Verwerkersovereenkomst voor een klein bedrijf: van dienst tot bewijs

Een verwerkersovereenkomst voor een klein bedrijf begint bij de echte dienst, niet bij een handtekening; als een leverancier namens u persoonsgegevens verwerkt, moet de bindende regeling de feiten, verplichte clausules, keten en dagelijkse uitvoering dekken. Een klein contractdossier mag compact zijn, maar geen verplicht onderdeel missen.

Snel antwoord: Een verwerkersovereenkomst voor een klein bedrijf moet één werkelijke verwerkersdienst beschrijven, alle plichten van artikel 28 AVG binden en bruikbare bijlagen bevatten. Begin met de gratis officiële clausules uit Uitvoeringsbesluit (EU) 2021/915. Vul gegevens, systemen, beveiliging, subverwerkers, bijstand en beëindiging feitelijk in, wijs eigenaars aan en test de afspraken.

Laatst bijgewerkt: 12 september 2026

Een handtekening is niet het beginpunt

Stel eerst vast dat de leverancier voor de onderzochte activiteit verwerker is, want wie een eigen doel of essentiële middelen bepaalt, kan voor dat onderdeel zelfstandig of gezamenlijk verwerkingsverantwoordelijke zijn; een artikel 28-document maakt die feitelijke rol niet anders. Splits een gemengde dienst voordat u clausules kiest ¹.

Kijk vervolgens wat al bindend is: een hoofdovereenkomst, privacybijlage, beveiligingsschema en online voorwaarden kunnen samen een geldige regeling vormen, mits de juiste partijen en versie vaststaan en alle verplichte elementen worden gedekt. Een extra ondertekend voorblad helpt niet wanneer de bijlagen leeg zijn of tegenstrijdige online voorwaarden voorrang houden.

Er bestaat een gratis officiële route: Uitvoeringsbesluit (EU) 2021/915 bevat standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers in de EU/EER ^{2 3}. Gebruik deze vroeg als referentie of complete route; betaalde maatwerkredactie is pas logisch wanneer een concreet verschil in dienst, risico of bestaande contractstructuur laat zien dat het officiële model niet passend kan worden ingevuld.

De regeling moet schriftelijk en bindend zijn, ook in elektronische vorm; ‘de leverancier is AVG-conform’ is geen clausule en een beveiligingsbrochure is geen afspraak. Het eindproduct moet aantonen wat wordt verwerkt, binnen welke instructies, met welke bijstand en wat er bij verandering of beëindiging gebeurt.

Leg aan het einde van deze eerste stap één expliciet rolbesluit vast met de afgebakende activiteit, de partijen en het bewijs. Zonder dat anker kunnen keurige clausules later aan de verkeerde gegevensstroom worden gekoppeld of naast een zelfstandig leveranciersdoel worden gebruikt.

Breng de werkelijke dienst eerst in kaart

Maak één feitenblad dat een operationele collega kan controleren; vul geen categorieën in omdat ze gebruikelijk klinken, maar vraag wat het systeem werkelijk ontvangt, waar medewerkers bij kunnen en welke handeling na opzegging technisch plaatsvindt.

Controleer verschillen tussen verkoopinformatie en productie: een openbare subverwerkerslijst kan ouder zijn dan het bestelproces, terwijl een contract één regio kan beloven en ondersteuning wereldwijd wordt geleverd. Noteer zulke verschillen als open punten met een eigenaar, niet als geruststellende aannames.

Het feitenblad begrenst ook wat niet onder deze regeling valt; verwerkingen voor een eigen doel van de leverancier krijgen een afzonderlijke beoordeling. Zo voorkomt u dat alle gegevensstromen onder brede ‘dienstverbetering’ verdwijnen en geen partij nog weet welke instructiegrens geldt.

