De verwerkersovereenkomst die je leverancier aanlevert, lees je zelf na.

Je krijgt een verwerkersovereenkomst toegestuurd: van je hostingpartij, je salarisverwerker of de dienst die je verslagen maakt. Tekenen dan maar? Dit artikel is geen model om te downloaden, maar een leescheck voor het document dat je net binnenkreeg: wat er wettelijk in moet, waar de meeste documenten vaag worden, en welke route je neemt als de inhoud rammelt.

Vooraf: dit is algemene uitleg op basis van artikel 28 AVG en publicaties van de Autoriteit Persoonsgegevens. Het is geen juridisch advies; raadpleeg bij twijfel je functionaris voor gegevensbescherming of een jurist.

Wat is een verwerkersovereenkomst?

Een verwerkersovereenkomst is de schriftelijke overeenkomst waarin een organisatie en haar verwerker vastleggen wat er met persoonsgegevens mag gebeuren. Artikel 28 lid 3 AVG schrijft onder meer voor dat de verwerker alleen op instructie handelt, geheimhouding en passende beveiliging waarborgt, subverwerkers alleen met toestemming inschakelt en de gegevens na afloop wist of teruggeeft. In het Engels heet het een data processing agreement (DPA); zoek je op "DPA" of "DPA AVG", dan is dit dezelfde overeenkomst. Het is geen formaliteit en geen bijlage die je even meetekent, maar de afspraak die bepaalt wat een ander met de gegevens van jouw mensen mag.

Een veelgemaakte aanname: de leverancier stuurt de verwerkersovereenkomst mee, dus het zit wel goed. Een document krijgen is alleen niet hetzelfde als een goed document krijgen. De Autoriteit Persoonsgegevens onderzocht in 2020 verwerkersovereenkomsten in de praktijk en kwam tot een ongemakkelijke conclusie: "de" verwerkersovereenkomst bestaat niet. Het is maatwerk, en de toezichthouder trof documenten aan die de eisen niet helemaal waarmaakten. Een overeenkomst die de wettekst netjes overschrijft, ziet er compleet uit en is dat op papier ook, maar zegt nog weinig over wat er gebeurt als het misgaat.

Daarom lees je hem zelf na, ook als de verwerker hem aanlevert. Wat er minimaal in moet, staat in artikel 28 lid 3, en die acht onderdelen lees je het makkelijkst als een aftekenstrook.

Verwerker of verwerkingsverantwoordelijke: wie is wie?

De verwerkingsverantwoordelijke bepaalt waarvoor en hoe persoonsgegevens worden gebruikt; de verwerker handelt in opdracht en mag er niets anders mee doen dan afgesproken. De verwerkersovereenkomst is precies de lijn tussen die twee rollen: ze legt vast dat de verwerker uitvoert wat de verantwoordelijke beslist, en niet meer dan dat.

Een voorbeeld dichtbij de praktijk. Laat een organisatie een externe dienst de verslagen van haar overleggen maken, dan verwerkt die dienst persoonsgegevens namens de organisatie. De organisatie blijft de verantwoordelijke en bepaalt het doel; de dienst is de verwerker en voert uit. Wie wat beslist, ligt vast in de verwerkersovereenkomst tussen beide.

Dat onderscheid is de basis. Zonder heldere rollen is de rest van het document niet te lezen, want elk onderdeel zegt iets over wat de verwerker namens jou moet doen.

Wat moet er in een verwerkersovereenkomst staan?

Artikel 28 lid 3 noemt acht onderdelen (a tot en met h) die in elke verwerkersovereenkomst horen te staan. Links staat wat de wet voorschrijft, rechts staat wat dat voor jou betekent als je een aangeleverde overeenkomst nagaat. Loop ze af als een strook die je punt voor punt aftekent.

Bron: AVG artikel 28 lid 3 (privacy-regulation.eu). Geparafraseerd, inhoudelijk getrouw aan de verordeningstekst.

