MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Een verwerkersovereenkomst kun je technisch gezien zelf opstellen, maar verstandig is dat zelden. De AVG stelt in artikel 28 lid 3 concrete eisen aan zo’n overeenkomst, en juist de details – wie waarvoor aansprakelijk is, wat de verwerker wel en niet mag, wat er bij een datalek gebeurt – bepalen of het document jou bij een geschil beschermt of juist tegenwerkt. Een gratis model van internet of een door je leverancier opgedrongen versie dekt jouw belang als verwerkingsverantwoordelijke meestal niet. Op deze pagina lees je waarom maatwerk loont, waar het misgaat en wat je concreet kunt doen.
In het kort:
- Een verwerkersovereenkomst is verplicht zodra een externe partij persoonsgegevens vóór jou verwerkt (art. 28 AVG).
- De inhoud is maatwerk: een gratis internetmodel of een door je leverancier opgedrongen versie beschermt jouw belang als verwerkingsverantwoordelijke meestal niet.
- Cruciaal zijn de afspraken over aansprakelijkheid, datalekken, subverwerkers en doorgifte buiten de EU.
- Ontbreekt de overeenkomst of voldoet die niet aan de wet, dan riskeer je een boete en schadeclaims.
Wat is een verwerkersovereenkomst?
Een verwerkersovereenkomst is een schriftelijke overeenkomst tussen een verwerkingsverantwoordelijke (jij, die bepaalt waarom en hoe persoonsgegevens worden verwerkt) en een verwerker (een externe partij die de gegevens namens jou verwerkt). Denk aan je boekhoudpakket, je e-mailmarketingtool, je hostingpartij of een extern salarisadministratiekantoor. Zodra zo’n partij persoonsgegevens voor jou verwerkt, ben je op grond van de AVG verplicht hierover afspraken vast te leggen.
Met die overeenkomst leg je vast hoe de verwerker met de persoonsgegevens omgaat. Jij geeft aan wat wel en niet is toegestaan. Zo zorg je ervoor dat de persoonsgegevens een passende bescherming krijgen en dat je kunt aantonen dat je je verplichtingen serieus neemt.
Wanneer heb je een verwerkersovereenkomst nodig?
De vuistregel is simpel: laat je een externe partij persoonsgegevens verwerken, dan heb je een verwerkersovereenkomst nodig. In de praktijk gaat het vaak om situaties als deze:
- je gebruikt een cloud- of hostingpartij waar klant- of personeelsgegevens staan;
- je werkt met een boekhoud- of salarispakket of besteedt je administratie uit;
- je verstuurt nieuwsbrieven via een e-mailmarketingtool;
- je laat een extern bureau je klantenservice, CRM of ICT-beheer draaien.
Verwerk je gegevens samen met een andere partij waarbij jullie allebei doel en middelen bepalen, dan is er meestal sprake van gezamenlijke verwerkingsverantwoordelijkheid en gelden andere afspraken. Twijfel je in welke rol je zit? Laat dat dan eerst goed vaststellen, want het bepaalt welke verplichtingen op jou rusten.
Wat moet er volgens artikel 28 AVG in een verwerkersovereenkomst staan?
In de wet staat nergens dat je de overeenkomst door een jurist of advocaat moet laten opstellen. Wel stelt artikel 28 lid 3 AVG een aantal verplichte onderwerpen die in de overeenkomst geregeld moeten zijn. In hoofdlijnen gaat het onder meer om:
- het onderwerp, de duur, de aard en het doel van de verwerking;
- het soort persoonsgegevens en de categorieën betrokkenen;
- de afspraak dat de verwerker uitsluitend handelt op basis van jouw schriftelijke instructies;
- een geheimhoudingsplicht voor iedereen die met de gegevens werkt;
- passende beveiligingsmaatregelen;
- afspraken over het inschakelen van subverwerkers (onderaannemers);
- hulp bij verzoeken van betrokkenen en bij datalekken;
- wat er na afloop met de gegevens gebeurt (teruggeven of verwijderen);
- de mogelijkheid voor jou om de naleving te controleren (audit).
Voor elke samenwerking is de invulling anders. Een verwerkersovereenkomst is dus maatwerk. Zomaar een model van internet plukken volstaat logischerwijs niet: dat document kent jouw verwerkingen, je risico’s en je leveranciers niet.
Model Verwerkersovereenkomst laten opstellen door een bedrijfsjurist?
