Een websitebouwer host uw site, een marketingbureau beheert campagnes en een salarisadministrateur verwerkt personeelsgegevens. Zodra een externe partij persoonsgegevens namens uw organisatie verwerkt, komt de vraag op tafel: wat staat in een verwerkersovereenkomst? Het antwoord is concreter dan alleen een AVG-verwijzing. Dit document legt vast wie waarvoor verantwoordelijk is, hoe gegevens worden beschermd en wat er gebeurt als de samenwerking stopt.

Voor mkb-bedrijven is een verwerkersovereenkomst geen document dat alleen juridisch netjes moet zijn. Het is een praktische afspraak die voorkomt dat onduidelijkheid ontstaat bij een datalek, een vraag van een klant of een wisseling van leverancier. De overeenkomst moet daarom passen bij de werkzaamheden die daadwerkelijk worden uitgevoerd.

Wat staat er in een verwerkersovereenkomst?

Een verwerkersovereenkomst sluit u tussen de verwerkingsverantwoordelijke en de verwerker. Meestal is uw organisatie de verwerkingsverantwoordelijke: u bepaalt waarom en met welk doel persoonsgegevens worden gebruikt. De verwerker voert een taak voor u uit, bijvoorbeeld het hosten van een website, verzenden van nieuwsbrieven of beheren van klantgegevens in een online systeem.

De overeenkomst beschrijft niet alleen dat er gegevens worden verwerkt, maar vooral onder welke voorwaarden. De AVG stelt hiervoor verplichte onderdelen vast. Een goed document vertaalt die onderdelen naar uw dagelijkse praktijk, zonder onnodig juridisch jargon.

De verwerking: doel, duur en soort gegevens

Allereerst moet duidelijk zijn welke verwerking plaatsvindt. Daarbij staat vermeld waarvoor de gegevens worden gebruikt, hoe lang de verwerking duurt, welke handelingen de verwerker uitvoert en om welke categorieën persoonsgegevens het gaat.

Bij websitehosting kan dat bijvoorbeeld gaan om IP-adressen, contactformuliergegevens, inloggegevens en technische logbestanden. Bij e-mailmarketing gaat het eerder om namen, e-mailadressen, voorkeuren en statistieken over opens en kliks. Ook moet duidelijk zijn van wie de gegevens zijn: websitebezoekers, klanten, medewerkers, nieuwsbriefabonnees of leveranciers.

Dit onderdeel lijkt administratief, maar is juist essentieel. Een partij die uw website host, hoeft niet automatisch toegang te hebben tot uw volledige CRM of personeelsdossier. Door de verwerking nauwkeurig te omschrijven, beperkt u de toegang tot wat voor de opdracht nodig is.

Verwerken alleen in opdracht

De verwerker mag persoonsgegevens uitsluitend verwerken volgens gedocumenteerde instructies van de verwerkingsverantwoordelijke. Dat betekent dat een leverancier gegevens niet voor eigen marketing, analyses of andere doeleinden mag gebruiken, tenzij daar een zelfstandige wettelijke grondslag voor is en de rollen anders liggen.

In de praktijk vraagt dit om een realistische afspraak. Een hostingpartij mag back-ups maken en beveiligingslogs analyseren als dat nodig is om de dienst te leveren. Een marketingpartij mag campagneresultaten beoordelen om een advertentiecampagne te optimaliseren. Die handelingen moeten wel passen binnen de afgesproken opdracht en mogen niet uitmonden in eigen gebruik van klantdata.

Ook hoort in de overeenkomst te staan wat er gebeurt als een instructie volgens de verwerker in strijd is met de AVG of andere privacywetgeving. De verwerker moet u daar dan over informeren, in plaats van de instructie zonder meer uit te voeren.

Beveiliging en vertrouwelijkheid in de praktijk

Een algemene zin als ‘passende beveiliging’ is juridisch niet per se fout, maar helpt weinig wanneer er iets misgaat. De overeenkomst moet duidelijk maken welke beveiligingsmaatregelen de verwerker neemt. Welke maatregelen passend zijn, hangt af van het soort gegevens, de hoeveelheid data en het risico voor betrokkenen.

Denk bij een zakelijke website aan versleutelde verbindingen, sterke wachtwoorden, toegangsbeheer, actuele software, back-ups en monitoring. Verwerkt een partij bijzondere persoonsgegevens, zoals medische gegevens, dan zijn zwaardere maatregelen en beperktere toegang vaak nodig. Beveiliging is dus geen vaste checklist die voor elke organisatie hetzelfde werkt.

Daarnaast moeten medewerkers en ingeschakelde derden tot geheimhouding zijn verplicht. Dat geldt ook voor tijdelijke krachten of technische specialisten die bij storingen toegang kunnen krijgen. De afspraak hoort duidelijk te maken dat persoonsgegevens niet zomaar intern gedeeld mogen worden.

Datalekken: snelheid maakt het verschil

Een verwerker moet een mogelijk datalek zonder onredelijke vertraging melden aan de verwerkingsverantwoordelijke. In de overeenkomst staat idealiter hoe die melding verloopt, wie het contactpersoon is en welke informatie wordt aangeleverd.

