Recht · 7 november 2026 · 5 min leestijd
Verwerkersovereenkomst: checklist voor webtools
Wanneer u een verwerkersovereenkomst volgens art. 28 AVG nodig hebt, welke verplichte inhoud erin staat en waar u bij analyse- en marketingtools op let.
Bijna elke tool die u op uw website inzet, verwerkt gegevens in uw opdracht: webanalyse, nieuwsbrief, CRM, heatmap, chat. Zodra daarbij persoonsgegevens in het spel zijn, eist de AVG (in het Duits DSGVO) een overeenkomst met de aanbieder. Die heet verwerkersovereenkomst, in het Duits Auftragsverarbeitungsvertrag, kortweg AV-Vertrag of AVV. Dit artikel legt uit wanneer u die nodig hebt, wat erin moet staan en waaraan u bij de keuze van een tool moet denken.
Wanneer u een verwerkersovereenkomst nodig hebt
Art. 28 AVG is van toepassing wanneer een dienstverlener persoonsgegevens in uw opdracht en volgens uw instructies verwerkt. U bent dan de verwerkingsverantwoordelijke, de aanbieder is de verwerker. De wettekst vindt u in de AVG op EUR-Lex.
Niet elke relatie is verwerking in opdracht. Onderscheid drie constellaties:
| Constellatie | Kenmerk | Overeenkomst |
|---|---|---|
| Verwerking in opdracht | Aanbieder handelt uitsluitend op uw instructie | Verwerkersovereenkomst volgens art. 28 |
| Gezamenlijke verantwoordelijkheid | U en de aanbieder beslissen samen over doel en middelen | Regeling volgens art. 26 |
| Eigen verantwoordelijke | Aanbieder gebruikt de gegevens voor eigen doeleinden | Afhankelijk van het geval eigen rechtsgrond en doorgifte |
Doorslaggevend is wie doel en middelen bepaalt, niet hoe de overeenkomst heet. Een aanbieder die de gegevens ook voor eigen doeleinden gebruikt, bijvoorbeeld om eigen producten te verbeteren buiten de dienst voor u om, is voor dat deel geen verwerker meer. Volgens art. 28 lid 10 geldt een verwerker die doel en middelen zelf bepaalt, voor die verwerking als verwerkingsverantwoordelijke.
Verplichte inhoud volgens art. 28 lid 3
De overeenkomst moet het onderwerp en de duur van de verwerking, de aard en het doel, het type gegevens en de categorieën van betrokkenen vastleggen. Bovendien moet erin staan dat de verwerker:
- a) de gegevens alleen op gedocumenteerde instructie verwerkt, ook bij doorgiften naar een derde land,
- b) personen inzet die tot vertrouwelijkheid zijn verplicht,
- c) de maatregelen volgens art. 32 neemt,
- d) de voorwaarden voor het inschakelen van andere verwerkers naleeft,
- e) u bij verzoeken van betrokkenen ondersteunt,
- f) u bij de verplichtingen uit art. 32 tot en met 36 ondersteunt,
- g) na afloop van de dienst de gegevens naar uw keuze wist of teruggeeft,
- h) bewijsstukken levert en controles mogelijk maakt.
De overeenkomst moet schriftelijk worden opgesteld, een elektronisch formaat volstaat (lid 9). Een modelkader biedt de Europese Commissie met de modelcontractbepalingen voor verwerking. Volgens art. 28 lid 6 kan de overeenkomst geheel of gedeeltelijk daarop berusten.
Subverwerkers
Schakelt de aanbieder zelf dienstverleners in, bijvoorbeeld een hostingaanbieder, dan gelden twee regels uit art. 28 lid 2 en 4:
- Hij heeft uw voorafgaande specifieke of algemene schriftelijke toestemming nodig. Bij een algemene toestemming moet hij u over elke voorgenomen wijziging informeren. U kunt dan bezwaar maken.
- Hij moet de subverwerkers dezelfde gegevensbeschermingsverplichtingen opleggen. Doet een subverwerker dat niet, dan is de eerste verwerker jegens u aansprakelijk.
