Een datalek bij je leverancier of accountant kan je bedrijf flink raken. Klantgegevens verdwijnen, het vertrouwen krijgt een knauw en misschien krijg je te maken met boetes van de Autoriteit Persoonsgegevens.
Veel ondernemers vragen zich af: wie betaalt eigenlijk de rekening als het misgaat? Kun je de schade verhalen op degene die het lek veroorzaakte?
Je kunt als ondernemer schade verhalen als de leverancier nalatig is of zijn afspraken niet nakomt. Maar je moet dan wel kunnen bewijzen dat er duidelijke afspraken over beveiliging waren, en dat die niet zijn nageleefd.
In de praktijk blijkt bewijs leveren knap lastig. Veel contracten bevatten bovendien aansprakelijkheidsbeperkingen die het verhalen van schade behoorlijk ingewikkeld maken.
Dit artikel kijkt naar de mogelijkheden om schade te verhalen en hoe je jezelf als ondernemer beter kunt beschermen. Ook komen de juridische kanten van aansprakelijkheid aan bod, net als soorten schade die je kunt claimen en hoe je toekomstige ellende voorkomt.
Wat is een datalek bij leveranciers en accountants?
Een datalek bij je leverancier of accountant betekent dat persoonsgegevens van jouw bedrijf of klanten ineens in handen van derden komen. Dat gebeurt bijvoorbeeld door een hack, een menselijke fout of omdat de beveiliging niet op orde is.
Definitie en voorbeelden van datalekken
Een datalek is een beveiligingsprobleem waarbij persoonsgegevens toegankelijk zijn voor mensen die daar geen recht op hebben. Soms worden gegevens zelfs vernietigd, gewijzigd of ingezien zonder toestemming.
Bij leveranciers en accountants zie je verschillende soorten datalekken. Denk aan een cloudleverancier die gehackt wordt, waardoor klantgegevens op straat belanden.
Of een accountantskantoor dat per ongeluk een e-mail met gevoelige documenten naar het verkeerde adres stuurt. Ook criminelen die zich voordoen als een betrouwbare partij weten soms toegang te krijgen tot systemen.
Een loonbureau dat slachtoffer wordt van ransomware kan maanden bezig zijn met herstel, terwijl gevoelige gegevens van werknemers al zijn gestolen.
Welke persoonsgegevens zijn meestal betrokken?
Leveranciers en accountants werken met allerlei persoonsgegevens. Je ziet vaak namen, adressen, telefoonnummers en e-mailadressen van klanten of medewerkers.
Financiële gegevens zijn extra gevoelig. Denk aan bankrekeningnummers, btw-nummers en omzetcijfers. Accountants hebben toegang tot complete jaarrekeningen en fiscale informatie.
Bijzondere persoonsgegevens vallen onder extra strenge privacywetgeving:
- BSN-nummers van werknemers
- Kopieën van identiteitsbewijzen
- Medische informatie bij ziekteverzuim
- Religieuze of politieke voorkeuren
Salarisadministrateurs verwerken standaard BSN-nummers. Bij een datalek kunnen criminelen die misbruiken voor identiteitsfraude.
Hoe ontstaan datalekken bij externe partijen?
Datalekken bij leveranciers en accountants ontstaan op verschillende manieren. Phishing is een bekende truc: medewerkers krijgen nepberichten die nauwelijks van echt te onderscheiden zijn.
Eén verkeerde klik en criminelen hebben toegang tot gevoelige systemen. Een hack op externe systemen komt ook geregeld voor.
Cybercriminelen zoeken actief naar zwakke plekken in software of servers. Verouderde systemen zonder updates zijn een makkelijk doelwit.
Menselijke fouten spelen een grote rol. Iemand stuurt een bestand naar de verkeerde persoon of laat een laptop met gevoelige data in de trein liggen.
Soms raakt een USB-stick met klantgegevens zoek. Gebrekkige beveiliging bij externe partijen blijft een hardnekkig probleem.
Te simpele wachtwoorden, geen twee-factor-authenticatie of ontbrekende versleuteling maken het hackers extra makkelijk. Ook als niet duidelijk is wie toegang heeft tot welke gegevens, ontstaan risico’s.
