Verwerkersovereenkomst: wat moet erin en met wie heb je er een nodig?

Je sociaal secretariaat, je boekhoudsoftware, je cloudleverancier en je IT-partner verwerken persoonsgegevens voor jou. Met elk van hen heb je een verwerkersovereenkomst nodig. Dit is wat erin moet staan.

Geldt voor België en Nederland. Gepubliceerd op 1 oktober 2026.

In het kort

Een verwerkersovereenkomst is verplicht zodra een leverancier persoonsgegevens verwerkt in jouw opdracht.
Artikel 28 van de AVG schrijft de inhoud voor: instructies, geheimhouding, beveiliging, onderaannemers, hulp, wissen en controle.
Grote leveranciers bieden hun eigen overeenkomst aan; lees ze na op onderaannemers en doorgiften.

Verantwoordelijke en verwerker

Jij bepaalt waarom en hoe persoonsgegevens worden verwerkt: jij bent de verwerkingsverantwoordelijke. Een leverancier die dat in jouw opdracht doet, zonder er zelf over te beslissen, is een verwerker. Typische verwerkers zijn de salarisadministratie of het sociaal secretariaat, boekhoud- en facturatiesoftware, e-mail- en cloudplatformen, een IT-beheerder met toegang tot je systemen, een nieuwsbriefdienst en een webbureau dat je site host. Een boekhouder die eigen wettelijke taken uitvoert, of een advocaat, is meestal zelf verantwoordelijke en geen verwerker.

De verplichte afspraken

Artikel 28 van de AVG vraagt een schriftelijke overeenkomst met het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens en de categorieën betrokkenen. Daarnaast moet de verwerker zich verbinden tot het volgende:

Hij verwerkt alleen op jouw gedocumenteerde instructies, ook bij doorgifte buiten de EER.
Zijn medewerkers zijn tot geheimhouding verplicht.
Hij neemt passende beveiligingsmaatregelen.
Hij schakelt alleen onderaannemers in met jouw toestemming, en legt hen dezelfde verplichtingen op.
Hij helpt je bij verzoeken van betrokkenen, zoals inzage of wissing.
Hij helpt je bij de beveiliging, bij datalekken en bij een DPIA.
Hij wist of retourneert de gegevens na afloop van de dienst.
Hij geeft je de informatie die nodig is om de naleving aan te tonen, en laat audits toe.

In de praktijk

Grote leveranciers hebben een standaardovereenkomst die je online aanvaardt. Lees ze na op drie punten: de lijst van onderaannemers, de landen waar de gegevens staan en de termijn waarbinnen een datalek aan jou gemeld wordt. Bij kleinere leveranciers, zoals een lokale IT-partner, stel je zelf een overeenkomst voor. De Gegevensbeschermingsautoriteit en de Autoriteit Persoonsgegevens bieden uitleg en voorbeelden aan.

Zet je verwerkers in je verwerkingsregister en bewaar elke overeenkomst op één plek. Bij een controle of een vragenlijst van een klant is dit het eerste bewijs dat je toont.

Verwerker voor je eigen klanten?

Verwerk je zelf gegevens voor klanten, bijvoorbeeld als IT-dienstverlener, administratiekantoor of softwarebedrijf, dan ben je de verwerker en vragen je klanten jou om deze overeenkomst. Zorg voor een eigen model dat je aan elke klant kan aanbieden, met een duidelijke lijst van je eigen onderaannemers.

Veelgestelde vragen

Is een clausule in de algemene voorwaarden genoeg?

Ja, als alle verplichte afspraken erin staan en de leverancier ze schriftelijk aanvaardt. Een apart document is wel overzichtelijker bij een controle.

Wat als een leverancier weigert te tekenen?

Dan mag je hem geen persoonsgegevens laten verwerken. Zoek een leverancier die de wet wel naleeft, of beperk de gegevens die hij ziet.

Heb ik ook een overeenkomst nodig met mijn boekhouder?

Meestal niet: een boekhouder of accountant bepaalt zelf hoe hij zijn wettelijke taken uitvoert en is dan verantwoordelijke. Voert hij louter je loonadministratie uit op jouw instructies, dan wel.

Weet je niet of je bedrijf onder NIS2 valt?

Drie vragen, meteen een antwoord, zonder e-mailadres.

Check voor België Check voor Nederland Of stel je vraag

Bronnen

Laatst gecontroleerd op 1 oktober 2026. Deze pagina geeft uitleg, geen juridisch advies. Cyberdijk beantwoordt vragen; begeleiding start na afronding van de certificering.