Een verwerkersovereenkomst is de schriftelijke afspraak waarin staat wat een leverancier met jouw persoonsgegevens mag doen als hij die namens jou verwerkt. Jij blijft verantwoordelijk voor die gegevens: jij bepaalt welke gegevens worden verwerkt en waarvoor. De leverancier is de verwerker en voert uit wat jij hem opdraagt, niet meer dan dat. Zodra je software gebruikt waarin persoonsgegevens terechtkomen, hoort er zo'n overeenkomst te liggen.
Dit stuk is een leeswijzer, geen juridisch advies. Het helpt je de juiste punten te herkennen en de juiste vragen te stellen; de overeenkomst zelf beoordeel je met je eigen jurist.
Waarom geldt dit ook voor financiële software?
Veel ondernemers denken bij persoonsgegevens aan een klantenbestand of een webshop, en niet aan de boekhouding. Toch zit een administratie er vol mee. In het grootboek en de subadministraties staan:
- Namen van medewerkers, in de salarisjournaalpost, in declaraties, in de urenregistratie en op de reserveringen voor vakantiegeld.
- Salarisgegevens, soms tot op persoonsniveau als er per medewerker een kostenplaats of een aparte grootboekrekening is.
- Klant- en leveranciersgegevens: bedrijfsnamen met contactpersonen, adressen, e-mailadressen en telefoonnummers.
- Bankrekeningnummers, waaronder die van particulieren als je aan consumenten levert of aan medewerkers uitbetaalt.
- Factuuromschrijvingen, die soms meer prijsgeven dan je denkt, bijvoorbeeld bij een behandeling of een rechtszaak.
Een rapportagepakket dat bovenop je boekhouding draait, ziet dezelfde regels. Ook als een leverancier alleen leest en niets boekt, verwerkt hij persoonsgegevens namens jou. Dat is precies het moment waarop een verwerkersovereenkomst aan de orde is.
Verantwoordelijke, verwerker en subverwerker: wie is wat?
De rolverdeling is de kern van het onderwerp, en met een voorbeeld valt hij meteen op zijn plaats. Stel: jouw BV gebruikt rapportagesoftware die de cijfers uit het boekhoudpakket haalt. Die leverancier draait niet alles in eigen huis. Hij huurt opslag bij een hostingpartij, verstuurt e-mail via een maildienst en gebruikt een AI-dienst voor mappingvoorstellen.
| Rol | Wie dat is in het voorbeeld | Wat hij bepaalt |
|---|---|---|
| Verwerkingsverantwoordelijke | Jouw BV | Welke gegevens worden verwerkt en met welk doel |
| Verwerker | De softwareleverancier | Niets zelfstandig; hij voert jouw opdracht uit |
| Subverwerker | Hosting, maildienst, AI-dienst | Niets zelfstandig; zij voeren de opdracht van de verwerker uit |
Je sluit dus één overeenkomst: met de softwareleverancier. Die leverancier hoort op zijn beurt met elk van zijn subverwerkers een vergelijkbare overeenkomst te hebben, waarin dezelfde verplichtingen worden doorgegeven. Jij hebt geen contract met de hostingpartij, maar je hebt wel het recht om te weten wie het is en waar hij draait. Wat datalocatie en versleuteling in de praktijk betekenen, staat in waar staat mijn financiële data.
Let op het onderscheid tussen een verwerker en een partij met een eigen verantwoordelijkheid, zoals een accountant die op basis van zijn eigen beroepsregels werkt. Welke rol wie heeft, bepaal je niet op gevoel; leg die vraag bij je jurist neer.
De checklist: waar let je op in de tekst?
Loop de overeenkomst langs deze punten. Ontbreekt er een, dan is dat geen ramp op zichzelf, maar wel een vraag die je stelt voordat je tekent.
- Welke gegevens, en met welk doel. De overeenkomst hoort te benoemen om welke soorten persoonsgegevens het gaat en waarvoor ze worden verwerkt. Een omschrijving als "alle gegevens die de klant aanlevert" zegt niets. Bij financiële software verwacht je contact-, relatie- en salarisgegevens uit de administratie, verwerkt om rapportages op te leveren.