Laten we een afspraak maken. We bespreken al je wensen voordat je bestelt. Het gesprek is gratis en vrijblijvend en duurt 20 a 30 minuten.
- Wij leveren betrouwbaar & correct juridisch maatwerk
- In een telefonische intake bespreken we al je wensen
- Binnen 7 dagen opgeleverd, spoedlevering mogelijk
- Vaste prijs per document en achteraf betalen
Wij bieden ook speciale AVG pakketten.
Waarom je een verwerkersovereenkomst beter niet zelf opstelt
Zelf knutselen aan een verwerkersovereenkomst is goedkoper en sneller – tot het moment waarop er iets misgaat. Drie veelgemaakte fouten kosten je dan duur:
1. Je dekt niet alle wettelijke onderwerpen af
Mist de overeenkomst een verplicht onderdeel uit artikel 28 AVG, dan voldoet hij niet aan de wet. Een onvolledig contract geeft schijnzekerheid: je dénkt dat je het geregeld hebt, maar bij een controle of een geschil blijkt het tegendeel.
2. Je verwoordt de aansprakelijkheid in jouw nadeel
De verdeling van verantwoordelijkheid en aansprakelijkheid zit in de formuleringen. Een verkeerde zin kan ervoor zorgen dat jij opdraait voor een fout van de verwerker. Een ervaren jurist let juist op die details.
3. Je gebruikt een model dat niet bij jouw situatie past
Een standaardmodel kent jouw verwerkingen, leveranciers en risico’s niet. Bepalingen over subverwerkers, doorgifte naar landen buiten de EU of bewaartermijnen kloppen dan vaak niet met de praktijk.
Praktijkvoorbeelden: waar het in de praktijk misgaat
De theorie klinkt overzichtelijk, maar juist in alledaagse situaties ontstaan de problemen. Een paar herkenbare voorbeelden:
- De hostingpartij buiten de EU. Je webshop draait bij een aanbieder die data (deels) in de Verenigde Staten opslaat. Zonder afspraken over die doorgifte loop je een risico dat in een internetmodel zelden goed is geregeld.
- De subverwerker die je niet kende. Je e-mailmarketingtool schakelt zelf weer een externe partij in. Staat daar niets over in je overeenkomst, dan heb je geen grip op wie jouw klantgegevens in handen krijgt.
- Het datalek bij de leverancier. Bij je salarispakket lekken gegevens. Wie meldt het lek, binnen welke termijn, en wie draait op voor de schade? Als dat niet vastligt, sta je achteraf zwak.
In al deze gevallen is het verschil tussen een sluitende en een gebrekkige overeenkomst pas zichtbaar op het moment dat het misgaat – precies wanneer je er niets meer aan kunt veranderen.
Ga niet akkoord met een opgedrongen verwerkersovereenkomst
Een verwerkersovereenkomst wordt afgesloten tussen de verantwoordelijke en de verwerker. In de basis is het de verwerkingsverantwoordelijke die de regie voert en aan de verwerker aangeeft wat wel en niet door de beugel kan. Toch zien we in de praktijk regelmatig het omgekeerde: een verwerker heeft al ‘voor jou’ een verwerkersovereenkomst opgesteld en legt je die ter ondertekening voor.
Dat is niet automatisch verkeerd, maar wees alert. Zo’n document is vaak vooral geschreven om de verantwoordelijkheid bij de verwerker weg te halen. Zeker als de verwerker de overeenkomst door zijn eigen advocaat liet opstellen, is de kans groot dat de balans niet in jouw voordeel uitvalt. Loopt het mis, dan kan zo’n eenzijdige overeenkomst als een boemerang terugkomen. Laat een opgedrongen versie daarom altijd controleren voordat je tekent, en streef naar een evenwichtige overeenkomst die recht doet aan beide partijen.
Verwerkersovereenkomst en aansprakelijkheid bij een datalek
Komen de persoonsgegevens van een klant op straat te liggen, dan zal die klant in eerste instantie waarschijnlijk jou aanspreken – ook als de fout feitelijk bij de verwerker lag. Dat kan uitmonden in een claim of schadevergoeding. Op dat moment wordt de verwerkersovereenkomst erbij gepakt: aan de hand van de gemaakte afspraken wordt beoordeeld wie wat had moeten doen.
