De verwerkers­over­een­komst

Wanneer heeft u een verwerkers­over­een­komst nodig?

De AVG kent twee rollen. De verwerkings­ver­ant­woor­de­lijke bepaalt waarom en hoe per­soons­ge­ge­vens worden verwerkt. De verwerker verwerkt de gegevens namens hem (artikel 4 punt 7 en 8 AVG). Schakelt u een verwerker in, dan moet u met hem een verwerkers­over­een­komst sluiten (artikel 28 lid 3 AVG). Voorbeelden van verwerkers:

• een clouddienst of hos­ting­be­drijf waar uw klant­ge­ge­vens staan;
• een boekhoud- of sa­la­ris­pro­gramma dat u online gebruikt;
• een bureau dat uw nieuws­brie­ven verstuurt;
• een IT-beheerder die toegang heeft tot uw systemen.

U mag alleen werken met verwerkers die voldoende garanties bieden dat zij de gegevens goed beveiligen en de AVG naleven (artikel 28 lid 1 AVG).

Wat moet erin?

De over­een­komst beschrijft het onderwerp en de duur, de aard en het doel van de verwerking, het soort per­soons­ge­ge­vens, de groepen mensen om wie het gaat, en de rechten en plichten van de ver­ant­woor­de­lijke. Daarnaast moet erin staan dat de verwerker:

Verplichte afspraken in een verwerkers­over­een­komst

Onderdeel	Wat de verwerker belooft
Instructies	Alleen verwerken op schrif­te­lijke instructie van de ver­ant­woor­de­lijke, ook bij doorgifte naar landen buiten de EU
Ge­heim­hou­ding	Wie met de gegevens werkt, heeft ge­heim­hou­ding beloofd of heeft een wettelijke ge­heim­hou­dings­plicht
Beveiliging	Alle be­vei­li­gings­maatregelen uit artikel 32 AVG nemen
Sub­ver­wer­kers	Alleen een andere verwerker inschakelen onder de voorwaarden van de over­een­komst
Rechten van mensen	Helpen bij verzoeken om inzage, verbetering of wissen
Beveiliging, datalekken en DPIA	Helpen bij de plichten uit artikel 32 tot en met 36 AVG
Einde van de opdracht	De gegevens wissen of teruggeven, naar keuze van de ver­ant­woor­de­lijke, en kopieën verwijderen
Controle	Alle informatie geven om de naleving aan te tonen en audits en inspecties toelaten

De over­een­komst moet schrif­te­lijk zijn; een elek­tro­ni­sche vorm mag ook (artikel 28 lid 9 AVG). Afspraken over be­schik­baar­heid en re­ac­tie­tij­den horen meestal in een apart contract. Lees service level agreement.

Sub­ver­wer­kers

Een verwerker mag geen andere verwerker inschakelen zonder uw voor­af­gaande schrif­te­lijke toestemming. Geeft u algemene toestemming, dan moet de verwerker u laten weten als hij een sub­ver­wer­ker toevoegt of vervangt, zodat u bezwaar kunt maken (artikel 28 lid 2 AVG). Aan de sub­ver­wer­ker worden dezelfde plichten opgelegd als aan de verwerker (artikel 28 lid 4 AVG).

Wie is aan­spra­ke­lijk?

• De ver­ant­woor­de­lijke organisatie is aan­spra­ke­lijk voor schade door een verwerking die de AVG overtreedt (artikel 82 lid 2 AVG).
• De verwerker is aan­spra­ke­lijk als hij zijn eigen plichten uit de AVG niet nakomt, of als hij buiten of tegen uw instructies in handelt.
• Bepaalt de verwerker zelf het doel en de middelen, dan geldt hij voor die verwerking als ver­ant­woor­de­lijke (artikel 28 lid 10 AVG).

Elke zaak is anders

De voorbeelden, uitspraken en uitkomsten van rekenhulpen op deze site laten zien hoe de regels in andere situaties werken. Ze zeggen niet wat de uitkomst in uw zaak wordt: die hangt af van uw eigen afspraken, bewijs en om­stan­dig­he­den. Twijfelt u? Lees waar u gratis of betaalbare juridische hulp vindt.

Wie kan u helpen?

Begin hier

Uw func­ti­ona­ris gegevens­bescherming

Uw organisatie heeft een FG en u wilt een verwerkers­over­een­komst laten nakijken.

Binnen uw organisatie

Specialist privacy en IT

U wilt een verwerkers­over­een­komst laten opstellen of beoordelen, of er is een geschil met een leverancier.

Afhankelijk van de opdracht · Binnenkort via Legal Holding