---
title: "Verwerkersovereenkomst voorbeeld: de belangrijkste bepalingen"
url: https://mkbjuristen.nl/blog/ondernemen/verwerkersovereenkomst-voorbeeld/
date: 2026-09-06
modified: 2026-09-06
author: "denian@mkbrecht.nl"
description: "Verwerkersovereenkomst voorbeeld nodig? De belangrijkste bepalingen op een rij en waarom een voorbeeld nooit een-op-een past."
categories:
  - "Ondernemen"
image: https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-voorbeeld-hero-1024x576.jpg
word_count: 856
---

# Verwerkersovereenkomst voorbeeld: de belangrijkste bepalingen

Een goed verwerkersovereenkomst voorbeeld bevat altijd dezelfde kern: een omschrijving van de verwerking, de instructiebinding, de beveiligingsplicht (artikel 32 AVG), afspraken over subverwerkers, de meldplicht bij datalekken en de teruggave of verwijdering van gegevens na afloop. Deze onderdelen zijn niet vrijblijvend — artikel 28 lid 3 AVG schrijft ze voor. Hieronder loop je de belangrijkste bepalingen langs, zodat je een voorbeeld op waarde kunt schatten.

## Het korte antwoord

- **Omschrijving verwerking**: onderwerp, duur, aard, doel, soorten gegevens en betrokkenen.
- **Instructiebinding**: verwerker handelt alleen op schriftelijke instructie.
- **Beveiliging**: passende technische en organisatorische maatregelen (artikel 32).
- **Subverwerkers**: alleen met toestemming en met doorwerking van verplichtingen.
- **Datalek en teruggave**: meldplicht aan de verantwoordelijke en verwijdering na afloop.

## Verwerkersovereenkomst voorbeeld: de vaste onderdelen

![Verwerkersovereenkomst voorbeeld met de belangrijkste bepalingen](https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-voorbeeld-hero.jpg)

Elk bruikbaar voorbeeld opent met een omschrijving van de verwerking. Daarin staat het onderwerp, de duur, de aard en het doel van de verwerking, plus de soorten persoonsgegevens en de categorieën betrokkenen. Deze omschrijving is geen inleiding, maar begrenst wat de verwerker mag doen: alles daarbuiten valt niet onder de opdracht.

Direct daarna volgt de instructiebinding. De verwerker verwerkt de gegevens uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke. Wijkt hij daarvan af, dan handelt hij op eigen risico en kan hij zelf verwerkingsverantwoordelijke worden voor die verwerking.

## Beveiliging (artikel 32)

![Beveiligingsbepaling artikel 32 in een verwerkersovereenkomst voorbeeld](https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-voorbeeld-body1.jpg)

De beveiligingsbepaling verwijst naar artikel 32 AVG: passende technische en organisatorische maatregelen. In een sterk voorbeeld staan die niet alleen abstract benoemd, maar wordt verwezen naar concrete maatregelen zoals encryptie, toegangsbeheer, logging en een periodieke evaluatie. Wat "passend" is, hangt af van de gevoeligheid van de gegevens en de risico's van de verwerking.

Let op de geheimhoudingsclausule: iedereen die namens de verwerker toegang heeft tot de gegevens, is tot geheimhouding verplicht. Zonder die bepaling is de beveiligingsafspraak onvolledig.

## Subverwerkers

Een verwerker schakelt vaak zelf partijen in — een hostingprovider, een back-updienst. De subverwerker-clausule regelt dat dit alleen mag met (algemene of specifieke) toestemming van de verwerkingsverantwoordelijke. Bovendien moet de verwerker dezelfde AVG-verplichtingen aan de subverwerker opleggen als in de verwerkersovereenkomst staan. De hoofdverwerker blijft aansprakelijk voor de naleving door zijn subverwerkers.

## Meldplicht datalek

![Meldplicht datalek in een verwerkersovereenkomst voorbeeld](https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-voorbeeld-body2.jpg)

In een goed voorbeeld staat dat de verwerker een datalek onverwijld bij de verwerkingsverantwoordelijke meldt, met voldoende informatie om de ernst te beoordelen. De verwerker meldt niet zelf aan de Autoriteit Persoonsgegevens — dat blijft de verantwoordelijkheid van de verwerkingsverantwoordelijke, die binnen 72 uur na kennisname moet melden als het lek een risico oplevert. Leg vast welke gegevens de melding minimaal bevat en via welk kanaal die verloopt.

