructie: klant is verantwoordelijke, jij verwerkt alleen op instructie.
- Verwerkingsoverzicht: aard, doel, gegevens en betrokkenen in een bijlage.
- Beveiliging (art. 32): concrete maatregelen.
- Subverwerkers en datalokatie: lijst, wijzigingsprocedure en EU/EER-uitgangspunt.
- Meldplicht en audit: termijnen en controlerechten.
- Teruggave en verwijdering: procedure bij het einde van de dienst.
Een voorbeeld begint bij de rollen
Elk bruikbaar voorbeeld opent met de rolverdeling. De klant is verwerkingsverantwoordelijke en bepaalt doel en middelen; jij als softwareleverancier verwerkt de persoonsgegevens uitsluitend op zijn instructie. Die instructiegebondenheid is de kern van artikel 28 AVG. In een goed model staat daarom dat je alleen verwerkt zoals overeengekomen, en welke verwerkingen “inbegrepen” zijn in je standaarddienst — anders kan elke klant losse instructies opleggen die je software niet aankan.
Bepaling 1 en 2: verwerkingsoverzicht en beveiliging
Verwerkingsoverzicht (bijlage). Artikel 28 lid 3 eist een omschrijving van onderwerp, duur, aard en doel, plus de categorieën gegevens en betrokkenen. Bij software zet je dit in een bijlage die per klant licht kan verschillen. Benoem expliciet of er bijzondere persoonsgegevens bij zitten.
Beveiliging (art. 32). Hier verwachten klanten concreetheid. Een sterk voorbeeld noemt versleuteling in rust en transport, toegangsbeheer met tweefactorauthenticatie, gescheiden omgevingen, logging, back-ups en een getest herstelproces. Vermijd de formulering “passende maatregelen” zonder invulling — bij een datalek of audit telt wat er feitelijk staat en gebeurt.
Bepaling 3: subverwerkers en datalokatie
Voor een softwarebedrijf is dit vaak de belangrijkste bepaling. Je zet cloudhosting, e-mail, back-up en monitoring in — allemaal subverwerkers. Een goed voorbeeld regelt:
- Een subverwerkerslijst waarmee de klant instemt (algemene toestemming).
- Een wijzigingsprocedure: je informeert vooraf over nieuwe subverwerkers, met een bezwaartermijn.
- De verplichting om aan subverwerkers dezelfde AVG-eisen op te leggen die op jou rusten.
- De datalokatie: verwerking bij voorkeur binnen de EU/EER, en bij doorgifte daarbuiten een grondslag zoals de standaardcontractbepalingen van de Europese Commissie.
Bepaling 4 en 5: meldplicht en audit
Meldplicht datalekken. Als verwerker informeer je de klant onverwijld bij een datalek, zodat die kan beoordelen of melding bij de Autoriteit Persoonsgegevens nodig is. Een concreet voorbeeld noemt een termijn (bijvoorbeeld binnen 48 uur na ontdekking) en welke informatie je meelevert.
Audit. De klant heeft controlerecht. Als leverancier met veel klanten houd je dit werkbaar: bied een auditrapport of certificering aan en verbind aan fysieke audits redelijke voorwaarden (aankondiging, frequentie, kosten). Een goed voorbeeld balanceert het controlerecht van de klant met de bedrijfsvoering van de leverancier.
Bepaling 6: teruggave en verwijdering
Bij het einde van de dienst moet je de gegevens teruggeven of verwijderen, ter keuze van de klant (art. 28 lid 3 sub g). Een bruikbaar voorbeeld regelt:
- Een exportformaat waarin de klant zijn data terugkrijgt.
- Een verwijderingstermijn na afloop.
- Ruimte voor wettelijke bewaarplichten die verwijdering tijdelijk in de weg staan.
Voor een softwarebedrijf is dit ook praktisch relevant: je wilt weten wanneer je klantdata uit je systemen en back-ups mag opruimen.
Bepaling 7: aansprakelijkheid
Sluit de aansprakelijkheidsbepaling aan op je algemene voorwaarden. Als verwerker begrens je je aansprakelijkheid binnen de grenzen van de wet; klanten willen ruimte. Een voorbeeld dat onbeperkte aansprakelijkheid bevat terwijl je voorwaarden een limiet hanteren, laat een gat in je bescherming. Stem beide documenten op elkaar af.
Praktijkvoorbeeld
Een leverancier van projectmanagementsoftware gebruikte een van internet gehaald voorbeeld zonder subverwerkersbijlage. Toen een klant vroeg waar de gegevens stonden, bleek de overeenkomst daar niets over te zeggen, terwijl de hosting deels buiten de EER draaide. Door het voorbeeld aan te vullen met een actuele subverwerkerslijst, de datalokatie en een doorgiftegrondslag, werd de overeenkomst compleet en kon de klant worden gerustgesteld.
Eerlijke aanbeveling
Een voorbeeld is een prima startpunt, en bij een standaard-SaaS-dienst met gewone persoonsgegevens en gangbare EU-subverwerkers kun je er zelf goed mee uit de voeten — mits je de bijlagen (verwerking, beveiliging, subverwerkers) eerlijk invult op je feitelijke inrichting. Een jurist heb je dan niet per se nodig. Neem een voorbeeld echter nooit blind over als je bijzondere gegevens verwerkt, subverwerkers buiten de EER inzet of de aansprakelijkheid ingewikkeld is: dan is toetsing verstandig, omdat jij als verwerker het risico draagt.
Verder kijken? Bekijk de verwerkersovereenkomst voor een softwarebedrijf, lees hoe je zo’n overeenkomst opstelt of laat je hem op maat opstellen.
Veelgestelde vragen
De kernbepalingen: rolverdeling en instructiegebondenheid, een verwerkingsoverzicht, beveiliging (art. 32), subverwerkers en datalokatie, meldplicht bij datalekken, audit, teruggave of verwijdering van data en een aansprakelijkheidsregeling die aansluit op je voorwaarden.
Als startpunt wel, maar niet blind. Een voorbeeld moet je invullen op je feitelijke techniek, subverwerkers en beveiliging. Klopt de subverwerkerslijst of de datalokatie niet, dan biedt de overeenkomst schijnzekerheid en werkt hij tegen je bij een audit of datalek.
Meestal de subverwerkers- en datalokatiebepaling. Je zet vrijwel altijd cloud- en infrastructuurpartijen in; die moeten geregeld zijn met een subverwerkerslijst, een wijzigingsprocedure en een grondslag voor doorgifte buiten de EER.
Zo concreet mogelijk: versleuteling in rust en transport, toegangsbeheer met tweefactorauthenticatie, gescheiden omgevingen, logging, back-ups en een getest herstelproces. Bij een datalek of audit telt wat er feitelijk staat en gebeurt, niet een algemene “passende maatregelen”-formulering.
Dat je als verwerker de klant onverwijld informeert, met een concrete termijn (bijvoorbeeld binnen 48 uur na ontdekking) en welke informatie je meelevert, zodat de klant kan beoordelen of melding bij de Autoriteit Persoonsgegevens nodig is.
Met een exportformaat waarin de klant zijn data terugkrijgt, een verwijderingstermijn na afloop van de dienst en ruimte voor wettelijke bewaarplichten. Zo weet ook jij wanneer je klantdata uit je systemen en back-ups mag opruimen.
Ja, en die moet aansluiten op je algemene voorwaarden. Als verwerker begrens je je aansprakelijkheid binnen de wettelijke grenzen. Een voorbeeld met onbeperkte aansprakelijkheid terwijl je voorwaarden een limiet hanteren, laat een gat in je bescherming.
