Wat is een verwerkersovereenkomst (DPA) en wat moet erin?

Je start met een nieuw boekhoudpakket. In de bestelstroom staat een vakje: ik ga akkoord met de verwerkersovereenkomst. Je vinkt het aan, want je wilt door. Dit stuk legt uit wat je daarmee hebt afgesproken en wat erin hoort te staan.

Wat is een DPA? De betekenis in gewone taal

DPA betekent in deze context data processing agreement, in het Nederlands de verwerkersovereenkomst. Het is het contract tussen jou en een leverancier die persoonsgegevens namens jou verwerkt. Noveu gebruikt dezelfde combinatie: onze pagina heet Verwerkersovereenkomst (DPA).

De AVG geeft beide partijen een naam. De verwerkingsverantwoordelijke stelt het doel van en de middelen voor de verwerking vast. Dat ben jij. De verwerker verwerkt persoonsgegevens ten behoeve van de verwerkingsverantwoordelijke. Dat is je leverancier (AVG artikel 4 punt 7 en 8, EUR-Lex, geraadpleegd 12 oktober 2026). Meer uitleg geeft de Autoriteit Persoonsgegevens op haar pagina over de verwerkersovereenkomst, geraadpleegd 12 oktober 2026.

Wanneer heb je er een nodig?

Altijd als een leverancier persoonsgegevens namens jou verwerkt. Denk aan een boekhoudpakket, een mailoplossing of een CRM. Artikel 28 lid 1 AVG zegt dat een verwerkingsverantwoordelijke uitsluitend verwerkers inschakelt die afdoende garanties bieden voor passende technische en organisatorische maatregelen. Lid 3 zegt dat de verwerking wordt geregeld in een overeenkomst. Lid 9 zegt dat die overeenkomst schriftelijk is, ook in elektronische vorm (artikel 28, EUR-Lex, geraadpleegd 12 oktober 2026).

Wat moet er volgens artikel 28 lid 3 in?

Artikel 28 lid 3 noemt eerst wat de overeenkomst moet omschrijven. Daarna volgen acht punten waarin de verwerker zich verplicht, de letters a tot en met h. Hieronder staat elk punt in gewone taal.

• De omschrijving van de verwerking. De overeenkomst noemt het onderwerp en de duur, de aard en het doel, het soort persoonsgegevens, de categorieën van betrokkenen en de rechten en verplichtingen van de verwerkingsverantwoordelijke. Let op: staan jouw gegevens erin, zoals die van klanten en personeel, en kloppen de doelen met wat jij met de dienst doet?
• Alleen op jouw instructie (punt a). De verwerker verwerkt de gegevens alleen op schriftelijke instructies van jou, ook over doorgifte naar een derde land, tenzij Unierecht of lidstaatrecht de verwerker tot verwerking verplicht; dan meldt hij dat vooraf aan jou, tenzij die wet dat om gewichtige redenen van algemeen belang verbiedt. Let op: waar staat jouw instructie, en noemt de tekst doorgifte buiten de EU?
• Geheimhouding (punt b). Wie bij de gegevens kan, is gebonden aan vertrouwelijkheid door een afspraak of een wettelijke plicht. Let op: geldt dit voor iedereen die bij de gegevens kan, ook voor ingehuurde krachten?
• Beveiliging (punt c). De verwerker neemt alle maatregelen die artikel 32 vereist. Dat artikel noemt onder meer de versleuteling van persoonsgegevens en het vermogen om gegevens na een incident tijdig te herstellen. Let op: is er een bijlage met concrete maatregelen, of staat er alleen 'passende maatregelen'?
• Sub-verwerkers (punt d). Schakelt de verwerker een andere verwerker in, dan voldoet hij aan de voorwaarden van artikel 28 lid 2 en 4. Let op: lees het volgende kopje.
• Hulp bij de rechten van betrokkenen (punt e). De verwerker helpt je, voor zover mogelijk, met verzoeken van mensen die hun rechten uitoefenen, zoals inzage of verwijdering. Let op: binnen welke termijn helpt hij, en wat kost dat?
• Hulp bij beveiliging, datalekken en risicobeoordelingen (punt f). De verwerker helpt je bij je verplichtingen uit de artikelen 32 tot en met 36. Daaronder vallen de melding van een datalek aan de toezichthouder en de gegevensbeschermingseffectbeoordeling. Let op: hoe snel hoor je van een datalek? Jij meldt een datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur na kennisname bij de toezichthouder, tenzij het waarschijnlijk geen risico oplevert (artikel 33 lid 1).
• Wissen of teruggeven (punt g). Na afloop van de diensten wist de verwerker alle persoonsgegevens of geeft hij ze aan jou terug, naar jouw keuze, en verwijdert hij bestaande kopieën, tenzij Unierecht of lidstaatrecht opslag verplicht. Let op: in welk formaat en binnen welke termijn krijg je je gegevens terug, en hoe zit het met back-ups?
• Informatie en audits (punt h). De verwerker geeft je alle informatie die nodig is om aan te tonen dat hij artikel 28 naleeft, en werkt mee aan audits en inspecties door jou of door een controleur die jij machtigt. Vindt hij dat een instructie van jou de AVG schendt, dan meldt hij dat onmiddellijk. Let op: hoe vaak mag je een audit vragen, met welke aankondiging, en wie betaalt?

