Een klant stuurt je een e-mail: ‘Wanneer ontvangen wij jullie verwerkersovereenkomst?’ Je biedt een SaaS-platform aan voor HR-teams, je klanten slaan er medewerkersdossiers en verlofaanvragen in op, en nu blijkt dat je zonder dat document eigenlijk niet verder kunt. Je weet dat zoiets bestaat, maar je vraagt je af of het echt verplicht is, wat erin moet staan, en hoe het zich verhoudt tot de algemene voorwaarden die je al hebt. Dit artikel geeft je een praktisch antwoord, stap voor stap.

Verwerker of verwerkingsverantwoordelijke? De splitsing die alles bepaalt

De AVG maakt een scherp onderscheid tussen twee rollen, en welke rol jij speelt, bepaalt of je een dataverwerkersovereenkomst nodig hebt. De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. De verwerker verwerkt gegevens uitsluitend namens en op instructie van die verantwoordelijke.

Concrete SaaS-voorbeelden maken dit direct duidelijk. Een projectmanagementtool zoals Asana of een vergelijkbaar Nederlands alternatief verwerkt projecttaken, opmerkingen en deadlines van de medewerkers van jouw klant. De klant bepaalt welke medewerkers toegang krijgen, welke data er instaat en hoe lang die bewaard blijft. Jij faciliteert alleen de opslag en functionaliteit. Jij bent verwerker. Bij HR-software is het nog explicieter: de werkgever (jouw klant) is verantwoordelijk voor de personeelsdossiers; jij biedt alleen het platform waarop die dossiers worden bijgehouden. Een e-mailmarketingplatform verwerkt contactlijsten die de klant aanlevert en verstuurt campagnes op basis van de instructies van die klant. Ook hier ben jij verwerker.

Wanneer ben je géén verwerker? Als jij zelfstandig beslist wat er met de gegevens gebeurt. Stel dat jij gebruikersgedragsdata verzamelt, anonimiseert en verkoopt aan derde partijen voor benchmarkonderzoek. Dan ben jij voor dat deel verwerkingsverantwoordelijke, ongeacht wat er verder in je contract staat.

Signalen dat jij als SaaS-aanbieder verwerker bent

Twijfel je nog? Drie signalen wijzen duidelijk in de richting van de verwerkerrol. Ten eerste: de data die je verwerkt is van de klant of van diens klanten, medewerkers of relaties. Jij ‘ziet’ die data alleen omdat de klant jou toegang geeft. Ten tweede: jij bepaalt niet waarom de gegevens worden verwerkt. De klant gebruikt jouw tool voor zijn eigen bedrijfsdoeleinden en jij ondersteunt dat proces slechts. Ten derde: de klant kan jou concrete instructies geven, zoals ‘verwijder dit account’ of ‘exporteer alle data van dit project’. Als je die instructies opvolgt zonder eigen afweging, ben jij verwerker.

Stap 1: Breng de gegevensstroom in kaart

Voordat je ook maar één clausule schrijft, moet je weten wát je verwerkt. Loop de volgende vragen langs. Welke categorieën persoonsgegevens komen jouw systeem in? Denk aan namen, e-mailadressen, IP-adressen, maar ook gevoeliger materiaal zoals salarisgegevens of gezondheidsdata in een HR-context. Van wie zijn die gegevens precies? Van de medewerkers van jouw klant, van diens eindklanten, of allebei? Waar worden de gegevens opgeslagen? Als je draait op AWS eu-west-1, noteer dat dan expliciet. Welke subverwerkers gebruik jij? Stripe voor betalingen, Datadog voor monitoring, Intercom voor supportchats: al deze partijen verwerken mogelijk ook persoonsgegevens van jouw klanten. Die subverwerkers moet je later in je overeenkomst adresseren.

Stap 2: Stel vast of de verwerkersovereenkomst verplicht is

De AVG-toets bestaat uit drie vragen. Is er sprake van verwerking van persoonsgegevens? Ja, zodra er namen, e-mailadressen of andere identificeerbare gegevens door jouw systeem stromen. Ben jij verwerker (zie hierboven)? En verwerkt jouw klant als verwerkingsverantwoordelijke? Als je alle drie vragen met ‘ja’ beantwoordt, is een schriftelijke verwerkersovereenkomst verplicht op grond van artikel 28 AVG. Er is geen drempelwaarde voor omzet of bedrijfsgrootte. Ook als je een kleine SaaS-startup bent met tien klanten, geldt de verplichting.