Gevolgen van een datalek voor ondernemers
Een datalek raakt je als ondernemer op allerlei manieren. Het gaat lang niet alleen om de directe kosten.
Financiële en materiële schade
De financiële schade van een datalek loopt snel op. De Autoriteit Persoonsgegevens kan boetes uitdelen tot €20 miljoen of 4% van de jaaromzet, afhankelijk van welk bedrag hoger uitvalt.
Die boetes gelden trouwens niet alleen bij een datalek in je eigen bedrijf, maar ook als je onvoldoende toezicht hield op je leveranciers. Daarnaast zijn er directe kosten.
Je betaalt bijvoorbeeld voor forensisch onderzoek, IT-experts die systemen herstellen, en juridische bijstand. Vaak moet je ook getroffen klanten of relaties compenseren.
Typische kostenposten:
- Boetes van toezichthouders
- Schadeclaims van klanten
- Herstel van IT-systemen
- Juridische procedures en advies
- Kosten voor monitoring en nazorg
De materiële schade loopt uiteen van een paar duizend euro tot tonnen, afhankelijk van hoe groot het lek is en hoeveel mensen het raakt.
Imagoschade en reputatieverlies
Klanten geven hun gegevens met vertrouwen aan je mee. Een datalek ondermijnt dat vertrouwen.
Soms lopen klanten na een incident direct over naar de concurrent, hoe goed je ook je best doet om het op te lossen. Reputatieschade werkt lang door.
Nieuwe klanten twijfelen sneller, zeker als negatieve berichten op social media en in vakbladen verschijnen. Partners en leveranciers denken misschien twee keer na over samenwerking.
Tijdens aanbestedingen of bij nieuwe contracten telt een datalek zwaar mee. Je merkt dat het jaren kan duren voordat je reputatie weer op peil is.
Het verlies aan vertrouwen zie je vaak direct terug in de omzet. Sommige ondernemers verliezen na een ernstig datalek wel 20 tot 40% van hun klanten.
Risico’s op identiteitsfraude en andere fraude
Lekt er gevoelige informatie uit? Dan kunnen criminelen die gebruiken voor identiteitsdiefstal.
Met namen, adressen, geboortedata en BSN-nummers stellen ze makkelijk een compleet profiel samen. Slachtoffers merken de gevolgen meteen.
Criminelen openen rekeningen, sluiten abonnementen af of kopen spullen op naam van een ander. Ondernemers krijgen de rekening gepresenteerd via schadeclaims en juridische procedures.
Veelvoorkomende fraudevormen:
- Phishing met gelekte e-mailadressen
- Valse identiteitsbewijzen met gestolen gegevens
- Financiële fraude via bankgegevens
- Misbruik van inloggegevens bij andere diensten
Je blijft als ondernemer verantwoordelijk voor nazorg. Je moet slachtoffers informeren, monitoring aanbieden en verdere schade proberen te voorkomen.
De immateriële schade voor slachtoffers kan leiden tot langdurige juridische aansprakelijkheid.
Juridische aansprakelijkheid bij datalekken door leveranciers of accountants
De Algemene Verordening Gegevensbescherming (AVG) maakt onderscheid tussen rollen en verantwoordelijkheden bij een datalek bij een externe partij. Artikel 82 AVG vormt de basis voor schadevergoeding, maar hoe het uitpakt hangt sterk af van wat je contractueel hebt afgesproken en welke beveiligingsmaatregelen er zijn genomen.
Beoordeling van contractuele verplichtingen
Een verwerkersovereenkomst vormt de basis voor aansprakelijkheid bij datalekken. Deze overeenkomst hoort technische en organisatorische maatregelen te bevatten die de leverancier of accountant moet volgen.
De overeenkomst verdeelt de verantwoordelijkheid voor beveiligingsmaatregelen. Zonder duidelijke afspraken is het lastig om aan te tonen dat de leverancier in gebreke bleef.
