---
title: "Verwerkersovereenkomst voor een softwarebedrijf voorbeeld: de belangrijkste bepalingen"
url: https://mkbjuristen.nl/blog/ondernemen/verwerkersovereenkomst-software-voorbeeld-2/
date: 2026-10-16
modified: 2026-10-16
lang: nl
author: "denian@mkbrecht.nl"
description: "Verwerkersovereenkomst voor een softwarebedrijf voorbeeld nodig? De belangrijkste bepalingen op een rij en waarom een voorbeeld nooit een-op-een past."
categories:
  - "Ondernemen"
image: https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-software-voorbeeld-hero-1024x576.jpg
word_count: 1064
---

# Verwerkersovereenkomst voor een softwarebedrijf voorbeeld: de belangrijkste bepalingen

Een verwerkersovereenkomst voor een softwarebedrijf voorbeeld laat zien welke bepalingen als SaaS-leverancier onmisbaar zijn: instructiegebondenheid, beveiliging (art. 32 AVG), subverwerkers en datalokatie, meldplicht bij datalekken, audit, en teruggave of verwijdering van data bij het einde van de dienst. Hieronder loop je die kernbepalingen langs vanuit de verwerker-kant, met per onderdeel waar het op aankomt. Let op: een voorbeeld is een startpunt, geen kant-en-klare oplossing — de kracht zit in het invullen op je feitelijke techniek en subverwerkers.

## Het korte antwoord

- **Rollen en instructie**: klant is verantwoordelijke, jij verwerkt alleen op instructie.
- **Verwerkingsoverzicht**: aard, doel, gegevens en betrokkenen in een bijlage.
- **Beveiliging (art. 32)**: concrete maatregelen.
- **Subverwerkers en datalokatie**: lijst, wijzigingsprocedure en EU/EER-uitgangspunt.
- **Meldplicht en audit**: termijnen en controlerechten.
- **Teruggave en verwijdering**: procedure bij het einde van de dienst.

## Een voorbeeld begint bij de rollen

![Verwerkersovereenkomst voor een softwarebedrijf voorbeeld met de belangrijkste bepalingen](https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-software-voorbeeld-hero.jpg)

Elk bruikbaar voorbeeld opent met de rolverdeling. De klant is verwerkingsverantwoordelijke en bepaalt doel en middelen; jij als softwareleverancier verwerkt de persoonsgegevens uitsluitend op zijn instructie. Die instructiegebondenheid is de kern van artikel 28 AVG. In een goed model staat daarom dat je alleen verwerkt zoals overeengekomen, en welke verwerkingen "inbegrepen" zijn in je standaarddienst — anders kan elke klant losse instructies opleggen die je software niet aankan.

## Bepaling 1 en 2: verwerkingsoverzicht en beveiliging

![Verwerkingsoverzicht en beveiligingsbepaling in het voorbeeld van een SaaS-leverancier](https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-software-voorbeeld-body1-1.jpg)

**Verwerkingsoverzicht (bijlage).** Artikel 28 lid 3 eist een omschrijving van onderwerp, duur, aard en doel, plus de categorieën gegevens en betrokkenen. Bij software zet je dit in een bijlage die per klant licht kan verschillen. Benoem expliciet of er bijzondere persoonsgegevens bij zitten.

**Beveiliging (art. 32).** Hier verwachten klanten concreetheid. Een sterk voorbeeld noemt versleuteling in rust en transport, toegangsbeheer met tweefactorauthenticatie, gescheiden omgevingen, logging, back-ups en een getest herstelproces. Vermijd de formulering "passende maatregelen" zonder invulling — bij een datalek of audit telt wat er feitelijk staat en gebeurt.

## Bepaling 3: subverwerkers en datalokatie

![Subverwerkers en datalokatie als kernbepaling in het voorbeeld van een softwarebedrijf](https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-software-voorbeeld-body2-1.jpg)

Voor een softwarebedrijf is dit vaak de belangrijkste bepaling. Je zet cloudhosting, e-mail, back-up en monitoring in — allemaal subverwerkers. Een goed voorbeeld regelt:

- Een **subverwerkerslijst** waarmee de klant instemt (algemene toestemming).
- Een **wijzigingsprocedure**: je informeert vooraf over nieuwe subverwerkers, met een bezwaartermijn.
- De verplichting om aan subverwerkers **dezelfde AVG-eisen** op te leggen die op jou rusten.
- De **datalokatie**: verwerking bij voorkeur binnen de EU/EER, en bij doorgifte daarbuiten een grondslag zoals de standaardcontractbepalingen van de Europese Commissie.

## Bepaling 4 en 5: meldplicht en audit

**Meldplicht datalekken.** Als verwerker informeer je de klant onverwijld bij een datalek, zodat die kan beoordelen of melding bij de Autoriteit Persoonsgegevens nodig is. Een concreet voorbeeld noemt een termijn (bijvoorbeeld binnen 48 uur na ontdekking) en welke informatie je meelevert.

**Audit.** De klant heeft controlerecht. Als leverancier met veel klanten houd je dit werkbaar: bied een auditrapport of certificering aan en verbind aan fysieke audits redelijke voorwaarden (aankondiging, frequentie, kosten). Een goed voorbeeld balanceert het controlerecht van de klant met de bedrijfsvoering van de leverancier.