Vergelijk alle voorwaarden en bijlagen

Inventariseer ieder document dat de gegevensverwerking beweert te regelen: ondertekende overeenkomst, bestelbon, gegevensbijlage, beveiligingsvoorwaarden, productvoorwaarden, privacytekst en iedere via een URL opgenomen versie. Noteer datum, partijen, toepasselijke dienst, bindende werking en voorrang; een link zonder bewaarde versie kan later ongemerkt naar andere verplichtingen wijzen.

Maak daarna een afwijkingenregister met vier vaste uitkomsten: compleet betekent dat de bepaling bindend, voldoende specifiek en consistent is; onvolledig betekent dat een verplicht element slechts gedeeltelijk is ingevuld; tegenstrijdig betekent dat twee teksten verschillende instructies, termijnen of rechten geven; en afwezig betekent dat geen bindende bepaling bestaat. Noteer naast iedere uitkomst de vindplaats en het feitelijke bewijs, zodat een conclusie niet alleen op herkenning van juridische woorden berust.

Lees samengestelde documenten vervolgens als één rangorde: een sterke beveiligingsbijlage kan worden uitgehold door algemene voorwaarden die alle garanties vrijblijvend maken, terwijl een nauwkeurige subverwerkerslijst niet helpt wanneer de wijzigingsprocedure nergens bindt. Los daarom eerst identiteit van de partijen, opname van documenten en voorrang op, want pas dan is zichtbaar welke inhoud werkelijk geldt.

Koppel iedere afwijking aan een reparatie, eigenaar, beslisdatum en sluitingscriterium. Een regel wordt niet ‘compleet’ omdat concepttekst is verstuurd, maar wanneer de ontbrekende bepaling bindt én de onderliggende werkwijze kan worden uitgevoerd. Kleine redactionele verschillen hoeven geen volledig nieuw contract te veroorzaken; een verplicht onderwerp mag echter niet als ‘juridische formulering’ worden geparkeerd wanneer de operatie nog geen antwoord heeft. Vaak ontbreekt eerst het feit en pas daarna de juiste zin.

Kies uit drie passende routes

Kies de smalste route die een volledige, coherente en bindende regeling oplevert; het doel is niet zo veel mogelijk papier, maar één vindbare waarheid over de dienst.

Breng eerst de dienst in kaart en vergelijk alle bindende documenten. Zijn de voorwaarden compleet, bewaar dan de versies; kies anders passende clausules 2021/915 en vul de annexen in of maak een beperkte wijziging ². Wijs daarna eigenaars aan en test de afspraken.

De gratis clausules zijn geen mindere optie voor een klein bedrijf, maar juist een officiële, direct beschikbare basis die voorkomt dat verkoopdruk de minimumeisen bepaalt. Het invullen blijft echter inhoudelijk werk: een annex met ‘passende beveiliging’ vertelt niemand welke maatregel bestaat of welk bewijs beschikbaar is.

Bewaar de gekozen route samen met het afwijkingenregister. Daardoor kan een reviewer zien waarom geen aanvullend document nodig was, of waarom één beperkte wijziging volstond. Zonder dat spoor wordt een volgende contractverlenging opnieuw een speurtocht.

Zet artikel 28 om in werkende clausules

De kernclausules moeten zowel het wettelijke onderwerp als de uitvoeringsroute bevatten. Een herhaling van artikel 28 zonder contactpunt, systeemgrens of bewijsmechanisme is juridisch herkenbaar maar operationeel zwak ¹.

Drie vaak herstelde plichten verdienen een zichtbare plaats. De onmiddellijke melding van een vermoedelijk onrechtmatige instructie is meer dan een algemene samenwerkingszin. Bijstand moet uitdrukkelijk ook de verplichtingen van artikelen 32 tot en met 36 omvatten, waaronder een gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging. Bij een subverwerker blijft de eerste verwerker volledig aansprakelijk voor de uitvoering van de opgelegde artikel 28-verplichtingen.

Kies termijnen vanuit de eindverplichting, niet vanuit gemak. Een verwerker hoeft niet zelfstandig het rechtenverzoek of datalek te beoordelen alsof hij de verwerkingsverantwoordelijke is, maar zijn aanlevering moet vroeg genoeg komen om de verantwoordelijke zijn eigen termijn te laten halen.