Belangrijke contractelementen:
- Specifieke beveiligingseisen en -standaarden
- Procedures bij een incident of datalek
- Verplichtingen rondom de meldplicht datalek
- Aansprakelijkheidsregeling en schadevergoeding
- Controlemogelijkheden en auditrechten
De Autoriteit Persoonsgegevens kijkt of organisaties passende maatregelen nemen. Ontbreekt een verwerkersovereenkomst, dan riskeert de ondernemer eigen aansprakelijkheid, zelfs als het lek bij de leverancier ligt.
Rolverdeling: verwerkingsverantwoordelijke versus verwerker
De AVG onderscheidt twee hoofdrollen: de verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens verwerkt worden. De verwerker voert deze verwerking uit namens de verantwoordelijke.
Deze rolverdeling is cruciaal voor de vraag wie aansprakelijk is. Een ondernemer die klantgegevens laat verwerken door een accountant of softwareleverancier blijft zelf verwerkingsverantwoordelijke.
Hij moet kunnen aantonen dat hij zorgvuldig een verwerker heeft gekozen en toezicht houdt. De verwerker is aansprakelijk als hij de AVG niet naleeft of buiten de instructies van de verantwoordelijke handelt.
Artikel 82 AVG stelt beide partijen hoofdelijk aansprakelijk tegenover gedupeerden. Dat voelt misschien onrechtvaardig, maar zo is de wet nu eenmaal.
De meldplicht datalekken rust primair bij de verwerkingsverantwoordelijke:
- Melding bij de Autoriteit Persoonsgegevens binnen 72 uur
- Informatie naar getroffen personen bij hoog risico
- Documentatie van alle datalekken
De verwerker moet een datalek direct melden aan de verantwoordelijke. Snelheid is alles om aan de juridische verplichtingen te voldoen.
Uitzonderingen en beperkingen van aansprakelijkheid
Artikel 82 AVG introduceert een omkeringsregel: de verantwoordelijke of verwerker moet aantonen dat hij geen schuld heeft. Dat is een zware eis, strenger dan onder de oude Wet bescherming persoonsgegevens.
Een leverancier of accountant kan aansprakelijkheid ontlopen door te bewijzen dat het incident onmogelijk te voorkomen was, ondanks goede beveiligingsmaatregelen. Overmacht is zelden succesvol als verweer.
Beperkingen in contracten zijn niet altijd geldig:
- Vrijwaringen voor opzet of grove nalatigheid zijn ongeldig
- Maximumbedragen moeten redelijk zijn
- AVG-verplichtingen kun je niet volledig uitsluiten
Rechters kijken kritisch naar exoneratieclausules. Een algemene uitsluiting van aansprakelijkheid beschermt niet tegen claims van slachtoffers of boetes van de Autoriteit Persoonsgegevens.
Wanneer en hoe kunt u schade verhalen?
Een ondernemer heeft recht op schadevergoeding als een leverancier of accountant nalatig omgaat met data. De mogelijkheid tot schade verhalen hangt af van contracten, bewijsbare nalatigheid en de grootte van de schade.
Voorwaarden voor het claimen van schade
Om schadevergoeding te claimen, moet een ondernemer aan drie voorwaarden voldoen. Er moet sprake zijn van een toerekenbare tekortkoming in de overeenkomst of een onrechtmatige daad.
De leverancier of accountant moet nalatig zijn geweest in het naleven van beveiligingsverplichtingen. De ondernemer moet kunnen aantonen dat hij schade heeft geleden door het datalek.
Dat kan gaan om boetes van de Autoriteit Persoonsgegevens, kosten voor melding en herstel, of claims van klanten van wie gegevens zijn gelekt. Er moet een direct verband bestaan tussen de nalatigheid en de schade.
Het is belangrijk dat de ondernemer kan bewijzen dat de schade niet was ontstaan als de leverancier wél goed beveiligd had. Contractuele aansprakelijkheidsbeperkingen maken het verhalen van schade soms lastig.
Veel IT-leveranciers en accountants werken met algemene voorwaarden die hun aansprakelijkheid beperken. Toch zijn deze clausules niet altijd geldig, vooral niet bij grove schuld of opzet.
