Bijna elk bedrijf laat een ander bedrijf persoonsgegevens voor zich verwerken, en dan hoort daar een afspraak op papier bij.
Kort antwoord
Een verwerkersovereenkomst is nodig als een ander bedrijf in uw opdracht persoonsgegevens verwerkt, bijvoorbeeld uw hoster, boekhoudpakket, nieuwsbriefdienst of webbouwer met toegang tot uw klantgegevens. In die overeenkomst staat wat de verwerker wel en niet met de gegevens mag doen en hoe hij ze beveiligt. Bij grote softwarepartijen zit die afspraak vaak al in de algemene voorwaarden. Dit is algemene uitleg, geen juridisch advies.
Verwerkingsverantwoordelijke en verwerker
De AVG maakt onderscheid tussen twee rollen:
Verwerkingsverantwoordelijke: u. U bepaalt waarom en hoe er persoonsgegevens worden verwerkt. Bijvoorbeeld de gegevens van uw klanten.
Verwerker: een partij die in uw opdracht met die gegevens werkt, zonder er zelf iets mee te mogen doen.
Een verwerkersovereenkomst legt die verhouding vast. De AVG schrijft voor welke onderwerpen er minimaal in moeten staan.
Wanneer wel, wanneer niet
Voorbeelden waarbij doorgaans een verwerkersovereenkomst nodig is:
Websitehosting en e-mailhosting.
Online boekhoud- en factuurpakketten.
Nieuwsbrief- en mailingdiensten.
Een CRM of gedeelde inbox, ook voor WhatsApp of chat.
Een AI-assistent die klantvragen beantwoordt.
Een salarisadministrateur of extern administratiekantoor, afhankelijk van de rol.
Een webbouwer of IT-beheerder die toegang heeft tot uw database of mailboxen.
Meestal geen verwerkersovereenkomst nodig:
Een bezorger die alleen het adres gebruikt om een pakket af te leveren; die bepaalt vaak zelf hoe hij werkt.
Uw bank of betaalprovider, die vaak zelf verantwoordelijk is voor de betaalgegevens.
Uw accountant, die vaak onder eigen beroepsregels werkt en zelf verantwoordelijk is.
De grens is niet altijd scherp. Bij twijfel is het verstandig het na te vragen bij de partij zelf of bij een jurist.
Wat er minimaal in staat
Een verwerkersovereenkomst regelt onder meer:
Welke gegevens, voor welk doel en hoelang.
Dat de verwerker alleen werkt volgens uw instructies.
Geheimhouding door medewerkers van de verwerker.
Passende beveiligingsmaatregelen.
Of de verwerker zelf weer anderen mag inschakelen (subverwerkers).
Hulp bij datalekken en bij verzoeken van betrokkenen.
Wat er gebeurt met de gegevens na afloop: teruggeven of verwijderen.
Uw recht om te controleren of de afspraken worden nagekomen.
Zo regelt u het in de praktijk
Maak een lijst van alle diensten en partijen die uw klantgegevens zien: hosting, mail, boekhouding, nieuwsbrief, agenda, chat, back-ups.
Zoek per dienst de verwerkersovereenkomst op. Grote partijen hebben een "data processing agreement" of "DPA" in hun voorwaarden of in de accountinstellingen.
Accepteer of onderteken waar nodig, en bewaar een kopie of link in één map.
Vraag kleinere partijen, zoals een freelance webbouwer, om een overeenkomst. Er bestaan standaardmodellen.
Herhaal dit bij elke nieuwe dienst die u gaat gebruiken.
Mijn rol als webbouwer en beheerder
Beheer ik uw website, hosting of een assistent die klantgesprekken verwerkt, dan ben ik voor die gegevens uw verwerker. Daar hoort een verwerkersovereenkomst bij, en die regel ik graag met u. Hosting is beheerd vanuit Nederland, met data in de EU.
Veelgestelde vragen
Is een verwerkersovereenkomst verplicht voor een eenmanszaak?
De verplichting hangt niet af van de grootte van uw bedrijf. Laat u persoonsgegevens door een ander verwerken, dan geldt het ook voor u.
Wat als een partij geen verwerkersovereenkomst wil sluiten?
Dan is het verstandig een andere partij te kiezen. Zonder afspraken kunt u moeilijk aantonen dat u zorgvuldig met gegevens omgaat.
Moet ik de overeenkomst echt ondertekenen?
Vaak is digitaal akkoord geven in uw account genoeg. Zorg dat u later kunt laten zien welke overeenkomst er geldt.
Hulp nodig?
Wilt u weten welke diensten in uw website en mail persoonsgegevens verwerken? Ik breng het in kaart via IT-support.