## Teruggave en verwijdering

De slotbepaling regelt wat er na afloop gebeurt. De verwerker geeft de persoonsgegevens terug of vernietigt ze, naar keuze van de verwerkingsverantwoordelijke, en verwijdert bestaande kopieën — tenzij een wettelijke bewaarplicht anders eist. Een sterk voorbeeld noemt een concrete termijn en verlangt een bevestiging van de verwijdering.

## Eerlijke aanbeveling

![Jurist beoordeelt een verwerkersovereenkomst voorbeeld](https://mkbjuristen.nl/wp-content/uploads/2026/07/verwerkersovereenkomst-voorbeeld-advies.jpg)

Een voorbeeld van een gerenommeerde leverancier is voor een standaarddienst meestal prima bruikbaar. Leg het naast de zes onderdelen hierboven: staan ze er allemaal in, dan kun je het zonder jurist gebruiken. Voor de gangbare mkb-situatie is dat voldoende.

Raadpleeg een jurist wanneer je bijzondere gegevens verwerkt, buiten de EU doorgeeft, of zelf verwerker bent en een voorbeeld als eigen model wilt aanbieden. Een voorbeeld klakkeloos overnemen zonder het aan te passen aan jouw feitelijke verwerking is een veelgemaakte fout.

Verder lezen: bekijk de [checklist](https://mkbjuristen.nl/blog/ondernemen/verwerkersovereenkomst-checklist/) om het voorbeeld te toetsen, lees welke [valkuilen](https://mkbjuristen.nl/blog/ondernemen/verwerkersovereenkomst-valkuilen/) je moet vermijden, of stel er direct een op via de [verwerkersovereenkomst](https://mkbjuristen.nl/contracten/verwerkersovereenkomst/).

## Veelgestelde vragen

**Wat staat er in een verwerkersovereenkomst voorbeeld?** Een omschrijving van de verwerking, de instructiebinding, de beveiligingsplicht (artikel 32 AVG), afspraken over subverwerkers, de meldplicht bij datalekken en de teruggave of verwijdering van gegevens na afloop. Deze onderdelen schrijft artikel 28 lid 3 AVG voor.

**Mag ik een voorbeeld zomaar overnemen?** Niet klakkeloos. Pas het voorbeeld aan aan jouw feitelijke verwerking: soorten gegevens, doel, bewaartermijn en subverwerkers. Een voorbeeld dat niet klopt met de werkelijkheid geeft schijnzekerheid en kan in strijd zijn met de AVG.

**Wat is de belangrijkste bepaling?** Er is geen enkele belangrijkste bepaling: de kracht zit in de combinatie. Ontbreekt één verplicht onderdeel — bijvoorbeeld de subverwerker-clausule of de verwijderingsbepaling — dan voldoet het model niet aan artikel 28 AVG.

**Wat regelt de instructiebinding?** Dat de verwerker gegevens uitsluitend op gedocumenteerde instructie van de verwerkingsverantwoordelijke verwerkt. Wijkt hij daarvan af, dan handelt hij op eigen risico en kan hij zelf verwerkingsverantwoordelijke worden voor die verwerking.

**Hoe streng moet de beveiligingsbepaling zijn?** De maatregelen moeten passend zijn bij de gevoeligheid van de gegevens en de risico's (artikel 32 AVG). Een sterk voorbeeld noemt concrete maatregelen zoals encryptie, toegangsbeheer en logging, en verplicht tot geheimhouding door iedereen met toegang.

**Wie meldt een datalek bij een voorbeeld?** De verwerker meldt het lek onverwijld bij de verwerkingsverantwoordelijke. Die beslist of binnen 72 uur melding bij de Autoriteit Persoonsgegevens nodig is. Een goed voorbeeld legt vast welke informatie de melding bevat en via welk kanaal die verloopt.

**Wat moet er over teruggave in staan?** Dat de verwerker de gegevens na afloop teruggeeft of vernietigt, naar keuze van de verwerkingsverantwoordelijke, en kopieën verwijdert tenzij een wettelijke bewaarplicht anders eist. Een concrete termijn en een bevestiging van de verwijdering horen erbij.