Vul annexen met operationele feiten

Annexen zijn de plaats waar een model een echte dienst wordt: beschrijf bewerkingen in gewone werkwoorden, benoem systemen en omgevingen, en scheid productie van test, back-up en ondersteuning. Een brede categorie als ‘klantgegevens’ verbergt vaak identifiers, communicatie, betalingsinformatie en gebruikslogs met verschillende toegangs- en bewaarbehoeften.

Maak beveiliging controleerbaar zonder een aanvaller een handleiding te geven door maatregelcategorie, reikwijdte, eigenaar, toetsingsfrequentie en beschikbaar bewijs te noteren. Wanneer een rapport slechts een deel van de dienst dekt, vermeld dat bereik; een keurige samenvatting mag niet meer suggereren dan werkelijk is onderzocht.

Het einde van de dienst vraagt een eigen scenario waarin staat of de verwerkingsverantwoordelijke kiest tussen retourneren en wissen, in welk formaat export plaatsvindt, wanneer actieve kopieën verdwijnen en wanneer back-ups worden overschreven. Documenteer wettelijke uitzonderingen afzonderlijk, beperk de verdere verwerking en wijs iemand aan die de uitvoering bevestigt.

Laat operationele eigenaars de annexen lezen vóór ondertekening. Zij zien sneller of een beloofde verwijdertermijn, supportkanaal of incidentmelding uitvoerbaar is. Juridische consistentie en technische werkelijkheid moeten in dezelfde versie samenkomen.

Beheer subverwerkers en bewijs als keten

Een verwerkingsverantwoordelijke moet zicht houden op de verwerkingsketen, terwijl de eerste verwerker verantwoordelijk blijft voor de opgelegde downstreamverplichtingen. De EDPB benadrukt dat voldoende informatie nodig is om die verantwoordelijkheid werkelijk uit te oefenen ⁶. Dat betekent risicogestuurd bewijs, niet automatisch een kopie van ieder contract.

Vraag meer bewijs waar impact, toegang of onzekerheid groter is. Een kritieke hostingfunctie met brede toegang vraagt een andere diepte dan een beperkte ondersteunende component zonder productiegegevens. Leg de reden voor de gekozen diepte vast, zodat ‘risicogestuurd’ niet tot ‘niets gevraagd’ verwordt.

Een auditrecht is geen dagelijkse controleplicht. Combineer actuele lijsten, onafhankelijke assurance, gerichte vragen, incidentinformatie en zo nodig een audit. Houd wel een escalatieroute beschikbaar wanneer bewijs ontbreekt, verouderd is of niet overeenkomt met de beschreven dienst.

Houd doorgiften in een afzonderlijk spoor

Een goede artikel 28-regeling lost geen doorgifte naar een derde land op. Hoofdstuk V AVG stelt een andere vraag: of persoonsgegevens de EER verlaten of toegankelijk worden vanuit een derde land, welke grond voor die doorgifte bestaat en welke beoordeling of aanvullende maatregelen nodig zijn ¹. Gebruik de locatie- en toegangsinventaris uit het feitenblad als ingang, maar bewaar de juridische conclusie afzonderlijk; de standaardcontractbepalingen van Besluit 2021/915 voor controller-verwerkerrelaties zijn niet hetzelfde instrument als clausules voor internationale doorgiften ^{3 4}. Gelijke woorden als ‘standaardclausules’ mogen die functies niet vermengen.

Een dienst kan dus artikel 28 volledig dekken en toch een open hoofdstuk V-vraag hebben. Omgekeerd maakt een geldig doorgifte-instrument een onvolledige verwerkersregeling niet compleet. Laat beide sporen naar dezelfde locaties en subverwerkers verwijzen, zodat een wijziging gelijktijdig twee gerichte beoordelingen activeert.