Bijna elke verwerkersovereenkomst die je krijgt, vinkt de linkerkolom netjes af en zakt op de rechterkolom. De acht onderdelen staan er allemaal, alleen blijft het bij "passende beveiliging" in plaats van encryptie en toegangsbeheer, en bij "de verwerker meldt een datalek" zonder termijn of contactpunt. Compleet op papier is iets anders dan concreet in de praktijk, en alleen die rechterkolom vertelt je welke van de twee je in handen hebt.

Twee van die acht onderdelen verdienen extra aandacht, omdat juist daar de meeste verwerkersovereenkomsten vaag worden.

Subverwerkers: mag de verwerker iemand anders inschakelen?

Een verwerker mag pas een andere partij inschakelen, een subverwerker, met jouw schriftelijke toestemming, en blijft daarna zelf volledig aansprakelijk voor wat die subverwerker doet (artikel 28 lid 2 en lid 4). De aansprakelijkheid blijft dus bij de partij waarmee jij tekent, ook als het ergens achter in de keten misgaat. Dit zoek je op in het document:

• SubverwerkerslijstStaat er een lijst van wie de verwerker zelf inschakelt? In die lijst zie je vaak ook waar de data terechtkomt.
• ToestemmingsvormKeur je elke nieuwe subverwerker vooraf goed (specifieke toestemming), of word je vooraf geïnformeerd zodat je bezwaar kunt maken (algemene toestemming)?
• VerzetsrechtKun je bezwaar maken, en opzeggen, als de lijst verandert? Eenzijdig wijzigen zonder meldplicht of verzetsrecht is een rode vlag.

Artikel 28 lid 2 kent twee smaken toestemming. Bij specifieke toestemming mag de verwerker een nieuwe subverwerker pas inschakelen nadat jij die hebt goedgekeurd. Bij algemene toestemming mag de verwerker wisselen, maar moet hij je vooraf informeren, zodat jij bezwaar kunt maken. Het beslismoment dat je in het document opzoekt: mag de hoofdverwerker de subverwerkerslijst eenzijdig wijzigen, en welk recht heb jij daartegenover? Check ook of elke subverwerker aan dezelfde plichten is gebonden als de hoofdverwerker.

Staat er in de subverwerkerslijst een partij buiten de EU, dan is dat een apart aandachtspunt dat je los nagaat: onder welk recht vallen je gegevens dan, en welke Amerikaanse partijen zitten er in de keten? Hoe je dat bredere vraagstuk weegt, lees je bij veilig notuleren. Hier houden we het bij de clausule: wie mag de keten in, en met welk recht voor jou.

Het tweede onderdeel waar overeenkomsten vaag worden, is de regel over een datalek, en dat is er precies eentje die je later hard nodig kunt hebben.

De datalek-clausule: de regel die je later hard nodig hebt.

De verwerkersovereenkomst moet vastleggen dat en hoe de verwerker een datalek bij jou meldt, want bij een lek aan de leverancierskant ben jij als verantwoordelijke degene die het mogelijk aan de Autoriteit Persoonsgegevens moet melden. Jij draagt de meldplicht, ook als het lek bij je leverancier ontstaat; dan moet die leverancier jou op tijd en volledig genoeg informeren om je eigen termijn te halen. Drie dingen zoek je op:

• MeldtermijnBinnen hoeveel tijd na ontdekking meldt de leverancier een datalek bij jou?
• ContactpuntAan wie of welk kanaal komt de melding binnen, zodat ze niet blijft liggen?
• Inhoud van de meldingKrijg je genoeg informatie om je eigen termijn richting de AP te halen?

Dat deze afspraak vaak te vaag is, is geen aanname. De Autoriteit Persoonsgegevens onderzocht in 2025 vijf grote cyberaanvallen op dienstverleners die samen meer dan 1.250 organisaties en vermoedelijk 10,5 miljoen mensen raakten, en concludeerde dat juist deze meldafspraken vaak te vaag zijn om bij een aanval iets aan te hebben (AP, 12 november 2025). Een clausule die alleen zegt "de verwerker meldt een datalek" zonder termijn, contactpunt of inhoud, is zo'n vage afspraak.

