--- title: "Verwerking verantwoord vastleggen: zo stel je een verwerkers­overeenkomst op" url: https://mkbjuristen.nl/blog/verwerkersovereenkomst/ date: 2026-07-20 modified: 2026-07-20 author: "denian@mkbrecht.nl" description: "Verwerkers­overeenkomst onder AVG (art. 28): contract tussen verwerkingsverantwoordelijke en verwerker. Verplichte inhoud en voorbeelden." categories: - "Blog" image: https://mkbjuristen.nl/wp-content/uploads/2026/06/aho-documents-stack-1024x576.jpg word_count: 703 --- # Verwerking verantwoord vastleggen: zo stel je een verwerkers­overeenkomst op Een verwerkers­overeenkomst (art. 28 AVG) is verplicht contract tussen verwerkings­verantwoordelijke (jouw BV) en verwerker (externe partij die in jouw opdracht persoonsgegevens verwerkt). Voorbeelden: hosting­provider, payroll-dienst, marketing-tool, cloud-software. Inhoud wettelijk voorgeschreven: onderwerp, duur, aard verwerking, type gegevens, plichten verwerker. Zonder geldige verwerkers­overeenkomst: AP-boete tot 2% wereldomzet. Voor mkb-bv vrijwel dagelijks onderwerp. Hieronder verplichte inhoud en praktijk. ## Het korte antwoord - **Wat**: verplicht contract tussen verantwoordelijke en verwerker (art. 28 AVG). - **Wie verwerker**: hosting, payroll, marketing-tool, cloud-software, klantsupport. - **Verplichte inhoud**: onderwerp, duur, aard, gegevens, plichten verwerker. - **Vorm**: schriftelijk (mag e-mail-akkoord). - **Sancties**: AP-boete tot 2% wereldomzet bij ontbreken. ## Wat is verwerker vs. verantwoordelijke? ![Verwerkersovereenkomst getekend](https://mkbjuristen.nl/wp-content/uploads/2026/06/aho-documents-stack.jpg) ### Verwerkings­verantwoordelijke Bepaalt doel en middelen van verwerking — jouw BV bij klantgegevens, personeelsgegevens, marketing. ### Verwerker Voert verwerking uit namens verantwoordelijke — zonder eigen beslissing over doel of middelen. Bv. hosting­provider die jouw data op servers houdt, payroll-dienst die salaris berekent. ### Gezamenlijke verantwoordelijken Twee partijen gezamenlijk doel/middelen bepalen — bv. partnership tussen bedrijven met gedeelde klantdata. Andere overeenkomst-vorm (art. 26 AVG). ## Wanneer verwerkers­overeenkomst? - Hosting/cloud­provider voor klant- of personeels­data. - Payroll-dienst voor salarisadministratie. - E-mail-marketing tool (Mailchimp, Klaviyo). - CRM-software (HubSpot, Salesforce). - Klantsupport-tool (Zendesk, Intercom). - Boekhoud­pakket (Yuki, Exact, Moneybird) — bij verwerking persoonsgegevens. - HR-software (Personio, AFAS). - Backup-dienst. - Marketing-bureau dat campagnes uitvoert met data. - Incassobureau voor debiteuren. Vrijwel elke externe tool met klant- of personeelsgegevens. ## Verplichte inhoud (art. 28 lid 3 AVG) ![AVG-toets contract](https://mkbjuristen.nl/wp-content/uploads/2026/05/wat-zijn-algemene-voorwaarden.jpg) - **Onderwerp en duur**: wat wordt verwerkt, hoe lang. - **Aard en doel verwerking**: hosting, processing, analyse. - **Type persoonsgegevens**: NAW, financieel, gezondheid. - **Categorieën betrokkenen**: klanten, werknemers, leveranciers. - **Rechten en plichten verantwoordelijke**. - **Verplichtingen verwerker**: Verwerken uitsluitend op gedocumenteerde instructies. - Geheimhouding personeel. - Adequate beveiliging (TOM = Technische en Organisatorische Maatregelen). - Toestemming nodig voor subverwerkers. - Hulp bij verzoeken betrokkenen. - Hulp bij datalek-meldingen. - Hulp bij DPIA's. - Na einde: data verwijderen of teruggeven. - Audit-rechten verantwoordelijke. ## Subverwerkers Verwerker mag subverwerkers inschakelen (bv. hosting­provider gebruikt server­centrum) — met toestemming verantwoordelijke. Standaard­clausules: - Lijst huidige subverwerkers. - Verplichting bij nieuwe subverwerker te