Begin bij de feitelijke gegevensverwerking
De EDPB maakt onderscheid tussen het bepalen van doelen en wezenlijke middelen enerzijds en het uitvoeren van een opdracht anderzijds. Een partij die alleen namens de klant gegevens host, kan verwerker zijn. Een partij die gegevens voor eigen doelen gebruikt, moet voor dat gebruik afzonderlijk worden beoordeeld. Eén organisatie kan dus per verwerking een andere rol hebben.
Teken eerst een eenvoudige gegevensstroom: welke informatie gaat naar de leverancier, voor welke handeling, wie gebruikt de uitkomst en mag de leverancier de informatie voor zichzelf gebruiken? Leg de uitkomst per dienst vast. Een contract waarin staat dat iemand verwerker is, verandert de feitelijke zeggenschap niet.
Maak de afspraken specifiek voor de dienst
Beschrijf onderwerp, looptijd, doel, gegevenssoorten en groepen personen. Leg vervolgens instructies, geheimhouding, beveiliging, inschakeling van subverwerkers, hulp bij verzoeken en incidenten, informatie voor audits en de afhandeling bij einde dienstverlening vast. Deze onderwerpen horen bij de eisen aan een verwerkersovereenkomst.
De AP waarschuwt dat het letterlijk overnemen van algemene AVG-bepalingen onvoldoende concreet kan zijn. Vul daarom in wie een incident meldt, via welke bereikbare contactroute en met welke informatie. Spreek ook af in welk bruikbaar formaat gegevens worden teruggegeven, binnen welke termijn dat gebeurt en hoe de resterende kopieën worden verwijderd.
Controleer subverwerkers en landen apart
Vraag welke andere partijen de leverancier inschakelt en waar gegevens worden opgeslagen of toegankelijk zijn. Maak de lijst onderdeel van het contractbeheer. Laat wijzigingen beoordelen door iemand die kan vaststellen of dienstverlening, risico’s of aanvullende voorwaarden veranderen.
Een verwerkersovereenkomst is niet automatisch een geldige regeling voor doorgifte buiten de Europese Economische Ruimte. De EDPB benadrukt dat standaardafspraken voor artikel 28 een andere functie hebben dan doorgiftewaarborgen onder artikel 46. Controleer de internationale verwerking daarom afzonderlijk, ook wanneer de leverancier een Europees datacentrum noemt.
Test de afspraak voordat er haast is
Loop met de contracteigenaar drie situaties door: een cliënt vraagt om verwijdering, de leverancier meldt een incident en de organisatie wil overstappen. Is bij elk scenario duidelijk wie handelt en welke informatie beschikbaar moet komen? Ontbrekende antwoorden zijn gerichte verbeterpunten voor de bijlagen of werkafspraken.
Bewaar de getekende overeenkomst samen met de actuele dienstomschrijving, beveiligingsbijlage en subverwerkerslijst. Kies een herbeoordelingsmoment en controleer tussentijds bij nieuwe functies, andere gegevens of wijziging van de leverancier. Dit is praktisch contractbeheer; een getekend model is op zichzelf nog geen bewijs dat afspraken worden nageleefd.
Van uitleg naar uw praktijk
Wat moet in ieder geval zijn geregeld?
- Bepaal de AVG-rol per concrete verwerking
- Beschrijf gegevens, doelen en instructies
- Maak beveiliging en incidentcontact concreet
- Controleer subverwerkers en internationale verwerking
- Regel teruggeven, verwijderen en audits
- Test verzoek, incident en exit met de contracteigenaar
Veelgestelde vragen
Verder met uw vraag.
Is iedere leverancier een verwerker?
Nee. De feitelijke beslissingen over doelen en wezenlijke middelen zijn bepalend. Dezelfde partij kan voor verschillende verwerkingen verschillende rollen hebben.
Is een standaardmodel voldoende?
Een model kan het begin zijn, maar de bijlagen en afspraken moeten de werkelijke dienst beschrijven. Controleer met name gegevens, beveiliging, incidenten, subverwerkers en einde dienstverlening.
Regelt de verwerkersovereenkomst ook doorgifte buiten de EER?
Niet automatisch. De afspraken over de verwerkersrol en de voorwaarden voor internationale doorgifte moeten afzonderlijk worden beoordeeld.
Officiële bronnen
Broncontrole · 13 september 2026
De bronnen en kernuitleg van dit artikel zijn op deze datum met elkaar vergeleken.
Reikwijdte van deze controle: Rollen per verwerking, contractinhoud volgens artikel 28, concrete afspraken en onderscheid met internationale doorgiftewaarborgen. Geen beoordeling van een specifieke leverancier.
Redactionele afzender: Datajuristen. Een broncontrole is geen juridische beoordeling van uw individuele situatie. Geef een vraag of correctie door.
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.