## Bepaling 6: teruggave en verwijdering

Bij het einde van de dienst moet je de gegevens teruggeven of verwijderen, ter keuze van de klant (art. 28 lid 3 sub g). Een bruikbaar voorbeeld regelt:

- Een **exportformaat** waarin de klant zijn data terugkrijgt.
- Een **verwijderingstermijn** na afloop.
- Ruimte voor **wettelijke bewaarplichten** die verwijdering tijdelijk in de weg staan.

Voor een softwarebedrijf is dit ook praktisch relevant: je wilt weten wanneer je klantdata uit je systemen en back-ups mag opruimen.

## Bepaling 7: aansprakelijkheid

Sluit de aansprakelijkheidsbepaling aan op je algemene voorwaarden. Als verwerker begrens je je aansprakelijkheid binnen de grenzen van de wet; klanten willen ruimte. Een voorbeeld dat onbeperkte aansprakelijkheid bevat terwijl je voorwaarden een limiet hanteren, laat een gat in je bescherming. Stem beide documenten op elkaar af.

## Praktijkvoorbeeld

Een leverancier van projectmanagementsoftware gebruikte een van internet gehaald voorbeeld zonder subverwerkersbijlage. Toen een klant vroeg waar de gegevens stonden, bleek de overeenkomst daar niets over te zeggen, terwijl de hosting deels buiten de EER draaide. Door het voorbeeld aan te vullen met een actuele subverwerkerslijst, de datalokatie en een doorgiftegrondslag, werd de overeenkomst compleet en kon de klant worden gerustgesteld.

## Eerlijke aanbeveling

![Jurist bespreekt een voorbeeld van een verwerkersovereenkomst met een softwareleverancier](https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-software-voorbeeld-advies-1.jpg)

Een voorbeeld is een prima startpunt, en bij een standaard-SaaS-dienst met gewone persoonsgegevens en gangbare EU-subverwerkers kun je er zelf goed mee uit de voeten — mits je de bijlagen (verwerking, beveiliging, subverwerkers) eerlijk invult op je feitelijke inrichting. Een jurist heb je dan niet per se nodig. Neem een voorbeeld echter nooit blind over als je bijzondere gegevens verwerkt, subverwerkers buiten de EER inzet of de aansprakelijkheid ingewikkeld is: dan is toetsing verstandig, omdat jij als verwerker het risico draagt.

Verder kijken? Bekijk de [verwerkersovereenkomst voor een softwarebedrijf](https://mkbjuristen.nl/contracten/verwerkersovereenkomst-softwarebedrijf/), lees hoe je zo'n [overeenkomst opstelt](https://mkbjuristen.nl/blog/verwerkersovereenkomst-software-opstellen/) of laat je hem [op maat opstellen](https://mkbjuristen.nl/blog/verwerkersovereenkomst-software-laten-opstellen/).

## Veelgestelde vragen

**Wat staat er in een verwerkersovereenkomst voor een softwarebedrijf voorbeeld?** De kernbepalingen: rolverdeling en instructiegebondenheid, een verwerkingsoverzicht, beveiliging (art. 32), subverwerkers en datalokatie, meldplicht bij datalekken, audit, teruggave of verwijdering van data en een aansprakelijkheidsregeling die aansluit op je voorwaarden.

**Kan ik een voorbeeld zomaar overnemen?** Als startpunt wel, maar niet blind. Een voorbeeld moet je invullen op je feitelijke techniek, subverwerkers en beveiliging. Klopt de subverwerkerslijst of de datalokatie niet, dan biedt de overeenkomst schijnzekerheid en werkt hij tegen je bij een audit of datalek.

**Wat is de belangrijkste bepaling voor een SaaS-leverancier?** Meestal de subverwerkers- en datalokatiebepaling. Je zet vrijwel altijd cloud- en infrastructuurpartijen in; die moeten geregeld zijn met een subverwerkerslijst, een wijzigingsprocedure en een grondslag voor doorgifte buiten de EER.

**Hoe concreet moet de beveiligingsbepaling zijn?** Zo concreet mogelijk: versleuteling in rust en transport, toegangsbeheer met tweefactorauthenticatie, gescheiden omgevingen, logging, back-ups en een getest herstelproces. Bij een datalek of audit telt wat er feitelijk staat en gebeurt, niet een algemene "passende maatregelen"-formulering.

**Wat moet er over datalekken in staan?** Dat je als verwerker de klant onverwijld informeert, met een concrete termijn (bijvoorbeeld binnen 48 uur na ontdekking) en welke informatie je meelevert, zodat de klant kan beoordelen of melding bij de Autoriteit Persoonsgegevens nodig is.

**Hoe regel ik de teruggave van data?** Met een exportformaat waarin de klant zijn data terugkrijgt, een verwijderingstermijn na afloop van de dienst en ruimte voor wettelijke bewaarplichten. Zo weet ook jij wanneer je klantdata uit je systemen en back-ups mag opruimen.

**Moet de aansprakelijkheid in het voorbeeld staan?** Ja, en die moet aansluiten op je algemene voorwaarden. Als verwerker begrens je je aansprakelijkheid binnen de wettelijke grenzen. Een voorbeeld met onbeperkte aansprakelijkheid terwijl je voorwaarden een limiet hanteren, laat een gat in je bescherming.