Vertrouwelijkheid in een dienstverleningsovereenkomst: clausule, boete en bedrijfsgeheimen

Gepubliceerd op 16 oktober 2025 · Laatst bijgewerkt op 31 oktober 2026

U borgt vertrouwelijkheid in een dienstverleningsovereenkomst met een concrete geheimhoudingsafspraak: wat is vertrouwelijk, wie is gebonden, hoe lang, en wat gebeurt er bij schending. Zonder zo’n afspraak beschermt de Wet bescherming bedrijfsgeheimen (Wbb) alleen informatie waarvoor u zelf aantoonbaar redelijke maatregelen heeft genomen.

Wie diensten uitbesteedt, deelt bijna altijd gevoelige informatie: klantgegevens, prijsafspraken, strategie of technische details. Goede vertrouwelijkheidsclausules leggen vast hoe beide partijen die bedrijfsgevoelige informatie beschermen. Hieronder leest u welke wettelijke regels gelden, welke clausules u opneemt en wat de rechter doet met een boete.

Wat is een dienstverleningsovereenkomst juridisch?

Een dienstverleningsovereenkomst is in de wet een overeenkomst van opdracht (artikel 7:400 BW): de ene partij verricht diensten voor de andere, zoals advies, ondersteuning of IT-beheer. Zie ook ons artikel over de IT-dienstverleningsovereenkomst. De dienstverlener moet de zorg van een goed opdrachtnemer in acht nemen (artikel 7:401 BW). Het gaat meestal om een inspanningsverplichting, maar partijen kunnen een resultaat afspreken.

Een opdracht kan volgens artikel 7:408 BW in beginsel tussentijds worden opgezegd. Regel daarom in het contract wat er met vertrouwelijke informatie gebeurt als de samenwerking eerder eindigt.

Welke informatie is gevoelig, en welke wet beschermt haar?

Goede dienstverlening vraagt om openheid. Een accountant ziet de financiële gegevens, een IT-beheerder krijgt toegang tot systemen en klantbestanden, een adviseur kent de strategie. Per soort informatie geldt een ander wettelijk kader.

Meer over bijzondere persoonsgegevens en uw privacybeleid leest u in een apart artikel. De context bepaalt vaak hoe gevoelig iets is: een bedrijfsnaam is openbaar, maar in combinatie met een lopend geschil kan dezelfde naam vertrouwelijk zijn.

Wat kost een lek met persoonsgegevens?

Bij schending van de AVG kan de Autoriteit Persoonsgegevens een boete opleggen. Het maximum is € 20 miljoen of 4 procent van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 83 lid 5 AVG). Wie door het lek schade lijdt, kan daarnaast schadevergoeding eisen (artikel 82 AVG). Een datalek moet de verwerkingsverantwoordelijke in de regel binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens (artikel 33 AVG). Daarnaast is er schade die niet in de wet staat: verlies van klanten en reputatie.

Wat beschermt de Wet bescherming bedrijfsgeheimen zonder contract?

Volgens artikel 1 van de Wet bescherming bedrijfsgeheimen is informatie een bedrijfsgeheim als zij aan drie eisen voldoet:

1. zij is niet algemeen bekend of gemakkelijk toegankelijk;
2. zij heeft handelswaarde omdat zij geheim is;
3. de rechtmatige bezitter heeft redelijke maatregelen genomen om haar geheim te houden.

De derde eis is in de praktijk het belangrijkst. Zonder geheimhoudingsafspraken, toegangsbeperkingen of markeringen van documenten is het lastig om later aan te tonen dat informatie een bedrijfsgeheim was. Volgens artikel 2 Wbb is gebruik of openbaarmaking onder meer onrechtmatig als iemand daarmee een geheimhoudingsovereenkomst of een contractuele gebruiksbeperking schendt. Uw contract bepaalt dus mede hoe ver de wettelijke bescherming reikt.

Dat u de geheimen zelf concreet moet kunnen aanwijzen, bleek in een arrest van het Gerechtshof Den Haag van 8 april 2025 (ECLI:NL:GHDHA:2025:498). De eisende partij gaf geen precieze omschrijving van de bedrijfsgeheimen en lichtte niet toe hoe zij als houdstermaatschappij over de gegevens van haar dochter beschikte. Zij werd niet-ontvankelijk verklaard in haar vorderingen op grond van de Wbb.

Wat regelt een vertrouwelijkheidsclausule?

Een vertrouwelijkheidsclausule bepaalt welke informatie de ontvanger niet met derden mag delen en waarvoor hij die mag gebruiken. Omschrijf zo concreet mogelijk wat vertrouwelijk is. “Alle gevoelige informatie” is te vaag en moeilijk te handhaven.

