Sub-verwerkersovereenkomst
Een sub-verwerkersovereenkomst is een cruciaal document voor organisaties die persoonsgegevens laten verwerken door een derde partij (de verwerker), die op zijn beurt weer andere partijen inschakelt (sub-verwerkers). Dit document regelt de afspraken tussen de verwerker en de sub-verwerker, en zorgt ervoor dat de persoonsgegevens ook door de sub-verwerker conform de Algemene Verordening Gegevensbes
- Gepersonaliseerd met uw gegevens
- Word en PDF
- Juridisch conform
- Door professionals gecontroleerd
Sub-verwerkersovereenkomst: Uw AVG-compliance Gids
Bij het uitbesteden van de verwerking van persoonsgegevens komt veel kijken. Wanneer uw verwerker vervolgens ook weer een derde partij inschakelt, komt een specifiek document in beeld: de sub-verwerkersovereenkomst. Dit contract is essentieel om de AVG-compliance in de hele verwerkingsketen te waarborgen. Het legt de verplichtingen vast tussen de verwerker en de door hem ingeschakelde sub-verwerker. Een goed model sub-verwerkersovereenkomst biedt houvast en juridische zekerheid.
Wat is een sub-verwerkersovereenkomst?
Een sub-verwerkersovereenkomst, ook wel overeenkomst subverwerker genoemd, is een contract tussen een verwerker en een sub-verwerker. Onder de AVG is een verwerker een partij die persoonsgegevens verwerkt in opdracht van de verwerkingsverantwoordelijke (de organisatie die het doel en de middelen van de verwerking bepaalt). Wanneer die verwerker bepaalde taken uitbesteedt aan een andere partij, wordt die andere partij een subverwerker genoemd.
Deze overeenkomst is een verlengstuk van de hoofdovereenkomst tussen de verwerkingsverantwoordelijke en de verwerker (de verwerkersovereenkomst). In de sub-verwerkersovereenkomst worden dezelfde AVG-verplichtingen doorgegeven aan de sub-verwerker. Zonder een dergelijke overeenkomst loopt de verwerker het risico dat de sub-verwerker niet voldoet aan de vereiste beveiligings- en privacystandaarden, wat kan leiden tot datalekken en mogelijke sancties van de Autoriteit Persoonsgegevens.
Wanneer is een sub-verwerkersovereenkomst nodig?
De behoefte aan een sub-verwerkersovereenkomst ontstaat altijd wanneer een verwerker een sub-verwerker wil inschakelen. De AVG stelt hier duidelijke voorwaarden aan. Allereerst mag een verwerker alleen een sub-verwerker gebruiken met de voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Die toestemming kan in de hoofd-verwerkersovereenkomst zijn opgenomen.
Vervolgens is de verwerker verplicht om via een contract – de sub-verwerkersovereenkomst – dezelfde verplichtingen op te leggen aan de sub-verwerker als die welke op hemzelf van toepassing zijn vanuit de overeenkomst met de verwerkingsverantwoordelijke. Dit geldt voor elk type sub-verwerking, of het nu gaat om cloudopslag, salarisadministratie, marketingautomatisering of IT-ondersteuning. Zonder een dergelijk contract subverwerker is de inzet van een sub-verwerker niet AVG-proof.
Belangrijke onderdelen van een sub-verwerkersovereenkomst
Een degelijk contract subverwerker bevat een aantal cruciale clausules die direct voortvloeien uit de AVG-eisen. Deze zorgen ervoor dat de persoonsgegevens ook bij de sub-verwerker adequaat worden beschermd.
- Verwerkingsinstructies: Het doel en de details van de verwerking moeten exact worden omschreven. De sub-verwerker mag alleen handelen volgens de schriftelijke instructies van de verwerker (en indirect van de verwerkingsverantwoordelijke).
- Vertrouwelijkheid: Een verplichting voor het personeel van de sub-verwerker om strikte geheimhouding in acht te nemen.
- Technische en organisatorische beveiligingsmaatregelen: De sub-verwerkersovereenkomst moet specifiek maken welke maatregelen worden getroffen om de gegevens te beveiligen, zoals encryptie, toegangsbeheer en beveiligingsprotocollen.
- Ondersteuning bij rechten van betrokkenen: De sub-verwerker moet de verwerker helpen bij het honoreren van verzoeken van betrokkenen (zoals het inzien, corrigeren of verwijderen van hun gegevens).
- Datalekmelding: Duidelijke afspraken over hoe en binnen welke termijn de sub-verwerker een datalek bij de verwerker moet melden.
- Audits en inspecties: De verwerker moet het recht hebben om audits uit te voeren of inspectierapporten op te vragen om de compliance van de sub-verwerker te controleren.
- Doorgifte buiten de EER: Als de sub-verwerker gegevens buiten de Europese Economische Ruimte verwerkt, moeten er aanvullende garanties zijn, zoals Standard Contractual Clauses (SCC's). Deze SCC's zijn modelcontracten die de AVG biedt om een adequaat beschermingsniveau te waarborgen bij internationale gegevensoverdrachten.