Wanneer heb je een verwerkersovereenkomst nodig, en wanneer niet?

Je sluit een verwerkersovereenkomst zodra je een externe partij persoonsgegevens namens jou laat verwerken. Je hebt er geen nodig als die andere partij zelf verwerkingsverantwoordelijke is, of als er helemaal geen persoonsgegevens in het spel zijn. De vraag is dus niet "is dit een grote leverancier", maar "verwerkt deze partij gegevens van mijn mensen in mijn opdracht".

Wel een verwerkersovereenkomst

• Een externe dienst die je verslagen of gespreksopnames verwerkt.
• Een hostingpartij die je bestanden op zijn servers zet.
• Een salarisadministratiekantoor dat je personeelsgegevens verwerkt.

Geen verwerkersovereenkomst

• Een accountant die op zijn eigen wettelijke grondslag werkt en zelf verantwoordelijke is.
• Twee organisaties die als zelfstandige verantwoordelijken gegevens met elkaar uitwisselen. Daar gelden andere afspraken, geen verwerkersovereenkomst.

En als je beoordeling op een nee uitkomt?

Stel, je leest de verwerkersovereenkomst na en er rammelt iets: wat dan? De overeenkomst die een SaaS-leverancier aanbiedt, is meestal een standaarddocument dat je niet regel voor regel kunt onderhandelen; toetsen betekent dus niet automatisch dat je het kunt aanpassen. Op documentniveau heb je grofweg drie opties. Je kunt de leverancier om een aanvulling of addendum vragen op het punt dat rammelt, bijvoorbeeld de datalek-termijn of een subverwerker-clausule. Je kunt het restrisico bewust en gedocumenteerd accepteren. Of je concludeert dat de overeenkomst onvoldoende is en je zoekt een andere tool. Welke tool dan, en langs welke assen je die afweegt, lees je bij een AVG-proof AI-tool kiezen; voor de mag-het-status van een publieke AI-tool lees je is ChatGPT AVG-proof.

Wat als de verwerkersovereenkomst ontbreekt of rammelt?

Het ontbreken van een verwerkersovereenkomst is een overtreding van artikel 28 AVG, en de Autoriteit Persoonsgegevens kan daarvoor handhaven; voor zo'n overtreding voorziet de AVG in boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van wat hoger is (artikel 83 lid 4). Dat is het maximum, niet de standaard, en of het zover komt hangt af van de situatie. De boete is alleen niet het deel dat je dagelijks raakt.

Belangrijker voor de praktijk is dit: zonder concrete afspraken sta je er bij een datalek of audit alleen voor. Komt er een lek bij je leverancier, dan bepaalt de meldclausule of je je eigen termijn naar de AP haalt of achter de feiten aanloopt. Vraagt een toezichthouder bij een audit om bewijs, dan telt wat er zwart op wit staat, niet wat je had aangenomen. Dat is waarom je de verwerkersovereenkomst vooraf naleest in plaats van achteraf.

Zo beoordeel je een aangeleverde verwerkersovereenkomst: zes lees-checks.

Loop deze zes punten langs zodra een leverancier je een verwerkersovereenkomst toestuurt. Elk punt is een concrete vraag aan het document, niet aan jezelf.

• Instructie en eigen gebruikLees of de leverancier de gegevens alleen op jouw instructie verwerkt en ze niet voor eigen doelen gebruikt. Bij een AI-dienst is de scherpe vraag of er staat dat hij niet op jouw data traint.
• Beveiliging concreetKijk of de beveiligingsmaatregelen benoemd worden (encryptie, toegang, bewaring) of dat er alleen "passende maatregelen" staat. Een herhaling van de wet is geen afspraak.
• Subverwerkers en verzetsrechtZoek de lijst van subverwerkers, of je vooraf toestemming geeft, en of je een verzetsrecht hebt als de lijst verandert. Een overeenkomst die de lijst eenzijdig laat veranderen zonder meldplicht of verzetsrecht is een rode vlag.
• DatalocatieIn de subverwerkerslijst zie je vaak ook waar de data terechtkomt. Staat daar een partij buiten de EU, dan is dat een apart aandachtspunt dat je los nagaat.
• Datalek-meldafspraakControleer binnen welke termijn de leverancier een datalek meldt, aan welk contactpunt en met welke inhoud. Jij draagt de meldplicht, dus die afspraak moet je in staat stellen je eigen termijn te halen.
• Wissen of teruggeven na afloopLees wat er na opzegging met de gegevens gebeurt en op welke termijn. Staat er dat ze worden gewist of teruggegeven naar jouw keuze, dan is dat onderdeel goed geregeld.

