Je bureau heeft een verwerkersovereenkomst nodig zodra het persoonsgegevens verwerkt in opdracht van een klant. Denk aan hosting, applicatiebeheer, support op productie, een datamigratie of een SaaS-product waarin klanten hun eigen klantgegevens zetten. De klant is dan verwerkingsverantwoordelijke en je bureau verwerker.
Artikel 28 AVG eist een schriftelijke overeenkomst (ook elektronisch) tussen verwerkingsverantwoordelijke en verwerker, met een vaste lijst onderwerpen. Bouw je alleen software met testdata en kom je nooit bij echte persoonsgegevens, dan is er niets te verwerken en is ook geen verwerkersovereenkomst nodig.
Wanneer is mijn bureau verwerker?
De Autoriteit Persoonsgegevens (AP) legt het onderscheid zo uit: de verwerkingsverantwoordelijke bepaalt waarom en hoe gegevens worden verwerkt, de verwerker voert het alleen feitelijk uit in opdracht. Voor bureaus levert dat dit beeld op:
| Situatie | Rol van je bureau | Verwerkersovereenkomst |
|---|---|---|
| Je host en beheert de applicatie van de klant | Verwerker | Ja |
| Je doet support en kijkt daarbij in productiedata | Verwerker | Ja |
| Je migreert een klantenbestand naar een nieuw systeem | Verwerker | Ja |
| Je eigen SaaS-product bevat klantgegevens van je klant | Verwerker | Ja |
| Je bouwt met testdata en levert op, de klant host zelf | Geen verwerking | Nee |
| Je detacheert een ontwikkelaar die onder leiding van de klant werkt | Geen verwerker | Nee, volgens de AP |
| Je gebruikt contactgegevens van klanten voor je eigen administratie | Verwerkingsverantwoordelijke | Nee, je bent zelf verantwoordelijk |
Over detachering is de AP duidelijk: een gedetacheerde medewerker die onder rechtstreeks gezag van de klant werkt, is volgens de AP geen verwerker. De klant regelt het dan intern.
Wat moet er volgens de AVG in een verwerkersovereenkomst staan?
Artikel 28 lid 3 AVG noemt eerst de basis: onderwerp en duur van de verwerking, aard en doel, het soort persoonsgegevens, de categorieën betrokkenen en de rechten en plichten van de klant. Daarna moet de overeenkomst bepalen dat je bureau als verwerker:
- alleen werkt op schriftelijke instructies van de klant, ook bij doorgifte naar een land buiten de EU (onder a);
- zorgt dat iedereen met toegang tot de gegevens tot geheimhouding verplicht is (onder b);
- de beveiligingsmaatregelen van artikel 32 neemt (onder c);
- alleen subverwerkers inschakelt volgens de regels van lid 2 en 4 (onder d);
- de klant helpt bij verzoeken van betrokkenen, zoals inzage en verwijdering (onder e);
- de klant helpt bij beveiliging, datalekken, DPIA en voorafgaande raadpleging, artikelen 32 tot en met 36 (onder f);
- na afloop alle gegevens wist of teruggeeft, naar keuze van de klant, en kopieën verwijdert (onder g);
- alle informatie geeft die nodig is om naleving aan te tonen en audits mogelijk maakt (onder h).
De vorm is soepel: schriftelijk, en elektronisch telt mee (artikel 28 lid 9 AVG). Een overeenkomst die je klant online accepteert, kan dus volstaan.
Mag mijn bureau subverwerkers inschakelen?
Ja, met voorafgaande schriftelijke toestemming van de klant. Die toestemming kan specifiek zijn (per partij) of algemeen. Bij algemene toestemming meld je elke nieuwe of vervangen subverwerker vooraf, zodat de klant bezwaar kan maken (artikel 28 lid 2 AVG).
Bij een gemiddeld bureau zijn dat vaak:
- de hostingprovider of het cloudplatform;
- diensten voor logging, monitoring en foutmeldingen;
- een e-mail- of sms-dienst die vanuit de applicatie verstuurt;
- een extern ontwikkelbedrijf of nearshore-team met toegang tot productie.
Aan elke subverwerker leg je dezelfde verplichtingen op als in je eigen verwerkersovereenkomst. Doet een subverwerker het fout, dan blijft je bureau tegenover de klant volledig aansprakelijk (artikel 28 lid 4 AVG). Werk je met een team buiten de EU, lees dan ook nearshoring en de AVG.
Wie stelt de verwerkersovereenkomst op?
De klant is verantwoordelijk dat er een overeenkomst ligt. Wie de tekst schrijft, is vrij. Drie situaties komen veel voor:
| Situatie | Wie levert de tekst | Waar je op let |
|---|---|---|
| Maatwerk voor een grote klant | Meestal de klant | Onbeperkte aansprakelijkheid, auditkosten, meldtermijnen die je niet haalt |
| Eigen SaaS-product | Meestal je bureau | Eén standaardversie voor alle klanten, met een actuele lijst subverwerkers |
| Werk onder NLdigital Voorwaarden | Je bureau, als bijlage | Of de voorwaarden en de verwerkersovereenkomst elkaar niet tegenspreken |
Over algemene voorwaarden voor IT-werk lees je meer op NLdigital Voorwaarden. Over het hoofdcontract op overeenkomst van opdracht.
Wat gebeurt er als het misgaat?
Bij een datalek informeert je bureau de klant zonder onredelijke vertraging (artikel 33 lid 2 AVG). De klant beslist daarna of hij het lek bij de AP en bij betrokkenen meldt. Leg in de overeenkomst vast wat ‘zonder onredelijke vertraging’ voor jullie betekent, in uren.
Overtreedt je bureau de verwerkersverplichtingen van de AVG, dan kan de AP een boete opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, als dat hoger is (artikel 83 lid 4 AVG). Daarnaast kan de klant schade op je bureau verhalen, binnen wat jullie over aansprakelijkheid hebben afgesproken.
Wat betekent dit voor de code van je bureau?
Code is zelf geen persoonsgegeven. De verwerkersovereenkomst regelt ook niets over het auteursrecht op je code: dat staat in het hoofdcontract. Toch raakt de AVG je code op drie punten:
- Data in je repo’s. Seeddata met echte namen, productiedumps in een map ‘tmp’, logs met e-mailadressen in oude commits. Op grond van artikel 28 lid 3 onder g AVG moet je die na afloop wissen. Ook kopieën in de git-geschiedenis.
- Code die je wilt hergebruiken. Een module die je voor klant A bouwde en in licentie wilt geven, mag geen gegevens van klant A bevatten. Een koper of licentienemer controleert dat.
- Eigen product. Verkoop je een SaaS-product, dan is een goede standaard-verwerkersovereenkomst onderdeel van wat je verkoopt. Zonder die overeenkomst kan een zakelijke klant niet tekenen.
Schoon je repo’s op voordat je code in licentie geeft of verkoopt. Check daarna wie eigenaar is van de code en wat die code waard is.