- Einde van de verwerking: Afspraken over het verwijderen of retourneren van de gegevens na beëindiging van de overeenkomst.
Hoe vult u een sub-verwerkersovereenkomst template in?
Het invullen van een sub-verwerkersovereenkomst template vraagt om zorgvuldige aandacht. Begin met het nauwkeurig identificeren van de partijen: de verwerker (die de overeenkomst aangaat) en de sub-verwerker. Beschrijf vervolgens het onderwerp van de overeenkomst: welke specifieke verwerkingstaken worden uitbesteed en welke persoonsgegevens en categorieën daarvan zijn betrokken.
De kern ligt in het detailleren van de hierboven genoemde verplichtingen. Wees zo specifiek mogelijk bij de beveiligingsmaatregelen; verwijs eventueel naar het beveiligingsbeleid van de sub-verwerker. Stel realistische termijnen voor datalekmeldingen. Een goede template biedt hiervoor duidelijke velden en keuzemogelijkheden. Het is verstandig om de ingevulde overeenkomst juridisch te laten controleren, vooral bij complexe verwerkingen.
De relatie tussen verwerkingsverantwoordelijke, verwerker en sub-verwerker
Het is cruciaal om het onderscheid tussen een verwerker en een verwerkingsverantwoordelijke te begrijpen. De verwerkingsverantwoordelijke (vaak uw eigen organisatie) bepaalt waarom en hoe persoonsgegevens worden verwerkt. Hij sluit een verwerkersovereenkomst af met een verwerker (bijvoorbeeld een SaaS-provider) die namens hem de verwerking uitvoert.
Wanneer die verwerker op zijn beurt een deel van het werk uitbesteedt aan een andere specialist (zoals een hostingpartij), wordt die laatste een subverwerker. De verwerkingsverantwoordelijke heeft geen direct contract met de sub-verwerker, maar de verwerker blijft volledig verantwoordelijk tegenover de verwerkingsverantwoordelijke voor het handelen van zijn sub-verwerker. Dit onderstreept het belang van een goede sub-verwerkersovereenkomst als een vorm van sub-verwerkersovereenkomst DPA (Data Processing Agreement); het is het instrument waarmee de verwerker zijn contractuele en wettelijke verantwoordelijkheid waarmaakt.
Veelgestelde vragen over sub-verwerkers
Wat is een subverwerker?
Een subverwerker is een derde partij die door een verwerker wordt ingeschakeld om een deel van de verwerking van persoonsgegevens uit te voeren. De verwerker blijft eindverantwoordelijk.
Wat zijn de verplichte elementen van een verwerkersovereenkomst volgens de AVG?
De AVG schrijft voor dat een verwerkersovereenkomst minimaal moet bevatten: het onderwerp en de duur van de verwerking, de aard en het doel ervan, het type persoonsgegevens en categorieën betrokkenen, de plichten en rechten van de verwerkingsverantwoordelijke, en specifieke verplichtingen rond beveiliging, datalekken, sub-verwerking en internationale doorgifte.
Wat zijn de eisen voor een verwerkersovereenkomst?
De overeenkomst moet schriftelijk (inclusief elektronisch) zijn en alle hierboven genoemde verplichte elementen bevatten. Hij moet ervoor zorgen dat de verwerker alleen op instructie van de verwerkingsverantwoordelijke handelt en passende beveiligingsmaatregelen treft.
Het belang van een goede overeenkomst
Een solide sub-verwerkersovereenkomst is meer dan een administratieve verplichting; het is een fundamenteel instrument voor risicobeheer en compliance. Het beschermt alle partijen in de verwerkingsketen: de betrokkenen wiens gegevens worden beschermd, de verwerkingsverantwoordelijke die aan zijn accountability-verplichting voldoet, en de verwerker die zijn aansprakelijkheid kan beheersen. Het biedt duidelijkheid bij incidenten en vormt het bewijs van due diligence richting de Autoriteit Persoonsgegevens.
Door gebruik te maken van een goed gestructureerd model sub-verwerkersovereenkomst kunt u snel en efficiënt een AVG-compliant contract opstellen. Dit bespaart tijd, reduceert juridische risico's en geeft vertrouwen in uw gegevensverwerking.
Download de gratis Sub-verwerkersovereenkomst template en zorg voor AVG-compliance. Vul de essentiële velden in op basis van uw specifieke situatie en leg de verplichtingen met uw sub-verwerker professioneel vast.
Definities
In deze overeenkomst wordt verstaan onder:
- Verwerker: __________, gevestigd te __________, ingeschreven in het handelsregister onder nummer __________.
- Sub-verwerker: __________, gevestigd te __________, ingeschreven in het handelsregister onder nummer __________.
- Persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.
- Verwerking: Elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op een andere manier ter beschikking stellen, samenbrengen, met elkaar in verband brengen, afschermen, wissen of vernietigen van gegevens.
- AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (Algemene Verordening Gegevensbescherming).
- Datalek: Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens.
Object van de Verwerking
De Sub-verwerker verwerkt persoonsgegevens ten behoeve van de Verwerker overeenkomstig de volgende specificaties:
- Beschrijving van de verwerking: __________
- Categorieën van persoonsgegevens: De verwerking heeft betrekking op de volgende categorieën van persoonsgegevens: __________.
- Duur van de verwerking: __________
Verplichtingen van de Sub-verwerker
De Sub-verwerker verbindt zich ertoe:
- De persoonsgegevens uitsluitend te verwerken overeenkomstig de schriftelijke instructies van de Verwerker en in overeenstemming met de bepalingen van deze overeenkomst en de AVG.
- De vertrouwelijkheid van de verwerkte persoonsgegevens te waarborgen.
- Passende technische en organisatorische maatregelen te treffen om de persoonsgegevens te beveiligen.
- De Verwerker naar vermogen bijstand te verlenen bij de vervulling van diens verplichtingen om te voldoen aan verzoeken van betrokkenen om hun rechten uit te oefenen.
- De Verwerker naar vermogen bijstand te verlenen bij de vervulling van diens verplichtingen met betrekking tot de melding van en communicatie over datalekken.
- Medewerking te verlenen aan audits en inspecties, zoals bepaald in de desbetreffende clausule van deze overeenkomst.
- Na beëindiging van de verwerking, op grond van de keuze van de Verwerker, alle persoonsgegevens aan de Verwerker terug te geven of te vernietigen en alle bestaande kopieën te verwijderen.
Beveiligingsmaatregelen
De Sub-verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zijn erop gericht de persoonsgegevens te beschermen tegen vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot de gegevens. De maatregelen omvatten ten minste het volgende: __________.
De Sub-verwerker garandeert dat de beveiligingsmaatregelen voldoen aan de vereisten van de AVG.
Melding van Datalekken
Assistentie bij Rechten van Betrokkenen
Audit en Inspectie
Inschakeling van Verdere Sub-verwerkers
De Sub-verwerker mag geen verdere sub-verwerkers inschakelen voor de verwerking van persoonsgegevens zonder de voorafgaande schriftelijke toestemming van de Verwerker. Indien toestemming wordt verleend, sluit de Sub-verwerker een schriftelijke overeenkomst met de verdere sub-verwerker waarin ten minste dezelfde gegevensbeschermingsverplichtingen worden opgelegd als die welke zijn vastgelegd in deze overeenkomst. De Sub-verwerker blijft ten volle aansprakelijk jegens de Verwerker voor de nakoming van de verplichtingen van de verdere sub-verwerker.
Teruggave en Verwijdering van Gegevens
Na beëindiging van de diensten met betrekking tot de verwerking, of op eerste verzoek van de Verwerker, retourneert of vernietigt de Sub-verwerker alle persoonsgegevens en verwijdert deze alle bestaande kopieën, tenzij Unierecht of lidstaatrecht de opslag van de persoonsgegevens verplicht stelt.
De procedure voor teruggave en verwijdering is als volgt: __________.
Op verzoek van de Verwerker stelt de Sub-verwerker een schriftelijke verklaring op waarin wordt bevestigd dat aan deze verplichting is voldaan.
Aansprakelijkheid en Vrijwaring
De Sub-verwerker is jegens de Verwerker aansprakelijk voor alle schade die het gevolg is van het niet nakomen van de verplichtingen uit deze overeenkomst of de AVG door de Sub-verwerker of zijn ondergeschikten.
De Sub-verwerker ontheft en vrijwaart de Verwerker van alle aanspraken, vorderingen, schade, verliezen, kosten en uitgaven die voortvloeien uit of verband houden met enige handeling of nalatigheid van de Sub-verwerker of zijn ondergeschikten die in strijd is met deze overeenkomst of de AVG.
Toepasselijk Recht en Geschillenbeslechting
Deze overeenkomst wordt beheerst door en uitgelegd in overeenstemming met het Nederlands recht.
Geschillen die voortvloeien uit deze overeenkomst zullen worden voorgelegd aan de bevoegde rechter in __________.
Vertrouwelijkheid
De Sub-verwerker houdt alle vertrouwelijke informatie die hij in het kader van deze overeenkomst van de Verwerker ontvangt of heeft ontvangen, geheim. De Sub-verwerker gebruikt deze informatie uitsluitend voor de uitvoering van deze overeenkomst en maakt deze niet aan derden bekend, tenzij dit noodzakelijk is voor de uitvoering van deze overeenkomst of indien dit bij wet of rechterlijk bevel is verplicht.
Deze geheimhoudingsplicht blijft van kracht ook na beëindiging van deze overeenkomst.
In __________, op __________.
DE VERWERKER
Fdo.: __________
DE SUB-VERWERKER
Fdo.: __________