MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Een verwerkersovereenkomst (art. 28 AVG) is verplicht contract tussen verwerkingsverantwoordelijke (jouw BV) en verwerker (externe partij die in jouw opdracht persoonsgegevens verwerkt). Voorbeelden: hostingprovider, payroll-dienst, marketing-tool, cloud-software. Inhoud wettelijk voorgeschreven: onderwerp, duur, aard verwerking, type gegevens, plichten verwerker. Zonder geldige verwerkersovereenkomst: AP-boete tot 2% wereldomzet. Voor mkb-bv vrijwel dagelijks onderwerp. Hieronder verplichte inhoud en praktijk.
Het korte antwoord
- Wat: verplicht contract tussen verantwoordelijke en verwerker (art. 28 AVG).
- Wie verwerker: hosting, payroll, marketing-tool, cloud-software, klantsupport.
- Verplichte inhoud: onderwerp, duur, aard, gegevens, plichten verwerker.
- Vorm: schriftelijk (mag e-mail-akkoord).
- Sancties: AP-boete tot 2% wereldomzet bij ontbreken.
Wat is verwerker vs. verantwoordelijke?
Verwerkingsverantwoordelijke
Bepaalt doel en middelen van verwerking — jouw BV bij klantgegevens, personeelsgegevens, marketing.
Verwerker
Voert verwerking uit namens verantwoordelijke — zonder eigen beslissing over doel of middelen. Bv. hostingprovider die jouw data op servers houdt, payroll-dienst die salaris berekent.
Gezamenlijke verantwoordelijken
Twee partijen gezamenlijk doel/middelen bepalen — bv. partnership tussen bedrijven met gedeelde klantdata. Andere overeenkomst-vorm (art. 26 AVG).
Wanneer verwerkersovereenkomst?
- Hosting/cloudprovider voor klant- of personeelsdata.
- Payroll-dienst voor salarisadministratie.
- E-mail-marketing tool (Mailchimp, Klaviyo).
- CRM-software (HubSpot, Salesforce).
- Klantsupport-tool (Zendesk, Intercom).
- Boekhoudpakket (Yuki, Exact, Moneybird) — bij verwerking persoonsgegevens.
- HR-software (Personio, AFAS).
- Backup-dienst.
- Marketing-bureau dat campagnes uitvoert met data.
- Incassobureau voor debiteuren.
Vrijwel elke externe tool met klant- of personeelsgegevens.
Verplichte inhoud (art. 28 lid 3 AVG)
- Onderwerp en duur: wat wordt verwerkt, hoe lang.
- Aard en doel verwerking: hosting, processing, analyse.
- Type persoonsgegevens: NAW, financieel, gezondheid.
- Categorieën betrokkenen: klanten, werknemers, leveranciers.
- Rechten en plichten verantwoordelijke.
- Verplichtingen verwerker:
- Verwerken uitsluitend op gedocumenteerde instructies.
- Geheimhouding personeel.
- Adequate beveiliging (TOM = Technische en Organisatorische Maatregelen).
- Toestemming nodig voor subverwerkers.
- Hulp bij verzoeken betrokkenen.
- Hulp bij datalek-meldingen.
- Hulp bij DPIA’s.
- Na einde: data verwijderen of teruggeven.
- Audit-rechten verantwoordelijke.
Subverwerkers
Verwerker mag subverwerkers inschakelen (bv. hostingprovider gebruikt servercentrum) — met toestemming verantwoordelijke. Standaardclausules:
- Lijst huidige subverwerkers.
- Verplichting bij nieuwe subverwerker te informeren.
- Recht verantwoordelijke om bezwaar te maken.
- Subverwerker zelfde verplichtingen als verwerker.
Standaardcontractbepalingen (SCC)
Voor doorgifte buiten EU (US-tools): standaardcontractbepalingen van EU-Commissie. Vereist:
- Vermelding in verwerkersovereenkomst.
- SCC-bijlagen ingevuld.
- Voor US: aanvullende beveiligingsmaatregelen (na Schrems II).
Standaardovereenkomst van leverancier vaak voldoende
Grote leveranciers (Microsoft, Google, AWS, Mailchimp) hebben standaard verwerkersovereenkomst (Data Processing Agreement, DPA):
- Online te accepteren bij account-aanvraag.
- Voldoet aan AVG.
- Voor mkb: meestal voldoende — geen aparte onderhandeling.
Belangrijk: actueel accepteren en archiveren als bewijs.
Tessa’s verwerkersovereenkomsten
Tessa heeft 8 verwerkers:
- Hosting: AWS — DPA online geaccepteerd, gearchiveerd.
- Boekhouding: Yuki — DPA in contract.
- HR-software: Personio — DPA in contract.
- E-mail-marketing: Mailchimp — DPA online geaccepteerd.
- Cloud-storage: Google Workspace — DPA in subscription.
- Klantsupport: Zendesk — DPA in contract.
- CRM: HubSpot — DPA in contract.
- Salarisadministratie: ADP — eigen DPA op maat opgesteld.
Centraal archief met alle DPA’s — bij AP-controle direct beschikbaar.
Eerlijke aanbeveling
Voor mkb-bv: inventariseer alle externe partijen met toegang tot persoonsgegevens. Voor grote standaard tools: standaard DPA accepteren en archiveren. Voor specifieke of kleine leveranciers: eigen template (€ 500-€ 1.500 bij jurist) klaar hebben. Bij internationale tools: SCC controleren. Inventarisatie kost 4-8 uur, voorkomt AP-boete en geeft AVG-compliance.
Voor andere onderwerpen: verwerkingsregister, privacy statement en datalek.
Veelgestelde vragen
Verplicht contract (art. 28 AVG) tussen verwerkingsverantwoordelijke en externe partij die in jouw opdracht persoonsgegevens verwerkt. Bv. hosting, payroll, marketing-tool, cloud-software. Inhoud wettelijk voorgeschreven.
Bij elke externe partij die in jouw opdracht persoonsgegevens verwerkt: hosting, payroll, e-mail-marketing, CRM, HR-software, boekhouding, klantsupport, etc. Vrijwel elke externe SaaS-tool met klant- of personeelsgegevens.
Onderwerp en duur, aard en doel verwerking, type gegevens, categorieën betrokkenen, plichten verwerker (instructies, geheimhouding, beveiliging, subverwerkers, hulp bij rechten/datalek, einde-verwijdering, audit), rechten verantwoordelijke.
Grote leveranciers (Microsoft, Google, AWS, Mailchimp) bieden standaard verwerkersovereenkomst (DPA) online te accepteren. Voor mkb: meestal voldoende, geen aparte onderhandeling. Belangrijk: archiveren als bewijs.
Externe partij die verwerker inschakelt (bv. hostingprovider gebruikt servercentrum). Verwerker mag dit met toestemming verantwoordelijke. Standaardclausules: lijst huidige subverwerkers, recht op bezwaar bij nieuwe.
Bij US-tools of andere niet-EU: Standaardcontractbepalingen (SCC) van EU-Commissie verplicht. Vermelding in DPA + SCC-bijlagen ingevuld. Voor US: aanvullende beveiligingsmaatregelen na Schrems II.
AP-boete tot 2% wereldomzet of € 10 miljoen. Bij datalek bij verwerker zonder DPA: beide partijen aansprakelijk. Investeer 4-8 uur in inventarisatie en DPA’s — voorkomt boetes en geeft compliance.