U wilt bij een incident niet eerst uitzoeken of het om een echt datalek gaat, welke systemen geraakt zijn en of er een back-up beschikbaar is. De verwerker moet u helpen met informatie over de aard van het incident, de betrokken gegevens, de mogelijke gevolgen en de genomen maatregelen. Vervolgens beoordeelt u als verwerkingsverantwoordelijke of melding bij de Autoriteit Persoonsgegevens en eventueel bij betrokkenen nodig is.

Let op een te vrijblijvende formulering. Een afspraak dat een leverancier ‘zo spoedig mogelijk’ meldt, is minder bruikbaar dan een duidelijke procedure met bereikbaarheid buiten kantooruren wanneer dat voor uw dienstverlening relevant is.

Subverwerkers en doorgifte buiten de EU

Veel leveranciers voeren niet alles zelf uit. Een hostingpartij kan een datacenter gebruiken, een e-maildienst kan een externe verzendprovider inschakelen en een marketingplatform kan gegevens opslaan bij een cloudleverancier. Zo’n ingeschakelde partij heet een subverwerker.

De verwerkersovereenkomst moet aangeven of subverwerkers mogen worden ingezet en onder welke voorwaarden. U kunt kiezen voor voorafgaande specifieke toestemming per subverwerker, of voor algemene toestemming met een meldplicht bij wijzigingen. Voor veel mkb-organisaties is die tweede optie praktischer, mits u tijdig bezwaar kunt maken als een nieuwe subverwerker niet acceptabel is.

De hoofdverwerker blijft verantwoordelijk voor de afspraken met die subverwerker. Die moet dus minimaal dezelfde privacy- en beveiligingsverplichtingen opleggen. Extra aandacht is nodig wanneer persoonsgegevens buiten de Europese Economische Ruimte terechtkomen. Dan moeten passende doorgiftewaarborgen worden geregeld. Een vermelding dat data ‘in de cloud’ staat, zegt op zichzelf nog niets over de juridische bescherming.

Hulp bij privacyrechten en controles

Mensen hebben privacyrechten. Zij kunnen bijvoorbeeld inzage vragen, gegevens laten corrigeren of in bepaalde gevallen verwijdering verzoeken. De verwerker moet de verwerkingsverantwoordelijke helpen om zulke verzoeken af te handelen, voor zover dat redelijkerwijs nodig is.

Ook moet de verwerker ondersteuning bieden bij beveiligingsverplichtingen, datalekken en een eventuele gegevensbeschermingseffectbeoordeling. Hoe uitgebreid die hulp moet zijn, hangt af van de dienst. Een eenvoudige tool met weinig persoonsgegevens vraagt iets anders dan een platform dat grote klantbestanden beheert.

Verder bevat een verwerkersovereenkomst afspraken over controle. U moet kunnen nagaan of de verwerker de afspraken nakomt, bijvoorbeeld via documentatie, certificeringen, rapportages of onder voorwaarden een audit. Een onbeperkt recht om op elk moment een datacenter binnen te lopen is meestal niet realistisch en kan zelfs de beveiliging verstoren. Kies daarom voor een controleafspraak die uitvoerbaar én voldoende inzichtelijk is.

Wat gebeurt er bij het einde van de samenwerking?

Een van de meest vergeten onderdelen gaat over beëindiging. Na afloop van de dienstverlening moet de verwerker persoonsgegevens verwijderen of teruggeven, tenzij een wettelijke bewaarplicht geldt. Leg ook vast in welke vorm u gegevens terugkrijgt, binnen welke termijn dat gebeurt en hoe de verwijdering wordt bevestigd.

Dit is bijzonder relevant bij een nieuwe website, een overstap van nieuwsbriefsysteem of het beëindigen van hosting. U wilt niet dat klantgegevens onnodig lang bij een voormalige leverancier blijven staan. Tegelijkertijd kunnen back-ups een beperkte bewaartermijn hebben. Dat mag, zolang dit transparant is en de gegevens niet meer actief worden gebruikt.

Veelgemaakte fouten bij verwerkersovereenkomsten

De grootste fout is een standaarddocument ondertekenen zonder te toetsen of het bij de dienst past. Een overeenkomst voor salarisverwerking kan niet één-op-één worden gebruikt voor webhosting of online advertenties. De gegevens, risico’s en toegang verschillen daarvoor te veel.

Ook worden rollen geregeld door elkaar gehaald. Niet iedere externe partij is een verwerker. Een accountant kan voor bepaalde werkzaamheden zelfstandig verwerkingsverantwoordelijke zijn, omdat wettelijke regels mede bepalen hoe gegevens worden verwerkt. Een advertentieplatform kan soms een eigen rol hebben naast die van verwerker. Kijk daarom naar de feitelijke situatie, niet alleen naar het etiket dat een leverancier gebruikt.

Ten slotte is een handtekening geen eindpunt. Verandert uw website, gebruikt u een nieuwe e-mailtool of krijgt een leverancier toegang tot extra data? Controleer dan of de verwerking en de afspraken nog kloppen. Bij LinQxx is AVG-inrichting daarom geen los document, maar onderdeel van zorgvuldig beheer van websites, hosting en online diensten.

Een bruikbare verwerkersovereenkomst geeft beide partijen houvast op het moment dat het ertoe doet. Leg de afspraken begrijpelijk vast, stem ze af op uw dienstverlening en houd ze actueel. Daarmee beschermt u niet alleen persoonsgegevens, maar ook de continuïteit en het vertrouwen waarop uw organisatie draait.