Je ICT-bedrijf heeft een verwerkersovereenkomst nodig wanneer je als verwerker namens een klant persoonsgegevens verwerkt. Dat beoordeel je aan de hand van de feitelijke werkzaamheden en zeggenschap. Alleen “ICT-leverancier” of “beheerder” op je offerte zetten bepaalt je AVG-rol niet. Breng daarom eerst per dienst in kaart welke gegevens je gebruikt, waarom en in opdracht van wie.
De taakmatrix hieronder helpt je voorbereiden en geeft geen definitief juridisch oordeel. Voor het volledige starttraject lees je een eigen ICT-bedrijf starten.
1. Beoordeel de rol per verwerking
De Autoriteit Persoonsgegevens beschrijft het verschil tussen verantwoordelijke en verwerker. De verantwoordelijke bepaalt het doel en de middelen; een verwerker verwerkt namens die partij. Dezelfde onderneming kan voor verschillende verwerkingen verschillende rollen hebben.
Zo beoordeel je eigen klantadministratie afzonderlijk van het beheren van een klantomgeving. Een afspraak over geheimhouding beantwoordt de rolvraag niet. Ook de mogelijkheid om gegevens te bekijken vraagt onderzoek: wat is afgesproken, wat voer je feitelijk uit en welke bevoegdheid heb je?
Beschrijf je werk voordat je een model invult. Bij twijfel over meerdere partijen, eigen gebruik van gegevens of gezamenlijke beslissingen moet de feitelijke inrichting eerst helder worden.
2. Vul een taakmatrix in met je klant
Gebruik onderstaande eigen vragenkaart. De genoemde taken zijn voorbeelden; de laatste kolom schrijft geen juridische kwalificatie voor.
| Taak | Te beschrijven gegevens en toegang | Vraag voor de rolbeoordeling |
|---|---|---|
| Back-ups van klantbestanden | Welke bestanden, opslaglocatie en toegang? | Wie bepaalt doelen en bewaartermijnen? |
| Ondersteuning op afstand | Scherminhoud, gebruikersgegevens en sessielog | Welke verwerking hoort bij de opdracht? |
| Softwareontwikkeling | Testgegevens, productiedata en foutmeldingen | Kan de opdracht met synthetische data? |
| Eigen facturatie | Contact- en betaalgegevens | Welke eigen administratieve doelen gelden? |
Voeg de betrokken leveranciers toe. Denk aan hosting, beheersoftware, tickets en logopslag. Noteer niet alleen de productnaam, maar ook de contractpartij, gegevensstroom en rol. Een IT-dienst kan meerdere gegevensstromen hebben met verschillende afspraken.
Laat de klant bevestigen of de beschrijving bij zijn proces past. Een technisch overzicht zonder afstemming kan belangrijke zakelijke doelen missen.
3. Vertaal de matrix naar concrete afspraken
Volgens de AP moeten verantwoordelijke en verwerker verplichte onderwerpen schriftelijk vastleggen. Denk aan de verwerking, instructies, vertrouwelijkheid, beveiliging, hulp bij privacyrechten en de inzet van subverwerkers. De overeenkomst moet aansluiten op de werkelijkheid.
Maak voor je concept een bijlage met systemen, soorten gegevens, betrokken personen, looptijd en bevoegde contactpersonen. Beschrijf hoe de klant instructies geeft en hoe jij die registreert. Vermijd formuleringen die iets beloven wat je gebruikte dienstverlening niet kan uitvoeren.
Neem ook op hoe de verwerking eindigt. Welke gegevens worden teruggegeven, verwijderd of nog bewaard vanwege een geldende verplichting? Maak de uitvoering controleerbaar en stem de afspraken af met de eigen contractvoorwaarden van gebruikte leveranciers.
4. Beschrijf beveiliging als uitvoerbaar werk
“Passende beveiliging” vraagt een concrete uitwerking voor de situatie. Noteer bijvoorbeeld hoe je beheeraccounts toekent, toegang intrekt, updates uitvoert en een herstelprocedure controleert. Maak duidelijk wie de taak uitvoert en hoe je tekortkomingen bespreekt.
Gebruik de NCSC-aanpak voor incidentvoorbereiding om een gezamenlijk scenario te oefenen. Stel dat een beheeraccount is misbruikt. Wie kan het blokkeren, waar staan de relevante logs en wie neemt contact op met de klant?
Werk je met beheerabonnementen, controleer dan of het pakket de afgesproken taken werkelijk omvat. Een contractbijlage moet geen onbetaalde of ongeorganiseerde werkzaamheden verbergen. Maak eventuele aanvullende dienstverlening vooraf bespreekbaar.
5. Leg de incidentroute vast vóór er iets gebeurt
De AP licht toe hoe een datalekmelding wordt beoordeeld en ingediend. Spreek binnen je samenwerking af hoe je vermoedelijke incidenten snel meldt, welke informatie je beschikbaar maakt en wie verdere beoordeling en communicatie organiseert. De meldplicht aan de AP is niet voor iedere gebeurtenis hetzelfde.
Een bruikbare eigen incidentkaart bevat tijdstip van ontdekking, getroffen omgeving, mogelijke gegevens, getroffen maatregelen en contactpersonen. Bewaar feiten en onzekerheden apart. Wacht niet met het delen van noodzakelijke eerste informatie totdat je ieder technisch detail hebt onderzocht.
Test de contactroute ook buiten een gewoon overleg. Een telefoonnummer dat alleen bij een inmiddels vertrokken medewerker uitkomt, maakt een schriftelijke afspraak weinig uitvoerbaar.
6. Controleer leveranciers en wijzigingen gedurende het contract
Beoordeel bij een nieuwe tool of verhuizing van gegevens of de bestaande afspraken nog passen. Controleer verwerking buiten de Europese Economische Ruimte afzonderlijk; een standaard verwerkersovereenkomst lost internationale doorgiftevragen niet vanzelf op.
Maak een vaste wijzigingsstap: wijziging beschrijven, gevolgen voor gegevensstromen bepalen, vereiste toestemming of informatie organiseren en documenten bijwerken. Dat helpt voorkomen dat je technische inrichting stilzwijgend van je contract afwijkt.
Je volgende stap is één concrete klantdienst door de taakmatrix halen. Laat daarna de rolverdeling en het concept beoordelen op de eigen situatie. Voor ontwikkelwerk sluit je dit aan op de afspraken rond je eerste softwareopdracht.
Veelgestelde vragen over ICT-verwerkersafspraken
Heb ik voor iedere klant dezelfde overeenkomst nodig?
Een basismodel kan bruikbaar zijn, maar werkzaamheden, systemen, gegevens en leveranciers kunnen verschillen. Controleer per klant de inhoud en bijlagen voordat je hetzelfde model gebruikt.
Is een geheimhoudingsverklaring voldoende?
Nee, als je als verwerker persoonsgegevens verwerkt moet je ook de vereiste verwerkersafspraken maken. Vertrouwelijkheid is daar slechts een onderdeel van.
Kan ik tekenen voordat mijn eigen leveranciers bekend zijn?
Teken geen feitelijke beschrijving die je nog niet kunt onderbouwen. Breng eerst de beoogde keten in kaart en controleer de voorwaarden voor het inschakelen en wijzigen van subverwerkers.
Bronnen en afbakening
Gecontroleerd op 16 oktober 2026. Deze gids ondersteunt de voorbereiding van zakelijke ICT-afspraken en is geen kant-en-klare overeenkomst.