- Alleen in jouw opdracht. Er hoort te staan dat de leverancier uitsluitend handelt volgens jouw instructies en de gegevens niet voor eigen doeleinden gebruikt. Let op zinnen over geanonimiseerde of geaggregeerde gegevens voor productverbetering of het trainen van modellen. Wil je dat niet, dan sluit je het hier uit.
- Beveiligingsmaatregelen. Er hoort concreet te staan wat er technisch en organisatorisch wordt gedaan: versleuteling tijdens transport en in rust, toegangsbeheer, logging. Een verwijzing naar "passende maatregelen" zonder invulling is te mager om iets aan te hebben.
- De lijst van subverwerkers. Er hoort een actuele lijst te zijn, met naam en land per partij, of een verwijzing naar een pagina waar die lijst staat. Zonder lijst weet je niet wie er feitelijk bij je gegevens kan.
- Bezwaar tegen een nieuwe subverwerker. Leveranciers wisselen van dienst. Leg vast dat je vooraf wordt geïnformeerd en bezwaar kunt maken, en wat dat bezwaar oplevert: mag je dan opzeggen, en onder welke voorwaarden.
- Waar de verwerking plaatsvindt. Niet alleen de database, ook back-ups, e-mailverzending, support en AI-diensten. Vraag dit per onderdeel uit; het is heel gewoon dat de database in de Europese Unie staat en de maildienst niet.
- Doorgifte buiten de Europese Unie. Vindt er verwerking buiten de Unie plaats, dan horen daar aanvullende contractuele waarborgen bij. Laat je jurist beoordelen of die volstaan; hier moet je niet op eigen inschatting varen.
- Melding bij een incident. Bij een datalek ben jij degene die zo nodig melding doet, en jouw klok begint pas te lopen als de leverancier jou informeert. Daarom hoort er een concrete termijn in te staan, in uren of dagen, plus wat de melding minimaal bevat. Welke termijn werkbaar is, stem je af met je jurist.
- Hulp bij verzoeken van betrokkenen. Vraagt een medewerker of een klant inzage of verwijdering, dan handel jij dat af. Leg vast dat de leverancier je daarbij helpt, bijvoorbeeld door gegevens op te zoeken, en of daar kosten aan verbonden zijn.
- Geheimhouding. Iedereen bij de leverancier die met de gegevens kan werken, hoort aan geheimhouding gebonden te zijn. Dat geldt ook voor ingehuurde krachten en voor support.
- Controle of rapportage. Je hoort te kunnen nagaan of de afspraken worden nagekomen. Dat gebeurt zelden met een eigen bezoek; meestal volstaat een periodieke rapportage of een verklaring van een derde. Kijk of je in de praktijk ook echt iets kunt opvragen.
- Einde van het contract. Er hoort te staan wat er met de gegevens gebeurt als je stopt: teruggeven of verwijderen, binnen welke termijn, en of je daar een bevestiging van krijgt. Let ook op de back-ups, die vaak nog doorlopen.
Welke vragen stel je naast het papier?
De overeenkomst is de juridische kant. Daarnaast zijn er vier praktische vragen die je gewoon stelt, en waarop een goede leverancier binnen een dag antwoord geeft.
- Waar staat de database fysiek? Vraag naar land en regio, en vraag apart naar back-ups. Een antwoord als "in de cloud" is geen antwoord.
- Staan de gegevens versleuteld opgeslagen? Versleuteling tijdens transport is tegenwoordig vanzelfsprekend. Versleuteling in rust, dus op de schijf van de server, is de vraag die je expliciet moet stellen.
- Kunnen medewerkers van de leverancier bij mijn data, en onder welke voorwaarden? Support moet soms meekijken. De vraag is of dat kan zonder dat jij het weet, of alleen nadat jij toestemming geeft, en of het wordt vastgelegd. Vraag ook hoe klanten technisch van elkaar zijn gescheiden; hoe zo'n scheiding werkt, staat in data-isolatie per organisatie.
- Kan ik zelf een volledige export maken? Dus niet één rapport als PDF, maar al je gegevens in een bruikbaar bestand, wanneer je maar wilt, zonder tussenkomst van de leverancier.
