Een verwerkersovereenkomst is het contract waarin vastligt wat een dienstverlener namens jou met persoonsgegevens mag doen. De AVG verplicht zo'n contract zodra een ander bedrijf persoonsgegevens voor jou verwerkt (art. 28 AVG). Denk aan je boekhoudsoftware, je cloudopslag of een AI-tool. Jij blijft verantwoordelijk, de dienstverlener werkt alleen op jouw instructies. Belangrijk om te weten: de verwerkersovereenkomst is niet het enige document dat telt. Ook de gebruiksvoorwaarden bepalen wat er met je gegevens gebeurt.
Een voorbeeld uit de praktijk
Advocatenkantoor Van Dam & Hoek in Rotterdam (een verzonnen voorbeeld) gaat een AI-tool gebruiken om processtukken samen te vatten. In die stukken staan namen van cliënten, wederpartijen en getuigen, plus alles wat daarbij hoort.
Het kantoor is de verwerkingsverantwoordelijke: het bepaalt waarom en hoe de gegevens worden gebruikt. De aanbieder van de AI-tool is de verwerker: die verwerkt de gegevens alleen omdat het kantoor dat vraagt. Om dat goed te regelen, sluiten ze een verwerkersovereenkomst. Daarna leest de kantoormanager ook nog de gebruiksvoorwaarden. Daar blijkt het verschil te zitten.
Wat er in een verwerkersovereenkomst moet staan
Artikel 28 lid 3 AVG noemt wat er minimaal in moet. Eenvoudig gezegd:
- Onderwerp, duur, aard en doel van de verwerking, welke soorten gegevens het betreft en van wie.
- Alleen op instructie. De verwerker verwerkt de gegevens alleen op schriftelijke instructie van de verantwoordelijke.
- Geheimhouding. Medewerkers van de verwerker zijn tot geheimhouding verplicht.
- Beveiliging. De verwerker neemt passende maatregelen (art. 32 AVG).
- Subverwerkers. De verwerker schakelt alleen met toestemming andere partijen in, en legt hun dezelfde verplichtingen op.
- Hulp bij rechten en datalekken. De verwerker helpt bij verzoeken van betrokkenen en bij het melden van datalekken.
- Einde van de opdracht. De gegevens worden verwijderd of teruggegeven.
- Controle. De verwerker geeft de informatie die nodig is om naleving aan te tonen en werkt mee aan audits.
Wie heeft er een nodig? Iedere organisatie die persoonsgegevens laat verwerken door een ander bedrijf, ook een eenmanszaak of een huisartsenpraktijk. Zonder verwerkersovereenkomst schend je zelf de AVG. Het toezicht ligt in Nederland bij de Autoriteit Persoonsgegevens. De boetes onder de AVG kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.
In andere landen heet hetzelfde contract een data processing agreement (DPA), een Auftragsverarbeitungsvertrag of een personuppgiftsbiträdesavtal. De inhoud volgt overal hetzelfde artikel 28.
Dit is algemene informatie, geen juridisch advies.
Wat een verwerkersovereenkomst niet beschermt
Een verwerkersovereenkomst is goed en nodig. Maar ze dekt niet alles.
- Ze gaat over persoonsgegevens. De afspraken gelden voor gegevens die naar een persoon te herleiden zijn. Zijn gegevens eenmaal echt geanonimiseerd, dan vallen ze buiten de AVG (overweging 26), en daarmee in de praktijk ook buiten wat de AVG regelt. Zulke gegevens kunnen legaal worden samengevoegd, in licentie gegeven en verkocht, bijvoorbeeld aan databrokers, verzekeraars of AI-ontwikkelaars. Zie het datapad en de bronnen op legaal te koop.
- De gebruiksvoorwaarden tellen ook. Hier zit de wending. Veel diensten hebben naast hun verwerkersovereenkomst gebruiksvoorwaarden waarin jij de aanbieder een licentie geeft: om je inhoud te gebruiken voor het verbeteren van de dienst, of om er geanonimiseerde, geaggregeerde of afgeleide gegevens van te maken. Op dat punt treedt de aanbieder niet meer alleen als verwerker op voor jouw doel. Lees dus beide documenten, en zoek in de voorwaarden naar het woord "licentie".
- Gepseudonimiseerd is niet anoniem. Een code in plaats van een naam blijft een persoonsgegeven. Zie pseudonimisering en anonimisering.
- Het beroepsgeheim regel je er niet mee. Voor artsen en advocaten blijft de vraag of ze mogen delen bij henzelf liggen: toestemming van de cliënt of patiënt of een andere wettelijke grondslag. Zie het beroepsgeheim.
Wat dit betekent als je AI-tools gebruikt
Een korte controle die je op elke AI-tool kunt toepassen:
- Is er een verwerkersovereenkomst volgens artikel 28 AVG, en geldt die voor jouw abonnement?
- Lees de gebruiksvoorwaarden op een licentie. Mag de aanbieder je inhoud gebruiken, verbeteren, anonimiseren of aggregeren?
- Is training uitgesloten, in het contract en niet alleen in een instelling?
- Welke subverwerkers zijn er, en waar wordt verwerkt?
- Wat gebeurt er na verwerking? Worden gegevens bij de modelaanbieders bewaard of verwijderd?
Wysor is alleen verwerker. We handelen uitsluitend op jouw instructies (art. 28 AVG) en nemen geen licentie om je inhoud te hergebruiken. We trainen er nooit op en verkopen haar nooit, geanonimiseerd of niet. Die toezeggingen staan in het contract en binden ook iedereen die Wysor ooit zou overnemen. Je gegevens zijn versleuteld tijdens transport en in opslag en worden gehost in de EU. Bij elke aangesloten AI-modelaanbieder geldt zero data retention: verwerkt, daarna verwijderd. Zo werk je met GPT, Claude, Gemini en meer in één werkruimte.
Veelgestelde vragen
Wanneer heb je een verwerkersovereenkomst nodig? Zodra een ander bedrijf in jouw opdracht persoonsgegevens verwerkt. Denk aan een salarisadministratie, een hostingpartij, een CRM of een AI-tool waarin je klant- of patiëntgegevens zet.
Wie stelt de verwerkersovereenkomst op? Dat kan de verantwoordelijke of de verwerker zijn. In de praktijk biedt de dienstverlener vaak een standaardovereenkomst aan. Belangrijk is dat de onderdelen uit artikel 28 lid 3 AVG erin staan.
Is een verwerkersovereenkomst hetzelfde als een DPA? Ja. DPA staat voor data processing agreement, de Engelse naam voor hetzelfde contract.
Wat is het verschil tussen een verwerker en een verwerkingsverantwoordelijke? De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. De verwerker voert de verwerking uit op instructie en mag de gegevens niet voor eigen doelen gebruiken.
Is een verwerkersovereenkomst genoeg om een AI-tool veilig te gebruiken? Niet altijd. Lees ook de gebruiksvoorwaarden: als die de aanbieder een licentie geven om je inhoud te anonimiseren of te hergebruiken, kunnen gegevens langs die weg toch een eigen leven gaan leiden.
Verder lezen
- Wat is de AVG? Eenvoudig uitgelegd
- Wat zijn persoonsgegevens? Definitie en voorbeelden
- Volledige privacy: je data verlaten je controle niet
- Legaal te koop: wat er met geanonimiseerde gegevens gebeurt
- Wat is een AI-agent? Eenvoudig uitgelegd
- Wat is generatieve AI? Eenvoudig uitgelegd
Vragen over onze verwerkersovereenkomst? Schrijf naar [email protected] of gebruik het contactformulier in de app.