Een goed opgestelde overeenkomst helpt je dan aantonen dat jij je verplichtingen bent nagekomen en dat een eventuele tekortkoming bij de verwerker lag. Precies daarom hoort het document de positie van de verwerkingsverantwoordelijke te beschermen – en is een willekeurig internetmodel of een door de verwerker opgedrongen versie een risico. Wil je weten hoe je als ondernemer sterker staat bij een geschil? Onze specialisten privacy en gegevensbescherming denken graag mee.
Hoe hoog zijn de boetes onder de AVG?
De AVG kent een boetestelsel met twee categorieën. Voor overtredingen rond een verwerkersovereenkomst – bijvoorbeeld als die ontbreekt of niet aan de eisen van artikel 28 voldoet – geldt de lagere categorie: een boete tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, waarbij het hoogste bedrag telt. Voor zwaardere overtredingen kan de boete oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.
Dit zijn wettelijke maximumbedragen. In de praktijk legt de Autoriteit Persoonsgegevens het maximum zelden op; de hoogte hangt af van factoren zoals de ernst en duur van de overtreding en de omvang van de organisatie. Ook voor een mkb-onderneming kan een boete echter flink in de papieren lopen, nog los van reputatieschade en mogelijke schadeclaims van betrokkenen.
De kernconclusie: zelf een verwerkersovereenkomst opstellen is goedkoper, maar niet als je daarna tegen boetes en schadevergoedingen aanloopt. Een correct document is uiteindelijk de goedkoopste verzekering.
In 4 stappen naar een sluitende verwerkersovereenkomst
- Breng je verwerkers in kaart. Maak een lijst van alle externe partijen die persoonsgegevens voor je verwerken.
- Bepaal je rol per samenwerking. Ben je verwerkingsverantwoordelijke, verwerker of is er sprake van gezamenlijke verantwoordelijkheid?
- Leg de afspraken vast. Stel een overeenkomst op die voldoet aan artikel 28 AVG en die jouw belangen beschermt – of laat een aangeleverde versie kritisch controleren.
- Houd het document actueel. Veranderen je leveranciers, verwerkingen of subverwerkers? Werk de overeenkomst dan bij.
Veelgestelde vragen over de verwerkersovereenkomst
Is een verwerkersovereenkomst verplicht?
Ja. Zodra je persoonsgegevens laat verwerken door een externe partij, ben je op grond van artikel 28 AVG verplicht hierover een verwerkersovereenkomst te sluiten. Ontbreekt die, dan handel je in strijd met de wet.
Mag ik een gratis model van internet gebruiken?
Dat mag, maar het is risicovol. Een algemeen model is niet afgestemd op jouw verwerkingen, leveranciers en risico’s en mist vaak belangrijke afspraken over aansprakelijkheid, subverwerkers en datalekken. Laat een model in elk geval controleren voordat je het gebruikt.
Wie stelt de verwerkersovereenkomst op: ik of mijn leverancier?
In beginsel voert de verwerkingsverantwoordelijke de regie. Veel leveranciers leveren wel een eigen versie aan; controleer die altijd kritisch, want zo’n document is vaak in het voordeel van de verwerker opgesteld.
Wat is het verschil tussen een verwerker en een verwerkingsverantwoordelijke?
De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking (jij). De verwerker verwerkt de gegevens uitsluitend in jouw opdracht en volgens jouw instructies (bijvoorbeeld je software- of hostingleverancier).
Heb ik een verwerkersovereenkomst nodig met mijn boekhouder?
Vaak wel. Verwerkt je boekhouder of administratiekantoor persoonsgegevens (zoals personeels- of klantgegevens) in jouw opdracht, dan is een verwerkersovereenkomst nodig. Treedt het kantoor op als zelfstandig verantwoordelijke – bijvoorbeeld bij wettelijke fiscale taken – dan kan dat anders liggen. Laat dit per situatie beoordelen.
Wat kost het om een verwerkersovereenkomst te laten opstellen?
Bij MKB Juristen stellen we een verwerkersovereenkomst op maat op voor een vaste prijs van € 189,- per document. We bespreken vooraf in een gratis intake al je wensen, zodat het document precies past bij jouw situatie.
Verwerkersovereenkomst laten opstellen of controleren?
Wil je zeker weten dat jouw verwerkersovereenkomst klopt en je belangen beschermt? Wij helpen je graag verder:
- Verwerkersovereenkomst laten opstellen – juridisch maatwerk voor een vaste prijs.
- Privacy en gegevensbescherming – advies over de AVG voor jouw onderneming.
- Plan een gratis en vrijblijvende intake in en bespreek je situatie met een specialist.