Die laatste vraag is niet alleen technisch. Kun je op elk moment zelf alles exporteren, dan kun je ook op elk moment vertrekken. Dat verandert je onderhandelingspositie: je hoeft niet af te dwingen wat je zelf al in handen hebt, en de discussie over teruggave wordt vrijwel theoretisch. Zit je export achter een verzoek en een factuur, dan is de teruggaveclausule opeens het belangrijkste artikel in de hele overeenkomst.
Hoeveel mensen en hoeveel werk gaat het eigenlijk om?
Neem een bedrijf met 38 medewerkers, ongeveer 1.400 klanten en 320 leveranciers in de administratie. Van elke zakelijke relatie staat er in de praktijk minstens één contactpersoon vast, vaak twee: een naam bij de bestelling en een naam bij de facturatie.
Reken je met één contactpersoon per relatie, dan gaat het om 1.400 plus 320 is 1.720 personen, plus de 38 medewerkers die in de salarisjournaalpost en de declaraties voorkomen. Dat is 1.758 personen. Reken je met twee contactpersonen per relatie, dan is het tweemaal 1.720 is 3.440, plus 38, dus 3.478 personen. In één administratie staan dus de gegevens van ruwweg tweeduizend tot drieënhalfduizend mensen.
Zet daar de inspanning tegenover. Stel dat drie leveranciers persoonsgegevens voor je verwerken: het boekhoudpakket, de rapportagesoftware en het salarissysteem. Eén overeenkomst doornemen met deze checklist ernaast kost ongeveer twee uur, inclusief het opvragen van de subverwerkerslijst en het noteren van je vragen. Drie keer twee uur is zes uur. Reken je met een intern tarief van 150 euro per uur, dan kost de hele exercitie zes maal 150 is 900 euro.
Verdeeld over de 1.758 personen van wie je gegevens beheert, komt dat neer op ongeveer 0,51 euro per persoon, eenmalig. Het onderhoud daarna is nog kleiner: één keer per jaar de subverwerkerslijsten naast die van vorig jaar leggen, ongeveer een uur, dus 150 euro per jaar. Dat is een overzichtelijke investering voor iets dat je maar één keer goed hoeft neer te zetten.
Wat gaat er in de praktijk mis?
- Tekenen zonder de lijst van subverwerkers te lezen. De overeenkomst verwijst naar een webpagina, en niemand klikt erop. Later blijkt dat de e-mailverzending, de foutmeldingen en de zoekfunctie bij drie verschillende partijen liggen. Dat is op zichzelf niet verkeerd, maar je hoort het te weten voordat je tekent.
- Aannemen dat een Nederlandse leverancier alles in de Europese Unie verwerkt. Het bedrijf zit in Utrecht, de database staat in Frankfurt, maar de maildienst, de supporttool en de AI-functie draaien elders. De vestigingsplaats zegt niets over de plek van de verwerking. Vraag het per onderdeel uit.
- Geen afspraak over teruggave of verwijdering. Bij het opzeggen blijkt er niets geregeld. Je krijgt een export in een formaat dat niemand kan lezen, of pas na drie weken, en over de back-ups zegt niemand iets.
- De overeenkomst nooit meer bekijken. Je tekent in jaar één, en in jaar drie heeft de leverancier er twee nieuwe diensten bij die persoonsgegevens zien, waaronder een AI-functie. Zet jaarlijks een halfuur in de agenda om de lijst opnieuw op te vragen. Wat een AI-koppeling wel en niet met je cijfers doet, staat in wat is een MCP-server.
- De overeenkomst zit alleen in het inkoopdossier. Het papier is getekend, maar wie dagelijks met de software werkt, weet niet wat erin staat. Gaat er iets mis, dan weet niemand wie hij binnen welke termijn moet bellen. Leg een samenvatting van een halve pagina bij de werkinstructie: wie is de verwerker, waar staan de gegevens, wie bel je bij een incident.
Een verwerkersovereenkomst doornemen is dus geen groot project, maar wel werk dat je bewust een keer inplant en daarna jaarlijks kort herhaalt. Doe de beoordeling van de tekst samen met je jurist, en gebruik de vier praktische vragen om te toetsen of wat er op papier staat ook klopt met hoe het in werkelijkheid draait.
