​Verwerkersovereenkomst opstellen of ondertekenen? Voorkom als IT-leverancier deze contractuele valkuilen

Wij zien in de praktijk dat partijen verwerkersovereenkomsten vaak behandelen als een verplicht AVG-document. Daardoor kijken zij onvoldoende of de afspraken aansluiten bij de feitelijke samenwerking én bij de overige contractdocumenten.

Begin niet met het model van de klant

De naam doet anders vermoeden, maar een verwerkersovereenkomst is in de eerste plaats een contract. Natuurlijk stelt de AVG eisen aan de inhoud, maar de wet schrijft niet voor hoe partijen hun commerciële risico’s moeten verdelen. Dat doen partijen zelf.

Toch begint de discussie vaak met een modelovereenkomst van de klant. Daarin staan standaardbepalingen over aansprakelijkheid, audits, beveiliging en datalekken. Vervolgens proberen partijen die bepalingen passend te maken bij de dienstverlening. Eigenlijk zou het precies andersom moeten. Daarom is het verstandig om zelf een goed doordachte verwerkersovereenkomst te hanteren die aansluit op je dienstverlening en overige contractdocumentatie. Een eigen model voorkomt bovendien dat je als softwareleverancier onbewust het uitgangspunt van de klant overneemt. Wie begint met het model van de klant, onderhandelt meestal alleen nog over uitzonderingen.

Als je dan toch ervoor kiest om het model van de klant als uitgangspunt te nemen, dan is het in elk geval verstandig om over de verwerkersovereenkomst te onderhandelen. Dat betekent niet dat je iedere bepaling ter discussie moet stellen. Wel is het verstandig kritisch te kijken naar afspraken over aansprakelijkheid, audits, beveiliging, subverwerkers en de verdeling van verantwoordelijkheden. De AVG verplicht partijen immers om passende afspraken te maken over de verwerking van persoonsgegevens. De wet verplicht niet om ieder standaarddocument van een klant zonder meer te accepteren.

Voordat je over de inhoud van een verwerkersovereenkomst onderhandelt, is het belangrijk eerst de dienstverlening in kaart te brengen. Daarnaast moeten partijen vaststellen welke persoonsgegevens zij verwerken, wie het doel van de verwerking bepaalt en wie beslist welke middelen zij daarvoor inzetten. Ook is relevant of jij als leverancier de persoonsgegevens ook voor eigen doeleinden verwerkt. Pas wanneer die vragen zijn beantwoord, kun je beoordelen welke AVG-rol partijen hebben en welke afspraken daarbij passen.

De AVG-rollen zijn minder zwart-wit dan vaak wordt gedacht

Veel leveranciers gaan ervan uit dat de klant automatisch verwerkingsverantwoordelijke is en zijzelf verwerker. Dat klopt in veel gevallen, maar zeker niet altijd.

Bij een traditionele hostingdienst is de rolverdeling meestal duidelijk. De klant bepaalt welke gegevens worden verwerkt en waarvoor. De hostingprovider zorgt uitsluitend voor de technische omgeving. Bij SaaS ligt dat genuanceerder. Een leverancier maakt vaak eigen keuzes over opslag, beveiliging en logging. Zulke technische keuzes maken de leverancier op zichzelf nog geen verwerkingsverantwoordelijke. Voor afzonderlijke verwerkingen voor eigen doeleinden kan hij die rol wel hebben. Daarom is een zorgvuldige analyse van de rolverdeling noodzakelijk.

Binnen één contract kunnen er meerdere AVG-rollen naast elkaar bestaan. Voor de dienstverlening aan de klant treedt de leverancier vaak op als verwerker, terwijl hij voor bepaalde eigen processen zelfstandig verwerkingsverantwoordelijke is.

Er zijn ook omstandigheden denkbaar waarbij de leverancier helemaal geen persoonsgegevens verwerkt waardoor hij ook helemaal geen verwerkersovereenkomst hoeft aan te gaan met de klant. Denk bijvoorbeeld aan een leverancier die uitsluitend een softwarelicentie verstrekt, waarbij de software volledig on-premises draait en de leverancier ook bij support en onderhoud geen persoonsgegevens namens de klant verwerkt. In dat geval is voor die dienstverlening geen verwerkersovereenkomst nodig.

Reden te meer om de rolverdeling vooraf goed vast te stellen. Wie die stap overslaat, loopt het risico afspraken te maken die niet aansluiten bij de werkelijkheid. Daardoor voldoen partijen mogelijk niet aan hun verplichtingen uit de AVG.

De grootste risico’s zitten meestal niet in de AVG, maar in het contract

Veel standaard verwerkersovereenkomsten van klanten bevatten bepalingen die aanzienlijk verder gaan dan de AVG verlangt. Dat is begrijpelijk vanuit het perspectief van de klant. Die probeert zijn risico’s zoveel mogelijk contractueel af te dekken. Voor de leverancier kan dat echter grote gevolgen hebben.

