AVG bewerkersovereenkomst subverwerker: wie sluit die en wat moet erin staan?

Een AVG bewerkersovereenkomst subverwerker (de overeenkomst tussen uw leverancier en de partij die uw leverancier op zijn beurt inschakelt) sluit de verwerker zelf, met schriftelijke toestemming van de verwerkingsverantwoordelijke. Die overeenkomst moet dezelfde verplichtingen bevatten als de overeenkomst tussen verantwoordelijke en verwerker (artikel 28 lid 4 AVG).

De hoofdlijnen

• De verwerker sluit de overeenkomst met de subverwerker, niet de verwerkingsverantwoordelijke.
• De verwerker heeft daarvoor vooraf uw schriftelijke toestemming nodig: specifiek per subverwerker of algemeen, met informatieplicht en bezwaarrecht.
• De AVG bewerkersovereenkomst subverwerker moet dezelfde verplichtingen bevatten als de hoofdovereenkomst, vooral op het punt van beveiliging.
• Schiet de subverwerker tekort, dan blijft de verwerker tegenover u volledig aansprakelijk.
• Als verwerkingsverantwoordelijke blijft u eindverantwoordelijk voor de hele keten en moet u weten wie erin zit.

In de praktijk schakelt vrijwel elke leverancier andere partijen in: een hostingpartij, een e-maildienst, een helpdesktool. Zodra zo’n partij persoonsgegevens verwerkt die u aan uw leverancier heeft toevertrouwd, is sprake van een subverwerker. Veel organisaties vragen ons wie dan met wie moet contracteren en wat er precies in die overeenkomst hoort. Het woord bewerkersovereenkomst stamt overigens nog uit de Wet bescherming persoonsgegevens; de AVG spreekt van een verwerkersovereenkomst. Wie zoekt op AVG bewerkersovereenkomst subverwerker, bedoelt dus wat juristen een subverwerkersovereenkomst noemen. De verplichtingen zijn in beide gevallen dezelfde.

Wat is een subverwerker onder de AVG?

Een subverwerker is een partij die door een verwerker wordt ingeschakeld om, in opdracht van die verwerker, persoonsgegevens te verwerken ten behoeve van de verwerkingsverantwoordelijke. De AVG gebruikt het woord subverwerker zelf niet en spreekt in artikel 28 lid 2 en lid 4 van “een andere verwerker”. De betekenis is hetzelfde.

Denk aan een salarisadministratiekantoor (verwerker) dat de software bij een cloudaanbieder host (subverwerker). Of een leverancier van een leerlingvolgsysteem die back-ups onderbrengt bij een extern datacenter. In beide gevallen bepaalt u als school of werkgever het doel van de verwerking en blijft u verwerkingsverantwoordelijke. Twijfelt u over de rolverdeling, lees dan eerst hoe u bepaalt of een partij verwerker of verwerkingsverantwoordelijke is. Die vraag gaat vooraf aan elke contractkeuze.

AVG bewerkersovereenkomst subverwerker: wie sluit die?

De verwerker sluit de overeenkomst met de subverwerker. Dat volgt rechtstreeks uit artikel 28 lid 4 AVG: wanneer een verwerker een andere verwerker inschakelt, legt de verwerker via een overeenkomst dezelfde verplichtingen inzake gegevensbescherming op aan die andere verwerker. U als verwerkingsverantwoordelijke staat dus buiten dat contract. U hoeft en kunt doorgaans ook geen rechtstreekse overeenkomst met de subverwerker sluiten, omdat u geen opdrachtrelatie met die partij heeft.

Uw rol zit aan de voorkant. Zonder uw voorafgaande schriftelijke toestemming mag de verwerker helemaal geen subverwerker inschakelen (artikel 28 lid 2 AVG). De AVG kent daarvoor twee vormen:

1. Specifieke toestemming. U keurt elke subverwerker afzonderlijk goed, bij voorkeur met naam, verwerkingsactiviteit en locatie in een bijlage bij de verwerkersovereenkomst.
2. Algemene toestemming. U geeft vooraf toestemming voor een categorie of lijst van subverwerkers. De verwerker moet u dan informeren over elke voorgenomen toevoeging of vervanging, zodat u daartegen bezwaar kunt maken.

De European Data Protection Board adviseert in richtsnoeren 07/2020 om bij algemene toestemming criteria vast te leggen waaraan nieuwe subverwerkers moeten voldoen, bijvoorbeeld op het gebied van beveiligingsmaatregelen en deskundigheid, en om de bezwaarprocedure in het contract uit te werken. Ik raad aan daarbij een reële termijn af te spreken en vast te leggen wat er gebeurt als u bezwaar maakt en de verwerker toch doorgaat. Zonder exitafspraak is een bezwaarrecht weinig waard.

Wat staat er in een AVG bewerkersovereenkomst subverwerker?

Het uitgangspunt is eenvoudig: de overeenkomst tussen verwerker en subverwerker bevat dezelfde verplichtingen als die tussen u en de verwerker. In de praktijk betekent dit dat alle onderdelen van artikel 28 lid 3 AVG terugkomen, aangepast aan de taak van de subverwerker. Concreet gaat het om:

• het onderwerp, de duur, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën betrokkenen;
• de instructie dat de subverwerker uitsluitend verwerkt op basis van schriftelijke instructies, ook bij doorgifte buiten de EU;
• een geheimhoudingsplicht voor alle personen die toegang hebben tot de gegevens;
• passende technische en organisatorische beveiligingsmaatregelen conform artikel 32 AVG, ten minste gelijkwaardig aan het niveau in de hoofdovereenkomst;
• dezelfde voorwaarden voor het inschakelen van verdere subverwerkers, zodat de keten gesloten blijft;
• bijstand bij verzoeken van betrokkenen, bij datalekken en bij een DPIA;
• verwijdering of teruggave van de gegevens na afloop van de dienstverlening;
• het recht op informatie en audits, zodat de verwerker (en via de verwerker u) kan controleren of de afspraken worden nageleefd.

