Gepubliceerd op 30 augustus 2026 · Laatst bijgewerkt op 7 oktober 2026
U hoeft alleen de bepalingen te tekenen die artikel 28 AVG voorschrijft. Alles wat daarbovenop komt, zoals een onbeperkte aansprakelijkheid of een onbeperkt auditrecht, kunt u weigeren of aanpassen. Dat geldt wel alleen als de rolverdeling klopt: bent u geen verwerker, dan is een verwerkersovereenkomst niet het juiste document. Het juridisch kader is Europees (de AVG) en Nederlands (het contractenrecht). Wat redelijk is, hangt af van de rolverdeling, de contractwaarde en het hoofdcontract.
U krijgt een verwerkersovereenkomst toegestuurd met het verzoek om te tekenen. Meestal is dat het standaardmodel van de andere partij. Zo’n model bevat vaak bepalingen die verder gaan dan de AVG voorschrijft.
Een verwerkersovereenkomst is verplicht zodra een andere partij persoonsgegevens voor u verwerkt. Volgens artikel 28 lid 3 AVG moet die overeenkomst onder meer regelen dat de verwerker alleen op schriftelijke instructie werkt, dat zijn personeel geheimhouding heeft, dat hij passende beveiliging treft, dat hij helpt bij verzoeken van betrokkenen en dat hij de gegevens aan het einde wist of teruggeeft. Ook moet de verwerker de informatie geven die nodig is om naleving aan te tonen en audits mogelijk maken. Die inhoud is verplicht. Alles daarboven is onderhandelbaar, en juist daar zit het risico.
Inhoudsopgave
Eerst: bent u verwerkingsverantwoordelijke of verwerker?
Controleer vóór alles de rolverdeling. Wie het doel en de middelen van de verwerking bepaalt, is verwerkingsverantwoordelijke. Wie uitsluitend in opdracht handelt, is verwerker. Bepalen beide partijen samen het doel en de middelen, dan zijn zij gezamenlijk verwerkingsverantwoordelijk. Volgens artikel 26 AVG maken zij dan onderling afspraken over hun verantwoordelijkheden. Een verwerkersovereenkomst is in dat geval niet het juiste instrument.
Een verkeerd benoemde rol maakt de hele overeenkomst wankel. Aansprakelijkheid en verplichtingen komen dan bij de verkeerde partij terecht. Deze fout is gelukkig goed te herstellen, mits u hem vóór ondertekening ziet.
Welke vijf bepalingen doen er werkelijk toe?
Dat zijn de aansprakelijkheid, de doorbelasting van boetes, subverwerkers, het auditrecht en de bijstand bij verzoeken van betrokkenen. De tabel laat zien wat er vaak staat en wat redelijk is.
| Bepaling | Wat er vaak staat | Wat redelijk is |
|---|---|---|
| Aansprakelijkheid | Onbeperkt voor alles wat met persoonsgegevens te maken heeft, of juist volledig uitgesloten | Een maximum (cap) dat in verhouding staat tot de contractwaarde, met een uitzondering voor opzet en bewuste roekeloosheid |
| Doorbelasting van boetes | De verwerker draagt elke boete van de toezichthouder, ongeacht wie de fout maakte | Doorbelasting alleen voor zover de boete is toe te rekenen aan een tekortkoming van die partij |
| Subverwerkers | Algemene toestemming vooraf, met een lijst die eenzijdig mag worden gewijzigd | Een lijst bij de overeenkomst, aankondiging van wijzigingen en een reëel bezwaarrecht met een uitweg |
| Auditrecht | Onbeperkt auditrecht ter plaatse, op elk moment, op kosten van de verwerker | Eén aangekondigde audit per jaar, of in plaats daarvan een aanvaarde certificering of een assurancerapport |
| Bijstand bij verzoeken van betrokkenen | Kosteloze en onbeperkte bijstand | Bijstand tegen een redelijke vergoeding, met een vaste reactietermijn |
Een paar punten uit de tabel zijn wettelijk verankerd. Volgens artikel 28 lid 2 AVG mag de verwerker alleen een subverwerker inschakelen met voorafgaande specifieke of algemene schriftelijke toestemming. Bij algemene toestemming moet de verwerker beoogde wijzigingen melden, zodat u bezwaar kunt maken. Een lijst die eenzijdig en zonder aankondiging mag veranderen, past daar niet bij. Volgens artikel 28 lid 4 AVG blijft de verwerker bovendien volledig aansprakelijk als zijn subverwerker tekortschiet.
Waarom staat de aansprakelijkheidsclausule bovenaan?
Omdat een verwerkersovereenkomst zelden op zichzelf staat. Er ligt bijna altijd een hoofdovereenkomst onder, met een eigen aansprakelijkheidsregeling en een eigen cap. Bevat de verwerkersovereenkomst een afwijkende regeling, dan rijst de vraag welke van de twee voorgaat. Veel standaardmodellen regelen dat niet. Dat wordt pas een probleem op het moment dat er werkelijk iets misgaat.
Leg daarom uitdrukkelijk vast welke regeling voorgaat. Zorg ook dat de cap in beide documenten op dezelfde grondslag rust. Dat kost één zin, maar die zin voorkomt bij een incident een lange discussie.
Let op: zo’n cap werkt alleen tussen u en de andere partij. Tegenover de betrokkene zelf geldt artikel 82 AVG. Hebben verwerkingsverantwoordelijke en verwerker samen schade veroorzaakt, dan kan de betrokkene volgens artikel 82 lid 4 AVG ieder van hen voor de volledige schade aanspreken. Wie betaalt, kan het deel van de ander daarna volgens artikel 82 lid 5 AVG op die ander verhalen. De contractuele regeling bepaalt dus vooral hoe u onderling afrekent.