Zo werkt het in Easyclose
Easyclose is rapportage- en controlesoftware bovenop je boekhoudpakket en verwerkt daarbij persoonsgegevens uit je administratie. De antwoorden op de praktische vragen uit de checklist zijn kort samen te vatten. De database draait in de Europese Unie, in Frankfurt. Verkeer loopt over https en gegevens staan versleuteld opgeslagen.
Klanten zijn technisch van elkaar gescheiden op het niveau van de database zelf: elke tabel draagt het kenmerk van de organisatie en de database weigert elke rij die niet bij de ingelogde gebruiker hoort. Dat wordt met eigen tests aangetoond. Binnen je eigen organisatie werk je met rollen zoals eigenaar, beheerder en lezer, en tweefactorauthenticatie is beschikbaar. Beheeracties komen in een logboek dat niet kan worden gewist. Medewerkers van Easyclose kijken niet in je cijfers: het platformbeheer staat los van je financiële gegevens. Heb je hulp nodig, dan maak je zelf een export en deel je wat nodig is. Tijdelijk meekijken met jouw uitdrukkelijke toestemming, die vanzelf verloopt, is voorbereid maar nog niet in de app te verlenen. Je kunt op elk moment al je gegevens exporteren. Meer hierover staat op de pagina beveiliging.
Veelgestelde vragen
Wat is een verwerkersovereenkomst?
Een verwerkersovereenkomst is de schriftelijke afspraak waarin staat wat een leverancier met jouw persoonsgegevens mag doen als hij die namens jou verwerkt. Jij blijft verantwoordelijk voor de gegevens en bepaalt welke gegevens worden verwerkt en waarvoor; de leverancier voert uit en mag ze niet voor eigen doelen gebruiken. In de overeenkomst staan onder meer de beveiligingsmaatregelen, de subverwerkers, de verwerkingslocatie en wat er bij het einde van het contract met de gegevens gebeurt.
Heb ik een verwerkersovereenkomst nodig voor boekhoud- of rapportagesoftware?
In de regel wel, want in een administratie staan persoonsgegevens: namen van medewerkers, salarisgegevens, contactpersonen bij klanten en leveranciers en soms bankrekeningnummers van particulieren. Ook een pakket dat alleen leest en niets boekt, verwerkt die gegevens namens jou. Of dat in jouw specifieke situatie zo uitpakt en wat er precies in de overeenkomst hoort te staan, stem je af met je eigen jurist.
Wat is een subverwerker?
Een subverwerker is een partij die de leverancier zelf inschakelt en die daarbij jouw gegevens verwerkt. Denk aan de hostingpartij waar de database draait, de dienst die e-mail verstuurt of een AI-dienst die voorstellen doet. Jij hebt geen contract met die partijen, maar de leverancier hoort met elk van hen dezelfde verplichtingen af te spreken, de lijst op verzoek te delen en je vooraf te informeren als er een nieuwe bij komt.
Wat moet er minimaal in een verwerkersovereenkomst staan?
In de praktijk komen deze punten terug: welke gegevens en met welk doel, de afspraak dat de leverancier alleen in jouw opdracht handelt, de beveiligingsmaatregelen, de lijst van subverwerkers met een recht van bezwaar, de verwerkingslocatie, de melding bij een incident en binnen welke termijn, hulp bij verzoeken van betrokkenen, geheimhouding, een vorm van controle of rapportage, en wat er bij beëindiging met de gegevens gebeurt.
Mag een leverancier mijn gegevens buiten de Europese Unie verwerken?
Dat kan voorkomen, bijvoorbeeld bij e-mailverzending, support of een AI-dienst, ook als de leverancier zelf in Nederland zit en de database in de Europese Unie draait. Er horen dan aanvullende contractuele waarborgen tegenover te staan. Vraag per onderdeel uit waar de verwerking plaatsvindt, dus ook voor back-ups, en laat je jurist beoordelen of de geboden waarborgen in jouw situatie voldoende zijn.
Wat gebeurt er met mijn gegevens als ik het contract opzeg?
Dat hoort in de overeenkomst te staan: worden de gegevens teruggegeven of verwijderd, binnen welke termijn, in welk formaat en krijg je daar een bevestiging van. Let ook op de back-ups, die vaak nog even doorlopen. Kun je zelf op elk moment een volledige export maken, dan is dit punt in de praktijk veel minder spannend, omdat je niet afhankelijk bent van medewerking van de leverancier.