Stap 3: Kies de juiste vorm

Je hebt drie opties voor hoe je de verwerkersovereenkomst vormgeeft, en de keuze hangt af van je salesproces en klantsegment.

Een losse overeenkomst werkt goed als je enterprise-klanten bedient die zelf een document willen onderhandelen. Het nadeel is dat je voor elke klant een apart ondertekend document moet beheren.

Een bijlage bij je algemene voorwaarden is de meest gangbare aanpak voor SaaS-producten met veel kleinere klanten. Je verwijst in je hoofdvoorwaarden naar de bijlage, en de klant accepteert het geheel bij aanmelding. Dit is efficiënt en schaalbaar. Nadeel: je moet goed nadenken over welk document prevaleert bij tegenstrijdigheid.

Een verwerkersmodule in een gelaagd SaaS-contract past het best bij middelgrote producten die zowel consumenten als zakelijke klanten bedienen. De module activeert zich automatisch als de klant zakelijk afneemt en persoonsgegevens van derden verwerkt.

Mijn advies voor de meeste SaaS-aanbieders: ga voor de bijlage bij je algemene voorwaarden. Het is juridisch robuust, klanten herkennen de structuur, en je kunt hem zelfstandig updaten zonder het hele contract opnieuw te laten ondertekenen, mits je een heldere wijzigingsprocedure regelt.

Stap 4: Zet de wettelijk verplichte kern neer

Artikel 28 AVG eist dat de overeenkomst acht elementen bevat. Zorg dat elk element concreet is ingevuld, niet vaag omschreven. Onderwerp en duur van de verwerking. Aard en doel van de verwerking (bijv. ‘opslag en weergave van HR-dossiers ten behoeve van personeelsadministratie’). Het soort persoonsgegevens (namen, e-mailadressen, salarisgegevens). De categorieën betrokkenen (medewerkers van de verwerkingsverantwoordelijke). En de rechten en plichten van de verwerkingsverantwoordelijke, inclusief de instructiebevoegdheid.

Vage formuleringen als ‘de verwerker verwerkt gegevens ten behoeve van de dienstverlening’ voldoen niet. De Autoriteit Persoonsgegevens heeft hier in eerdere handhavingszaken op gewezen.

Stap 5: Voeg de operationele clausules toe die bij SaaS horen

Naast de wettelijke minimuminhoud zijn er clausules die specifiek voor SaaS-contracten essentieel zijn. De instructiebevoegdheid van de klant moet expliciet zijn: de klant mag jou opdragen gegevens te verwijderen, te exporteren of de toegang te beperken, en jij bent verplicht dit binnen een redelijke termijn uit te voeren. Specificeer ook de subverwerkersgodkeuring: je klant moet weten welke subverwerkers je gebruikt en toestemming geven, of jij hanteert een lijst die je publiceert met een wijzigingsmechanisme.

De meldplicht bij datalekken is een punt dat in SaaS-contracten regelmatig fout gaat. De AVG verplicht jou als verwerker om de verwerkingsverantwoordelijke te informeren ‘zonder onnodig uitstel’. In de praktijk hanteren veel verwerkersovereenkomsten een termijn van 24 uur voor de initiële melding, ook als je nog niet alle details kent. Neem ook een bepaling op over wat er bij contracteinde met de data gebeurt: teruggave in een exporteerbaar formaat of veilige verwijdering, met een bevestiging aan de klant.

Stap 6: Regel de beveiligingsbijlage correct

Artikel 32 AVG vereist ‘passende technische en organisatorische maatregelen’. Die formulering is bewust breed, maar in een verwerkersovereenkomst moet je verder gaan. Verwijs naar een concrete beveiligingsbijlage (ook wel TOM-bijlage of TOMs-annex genoemd) waarin je minstens opneemt: encryptie van data in rust en tijdens transport, toegangscontrole en authenticatiebeleid (bijv. verplichte MFA voor beheerdersaccounts), back-upfrequentie en hersteltijd, en patchbeleid voor infrastructuur en applicatielaag. Door naar een separate bijlage te verwijzen, kun je de technische maatregelen updaten zonder de hoofdovereenkomst te wijzigen. Dat is praktisch voor een omgeving die technisch snel evolueert.

