Vaststellen wie werkelijk verder verwerkt
Niet iedere leverancier van een verwerker is automatisch subverwerker. Een verhuurder van kantoorruimte ontvangt doorgaans geen persoonsgegevens voor de uitbestede verwerking. Een beheerpartij die toegang krijgt tot productiedata kan wel onderdeel van de keten zijn. De beoordeling volgt de feitelijke werkzaamheden en niet uitsluitend de omschrijving op een factuur.
Vraag per partij welke gegevens, functies en toegang betrokken zijn. Ook incidentele ondersteuning kan relevant zijn. Een leverancier die uitsluitend anonieme statistiek ontvangt, vraagt een andere analyse dan een platform met leesbare personeelsdossiers. Controleer daarbij of de statistiek werkelijk niet meer tot personen herleidbaar is.
Specifieke en algemene toestemming onderscheiden
Een verwerker mag een andere verwerker inschakelen met voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Bij specifieke toestemming wordt een bepaalde partij vooraf voorgelegd. Algemene toestemming kan praktischer zijn bij een omvangrijke clouddienst, maar is geen blanco ruimte om iedere wijziging onopgemerkt door te voeren.
Bij algemene toestemming moet de verwerker de verantwoordelijke informeren over beoogde toevoegingen of vervangingen, zodat bezwaar mogelijk is. De AVG noemt hiervoor geen universele termijn van dertig dagen. Contractpartijen moeten een passende meldingstermijn en procedure afspreken die een daadwerkelijke beoordeling mogelijk maken.
Een veranderbericht moet meer vertellen dan een naam
Een bruikbaar wijzigingsbericht beschrijft welke functie de nieuwe partij krijgt, waar verwerking en toegang plaatsvinden en welke categorieën gegevens geraakt worden. Ook de beoogde ingangsdatum en relevante waarborgen horen bij de informatie waarmee de opdrachtgever kan beslissen. Een algemene nieuwsbrief tussen productaankondigingen is gemakkelijk te missen.
Leg daarom vast welk adres wijzigingen ontvangt en wie intern reageert. Houd de actuele lijst beschikbaar, met een datum of wijzigingshistorie. Een koppeling naar een webpagina die zonder notificatie wordt aangepast, geeft de opdrachtgever onvoldoende grip op het moment waarop zijn mogelijkheid tot bezwaar ontstaat.
Bezwaar tegen een nieuwe supportpartij
Een HR-platform kondigt ondersteuning door een nieuwe buitenlandse groepsmaatschappij aan. De klant krijgt alleen de handelsnaam. Hij vraagt welke medewerkers toegang krijgen, of dossiers worden gekopieerd en welke doorgiftegrond wordt gebruikt. Zijn bezwaar richt zich op ontbrekende waarborgen, niet op het bestaan van een buitenlands kantoor als zodanig.
De leverancier kan aanvullende informatie verstrekken, toegang beperken of een alternatief bieden. Als partijen het niet oplossen, bepaalt de overeenkomst welke gevolgen volgen, bijvoorbeeld uitsluiting van die verwerking of beëindiging van het getroffen dienstonderdeel. Een bezwaarprocedure zonder enige uitvoerbare uitkomst is operationeel zwak, ook wanneer het contract het woord bezwaar bevat.
Dezelfde bescherming moet worden doorgelegd
Artikel 28 verlangt dat aan de subverwerker bij overeenkomst of andere rechtshandeling dezelfde gegevensbeschermingsverplichtingen worden opgelegd als die welke voor de hoofdverwerker relevant zijn. Denk aan instructies, vertrouwelijkheid, beveiliging, bijstand en verwijdering of teruggave. Dat vraagt vertaling naar de dienst van de subverwerker, niet alleen een algemene belofte de AVG te respecteren.
De eerste verwerker blijft tegenover de verantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen van de andere verwerker wanneer deze tekortschiet. Contractuele uitvoeringsafspraken moeten de opdrachtgever dus niet dwingen uitsluitend zelf achter een onbekende achterliggende partij aan te gaan.
Meldingen en verwijdering door de keten testen
Een incident bij de hostingpartij moet tijdig bij de hoofdverwerker en vervolgens bij de verantwoordelijke terechtkomen. Controleer of meldroutes, contactgegevens en informatieplichten elkaar ondersteunen. Een keten waarin elke schakel eerst uitgebreid intern onderzoek mag afronden, kan de opdrachtgever te laat informeren voor zijn eigen beoordeling.
Ook beëindiging verdient aandacht. De hoofdverwerker moet kunnen uitleggen hoe verwijdering bij achterliggende partijen wordt uitgevoerd en welke beperkte bewaring eventueel gerechtvaardigd blijft. Back-ups en herstelkopieën vragen concrete termijnen en maatregelen. Een certificaat van één leverancier vertelt niet vanzelf wat alle andere schakels hebben gedaan.
Periodiek beoordelen op veranderingen met betekenis
Bewaar het goedgekeurde overzicht bij het dossier van de uitbestede dienst en koppel wijzigingen aan contractbeheer. Bij een nieuwe verwerkingslocatie, grotere gegevensomvang of toegang tot bijzondere gegevens kan een aanvullende beoordeling nodig zijn. Controleer dan ook eventuele internationale doorgifteverplichtingen; toestemming voor een subverwerker vervangt die toets niet.
De rolverdeling vormt het vertrekpunt. Als een dienstverlener voor een onderdeel eigen doeleinden vaststelt, kan de analyse anders uitvallen dan een zuivere subverwerkersketen. Het artikel over verwerker of verwerkingsverantwoordelijke helpt die voorafgaande vraag afzonderlijk te beantwoorden.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-13