Verwerkersovereenkomst opstellen: wat artikel 28 AVG eist

8 min lezen · Bijgewerkt 2026-11-12

Wanneer een leverancier persoonsgegevens verwerkt op uw gedocumenteerde instructies, is die leverancier verwerker en heeft u een verwerkersovereenkomst nodig op grond van artikel 28 AVG. Een model is een begin, geen afgerond contract, totdat de partijen, de scope en de instructies zijn ingevuld en ondertekend.

Wanneer artikel 28 geldt

Als een tool, host, e-mailprovider of supportafdeling persoonsgegevens voor u verwerkt, en niet zelfstandig verwerkingsverantwoordelijke is, bent u verwerkingsverantwoordelijke en zij verwerker (of subverwerker). Artikel 28 bepaalt dat de verwerking moet worden beheerst door een overeenkomst of andere rechtshandeling. Hetzelfde geldt andersom: als u persoonsgegevens verwerkt voor een zakelijke klant, bent u hun verwerker en zullen zij om een overeenkomst vragen.

Een privacyverklaring is geen vervanging. Een beding in algemene voorwaarden dat alleen zegt 'wij leven de AVG na' is dat ook niet. De overeenkomst moet de specifieke onderdelen van artikel 28, lid 3, bevatten.

Wat de overeenkomst moet dekken

Artikel 28, lid 3, eist in ieder geval: het onderwerp, de duur, de aard en het doel van de verwerking; het type persoonsgegevens en de categorieën van betrokkenen; de rechten en verplichtingen van de verwerkingsverantwoordelijke; en bedingen die de verwerker binden om: alleen op gedocumenteerde instructies te verwerken, vertrouwelijkheid te verzekeren, passende beveiligingsmaatregelen te nemen (artikel 32), de regels over andere verwerkers te respecteren, u te helpen bij rechten van betrokkenen en bij de artikelen 32 tot en met 36, gegevens na afloop te wissen of terug te geven, en informatie beschikbaar te maken voor audits.

Als persoonsgegevens buiten de EER gaan, heeft u ook een doorgifte-instrument nodig op grond van de artikelen 44 tot en met 49, zoals een adequaatheidsbesluit (waaronder het EU-VS-gegevensbeschermingskader waar dat geldt) of standaardcontractbepalingen plus een doorgiftebeoordeling. Dat komt bovenop de overeenkomst van artikel 28.

Hoe u een model goed gebruikt

Vul de echte leveranciers in, de echte gegevenscategorieën en de echte instructies. Vermeld subverwerkers en hoe u van wijzigingen op de hoogte wordt gesteld. Zeg waar gegevens staan. Onderteken geen stuk dat nog invulvelden bevat. Bewaar de ondertekende kopie met het auditspoor (wie tekende, wanneer, en de hash van het document).

DPOne genereert een verwerkersovereenkomst uit uw onboarding-antwoorden en laat beide partijen in het platform tekenen met een eenvoudige elektronische handtekening onder eIDAS. De openbare pagina toont het standaardmodel. Voor uw account telt de ondertekende versie.

Veelgestelde vragen

Heb ik een verwerkersovereenkomst nodig met Google, Stripe of mijn host?

Als zij persoonsgegevens op uw instructies verwerken, ja. Grote aanbieders bieden meestal hun eigen verwerkersaddendum. U moet dat nog steeds beoordelen, aanvaarden, en de subverwerkers en het doorgifte-instrument vastleggen.

Is een model genoeg voor due diligence van een klant?

Een leeg model niet. Een ondertekende overeenkomst die bij de echte verwerking past, plus een actuele lijst van subverwerkers, is wat een serieuze koper of klant wil zien.