Let vooral op beveiliging. De tekst van artikel 28 lid 4 noemt de beveiligingsmaatregelen uitdrukkelijk: de overeenkomst met de subverwerker moet voldoende garanties bieden dat passende maatregelen worden getroffen. Een AVG bewerkersovereenkomst subverwerker die op dit punt minder regelt dan de hoofdovereenkomst, voldoet niet. Verwerkt de subverwerker gegevens buiten de Europese Economische Ruimte, dan moet ook de doorgifte buiten de EU contractueel geregeld zijn, bijvoorbeeld met standaardcontractsbepalingen.

Wie is aansprakelijk als de subverwerker tekortschiet?

De verwerker. Artikel 28 lid 4 AVG bepaalt dat de eerste verwerker tegenover de verwerkingsverantwoordelijke volledig aansprakelijk blijft voor het nakomen van de verplichtingen door de subverwerker. Voor u betekent dit dat u bij een datalek bij de hostingpartij van uw leverancier uw leverancier aanspreekt. Hoe de leverancier dat vervolgens verhaalt op de subverwerker, is een zaak tussen die twee.

Dat ontslaat u echter niet van uw eigen verantwoordelijkheid. De EDPB heeft in Opinion 22/2024, aangenomen op 7 oktober 2024, benadrukt dat de verwerkingsverantwoordelijke de identiteit van alle verwerkers en subverwerkers in de keten te allen tijde beschikbaar moet hebben en moet kunnen aantonen dat de garanties van die partijen zijn geverifieerd. U mag daarbij leunen op de informatie die uw verwerker aanlevert, maar de eindbeslissing en de verantwoording blijven bij u. Een actuele subverwerkerslijst is daarmee geen service van uw leverancier, het is een stuk dat u nodig heeft voor uw eigen verantwoordingsplicht.

Hoe houdt u als verwerkingsverantwoordelijke grip op de keten?

Wij zien in audits dat organisaties hun directe verwerkers goed in beeld hebben, terwijl de laag daaronder onzichtbaar is. Met vier praktische stappen verandert dat:

1. Vraag de subverwerkerslijst op bij elke verwerker, inclusief verwerkingsactiviteit en land van verwerking, en neem die op in uw verwerkingsregister.
2. Leg de toestemmingsvorm vast in de verwerkersovereenkomst: specifiek of algemeen, met informatieplicht, bezwaartermijn en gevolgen van bezwaar.
3. Vraag bij twijfel de AVG bewerkersovereenkomst subverwerker op, of ten minste een verklaring van de verwerker dat de verplichtingen volledig zijn doorgelegd. Zeker bij bijzondere persoonsgegevens in zorg en onderwijs is dat verstandig.
4. Herbeoordeel periodiek. Leveranciers wisselen van hostingpartij en voegen AI-functies toe. De Autoriteit Persoonsgegevens wees er al in haar onderzoek naar verwerkersovereenkomsten op dat risico’s niet statisch zijn en een overeenkomst periodiek herzien moet worden.

Krijgt u van uw leverancier een standaarddocument voorgelegd, lees dan ook onze toelichting op het beoordelen van het model van uw leverancier. Grote clouddiensten bieden zelden ruimte voor onderhandeling, maar u kunt wel beoordelen of de subverwerkersregeling aan de wet voldoet en uw keuze gemotiveerd vastleggen. Dat is precies wat de verantwoordingsplicht van u vraagt. Weet u nog niet zeker of in uw situatie überhaupt een overeenkomst nodig is, begin dan bij de vraag wanneer een bewerkersovereenkomst onder de AVG verplicht is.

Veelgestelde vragen

Moet ik als verwerkingsverantwoordelijke zelf een overeenkomst met de subverwerker sluiten?

Nee. De verwerker sluit de overeenkomst met de subverwerker en legt daarin dezelfde verplichtingen op als in de overeenkomst met u. Uw rol is het geven van voorafgaande schriftelijke toestemming en het bewaken van de keten.

Mag een verwerker een subverwerker inschakelen zonder toestemming?

Nee. Artikel 28 lid 2 AVG eist voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Bij algemene toestemming moet de verwerker u informeren over wijzigingen, zodat u bezwaar kunt maken.

Wat is het verschil tussen specifieke en algemene toestemming voor subverwerkers?

Bij specifieke toestemming keurt u elke subverwerker afzonderlijk goed. Bij algemene toestemming stemt u vooraf in met een lijst of categorie, waarbij de verwerker u over elke toevoeging of vervanging informeert en u het recht heeft bezwaar te maken.

Mag de AVG bewerkersovereenkomst subverwerker afwijken van de hoofdovereenkomst?

Alleen in de uitwerking, niet in het beschermingsniveau. De verplichtingen moeten gelijkwaardig zijn, met name de beveiligingsmaatregelen. Minder bescherming in de keten is in strijd met artikel 28 lid 4 AVG.

Wie meldt een datalek bij een subverwerker?

De subverwerker informeert de verwerker, de verwerker informeert u zonder onredelijke vertraging en u beoordeelt als verwerkingsverantwoordelijke of een melding bij de Autoriteit Persoonsgegevens en aan betrokkenen nodig is. Leg deze meldketen met termijnen vast in beide overeenkomsten.