Hoe Notuly de acht onderdelen concreet invult.

Zo ziet de rechterkolom van de aftekenstrook eruit als een leverancier de acht onderdelen serieus neemt. Notuly is dé AI-notulist voor elk gesprek, discreet fysiek, hybride en online: aan tafel leg je je telefoon in het midden, en voor meetings via Teams, Zoom of Google Meet gebruik je de desktop-app voor macOS en Windows. De organisatie die een overleg laat vastleggen blijft de verantwoordelijke; Notuly is de verwerker, en wat de verwerker mag, staat in het document.

• Verwerkt in AmsterdamDe volledige AI-stap, van spraak naar tekst tot samenvatting, draait op Notuly's eigen modellen op Nederlandse servers. Je gesprek verlaat de EU niet. Dat raakt onderdeel a, c en d van de strook.
• Geen training op jouw dataJe gesprekken zijn geen trainingsdata. Dat staat in de verwerkersovereenkomst die je vooraf kunt opvragen, niet alleen op deze pagina.
• Audio binnen een minuut gewistOpnemen, verwerken, verslag in je mail, en de audio binnen een minuut na verwerking gewist. Geen doorzoekbaar geluidsarchief bij Notuly. Dat sluit onderdeel g concreet aan op de strook.

De levenscyclus is het kortste antwoord op de vraag wat er met de gegevens gebeurt: binnen tien minuten staat het verslag in ieders mail, met de volledige transcriptie als bijlage. De tekst blijft dus wel, alleen het geluid verdwijnt, en wat er daarna met het verslag gebeurt, beslis jij. Wie de subverwerkers zijn, staat in de verwerkersovereenkomst zelf: dat is de plek waar zoiets thuishoort.

De verwerkersovereenkomst conform AVG is beschikbaar vanaf een Team-licentie en op te vragen voordat je tekent. Leg hem gerust naast de zes checks hierboven; het bredere beleid staat bij Privacy & Security.

Lees hoe Notuly veilig notuleert →

Bronnen.

• AVG artikel 28 (lid 2, 3 en 4), woordelijke verordeningstekst. De acht onderdelen a tot en met h en de subverwerker-leden. Geraadpleegd 10 juni 2026.
• Autoriteit Persoonsgegevens, Drie aanbevelingen voor een sterke verwerkersovereenkomst bij een cyberaanval. Bron voor de datalek-clausule en de cijfers (vijf cyberaanvallen, 1.250+ organisaties, circa 10,5 miljoen mensen). Gepubliceerd 12 november 2025.
• Autoriteit Persoonsgegevens, basisuitleg verwerkersovereenkomst. Bron voor de rollen, wat erin moet en de verplichting. Geraadpleegd 10 juni 2026.
• Autoriteit Persoonsgegevens, Onderzoek in private sector: de verwerkersovereenkomst bestaat niet, met de PDF Werkende verwerkersovereenkomsten. Bron voor de mythe-opening: verwerkersovereenkomsten zijn in de praktijk sterk verschillend, het is maatwerk en geen standaardmodel. Gepubliceerd 12 oktober 2020; geraadpleegd 10 juni 2026.

Algemene uitleg op basis van de genoemde bronnen, geen juridisch advies. Raadpleeg bij twijfel je functionaris voor gegevensbescherming of een jurist.