​Aansprakelijkheid en vrijwaring: sluit aan bij het hoofdcontract

Een veelvoorkomend voorbeeld is de aansprakelijkheid. De IT-overeenkomst beperkt de aansprakelijkheid bijvoorbeeld tot het bedrag dat de klant gedurende twaalf maanden heeft betaald. Vervolgens bepaalt de verwerkersovereenkomst dat de leverancier onbeperkt aansprakelijk is voor iedere schending van de AVG of ieder datalek. Denk bijvoorbeeld aan een datalek dat ontstaat doordat een medewerker van de klant een verkeerde export maakt. Als de verwerkersovereenkomst de leverancier voor alle privacyclaims laat opdraaien, verschuift een risico naar de leverancier dat eigenlijk bij de klant hoort. De aansprakelijkheidsregeling uit het hoofdcontract wordt dan feitelijk uitgehold. Vaak gebeurt dat zonder dat partijen zich daarvan bewust zijn. Dat kan ertoe leiden dat een zorgvuldig onderhandelde aansprakelijkheidsbeperking in de IT-overeenkomst in de praktijk weinig waarde meer heeft.

Hetzelfde geldt voor vrijwaringsbepalingen. Sommige verwerkersovereenkomsten bevatten een vrijwaringsbepaling op grond waarvan de leverancier wordt verplicht om alle schade van de klant als gevolg van een AVG-schending of datalek te vergoeden. Een dergelijke bepaling is over het algemeen te verstrekkend, zeker als de aansprakelijkheidsbeperking uit de IT-overeenkomst hier niet op toepasselijk wordt verklaard. Controleer daarom altijd of zulke bepalingen aansluiten bij de aansprakelijkheidsregeling uit het hoofdcontract en of de risicoverdeling nog in balans is.

​Audits: geef zekerheid met werkbare afspraken

Ook auditbepalingen verdienen aandacht. Natuurlijk moet een klant kunnen controleren of een leverancier zorgvuldig met persoonsgegevens omgaat. Maar dat betekent niet dat iedere klant onaangekondigd de volledige infrastructuur mag laten onderzoeken. Voor een leverancier met tientallen of honderden klanten is dat simpelweg niet werkbaar. In de praktijk kiezen partijen daarom vaak voor een combinatie van certificeringen, onafhankelijke auditrapporten en een zorgvuldig afgebakend auditrecht. Daarmee krijgt de klant voldoende zekerheid zonder dat de dienstverlening onnodig wordt belast. In veel overeenkomsten spreken partijen af dat reguliere audits maximaal eenmaal per twaalf maanden plaatsvinden, met ruimte voor aanvullende audits wanneer daar aanleiding voor is. Daarnaast spreken partijen meestal af dat de klant de audit tijdig moet aankondigen en dat deze tijdens kantooruren plaatsvindt en de bedrijfsvoering niet onredelijk mag verstoren. Partijen kunnen ook afspreken welke redelijke auditkosten voor rekening van de klant komen, waaronder de tijd die de leverancier aan de audit besteedt.

​Informatiebeveiliging: maak verwachtingen concreet

Een ander punt is de informatiebeveiliging. Veel overeenkomsten bevatten algemene formuleringen zoals dat de leverancier voldoet aan ‘state of the art beveiliging’. Dat klinkt logisch, maar dit maakt nog niet duidelijk welke beveiligingsmaatregelen partijen concreet verwachten. Welke norm geldt dan precies? ISO 27001? Of een andere beveiligingsstandaard? Bovendien verandert ‘state of the art’ voortdurend. Wat vandaag als passende beveiliging geldt, kan over enkele jaren achterhaald zijn. Daarom is het verstandig om beveiligingsmaatregelen zo concreet mogelijk te omschrijven of aan te sluiten bij een erkende norm. Hoe concreter partijen hun verwachtingen vastleggen, hoe kleiner de kans op discussie wanneer zich een beveiligingsincident voordoet.

Omdat beveiligingsstandaarden en dienstverlening veranderen, is het verstandig de verwerkersovereenkomst periodiek te evalueren. Een overeenkomst die enkele jaren geleden passend was, sluit niet altijd meer aan bij de huidige stand van de techniek of de feitelijke dienstverlening.

​Datalekken en subverwerkers: verdeel verantwoordelijkheden duidelijk

Ook bij datalekken gaat het vaak mis. De AVG verplicht een verwerker om een datalek onverwijld (zonder onredelijke vertraging) aan de verwerkingsverantwoordelijke te melden. Vervolgens is het aan die verwerkingsverantwoordelijke om te beoordelen of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen noodzakelijk is. Toch zien wij geregeld overeenkomsten die deze verantwoordelijkheden door elkaar halen of de leverancier zwaardere verplichtingen opleggen.