informeren. - Recht verantwoordelijke om bezwaar te maken. - Subverwerker zelfde verplichtingen als verwerker. ## Standaard­contractbepalingen (SCC) Voor doorgifte buiten EU (US-tools): standaardcontractbepalingen van EU-Commissie. Vereist: - Vermelding in verwerkers­overeenkomst. - SCC-bijlagen ingevuld. - Voor US: aanvullende beveiligings­maatregelen (na Schrems II). ## Standaard­overeenkomst van leverancier vaak voldoende Grote leveranciers (Microsoft, Google, AWS, Mailchimp) hebben standaard verwerkers­overeenkomst (Data Processing Agreement, DPA): - Online te accepteren bij account-aanvraag. - Voldoet aan AVG. - Voor mkb: meestal voldoende — geen aparte onderhandeling. Belangrijk: actueel accepteren en archiveren als bewijs. ## Tessa's verwerkers­overeenkomsten Tessa heeft 8 verwerkers: - Hosting: AWS — DPA online geaccepteerd, gearchiveerd. - Boekhouding: Yuki — DPA in contract. - HR-software: Personio — DPA in contract. - E-mail-marketing: Mailchimp — DPA online geaccepteerd. - Cloud-storage: Google Workspace — DPA in subscription. - Klantsupport: Zendesk — DPA in contract. - CRM: HubSpot — DPA in contract. - Salarisadministratie: ADP — eigen DPA op maat opgesteld. Centraal archief met alle DPA's — bij AP-controle direct beschikbaar. ## Eerlijke aanbeveling ![Privacy-jurist stelt op](https://mkbjuristen.nl/wp-content/uploads/2026/05/jurist-consult-overleg.jpg) Voor mkb-bv: inventariseer alle externe partijen met toegang tot persoonsgegevens. Voor grote standaard tools: standaard DPA accepteren en archiveren. Voor specifieke of kleine leveranciers: eigen template (€ 500-€ 1.500 bij jurist) klaar hebben. Bij internationale tools: SCC controleren. Inventarisatie kost 4-8 uur, voorkomt AP-boete en geeft AVG-compliance. Voor andere onderwerpen: [verwerkingsregister](https://mkbjuristen.nl/blog/ondernemen/verwerkingsregister-avg/), [privacy statement](https://mkbjuristen.nl/blog/ondernemen/privacy-statement/) en [datalek](https://mkbjuristen.nl/blog/ondernemen/datalek/). ## Veelgestelde vragen **Wat is een verwerkers­overeenkomst?** Verplicht contract (art. 28 AVG) tussen verwerkings­verantwoordelijke en externe partij die in jouw opdracht persoonsgegevens verwerkt. Bv. hosting, payroll, marketing-tool, cloud-software. Inhoud wettelijk voorgeschreven. **Wanneer nodig?** Bij elke externe partij die in jouw opdracht persoonsgegevens verwerkt: hosting, payroll, e-mail-marketing, CRM, HR-software, boekhouding, klantsupport, etc. Vrijwel elke externe SaaS-tool met klant- of personeels­gegevens. **Wat moet erin?** Onderwerp en duur, aard en doel verwerking, type gegevens, categorieën betrokkenen, plichten verwerker (instructies, geheimhouding, beveiliging, subverwerkers, hulp bij rechten/datalek, einde-verwijdering, audit), rechten verantwoordelijke. **Standaard DPA voldoende?** Grote leveranciers (Microsoft, Google, AWS, Mailchimp) bieden standaard verwerkers­overeenkomst (DPA) online te accepteren. Voor mkb: meestal voldoende, geen aparte onderhandeling. Belangrijk: archiveren als bewijs. **Wat zijn subverwerkers?** Externe partij die verwerker inschakelt (bv. hosting­provider gebruikt server­centrum). Verwerker mag dit met toestemming verantwoordelijke. Standaard­clausules: lijst huidige subverwerkers, recht op bezwaar bij nieuwe. **Buiten EU-doorgifte?** Bij US-tools of andere niet-EU: Standaardcontract­bepalingen (SCC) van EU-Commissie verplicht. Vermelding in DPA + SCC-bijlagen ingevuld. Voor US: aanvullende beveiligings­maatregelen na Schrems II. **Sancties bij ontbreken?** AP-boete tot 2% wereldomzet of € 10 miljoen. Bij datalek bij verwerker zonder DPA: beide partijen aansprakelijk. Investeer 4-8 uur in inventarisatie en DPA's — voorkomt boetes en geeft compliance.