Concreet: “Vertrouwelijke informatie omvat alle bedrijfsstrategieën, klantgegevens, financiële prognoses, technische specificaties en marketingplannen die partijen in verband met deze overeenkomst schriftelijk, mondeling of digitaal aan elkaar verstrekken.”
Te vaag: “Alle belangrijke bedrijfsinformatie valt onder deze clausule.”

Leg ook de plichten van de ontvanger vast: niet delen met derden zonder schriftelijke toestemming, passend beveiligen, een (vermoedelijke) schending direct melden en de informatie alleen gebruiken voor het afgesproken doel. Laat de plicht ook gelden voor medewerkers en onderaannemers. Een praktijkformulering: “De IT-leverancier mag klantgegevens gebruiken voor systeembeheer, maar niet voor eigen marketing of verkoop aan derden.”

Eenzijdig of wederzijds, clausule of NDA?

Bestaan een NDA en een clausule naast elkaar, regel dan in het hoofdcontract hoe ze zich tot elkaar verhouden, bijvoorbeeld dat de clausule de NDA vervangt vanaf de ingangsdatum. Over het verschil tussen vertrouwelijke informatie en intellectueel eigendom schreven wij een apart artikel.

Uitzonderingen en duur

Een werkbare clausule noemt wat níet vertrouwelijk is: informatie die al openbaar is zonder toedoen van de ontvanger, die de ontvanger al rechtmatig had of rechtmatig van een derde kreeg, en informatie die hij op grond van de wet of een rechterlijke uitspraak moet verstrekken. De dienstverlener moet bovendien toegang houden tot wat hij nodig heeft om zijn werk te doen.

De wet geeft geen vaste duur. Stem die af op hoe lang de informatie waarde heeft. Een onbeperkte duur is niet automatisch ongeldig, maar de rechter kan toetsen aan de redelijkheid en billijkheid (artikel 6:248 lid 2 BW). Voor persoonsgegevens geldt de AVG, ongeacht wat partijen afspreken. Een voorbeeld: “Klantgegevens blijven tot drie jaar na het einde van deze overeenkomst vertrouwelijk. Bedrijfsgeheimen blijven vertrouwelijk zolang zij niet openbaar zijn geworden, anders dan door toedoen van de ontvanger.”

Boete, aansprakelijkheid en intellectueel eigendom

Het boetebeding: wat de rechter ermee doet

Een boetebeding legt vooraf een bedrag vast dat bij schending verschuldigd is. U hoeft dan geen schade te bewijzen. De boete treedt in beginsel in de plaats van schadevergoeding, tenzij het contract uitdrukkelijk bepaalt dat u daarnaast schadevergoeding kunt eisen (artikel 6:92 BW). De rechter kan een boete matigen als de billijkheid dat klaarblijkelijk eist (artikel 6:94 BW).

• Hoge Raad, 27 april 2007 (ECLI:NL:HR:2007:AZ6638): de rechter mag pas matigen als toepassing van het boetebeding leidt tot een buitensporig en daarom onaanvaardbaar resultaat. Hij kijkt niet alleen naar de verhouding tussen boete en werkelijke schade, maar ook naar de aard van de overeenkomst, de strekking van het beding en de omstandigheden waaronder het is ingeroepen.
• Gerechtshof Den Haag, 8 april 2025 (ECLI:NL:GHDHA:2025:498): het geheimhoudingsbeding noemde alleen een boete van € 1.000 per overtreding en per dag. Schadevergoeding daarnaast was niet voorbehouden en werd dus niet toegewezen. Ook een aanvullende vergoeding op grond van de billijkheid wees het hof af.

Wilt u naast de boete uw werkelijke schade kunnen vorderen, schrijf dat dan uitdrukkelijk in het beding.

Aansprakelijkheid en vrijwaring

Zonder afspraak geldt de wettelijke regeling voor tekortkomingen (artikel 6:74 BW). De benadeelde moet dan schade en oorzakelijk verband bewijzen. In het contract kunt u de aansprakelijkheid per schadepost regelen: schade door ongeoorloofd gebruik, verlies van gegevens, kosten van herstel en onderzoek. Veel contracten maximeren de vergoeding en sluiten indirecte schade uit. Een beroep op zo’n beperking kan onaanvaardbaar zijn bij opzet of bewuste roekeloosheid. Een vrijwaring kan beide kanten op werken, bijvoorbeeld voor claims van derden over informatie die de opdrachtgever zelf aanleverde.

Wie wordt eigenaar van wat tijdens de samenwerking ontstaat?

Zonder afspraak blijft de maker meestal rechthebbende, ook als de opdrachtgever voor het werk heeft betaald. Voor overdracht van auteursrecht is een schriftelijke akte nodig (artikel 2 lid 3 Auteurswet); een algemene zin in een e-mail is niet genoeg. Leg vast wat onder de intellectuele eigendomsrechten valt, wanneer de overdracht plaatsvindt (bijvoorbeeld bij oplevering) en welke licenties beide partijen krijgen.