Hetzelfde geldt voor afspraken over subverwerkers. Vrijwel iedere leverancier maakt gebruik van derden, bijvoorbeeld cloudproviders, e-maildiensten, monitoringtools of betaaldiensten. Zorg daarom voor een werkbare regeling voor het inschakelen van nieuwe subverwerkers. Een systeem waarbij iedere wijziging vooraf schriftelijke toestemming van alle klanten vereist, is voor veel leveranciers praktisch onuitvoerbaar. Een werkbaar alternatief is algemene schriftelijke toestemming, gecombineerd met voorafgaande informatie over nieuwe of vervangende subverwerkers en een mogelijkheid voor de klant om bezwaar te maken.

Vrijwel iedere leverancier maakt ook gebruik van internationale aanbieders zoals Microsoft, Amazon of Google. Controleer daarom of de afspraken over doorgifte buiten de Europese Economische Ruimte aansluiten bij de feitelijke infrastructuur en de gebruikte subverwerkers.

Vergeet het hoofdcontract niet

Een van de grootste valkuilen is dat de verwerkersovereenkomst los wordt beoordeeld van de rest van de contractdocumentatie. ​Dat is opvallend, want een verwerkersovereenkomst hangt doorgaans nauw samen met de IT-overeenkomst. Zij vormt een bijlage bij een IT-overeenkomst of hangt in elk geval samen met een andere overeenkomst.

Partijen maken dus regelmatig afspraken die afwijken van de IT-overeenkomst. Dit zien wij bijvoorbeeld bij aansprakelijkheidsregelingen, auditrechten, opzegmogelijkheden, beveiligingsverplichtingen en geheimhoudingsbepalingen. Soms bevat de verwerkersovereenkomst zelfs een andere rangorde of een afwijkende geschillenregeling dan het hoofdcontract. Dat levert onzekerheid op. Welke bepaling gaat voor als beide documenten elkaar tegenspreken? En welke afspraak is uiteindelijk afdwingbaar? Een eenvoudige rangordebepaling voorkomt veel discussie. Spreek bijvoorbeeld af dat de IT-overeenkomst leidend is, tenzij de verwerkersovereenkomst uitdrukkelijk van een bepaling afwijkt. Zo weten beide partijen welke afspraken gelden als documenten elkaar lijken tegen te spreken. Let er daarbij op dat de rangordebepalingen in de verschillende contractdocumenten op elkaar aansluiten. Door de verwerkersovereenkomst niet als los document te beoordelen, maar als onderdeel van de totale contractstructuur, voorkom je veel discussies.

Checklist: voordat je een verwerkersovereenkomst ondertekent

Loop in elk geval altijd deze punten na voordat je een verwerkersovereenkomst accepteert:

1. Bepaal eerst de AVG-rol van beide partijen. Is jouw organisatie daadwerkelijk verwerker, of verwerk je persoonsgegevens (ook) voor eigen doeleinden?
2. Controleer of een verwerkersovereenkomst überhaupt nodig is. Niet iedere IT-dienstverlener verwerkt persoonsgegevens namens de klant.
3. Vergelijk de verwerkersovereenkomst met het hoofdcontract. Sluiten aansprakelijkheid, auditrechten, beveiligingsverplichtingen en beëindigingsbepalingen op elkaar aan?
4. Controleer de aansprakelijkheids- en vrijwaringsbepalingen. Neem geen risico's over die niet passen bij jouw rol of dienstverlening.
5. Beoordeel de auditregeling op werkbaarheid. Zorg voor duidelijke afspraken over frequentie, aankondiging, kosten en de impact op je bedrijfsvoering.
6. Controleer de afspraken over subverwerkers en internationale doorgifte. Sluiten deze aan bij de cloud- en softwarediensten die je daadwerkelijk gebruikt?
7. Leg een duidelijke rangorde tussen de contractdocumenten vast. Zo voorkom je discussie als de SaaS-overeenkomst en de verwerkersovereenkomst elkaar tegenspreken.
8. Controleer of de gemaakte afspraken uitvoerbaar zijn. Een verwerkersovereenkomst moet niet alleen juridisch kloppen, maar ook aansluiten bij de manier waarop je dienstverlening in de praktijk is ingericht.

Deze checklist biedt uiteraard geen uitputtend overzicht. Afhankelijk van de dienstverlening of de sector kunnen aanvullende afspraken nodig zijn. Wel helpt deze checklist om de meest voorkomende contractuele valkuilen te voorkomen.

Een verwerkersovereenkomst is meer dan een AVG-document

Een verwerkersovereenkomst is geen sluitstuk van een implementatie, maar een wezenlijk onderdeel van de contractuele afspraken tussen klant en leverancier. Wie dit document behandelt als een standaardbijlage, loopt het risico verantwoordelijkheden te accepteren die niet passen bij de dienstverlening of de rolverdeling onder de AVG.

Twijfel je of een verwerkersovereenkomst past bij jouw dienstverlening of sluit deze niet goed aan op de SaaS-overeenkomst of algemene voorwaarden? Dan is het verstandig om de documenten in samenhang te laten beoordelen. Daarmee voorkom je dat je contractueel meer verantwoordelijkheid accepteert dan de AVG of de dienstverlening van je vraagt.