Vaststelling van nalatigheid en schade
Het vaststellen van nalatigheid vraagt om bewijs dat de leverancier of accountant onvoldoende beveiligingsmaatregelen nam. De ondernemer moet laten zien dat de partij niet voldeed aan de AVG of afgesproken beveiligingsnormen.
Belangrijke bewijsmiddelen zijn:
- Contractuele afspraken over beveiliging
- Rapportages van het incident en de oorzaak
- Correspondentie over beveiligingsmaatregelen
- Adviezen van cybersecurity experts
- Meldingen bij de AP
De schadeberekening bestaat uit verschillende posten. Denk aan boetes van de AP, kosten voor melding en herstel, en juridische kosten.
Ook imagoschade en verlies van klanten tellen soms mee. Een ondernemer moet alle schade goed documenteren.
Bewaar facturen, boetebeschikkingen en andere documenten. Dat maakt het indienen van een schadeclaim een stuk eenvoudiger.
Procedure bij schadeclaim: stappenplan
Stap 1: Verzamel bewijs en documentatie
Leg het datalek en de gevolgen vast. Maak een dossier met relevante documenten, correspondentie en kostenspecificaties.
Stap 2: Win juridisch advies in
Schakel een advocaat in die privacyrecht en aansprakelijkheid snapt. Juridisch advies helpt bij het beoordelen van de claim en de strategie.
Stap 3: Stuur een aansprakelijkstelling
Stel de leverancier of accountant formeel aansprakelijk met een brief. Geef een overzicht van de nalatigheid, schade en het gevorderde bedrag.
Stap 4: Voer onderhandelingen
Veel claims worden buiten de rechtbank geregeld. Onderhandel over een schikking met de verantwoordelijke partij of verzekeraar.
Stap 5: Start gerechtelijke procedure
Lukt het niet om eruit te komen, start dan een civiele procedure. De rechter beoordeelt of de leverancier of accountant aansprakelijk is en welke schadevergoeding past.
Handel op tijd. Wachten kan de claim verzwakken of zelfs laten verjaren.
Soorten schade en bewijslast als ondernemer
Ondernemers kunnen allerlei soorten schade lijden na een datalek bij hun leverancier of accountant. Het bewijs en de aard van de gelekte gegevens bepalen of een claim kans van slagen heeft.
Materiële versus immateriële schade
Financiële schade omvat directe kosten die je kunt meten. Denk aan noodmaatregelen, extra beveiliging, of verlies van klanten.
Ook kosten voor juridische hulp en communicatie vallen hieronder. Identiteitsdiefstal kan leiden tot concrete financiële verliezen, bijvoorbeeld als criminelen bedrijfsgegevens misbruiken voor fraude.
Immateriële schade is lastiger te bewijzen, maar soms wel te verhalen. Dit gaat om reputatieschade, verlies van vertrouwen en stress.
De ondernemer moet aantonen dat het datalek echt tot deze schade heeft geleid. Rechters kijken naar de ernst van het lek en welke gegevens zijn gelekt.
Hoe gevoeliger de data, hoe groter de kans op schadevergoeding.
Bewijsmateriaal verzamelen
Een ondernemer moet het verband tussen het datalek en de schade aantonen. Bewaar documenten die kosten en gevolgen laten zien.
Facturen, correspondentie en rapporten zijn belangrijk bewijs. Noteer wanneer het lek werd ontdekt en welke acties zijn ondernomen.
Registreer communicatie met de leverancier of accountant over het incident. Bewaar meldingen van de Autoriteit Persoonsgegevens.
Verzamel bewijzen van klantenverlies door het datalek. Denk aan opzeggingen, e-mails of verminderde omzet.
Hoe concreter het bewijs, hoe sterker de claim. Een deskundigenrapport kan helpen om de omvang en oorzaak vast te stellen.
Rol van bijzondere persoonsgegevens en bsn
Bijzondere persoonsgegevens zoals medische informatie, strafrechtelijke gegevens of religie vragen om extra bescherming. Een lek van deze data leidt sneller tot aansprakelijkheid.
Het burgerservicenummer (BSN) is een gevoelig gegeven. Als een leverancier BSN-gegevens lekt, stijgt het risico op identiteitsdiefstal flink.