Dit is een samenvatting en geen juridisch advies. De wettekst is leidend.

Wat gebeurt er met sub-verwerkers en doorgifte buiten de EU?

Een sub-verwerker is een andere verwerker die je leverancier inschakelt. Volgens artikel 28 lid 2 doet de verwerker dat niet zonder voorafgaande specifieke of algemene schriftelijke toestemming van jou. Bij algemene toestemming meldt hij beoogde toevoegingen en vervangingen, en kun je daartegen bezwaar maken. Lid 4 zegt dat de sub-verwerker dezelfde verplichtingen krijgt, en dat je leverancier volledig aansprakelijk blijft als die ze niet nakomt (artikel 28, EUR-Lex, geraadpleegd 12 oktober 2026).

Kijk ook waar gegevens heen gaan. Persoonsgegevens mogen volgens artikel 44 alleen naar een derde land als de voorwaarden van hoofdstuk V zijn nageleefd. Meestal gebeurt dat met een adequaatheidsbesluit van de Europese Commissie (artikel 45) of met passende waarborgen, bijvoorbeeld standaardbepalingen inzake gegevensbescherming (artikel 46). Artikel 49 kent daarnaast afwijkingen voor specifieke situaties (zelfde bron). Vraag je leverancier om de lijst met sub-verwerkers en zet per sub-verwerker naast elkaar: in welk land zit hij, waar worden de gegevens verwerkt en op welke grondslag gebeurt een doorgifte? 'Onze servers staan in de EU' beantwoordt alleen de middelste vraag.

Vijf fouten die je makkelijk voorkomt

• Akkoord klikken zonder de bijlagen te lezen.
• 'Gegevens in de EU' lezen als 'geen doorgifte'. Een sub-verwerker of een beheerder kan elders zitten.
• Geen afspraak over de snelheid van een datalekmelding. Jouw melding aan de toezichthouder moet zonder onredelijke vertraging en zo mogelijk binnen 72 uur na kennisname.
• Geen plan voor het einde van het contract. Vraag vooraf in welk formaat je gegevens terugkomen en wanneer ze worden gewist.
• De versie niet bewaren waarmee je akkoord ging. Een verwerkersovereenkomst verandert, en dan wil je weten wat gold toen je gegevens aanleverde.

Wat kun je deze week doen?

1. Maak een lijst van de leveranciers die persoonsgegevens van jouw klanten of personeel verwerken.
2. Zoek bij elke leverancier de verwerkersovereenkomst op en noteer de versie en de datum.
3. Loop de negen punten hierboven langs en vraag schriftelijk om wat ontbreekt, plus de actuele lijst met sub-verwerkers.
4. Zet een herinnering in je agenda om dit elk jaar te herhalen.

Waar Noveu past

De conceptversie van onze verwerkersovereenkomst (versie 1.9.1) lees je op onze pagina Verwerkersovereenkomst. Die versie is nog niet juridisch gecontroleerd voor ondertekening. Ze is gebaseerd op artikel 28 AVG en heeft bijlagen met de technische en organisatorische maatregelen, de sub-verwerkers en de verwerkingsactiviteiten. Zo regelt de conceptversie de punten hierboven:

• Sub-verwerkers: Noveu vraagt algemene toestemming, kondigt een toevoeging of vervanging minimaal 30 dagen vooraf schriftelijk aan en laat je bezwaar maken. Komt het overleg niet binnen 14 dagen tot overeenstemming, dan mag je het contract opzeggen met 30 dagen opzegtermijn, zonder schadevergoeding (artikel 6).
• Datalekken: Noveu meldt een datalek uiterlijk binnen 48 uur na ontdekking aan jou (artikel 7).
• Rechten van betrokkenen: Noveu ondersteunt je binnen 30 dagen na een schriftelijk verzoek (artikel 8).
• Audit: eenmaal per kalenderjaar, met schriftelijke aankondiging ten minste 20 werkdagen vooraf (artikel 10).
• Einde van het contract: op verzoek krijg je je gegevens binnen 30 dagen in een gangbaar formaat terug. Daarna verwijdert Noveu ze binnen 30 dagen, en back-ups worden uiterlijk 90 dagen na beëindiging overschreven of verwijderd (artikel 11).
• Datalocatie: Noveu bewaart gegevens en back-ups in een Hetzner-datacenter in Falkenstein (Duitsland). Cloudflare, Inc. is gevestigd in de VS en is volgens die pagina de enige resterende sub-verwerker met een VS-nexus. De pagina noemt als waarborg het EU-VS Data Privacy Framework, standaardbepalingen en een verwerkersovereenkomst, en zegt dat Cloudflare verkeer verwerkt in een wereldwijd netwerk, zonder beperking tot de EU.

De versie op die pagina is leidend, niet deze samenvatting. De actuele stand van de sub-verwerkers staat op de lijst met sub-verwerkers. Wat Noveu Werkplek kost, zie je op de prijzenpagina.