Maak de set bindend en wijs eigenaars aan

Controleer de juridische namen en rollen van beide contractspartijen. Een merknaam, reseller of groepsmaatschappij kan verschillen van de entiteit die de verwerking uitvoert. Leg vast wie namens iedere partij mag tekenen en wie later geldige instructies, beveiligingsmeldingen en wijzigingen mag ontvangen.

Benoem iedere geïncorporeerde tekst met titel, datum of versienummer en regel de voorrang bij strijd. Archiveer een kopie van online voorwaarden die onderdeel van de overeenkomst zijn. Zonder versie kan niemand achteraf bewijzen welke verplichting gold toen een incident of subverwerkerswijziging plaatsvond.

Wijs naast contractbeheer een proceseigenaar, beveiligingscontact, privacycontact en dienstbeheerder aan. Gebruik gemonitorde functionele kanalen met vervanging, niet uitsluitend het adres van één medewerker. Een clausule is pas bruikbaar wanneer een binnenkomend verzoek ook tijdens verlof of personeelswissel iemand bereikt.

Test bij het binden één voorbeeldinstructie via het aangewezen kanaal en bewaar ontvangst plus versie. Daarmee bewijst u tegelijk dat de bevoegde entiteit, de operationele contactroute en het geïncorporeerde document in de praktijk op elkaar aansluiten.

Test de afspraken na ondertekening

Een korte tafeloefening toont of papier en uitvoering overeenkomen. Test op bewijs en doorlooptijd; een mondeling ‘dat regelen we’ is juist het signaal dat de route nog niet bestaat.

Leg bevindingen vast als acties met eigenaar en datum. Een mislukte test maakt de overeenkomst niet waardeloos; zij ontdekt juist vóór een echt voorval dat een mailbox, termijn of systeemaanname niet werkt. Herhaal het scenario na herstel en bewaar beide resultaten.

Kies scenario's die bij de dienst passen, maar houd deze vijf uitkomsten herkenbaar. Zo blijft de testset vergelijkbaar na een leveranciers- of versie wijziging en kunt u zien of een verbetering daadwerkelijk standhoudt.

Bij weigering volgt u een vaste ladder

Een weigering is geen reden om meteen een duur maatwerktraject te starten of de verwerking stilzwijgend te accepteren. Werk van feiten naar consequentie en bewaar bij iedere stap het antwoord.

Commerciële druk verandert de volgorde niet. Een leverancier die ‘met niemand tekent’ kan al bindende standaardvoorwaarden hebben; controleer die eerst. Blijft een verplicht gat bestaan, dan is reputatie of marktomvang geen vervanging voor een regeling.

Bij een bestaande dienst kan stoppen gecontroleerde migratie en gegevensbescherming vereisen. ‘Stoppen’ betekent niet zonder plan systemen uitschakelen en records verliezen. Beperk nieuwe verwerking, bescherm bestaande gegevens, gebruik de exitafspraken en leg vast wanneer het ongedekte onderdeel eindigt.

Houd de overeenkomst levend

Koppel herbeoordeling aan gebeurtenissen: nieuw doel, nieuwe gegevens of personen, systeemwijziging, andere locatie, subverwerker, incident, gewijzigd bewijs, nieuwe functionaliteit en einde of verlenging van de dienst. Een beperkte periodieke controle blijft nuttig om gemiste gebeurtenissen te vinden, maar vervangt die triggers niet.

Bewaar één operationeel dossier met rolbesluit, gegevens- en systeemkaart, bindende voorwaarden, ingevulde annexen, ketenlijst, beveiligingsbewijs, eigenaars, testresultaten en open acties. Registreer versies en beslissingen, zodat een latere reviewer niet alleen ziet wat geldt, maar ook waarom.

Voor vragen of contact met de Nederlandse toezichthouder kan de lezer terecht bij de Autoriteit Persoonsgegevens. Deze contactroute voegt geen nationale inhoudelijke regel toe; de overeenkomst in dit artikel volgt artikel 28 AVG en de gedeelde Europese bronnen.