Ondernemers die deze gegevens verwerken, dragen extra verantwoordelijkheid. Bij een datalek moeten ze direct handelen en betrokkenen informeren.
De kans op schadeclaims stijgt fors bij lekken van BSN of andere bijzondere persoonsgegevens. Rechters kennen bij dit soort datalekken meestal hogere schadevergoedingen toe.
De impact op betrokkenen weegt zwaarder dan bij gewone bedrijfsgegevens.
Preventie: afspraken, maatregelen en contracten met leveranciers
Een datalek voorkomen begint met heldere afspraken met leveranciers, technische beveiliging en regelmatige controle. Samen zorgen deze drie dingen ervoor dat een ondernemer kan aantonen dat hij volgens de AVG zorgvuldig handelt.
Essentiële beveiligingsmaatregelen
Leveranciers moeten echt concrete technische en organisatorische maatregelen nemen om gegevensbescherming te waarborgen. Denk aan encryptie van gegevens, sterke toegangscontroles en regelmatige beveiligingsupdates.
Als ondernemer wil je precies weten welke maatregelen je leverancier neemt. Voorbeelden? Tweefactorauthenticatie, firewalls, automatische back-ups—dat soort basics.
Het moet ook duidelijk zijn hoe de leverancier omgaat met privacy en wie toegang krijgt tot welke gegevens. Je wilt geen verrassingen als het om gevoelige info gaat.
De leverancier hoort een eigen protocol te hebben voor het signaleren en melden van datalekken. Zo blijft het mogelijk om aan de meldplicht te voldoen binnen de wettelijke 72 uur.
Zonder deze basis kunnen zowel leverancier als ondernemer makkelijk aansprakelijk worden gesteld.
Duidelijke contractafspraken maken
Een verwerkersovereenkomst is verplicht voor elke partij die persoonsgegevens verwerkt namens de ondernemer. Dit geldt voor softwareleveranciers, accountants, hostingpartijen en administratiekantoren.
In zo’n overeenkomst moet staan welke gegevens worden verwerkt, waarvoor, en hoe lang. Ook hoort erin te staan welke beveiligingsmaatregelen de leverancier neemt en hoe vaak die gecontroleerd worden.
Belangrijke punten om niet te vergeten:
- Wie informeert de ondernemer bij een datalek en hoe snel
- Welke aansprakelijkheid draagt de leverancier bij schade
- Of de leverancier gegevens mag delen met andere partijen
- Hoe gegevens worden verwijderd na het einde van de samenwerking
Toezicht en controle op naleving
Een contract afsluiten is niet genoeg. Je moet als ondernemer ook blijven checken of de leverancier zich aan de afspraken houdt en of de beveiliging nog wel up-to-date is.
Een jaarlijkse check van beveiligingscertificaten en auditrapportages geeft een goed beeld van de kwaliteit. Vraag gerust naar recente penetratietests of externe audits.
Twijfel je over de veiligheid? Vraag gewoon om extra informatie.
Ook je eigen medewerkers moeten weten hoe ze veilig omgaan met inloggegevens en toegang tot leverancierssystemen. Eén zwakke schakel en je loopt alsnog risico op een datalek, zelfs als de leverancier z’n zaakjes op orde heeft.
Frequently Asked Questions
Een datalek bij een externe partij roept meteen allerlei juridische en praktische vragen op. Ondernemers willen weten wat hun rechten zijn en waar ze precies op moeten letten.
Wat zijn mijn rechten als ondernemer bij een datalek bij mijn leverancier of accountant?
Je hebt recht op schadevergoeding als een leverancier of accountant contractuele of wettelijke verplichtingen niet nakomt. Dat geldt voor directe schade zoals herstelkosten, maar ook voor indirecte schade zoals omzetverlies.
Je kunt een beroep doen op de Algemene Verordening Gegevensbescherming (AVG). Deze wet verplicht verwerkingsverantwoordelijken en verwerkers om passende beveiligingsmaatregelen te nemen.
Daarnaast kun je gebruikmaken van contractuele afspraken. Veel overeenkomsten bevatten bepalingen over aansprakelijkheid en schadevergoeding bij datalekken.