Wat hoeft u niet te accepteren?
Een verbod op elk gebruik van subverwerkers, terwijl uw dienst zonder cloudleverancier niet kan bestaan. Een auditrecht zonder aankondigingstermijn en zonder afspraak over de kosten. Een plicht om binnen 24 uur elk beveiligingsincident te melden, ongeacht de ernst. Koppel die meldplicht liever aan incidenten die een datalek kunnen opleveren. Kies een termijn waarmee de verwerkingsverantwoordelijke de melding van artikel 33 AVG echt kan halen: die melding aan de Autoriteit Persoonsgegevens moet zonder onredelijke vertraging en zo mogelijk binnen 72 uur. De verwerker moet een datalek volgens artikel 33 lid 2 AVG zonder onredelijke vertraging aan de verwerkingsverantwoordelijke melden. En tot slot: een doorbelasting van boetes zonder toerekeningsvereiste.
Wat moet u zelf regelen, ongeacht wat de andere partij aanlevert?
Een bewaartermijn en een concrete plicht om de gegevens aan het einde van de overeenkomst te verwijderen of terug te geven, inclusief back-ups. Een regeling voor doorgifte buiten de Europese Economische Ruimte (EER), met vermelding van het gebruikte instrument, zoals een adequaatheidsbesluit of standaardcontractbepalingen. En een bijlage waarin precies staat welke gegevens, van welke groepen betrokkenen, voor welk doel worden verwerkt. Die bijlage is bij een controle een logisch eerste stuk om op te vragen, en ontbreekt in de praktijk regelmatig.
Waar let u als verwerkingsverantwoordelijke op?
- Leg in een bijlage vast welke gegevens, van welke groepen betrokkenen, voor welk doel en hoe lang worden verwerkt.
- Controleer of de verwerker een datalek zonder onredelijke vertraging meldt, zodat u zelf de termijn van 72 uur van artikel 33 AVG kunt halen.
- Vraag de actuele lijst met subverwerkers op en regel hoe u bezwaar maakt tegen wijzigingen (artikel 28 lid 2 AVG).
- Regel verwijdering of teruggave van de gegevens bij het einde van de overeenkomst, inclusief back-ups.
Waar let u als verwerker op?
- Controleer of u echt alleen in opdracht werkt; bepaalt u mee over doel en middelen, dan hoort er een regeling volgens artikel 26 AVG bij.
- Beperk de aansprakelijkheid met een cap die aansluit op de hoofdovereenkomst en leg vast welke regeling voorgaat.
- Accepteer doorbelasting van boetes alleen voor zover de boete is toe te rekenen aan uw eigen tekortkoming.
- Vervang een onbeperkt auditrecht door één aangekondigde audit per jaar of door een certificering of assurancerapport.
- Leg uw subverwerkers vast in een lijst bij de overeenkomst; u blijft voor hen aansprakelijk (artikel 28 lid 4 AVG).
Wat kunnen wij voor u doen bij een verwerkersovereenkomst?
Wij beoordelen verwerkersovereenkomsten voor verwerkingsverantwoordelijken en verwerkers, als onderdeel van onze praktijk in IT-recht.
- Wij stellen vast of u verwerker, verwerkingsverantwoordelijke of gezamenlijk verwerkingsverantwoordelijke bent (artikelen 26 en 28 AVG).
- Wij toetsen het model aan de verplichte inhoud van artikel 28 lid 3 AVG en markeren wat daarbovenop komt.
- Wij stemmen de aansprakelijkheidsregeling en de cap af op de hoofdovereenkomst en leggen vast welke regeling voorgaat.
- Wij stellen tegenvoorstellen op voor het auditrecht, subverwerkers, de doorbelasting van boetes en de meldtermijn bij datalekken.
- Wij regelen doorgifte buiten de EER met het juiste instrument, zoals een adequaatheidsbesluit of standaardcontractbepalingen.
Samengevat
- Verplicht is alleen de inhoud van artikel 28 AVG; wat daarboven komt, is onderhandelbaar.
- Controleer eerst of u echt verwerker bent. Bij gezamenlijke verantwoordelijkheid past een regeling volgens artikel 26 AVG.
- Stem de aansprakelijkheid af op de hoofdovereenkomst en leg vast welke regeling voorgaat.
- Accepteer geen boetedoorbelasting zonder toerekening, geen onbeperkt auditrecht en geen eenzijdig wijzigbare lijst met subverwerkers.
- Regel zelf de bewaartermijn, doorgifte buiten de EER en een volledige bijlage met gegevens en doelen.
Veelgestelde vragen
Wanneer is een verwerkersovereenkomst verplicht?
Zodra een andere partij persoonsgegevens voor u verwerkt. Verplicht is alleen de inhoud die artikel 28 AVG voorschrijft; alles daarboven is onderhandelbaar.
Moet ik een onbeperkt auditrecht accepteren?
Nee. Redelijk is één audit per jaar, aangekondigd, of een aanvaarde certificering of assurancerapport in plaats daarvan, met een afspraak over de kostenverdeling.
Mag de andere partij elke boete op mij afwentelen?
Doorbelasting hoort beperkt te zijn tot het deel van de boete dat is toe te rekenen aan de tekortkoming van die partij. Een doorbelasting zonder toerekeningsvereiste hoeft u niet te accepteren.
Wat als de hoofdovereenkomst een andere aansprakelijkheidsregeling kent?
Regel expliciet welke van de twee voorgaat en zorg dat de cap in beide documenten dezelfde grondslag heeft. Zonder die afspraak ontstaat de discussie pas op het moment dat er iets is misgegaan.
Wat is de volgende stap?
Loop de vijf bepalingen uit de tabel na voordat u tekent. Leg uw voorstellen schriftelijk vast en vraag de andere partij om een aangepaste versie.
