Verwerkersovereenkomst: wanneer heb je er een nodig?
Je krijgt een verwerkersovereenkomst toegestuurd door een leverancier. Of je leest ergens dat je er een moet hebben. En dan begint het zoeken: met wie eigenlijk, en waarom?
De regel is korter dan je denkt.
De toets in één zin
Je hebt een verwerkersovereenkomst nodig als een andere partij persoonsgegevens verwerkt in jouw opdracht en voor jouw doel.
De feitelijke rol telt, niet het etiket in het contract. Een verwerker handelt voor jouw doel en volgens jouw instructies. Bepaalt de ander zelf het doel of de wezenlijke middelen, dan past die rol niet.
Bepaalt de andere partij het doel wél zelf, dan is die geen verwerker maar een zelfstandige verwerkingsverantwoordelijke — iemand die zelf bepaalt waarvoor hij de gegevens gebruikt — en dan heb je geen verwerkersovereenkomst nodig. Mogelijk wel iets anders, maar niet dit.
De beslisboom
Loop de vragen in deze volgorde door. Eén leverancier kan voor de ene verwerking verwerker zijn en voor een andere verwerking zelf het doel bepalen. Beoordeel dus de verwerking, niet alleen de partij.
-
01 Gaat het om persoonsgegevens?
Nee → artikel 28 AVG is niet van toepassing en een verwerkersovereenkomst is hiervoor niet nodig.
Ja → ga door naar vraag 2.
-
02 Verwerkt een andere partij die gegevens?
Nee → er is voor deze verwerking geen externe verwerker met wie je een overeenkomst moet sluiten.
Ja → alleen toegang kunnen krijgen is niet genoeg. Kijk bij vraag 3 naar de feitelijke opdracht en rol.
-
03 Bepaalt die partij zelf het doel of de wezenlijke middelen?
Ja → de partij is voor dat deel waarschijnlijk zelf of gezamenlijk verwerkingsverantwoordelijke. Een verwerkersovereenkomst is dan niet het juiste instrument. Bij gezamenlijke verantwoordelijkheid hoort een regeling over de onderlinge taken.
Nee → verwerkt zij alleen voor jouw doel en volgens jouw instructies, ga dan door naar vraag 4.
-
04 Wie geeft de instructies?
Jij → de andere partij is waarschijnlijk jouw verwerker. Leg vóór de verwerking de verplichte afspraken uit artikel 28 AVG schriftelijk en bindend vast.
Je klant → dan ben jij mogelijk de verwerker. Dezelfde afspraken zijn nodig, maar jij moet ze als uitvoerende partij kunnen nakomen en aantonen.
Uitkomst “verwerker”? De afspraken mogen in een aparte verwerkersovereenkomst staan of in de hoofdovereenkomst. De titel is niet beslissend; de bindende inhoud wel.
Waar je ze meestal wel nodig hebt
- Je hostingpartij, als er persoonsgegevens op die servers staan.
- Je e-mail- en samenwerkingsomgeving.
- Je klantsysteem of CRM.
- Een AI-tool waar je gegevens van klanten of medewerkers in stopt. Dit is de categorie die het snelst groeit en die het vaakst wordt vergeten.
- Een partij die voor jou een mailing verstuurt.
- Een externe partij die je systemen beheert.
De vergissing die ik het vaakst zie
Niet dat de verwerkersovereenkomst ontbreekt. Wel dat er ongelezen getekend wordt.
De verordening schrijft voor wat er in zo'n overeenkomst moet staan: het onderwerp en de duur, de aard en het doel, de soorten gegevens en om wie het gaat, en de verplichtingen over beveiliging, subverwerkers, bijstand bij verzoeken van betrokkenen, en wat er aan het einde met de gegevens gebeurt.
De praktijk is dat een leverancier zijn eigen model stuurt waarin die punten staan, maar dan zo ingevuld dat het hem het beste uitkomt. Let vooral op:
Subverwerkers
Mag de leverancier zelf partijen inschakelen zonder je te vragen? Krijg je er bericht van, en kun je bezwaar maken?
Doorgifte buiten de Europese Economische Ruimte
Staat er waar de gegevens staan, en wat er geldt als ze de EER verlaten?
Wat er aan het einde gebeurt
Terugkrijgen of verwijderen, en binnen welke termijn?
En als de verwerker de jouwe moet zijn
Verwerk jij gegevens voor een ander, dan komt het van de andere kant. Dan is het aan jou om te kunnen aantonen dat je doet wat er is afgesproken. Dat is minder papierwerk dan het lijkt, mits je het één keer goed vastlegt.
Waar ik zou beginnen
Maak een lijst van alle partijen die op enige manier bij jouw persoonsgegevens kunnen. Zet erbij of ze het doel zelf bepalen of dat ze het in jouw opdracht doen.
Die lijst vertelt je meteen met wie je iets moet regelen. En hij is ook nodig voor je privacyverklaring, waarin je de ontvangers of categorieën van ontvangers moet beschrijven.
Staat de verwerkersovereenkomst naast een groter contract? Bekijk dan ook de vijf bepalingen waar leverancierscontracten meestal knellen.
Wil je één verwerkersovereenkomst of één concrete rolvraag laten beoordelen? Dat past binnen de juridische quickscan.
Bronnen
Deze beslisboom is gecontroleerd aan de hand van de officiële tekst en uitleg die op 19 augustus 2026 beschikbaar waren:
- AVG op EUR-Lex, met name artikel 4, 26 en 28;
- EDPB-richtsnoeren 07/2020 over verwerkingsverantwoordelijken en verwerkers.