Stap 7: Koppel de verwerkersovereenkomst aan je algemene voorwaarden zonder tegenstrijdigheden

Dit is het onderdeel dat het vaakst fout gaat. Regel expliciet welk document prevaleert. Een beproefde aanpak: de verwerkersovereenkomst prevaleert bij alles wat persoonsgegevens betreft; de algemene voorwaarden regeren de rest van de contractuele relatie. Neem een rangorderepaling op in beide documenten zodat er geen twijfel bestaat. Stel ook vast hoe je wijzigingen communiceert: via e-mail, via een melding in het dashboard, of via publicatie op je website met een opzegtermijn. Zorg dat de wijzigingsprocedure in de verwerkersovereenkomst gelijk is aan die in je algemene voorwaarden anders creëer je conflicterende procedures.

Veelgemaakte juridische gaten in SaaS-verwerkersovereenkomsten

Subverwerkers worden niet gespecificeerd. Je noemt alleen dat je subverwerkers mag inzetten, maar je vermeldt niet wie ze zijn. Dat is onvoldoende. Publiceer een lijst en update die actief. Het auditrecht van de klant ontbreekt of is zo beperkt dat het nietszeggend is. Klanten hebben het recht om te controleren of jij je AVG-verplichtingen nakomt. Een praktische uitwerking: jij verstrekt op verzoek een recent penetratietestrapport of SOC 2-certificering in plaats van een fysieke audit toe te staan. Dat is redelijk en werkt voor de meeste klanten. Doorgifte buiten de EER wordt over het hoofd gezien. Als jouw subverwerker data opslaat buiten de Europese Economische Ruimte, heb je een geldig doorgiftemechanisme nodig.

Wanneer je een doorgifte-mechanisme nodig hebt bovenop de verwerkersovereenkomst

Gebruik je Amerikaanse diensten zoals AWS us-east, Google Cloud (VS-regio’s) of Salesforce? Dan verwerk je mogelijk persoonsgegevens buiten de EER. Na het Schrems II-arrest zijn de standaardcontractbepalingen (SCC’s) de meest gebruikte route. Je sluit dan aanvullend op de verwerkersovereenkomst een set SCC’s met je subverwerker. Controleer ook of de subverwerker valt onder het EU-VS Data Privacy Framework, dat in september 2026 nog steeds operationeel is voor deelnemende bedrijven. Neem in je verwerkersovereenkomst op dat jij als verwerker verantwoordelijk bent voor het regelen van de juiste doorgiftegrondslag met jouw subverwerkers.

Checklist: twaalf controlepunten voor een AVG-compliant dataverwerkersovereenkomst SaaS

  • Alle acht verplichte elementen van artikel 28 AVG zijn concreet ingevuld, niet algemeen omschreven.
  • De categorieën persoonsgegevens en betrokkenen zijn specifiek benoemd.
  • De instructiebevoegdheid van de klant is expliciet geregeld, inclusief termijnen voor uitvoering.
  • Subverwerkers zijn bij naam of via een gepubliceerde lijst benoemd, met een goedkeurings- of bezwaarprocedure.
  • De meldplicht bij datalekken bevat een concrete termijn (doorgaans 24 uur voor de eerste melding).
  • De procedure voor teruggave of verwijdering van data bij contracteinde is uitgewerkt.
  • Er is een beveiligingsbijlage met concrete TOMs, geen vage ‘passende maatregelen’-formule.
  • Het auditrecht van de klant is geregeld, met een praktische invulling zoals certificering of auditrapport.
  • Doorgifte buiten de EER is geadresseerd, inclusief het toepasselijke doorgiftemechanisme.
  • De rangorderegeling tussen de verwerkersovereenkomst en de algemene voorwaarden is eenduidig.
  • De wijzigingsprocedure is consistent in beide documenten geregeld.
  • Het document is ondertekend of aantoonbaar geaccepteerd door de klant (bijv. via acceptatie bij onboarding).

Of je een dataverwerkersovereenkomst nodig hebt, hangt af van één vraag: verwerk jij persoonsgegevens in opdracht van een andere partij? Voor de meeste SaaS-platforms die HR-data, klantgegevens of gebruikersprofielen verwerken, is het antwoord ja. Bepaal eerst je rol, breng daarna in kaart wat je verwerkt en voor wie, en bouw de overeenkomst op van de wettelijke verplichtingen naar de operationele afspraken. Zorg dat het document aansluit op je bestaande voorwaarden zonder daarmee in conflict te komen. En bekijk de overeenkomst opnieuw bij elke wijziging in je infrastructuur, je subverwerkers of je product. De checklist hierboven is daarvoor een bruikbaar terugkerend hulpmiddel.