Hoe kan ik schade verhalen als gevolg van een datalek bij een externe dienstverlener?
Je moet eerst aantonen dat je schade hebt geleden door het datalek. Dat kan financiële schade zijn, maar ook reputatieschade of kosten voor herstel.
Begin met een formele aansprakelijkstelling. Stuur een schriftelijke melding naar de dienstverlener waarin je de schade beschrijft en een redelijke termijn voor vergoeding stelt.
Reageert de dienstverlener niet of weigert hij te betalen? Dan kun je juridische stappen zetten. Vaak begint dat met mediation of arbitrage, en als het echt moet, volgt een rechtszaak.
Zorg dat je alle schade goed documenteert met facturen, communicatie en rapporten. Een goede administratie maakt het makkelijker om schade te verhalen.
Welke stappen moet ik ondernemen wanneer ik ontdek dat er een datalek is bij mijn accountant of leverancier?
Neem direct contact op met de dienstverlener. Vraag welke gegevens zijn gelekt, wanneer het is gebeurd en welke maatregelen zijn genomen.
Beoordeel daarna de impact op je eigen organisatie. Zijn klanten, medewerkers of andere betrokkenen geraakt door het datalek?
Check of je zelf meldingsplicht hebt bij de Autoriteit Persoonsgegevens. Als het lek grote gevolgen kan hebben voor betrokkenen, moet je dit binnen 72 uur melden.
Wijzig wachtwoorden en neem extra beveiligingsmaatregelen waar nodig. Waarschuw betrokkenen als het datalek waarschijnlijk leidt tot een hoog risico voor hun rechten en vrijheden.
Leg alle communicatie en schade vast in een dossier. Deze documentatie is belangrijk voor eventuele schadeclaims.
Welke bewijslast is vereist om schadevergoeding te eisen na een datalek?
Je moet bewijzen dat er daadwerkelijk schade is ontstaan. Toon concrete bedragen en kosten aan met facturen, bankafschriften of offertes.
Laat zien dat er een causaal verband is tussen het datalek en de geleden schade. De schade moet direct voortkomen uit het datalek bij de dienstverlener.
Bewijs ook dat de dienstverlener verwijtbaar heeft gehandeld. Dat kan bijvoorbeeld door aan te tonen dat beveiligingsmaatregelen onvoldoende waren of dat contractuele afspraken zijn geschonden.
Correspondentie tussen jou en de dienstverlener is belangrijk bewijs. E-mails, contracten en verwerkersovereenkomsten tellen allemaal mee.
Technische rapporten van beveiligingsexperts kunnen je claims ondersteunen. Die rapporten beschrijven de aard van het datalek en hoe ernstig de beveiligingsproblemen waren.
Hoe kan ik mij als ondernemer het beste beschermen tegen de gevolgen van een datalek bij mijn partners?
Sluit altijd een duidelijke verwerkersovereenkomst af met elke externe partij die persoonsgegevens verwerkt. Leg concrete afspraken vast over beveiliging en aansprakelijkheid.
Check regelmatig of dienstverleners voldoen aan beveiligingseisen. Audits en certificeringen zoals ISO 27001 geven een goede indicatie van de mate van beveiliging.
Een cyberrisicoverzekering kan uitkomst bieden. Zo’n verzekering dekt kosten voor herstel, juridische bijstand en schadeclaims bij datalekken.
Beperk de hoeveelheid gegevens die je deelt met externe partijen. Geef alleen noodzakelijke informatie volgens het principe van dataminimalisatie.
Kijk kritisch naar contractuele aansprakelijkheidsbeperkingen. Onderhandel over realistische bedragen die passen bij de werkelijke risico’s.
Wat zijn de wettelijke verplichtingen van leveranciers en accountants bij een datalek?
Leveranciers en accountants moeten een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Dit geldt als het datalek waarschijnlijk risico’s oplevert voor de rechten en vrijheden van mensen.
Ze moeten de verwerkingsverantwoordelijke, dus de ondernemer, meteen op de hoogte brengen. Deze informatieplicht begint zodra ze het datalek ontdekken.
De dienstverlener houdt alle datalekken bij in een register.
