Verwerkersovereenkomst: wanneer heb je die echt nodig als zzp'er?

Een verwerkersovereenkomst is nodig zodra een andere partij persoonsgegevens verwerkt in jouw opdracht, volgens jouw instructies, zonder daar zelf de baas over te zijn. Voor een zzp’er komt dat in de praktijk op twee antwoorden neer. Werk jij in de systemen van een opdrachtgever en bepaalt die opdrachtgever wat er met de gegevens gebeurt, dan is er meestal geen aparte overeenkomst nodig tussen jullie. Gebruik jij software die klantgegevens opslaat, zoals je boekhoudpakket, je nieuwsbriefdienst of je hosting, dan heb je er wél een nodig met die leverancier. En die levert hem zelf, want dat is zijn wettelijke verplichting net zo goed als die van jou.

Dat scheelt een hoop paniek. De meeste ondernemers die zich hierover zorgen maken, blijken al vier of vijf verwerkersovereenkomsten te hebben geaccepteerd zonder het te weten, ergens in de voorwaarden van hun tools.

Wat is een verwerkersovereenkomst eigenlijk?

Het is een contract tussen twee partijen over persoonsgegevens die de één voor de ander verwerkt. Daarin staat wat de verwerker met die gegevens mag doen, hoe hij ze beveiligt, hoe lang hij ze bewaart, of hij ze mag doorgeven aan anderen en wat er gebeurt als de samenwerking stopt. De AVG verplicht die afspraken op papier, precies omdat je verantwoordelijk blijft voor gegevens die je uit handen geeft.

De naam is verwarrend, want er zijn twee rollen. De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. De verwerker voert dat uit voor een ander, zonder er zelf iets over te beslissen. De Autoriteit Persoonsgegevens (AP) legt dat verschil zelf uit, en dat onderscheid is het hele antwoord op de vraag of je zo’n overeenkomst nodig hebt.

Wanneer heb je er zeker wel een nodig?

Bij vrijwel elke dienst waar klantgegevens van jou in staan. Je boekhoudpakket kent de namen en adressen op je facturen. Je nieuwsbriefdienst heeft de mailadressen van je abonnees. Je hostingpartij bewaart de inzendingen van je contactformulier. Je agendaplanner ziet wie er een afspraak boekt. Al die partijen doen iets met persoonsgegevens waarvoor jij bepaalt waarom het gebeurt, en zij bepalen dat niet.

Voor jou is dit meestal geen papierwerk maar een controlelijstje. Grote leveranciers hebben hun verwerkersovereenkomst standaard klaarliggen, vaak als onderdeel van de algemene voorwaarden of als een apart document dat je in je accountinstellingen aanvinkt. Zoek in de instellingen of de juridische pagina van de dienst op “verwerkersovereenkomst” of “data processing agreement”, en bewaar wat je vindt bij je eigen administratie. Kun je hem nergens vinden, dan is een mailtje aan de support genoeg. Een serieuze leverancier stuurt hem binnen een dag.

Waarom meestal niet met je eigen opdrachtgever?

Hier zit het misverstand dat de meeste tijd kost. Als jij als zzp’er wordt ingehuurd om werk te doen binnen de organisatie van een opdrachtgever, in hun systemen, volgens hun instructies, dan werk je in de praktijk als een tijdelijke medewerker. Je bepaalt zelf niets over die gegevens. Veel privacyjuristen scharen dat onder intern beheer: de opdrachtgever blijft verantwoordelijk, jij bent onderdeel van hun organisatie voor de duur van de klus, en een aparte verwerkersovereenkomst voegt dan niets toe. Een geheimhoudingsafspraak in je opdrachtovereenkomst is wel verstandig.

Het kantelt zodra jij zelf gaat bepalen wat er met de gegevens gebeurt. Neem je klantgegevens mee naar je eigen laptop, je eigen mailbox of je eigen tools, en beslis je zelf hoe je ze opslaat en hoe lang? Dan ben je geen verlengstuk meer van de opdrachtgever en verandert het gesprek. Dat is ook precies de vraag die je moet stellen als een opdrachtgever je een verwerkersovereenkomst voorlegt: wie beslist hier eigenlijk over deze gegevens?

En let op de derde variant, die vaak vergeten wordt. Krijg je persoonsgegevens van een opdrachtgever om er je eigen werk mee te doen, bijvoorbeeld als je als adviseur je eigen analyse maakt, dan ben je vaak zelf verwerkingsverantwoordelijke en is een verwerkersovereenkomst juist het verkeerde document. Dan hoort er een andere afspraak onder.

Wat als een opdrachtgever je er een laat tekenen?

Dat gebeurt vaak, ook in situaties waar het strikt genomen niet hoeft. Grotere organisaties hebben een inkoopproces dat standaard een verwerkersovereenkomst meestuurt bij elke externe partij, en discussiëren daarover kost jou meestal meer tijd dan tekenen.

Lees hem wel voor je tekent, want je neemt er verplichtingen mee over. Kijk in elk geval naar drie dingen: welke beveiligingsmaatregelen er van je gevraagd worden en of je die echt hebt, binnen hoeveel tijd je een datalek bij de opdrachtgever moet melden (dat is vaak 24 of zelfs 12 uur, dus veel strakker dan de wettelijke 72 uur richting de toezichthouder), en of er een aansprakelijkheidsbedrag in staat dat niet in verhouding staat tot de opdracht. Dat laatste is het punt waarop het zinnig is om te onderhandelen.

Wat hoort er in een goede verwerkersovereenkomst?

Concrete afspraken, geen algemeenheden. De AP heeft daar aanbevelingen voor gepubliceerd en de kern daarvan is dat de open normen uit de AVG in zo’n contract concreet gemaakt moeten worden: benoem welke gegevens het zijn, welke bewaartermijnen gelden en welke beveiligingsmaatregelen er echt genomen worden. Dat onderzoek kwam er niet voor niets. Toen de AP in 2019 31 organisaties in de private sector onderzocht, bleek dat er zeer uiteenlopende overeenkomsten in gebruik zijn en dat “de” verwerkersovereenkomst dus niet bestaat.

Voor jou als afnemer betekent dat vooral: een overeenkomst die alleen de wetsartikelen herhaalt zonder ergens iets concreets te noemen, is een zwakke. Dat is geen reden om een dienst af te wijzen, maar wel om te weten wat je in huis hebt.

Hoe zorg je dat je overzicht houdt?

Zet je tools in één lijst en noteer per dienst of de verwerkersovereenkomst geregeld is en waar hij staat. Dat kost een half uur en je hebt hem daarna jaren. Handig detail: die lijst overlapt bijna helemaal met het verwerkingsregister dat je toch al moet bijhouden, dus doe het in één keer. Hoe dat register eruitziet en wat er verder onder de AVG van je verwacht wordt, staat in AVG voor zzp’ers en kleine bedrijven.

Voor de duidelijkheid: dit artikel geeft je de praktische lijn, geen juridisch advies. Twijfel je over jouw rol in een specifieke samenwerking, zeker bij gevoelige gegevens zoals medische of financiële data, leg die vraag dan voor aan een privacyjurist.

Wil je gewoon weten welke van jouw tools het geregeld hebben en welke niet? Dat langslopen hoort bij het praktische AVG-werk onder privacy en cyberbeveiliging: we nemen je diensten door en je krijgt in gewone taal te horen wat er ontbreekt.