Vraag de aanbieder daarom om een actuele lijst van zijn subverwerkers, met vestigingsplaats en taak.
Derde land
Worden gegevens buiten de EU en de EER verwerkt of zijn ze van daaruit toegankelijk, dan gelden aanvullend de regels voor doorgifte naar derde landen (hoofdstuk V, art. 44 e.v. AVG). Gebruikelijk zijn drie wegen: een adequaatheidsbesluit van de Commissie, modelcontractbepalingen voor doorgifte of bindende bedrijfsregels. Voor de VS bestaat sinds 2023 een adequaatheidsbesluit over het EU-US Data Privacy Framework. Het geldt alleen voor bedrijven die aan het framework deelnemen. Het wordt juridisch aangevochten, controleer dus de actuele stand. Een server in de EU lost het onderwerp op, als noch de aanbieder noch een subverwerker uit een derde land toegang tot de gegevens heeft.
Checklist voor analyse- en marketingtools
- Rol verduidelijken. Verwerkt de aanbieder alleen voor u of ook voor eigen doeleinden?
- Overeenkomst controleren. Staan alle punten uit art. 28 lid 3 erin?
- Gegevens beschrijven. Zijn het type gegevens en de categorieën van betrokkenen concreet benoemd?
- Subverwerkers bekijken. Is er een lijst en een procedure bij wijzigingen?
- Serverlocatie navragen. Waar staan de gegevens, wie heeft toegang?
- Route naar derde land documenteren. Welke grondslag draagt een doorgifte?
- Verwijdering regelen. Wat gebeurt er na afloop van de overeenkomst met de gegevens?
- Technische maatregelen lezen. Versleuteling, toegangsrechten, logging.
Voeg de overeenkomst toe aan uw documentatie en neem de tool op in uw register van verwerkingsactiviteiten volgens art. 30 AVG. Juist bij tools die pas na toestemming laden, is de overeenkomst een tweede, afzonderlijke voorwaarde. De toestemming op het apparaat vervangt haar niet, zoals § 25 TDDDG: cookies en tracking in Duitsland laat zien.
Wat bij overtredingen dreigt
Ontbreekt de overeenkomst of is ze onvolledig, dan kan de toezichthouder dat beboeten. Voor overtredingen van de verplichtingen uit art. 28 voorziet art. 83 lid 4 AVG in geldboeten tot 10 miljoen euro of tot 2 procent van de wereldwijde jaaromzet, al naargelang welk bedrag hoger is. Dat is het kader, geen prognose voor het individuele geval.
En in Zwitserland?
De Zwitserse wet op de gegevensbescherming regelt de verwerking door opdrachtverwerkers in art. 9 DSG. De gedachte is vergelijkbaar, de formulering anders. Wie in de EU betrokkenen aanspreekt, heeft doorgaans de overeenkomst volgens de AVG nodig. Of dat voor uw aanbod geldt, legt Websitetracking in Zwitserland: revDSG en FMG uit.
Veelgestelde vragen
Heb ik een verwerkersovereenkomst nodig als de tool alleen bedrijfsnamen toont? Dat hangt ervan af of de aanbieder daarbij persoonsgegevens voor u verwerkt, bijvoorbeeld IP-adressen, al is het maar kortstondig. Sluit in geval van twijfel de overeenkomst af, ze kost vrijwel niets. Of een IP-adres een persoonsgegeven is, legt IP-adres en AVG: is het een persoonsgegeven? uit.
Volstaat het de algemene voorwaarden van de aanbieder te accepteren? Alleen als daarin alle verplichte inhoud staat en de regeling duidelijk herkenbaar is als overeenkomst of addendum. Veel aanbieders stellen de verwerkersovereenkomst als apart document beschikbaar om af te sluiten.
Moet ik de overeenkomst ondertekenen? Ze moet schriftelijk zijn opgesteld. Een elektronisch formaat volstaat volgens art. 28 lid 9, afsluiten met een klik is daarom gebruikelijk.