Persoonsgegevens: de verwerkersovereenkomst

Verwerkt de dienstverlener persoonsgegevens in uw opdracht, dan is een verwerkersovereenkomst verplicht (artikel 28 AVG). Leg vast wie verwerkingsverantwoordelijke is en wie verwerker. De overeenkomst bevat onder meer de instructies voor de verwerking, de beveiligingsmaatregelen (artikel 32 AVG) en een auditrecht voor de verwerkingsverantwoordelijke (artikel 28 lid 3 onder h AVG). De verwerker moet een datalek zonder onredelijke vertraging aan u melden; spreek af hoe snel. Voor elke verwerking van persoonsgegevens is bovendien een grondslag nodig (artikel 6 AVG).

Werknemers van de dienstverlener

Voor werknemers geldt ook zonder clausule een geheimhoudingsplicht als onderdeel van goed werknemerschap (artikel 7:611 BW). Het bekendmaken van bedrijfsgegevens die geheim moeten blijven kan zelfs een dringende reden voor ontslag op staande voet zijn (artikel 7:678 lid 2 onder i BW). Laat de dienstverlener daarom ook zijn eigen medewerkers en onderaannemers schriftelijk binden, bijvoorbeeld met: “Werknemer zal tijdens en na het dienstverband geen vertrouwelijke informatie over klanten, processen of bedrijfsgeheimen van werkgever aan derden bekendmaken.”

Naleving controleren en het einde van de samenwerking

Een standaardcontract biedt vaak te weinig bescherming. Kies bij gevoelige opdrachten een contractvorm met specifieke afspraken over beveiligingseisen, veilige opslag en de kanalen waarlangs partijen vertrouwelijke informatie uitwisselen, zoals zakelijke e-mail, beveiligde bestandsoverdracht en versleutelde opslag. Neem ook betalings- en factuurgegevens uitdrukkelijk op in de definitie.

Spreek controlemechanismen af, zoals een auditrecht en een rapportageplicht, en leg vast welke sancties volgen bij schending: boete, schadevergoeding of ontbinding.

De geheimhoudingsplicht stopt niet vanzelf bij het einde van het contract. Neem een overlevingsclausule op die bepaalt welke afspraken blijven gelden, zoals geheimhouding, intellectueel eigendom en aansprakelijkheid. Spreek af dat de ontvanger documenten, kopieën en back-ups teruggeeft of vernietigt en dat schriftelijk bevestigt. Regel ook wat er gebeurt bij voortijdige beëindiging, bijvoorbeeld na contractbreuk. Leg elke wijziging van de vertrouwelijkheidsafspraken schriftelijk vast, met datum en akkoord van beide partijen.

Wat controleert u als opdrachtgever?

• Is per categorie omschreven welke informatie vertrouwelijk is?
• Geldt de geheimhouding ook voor medewerkers en onderaannemers van de dienstverlener?
• Is er een verwerkersovereenkomst als de dienstverlener persoonsgegevens voor u verwerkt (artikel 28 AVG)?
• Staat in het boetebeding dat u daarnaast schadevergoeding kunt vorderen (artikel 6:92 BW)?

Wat controleert u als dienstverlener?

• Mag u de informatie nog gebruiken die u voor het werk nodig heeft?
• Staan de gebruikelijke uitzonderingen erin: openbare informatie, eigen kennis en wettelijke verplichtingen?
• Zijn de boete en de aansprakelijkheid aan een maximum gebonden?
• Is vastgelegd wie het auteursrecht op nieuw werk krijgt (artikel 2 lid 3 Auteurswet)?

Wat wij doen bij vertrouwelijkheid in een dienstverleningsovereenkomst

• Wij stellen een vertrouwelijkheidsclausule op met een concrete definitie, uitzonderingen en een duur per soort informatie.
• Wij beoordelen of uw maatregelen volstaan voor bescherming onder artikel 1 Wbb.
• Wij stellen de verwerkersovereenkomst op die artikel 28 AVG voorschrijft, inclusief het auditrecht.
• Wij treden op bij een schending, met een sommatie, een vordering tot betaling van de boete of een verbod in kort geding.

In het kort

• De Wbb beschermt alleen informatie waarvoor u redelijke maatregelen nam en die u concreet kunt aanwijzen; een clausule is het duidelijkste bewijs.
• Een boete vervangt schadevergoeding, tenzij u het recht op schadevergoeding uitdrukkelijk voorbehoudt.
• Matiging van een boete volgt alleen bij een buitensporig en onaanvaardbaar resultaat (HR 27 april 2007).
• Verwerkt de dienstverlener persoonsgegevens voor u, dan is een verwerkersovereenkomst met auditrecht verplicht.

Meer over hoe Law & More u hierbij helpt, leest u op de pagina civiel recht advocaat.