Gepubliceerd op 30 augustus 2026 · Laatst bijgewerkt op 8 september 2026
Dit artikel geeft een algemeen juridisch kader naar Nederlands en Europees recht. Het is geen advies over een concrete situatie. Wat redelijk is in een verwerkersovereenkomst hangt af van de rolverdeling, de contractwaarde en het onderliggende hoofdcontract.
U krijgt een verwerkersovereenkomst toegestuurd met het verzoek te tekenen. Meestal is dat het standaardmodel van de andere partij, en meestal staan daar bepalingen in die verder gaan dan de AVG voorschrijft.
Een verwerkersovereenkomst is verplicht zodra een andere partij persoonsgegevens voor u verwerkt. Verplicht is echter alleen de inhoud die artikel 28 AVG voorschrijft. Alles daarboven is onderhandelbaar, en juist daar zit het risico.
Inhoudsopgave
Eerst: bent u verwerkingsverantwoordelijke of verwerker?
Voordat u naar de tekst kijkt, moet de rolverdeling kloppen. Wie bepaalt doel en middelen van de verwerking, is verwerkingsverantwoordelijke. Wie uitsluitend in opdracht handelt, is verwerker. Zijn beide partijen op hun eigen manier bepalend, dan zijn ze gezamenlijk verantwoordelijk en is een verwerkersovereenkomst niet het juiste instrument.
Een verkeerd benoemde rol maakt de hele overeenkomst wankel en verplaatst aansprakelijkheid naar de verkeerde partij. Dit is de meest voorkomende fout en tegelijk de makkelijkst te herstellen fout, mits u hem vóór ondertekening ziet.
De vijf bepalingen die er werkelijk toe doen
| Bepaling | Wat er vaak staat | Wat redelijk is |
|---|---|---|
| Aansprakelijkheid | Ongelimiteerd voor alles wat met persoonsgegevens te maken heeft, of juist volledig uitgesloten | Een cap die in verhouding staat tot de contractwaarde, met een uitzondering voor opzet en bewuste roekeloosheid |
| Doorbelasting van boetes | De verwerker draagt elke boete van de toezichthouder, ongeacht wie de fout maakte | Doorbelasting alleen voor zover de boete is toe te rekenen aan de tekortkoming van die partij |
| Subverwerkers | Algemene toestemming vooraf, met een lijst die eenzijdig mag worden gewijzigd | Een lijst bij de overeenkomst, aankondiging van wijzigingen en een reëel bezwaarrecht met een uitweg |
| Auditrecht | Onbeperkt auditrecht ter plaatse, op elk moment, op kosten van de verwerker | Eén audit per jaar, aangekondigd, of een aanvaarde certificering of assurancerapport in plaats daarvan |
| Bijstand bij verzoeken van betrokkenen | Kosteloze en onbeperkte bijstand | Bijstand tegen redelijke vergoeding, met een omschreven reactietermijn |
Waarom de aansprakelijkheidsclausule bovenaan staat
Omdat een verwerkersovereenkomst zelden op zichzelf staat. Er ligt vrijwel altijd een hoofdovereenkomst onder met een eigen aansprakelijkheidsregeling en een eigen cap. Als de verwerkersovereenkomst een afwijkende regeling bevat, ontstaat de vraag welke van de twee voorgaat. In veel standaardmodellen is dat niet geregeld, en dan wordt dat pas een probleem op het moment dat er werkelijk iets is misgegaan.
Regel dus expliciet welke regeling voorgaat, en zorg dat de cap in beide documenten dezelfde grondslag heeft. Dat is één zin, en die zin is bij een incident meer waard dan de rest van de overeenkomst bij elkaar.
Wat u niet hoeft te accepteren
Een verbod op elk gebruik van subverwerkers, terwijl uw dienst zonder cloudleverancier niet bestaat. Een auditrecht zonder aankondigingstermijn en zonder kostenverdeling. Een verplichting om binnen 24 uur te melden bij elk beveiligingsincident, ongeacht ernst; koppel dat aan incidenten die een datalek kunnen opleveren en aan een termijn die u de melding van artikel 33 AVG daadwerkelijk laat halen. En een boetedoorbelasting zonder toerekeningsvereiste.
Wat u zelf moet regelen, ongeacht wat de andere partij aanlevert
Een bewaartermijn en een concrete verwijder- of teruggaveverplichting bij het einde van de overeenkomst, inclusief back-ups. Een adressering van doorgifte buiten de EER, met vermelding van het gehanteerde instrument. En een bijlage waarin daadwerkelijk staat welke gegevens, van welke categorieën betrokkenen, voor welk doel worden verwerkt. Die bijlage is bij vrijwel elke controle het eerste dat wordt opgevraagd en bij vrijwel elk bedrijf het eerste dat ontbreekt.
Veelgestelde vragen
Wanneer is een verwerkersovereenkomst verplicht?
Zodra een andere partij persoonsgegevens voor u verwerkt. Verplicht is alleen de inhoud die artikel 28 AVG voorschrijft; alles daarboven is onderhandelbaar.
Moet ik een onbeperkt auditrecht accepteren?
Nee. Redelijk is één audit per jaar, aangekondigd, of een aanvaarde certificering of assurancerapport in plaats daarvan, met een afspraak over de kostenverdeling.
Mag de andere partij elke boete op mij afwentelen?
Doorbelasting hoort beperkt te zijn tot het deel van de boete dat is toe te rekenen aan de tekortkoming van die partij. Een doorbelasting zonder toerekeningsvereiste hoeft u niet te accepteren.
Wat als de hoofdovereenkomst een andere aansprakelijkheidsregeling kent?
Regel expliciet welke van de twee voorgaat en zorg dat de cap in beide documenten dezelfde grondslag heeft. Zonder die afspraak ontstaat de discussie pas op het moment dat er iets is misgegaan.
Juridische hulp nodig?
Krijgt u een verwerkersovereenkomst voorgelegd waarvan u de gevolgen niet overziet, laat de vijf bepalingen hierboven dan nalopen voordat u tekent. Onze IT-recht advocaat kijkt met u mee.
