Verwerkersovereenkomst Sjabloon (Nederland)

Bijgewerkt op 24 augustus 2026

Dit nederlands sjabloon voor een verwerkersovereenkomst is een lokale tegenhanger, geen vertaling van het Amerikaanse Jotform-document.

Het combineert een invulbaar document met aandachtspunten voor Nederland: rollen, prijs, btw, bewijsstukken, persoonsgegevens, betaling, e-handtekening en de grenzen van interne goedkeuring.

2 van 14 velden ingevuld

Tik in het document hieronder op een gemarkeerd veld en typ er meteen in.Gratis — zonder registratie, zonder watermerk

Verwerkersovereenkomst

Datum:
Verantwoordelijke:
Verwerker:
Rol:
Toepasselijk recht:

1. Verwerkingsdetails

Diensten: . Gegevens: . Betrokkenen: .

2. Instructies

verwerkt persoonsgegevens alleen volgens gedocumenteerde instructies: .

3. Beveiliging en subverwerkers

Beveiligingsmaatregelen: . Incidentmelding binnen uur. Subverwerkers: .

4. Doorgiften en einde

Doorgiften: . Einde verwerking: .

Verantwoordelijke

Datum:

Verwerker

Datum:

Verwerkersovereenkomst: geen HIPAA-vertaling

De Amerikaanse masterpagina is een HIPAA Business Associate Agreement. Voor Nederland zou dat het verkeerde document zijn. De lokale pagina is een AVG-verwerkersovereenkomst.

Artikel 28 AVG vereist een schriftelijke of elektronische overeenkomst tussen verwerkingsverantwoordelijke en verwerker. De overeenkomst noemt onderwerp, duur, aard, doel, persoonsgegevens, betrokkenen en rechten en verplichtingen; handelt de verwerker zelf over doel en middelen, dan kan hij verantwoordelijke worden.

Rollen eerst kwalificeren

De titel van het contract is niet beslissend. Als de dienstverlener zelf doelen en essentiële middelen bepaalt, is hij mogelijk zelfstandig of gezamenlijk verwerkingsverantwoordelijke.

Daarom bevat het sjabloon eerst een rollenveld. Dat voorkomt dat een technische bijlage een verkeerde juridische rol verbergt.

Instructies, beveiliging en subverwerkers

Schriftelijke instructies, technische en organisatorische maatregelen, toegang, logging, back-ups, verwijdering, encryptie en incidentmeldingen moeten concreet zijn.

Subverwerkers voor cloud, support, hosting en analytics moeten worden goedgekeurd en aan gelijkwaardige verplichtingen worden gebonden.

Doorgiften en einde verwerking

Doorgiften buiten de EER vragen een aparte basis: adequaatheidsbesluit, standaardcontractbepalingen, transferbeoordeling of andere passende waarborg.

Aan het einde moet duidelijk zijn of gegevens worden teruggegeven, verwijderd of wettelijk bewaard. Auditbewijs verdwijnt niet omdat de operationele dienst stopt.

De clausules in detail

AVG-rollen: Verwerkingsverantwoordelijke, verwerker of gezamenlijke verantwoordelijkheid.
Verwerking: Onderwerp, duur, aard, doel, data en betrokkenen.
Instructies: Alleen verwerking volgens gedocumenteerde instructies.
Beveiliging: Concrete technische en organisatorische maatregelen.
Subverwerkers: Toestemming en gelijkwaardige verplichtingen.
Doorgiften: Waarborgen voor doorgifte buiten EER.
Einde verwerking: Teruggave, verwijdering, bewaring en bewijs.

Checklist Nederland

Controleer deze punten voordat u het sjabloon in Nederland gebruikt.

HIPAA niet buiten de VS gebruiken
In Nederland is dit een verwerkersovereenkomst, geen Business Associate Agreement.
Rollen kwalificeren
Artikel 28 AVG vereist een schriftelijke of elektronische overeenkomst tussen verwerkingsverantwoordelijke en verwerker. De overeenkomst noemt onderwerp, duur, aard, doel, persoonsgegevens, betrokkenen en rechten en verplichtingen; handelt de verwerker zelf over doel en middelen, dan kan hij verantwoordelijke worden.
EUR-Lex AVG artikel 28
Instructies en gegevens opsommen
Onderwerp, duur, doel, gegevens en betrokkenen moeten zichtbaar zijn.
Beveiligingsmaatregelen beschrijven
TOMs moeten toetsbaar zijn: toegang, encryptie, back-up, logging, verwijdering.
Subverwerkers regelen
Toestemming en gelijkwaardige verplichtingen zijn nodig.
Doorgiften controleren
Doorgiften buiten de EER vragen een aparte grondslag.
Ondertekenen en bewijs bewaren
Rijksoverheid onderscheidt gewone, geavanceerde en gekwalificeerde elektronische handtekeningen; een gekwalificeerde elektronische handtekening is gelijkgesteld aan de handtekening met pen.
Rijksoverheid elektronische handtekening

Zo gebruikt u dit sjabloon

Rollen kwalificeren. Verwerkingsverantwoordelijke, verwerker of gezamenlijk.
Verwerking beschrijven. Diensten, gegevens, betrokkenen, doel en duur.
Instructies en TOMs toevoegen. Instructies, beveiliging en toegang.
Subverwerkers en doorgiften valideren. Subverwerkers, landen en waarborgen.
Einde regelen. Teruggave, verwijdering en bewijs.

Veelgestelde vragen

Is dit een vertaling van het Amerikaanse model?

Nee. Het document is herschreven voor Nederland; het Amerikaanse model is alleen de concurrentie-aanleiding.

Kan ik het meteen ondertekenen?

Gebruik het als basis. Controleer prijs, rol, btw, gegevens, vorm, gereguleerde sector en eventuele consument voor ondertekening.

Waarom zijn er zoveel velden?

Omdat geschillen meestal ontstaan over scope, prijs, documenten, termijnen, data en bewijs, niet over de titel van het model.

Welke munt gebruik ik?

Het sjabloon gebruikt EUR. Bij grensoverschrijdende relaties voegt u wisselkoers, bankkosten, belastingen en betaalplaats toe.

Is elektronische ondertekening voldoende?

Rijksoverheid onderscheidt gewone, geavanceerde en gekwalificeerde elektronische handtekeningen; een gekwalificeerde elektronische handtekening is gelijkgesteld aan de handtekening met pen.

Is dit een Business Associate Agreement?

Nee. In Nederland is dit een verwerkersovereenkomst op basis van de AVG.

Kan een leverancier verantwoordelijke zijn?

Ja, als hij zelf doelen en essentiële middelen bepaalt.

Zijn doorgifteclausules nodig?

Ja wanneer gegevens buiten de EER gaan of de cloudketen dat vereist.

Vergelijkbare sjablonen

Zakelijke Overeenkomst Sjabloon (Nederland)

Disclaimer

Dit sjabloon voor Nederland is algemene informatie en hulp bij het opstellen. Het is geen juridisch, fiscaal, douane-, transport-, bouw-, privacy-, aanbestedings- of sectorspecifiek advies.