Verwerkersovereenkomst met je webmaster of hostingpartij: wat erin moet

Heb je een verwerkersovereenkomst met je webmaster? En met je hostingpartij, je mailservice, je analytics-tool? Voor MKB-ondernemers is dit vaak een schuldgevoel-onderwerp. De AVG vereist het, maar in de praktijk ligt er bij veel kleine bedrijven niets ondertekend. Niet uit kwade wil, maar omdat niemand er ooit op heeft gestuurd.

Dit artikel laat zien wat een verwerkersovereenkomst (in goed Nederlands ook wel DPA, Data Processing Agreement) precies is, welke clausules er minimaal in horen, en hoe een werkbare versie voor MKB-praktijk eruitziet. Met voorbeelden uit hoe ik het zelf met mijn klanten regel.

Belangrijk vooraf: dit is geen juridisch advies. Het is een praktische uitleg vanuit het perspectief van een webmaster die zelf verwerker is voor zijn klanten. Voor de juridisch sluitende tekst, en zeker voor sectorspecifieke eisen (gezondheidszorg, onderwijs, financiële sector) hoort een privacy-advocaat erbij. Daar ben ik niet voor.

Wat een verwerkersovereenkomst is

In de AVG-terminologie heeft elke partij die persoonsgegevens behandelt een rol. De verantwoordelijke (jij als bedrijf met klanten) bepaalt het doel en de middelen. De verwerker (je webmaster, je hoster, je mailservice) verwerkt die gegevens in opdracht.

De AVG zegt: zodra een externe partij persoonsgegevens namens jou verwerkt, moet er een schriftelijke overeenkomst zijn. Deze regelt wat de verwerker mag doen, hoe lang, met welke beveiliging, en wat er gebeurt bij een incident. De juridische basis staat in artikel 28 van de AVG.

Voor een typische MKB-website betekent dit dat je verwerkersovereenkomsten nodig hebt met:

• De hostingpartij (zij hebben technisch toegang tot de hele site, inclusief de database)
• Je webmaster of beheerder (heeft admin-toegang en kan persoonsgegevens inzien)
• De mailservice voor nieuwsbrieven (Mailchimp, ActiveCampaign, MailerLite)
• Eventuele CRM- of klantbeheer-tools
• Analytics-aanbieders die persoonsgegevens kunnen herleiden
• Plugin-aanbieders die data naar hun servers sturen (sommige backup-services, contactformulieren)

Wat geen verwerkersovereenkomst vraagt: leveranciers die geen toegang tot persoonsgegevens hebben. Een drukker van visitekaartjes, een boekhouder (die heeft een eigen rol als verwerkingsverantwoordelijke voor jouw fiscale gegevens), een schoonmaker.

De zes clausules die erin horen

Een werkbare verwerkersovereenkomst staat op twee tot vier pagina’s. Geen 25 pagina’s met onleesbaar Engels juridisch jargon. Voor MKB-praktijk zijn dit de zes onderwerpen die er minimaal in moeten.

1. Doel en aard van de verwerking. Wat doet de verwerker, voor welke verwerkingsactiviteiten? Bij een webmaster: technisch beheer van de site, inclusief toegang tot de database voor onderhoud en herstel. Bij een hoster: het draaien en bewaren van de site-data op hun servers. Hoe concreter, hoe beter.

2. Categorieën van betrokkenen en gegevens. Wiens gegevens worden verwerkt, en welke? Voor een mkb-site meestal: klanten (naam, e-mailadres, eventueel adres en telefoonnummer voor bestellingen), nieuwsbrief-inschrijvers (e-mailadres), contactformulier-invullers (naam, e-mail, bericht). Geen complete uitwerking nodig, een redelijke beschrijving volstaat.

3. Bewaartermijn en wat er na afloop gebeurt. Hoe lang mag de verwerker de gegevens hebben? Wat gebeurt er bij beëindiging van de samenwerking? Standaard is “voor de duur van de opdracht”, en aan het eind teruggave of verwijdering. Verwijdering moet aantoonbaar zijn (een schermafbeelding van een lege database is genoeg voor de meeste situaties).

4. Beveiligingsmaatregelen. Welke technische en organisatorische maatregelen neemt de verwerker? Voor mij persoonlijk: HTTPS/TLS overal, twee-factor authenticatie waar beschikbaar, inloggegevens versleuteld in een password manager, lokale opslag (niet in de cloud), strikte toegangscontrole, regelmatige back-ups en updates. Schrijf op wat je daadwerkelijk doet, niet wat er marketingmatig goed klinkt.

5. Subverwerkers. Schakelt de verwerker zelf andere partijen in? Welke, en heeft de verantwoordelijke daarmee ingestemd? Voor een webmaster zijn de typische subverwerkers: de hostingpartij, een eventuele backup-service, een password manager. De lijst hoort in de bijlage van de overeenkomst, met locatie van datacenters.

6. Datalek-melding. Hoeveel tijd heeft de verwerker om een datalek aan de verantwoordelijke te melden? Standaard is “zonder onnodige vertraging, en in elk geval binnen 48 uur”. De verantwoordelijke moet zelf de 72-uur termijn richting de AP halen, dus de verwerker moet sneller zijn.

Twee extra punten die ik altijd toevoeg: een audit-recht (de klant mag controleren of ik me aan de afspraken houd, schriftelijk of via documentatie) en een aansprakelijkheidsbeperking conform de algemene voorwaarden.

Hoe ik het in de praktijk regel

Bij Lypii is de aanpak pragmatisch. Als ik een onderhoudscontract met een nieuwe klant teken, gaat daar standaard een verwerkersovereenkomst overheen. Vier pagina’s, leesbaar Nederlands, geen verborgen clausules.

Een typische passage over beveiliging in mijn DPA:

“Verwerker treft passende technische en organisatorische maatregelen, waaronder: HTTPS/TLS-verbindingen voor alle dataoverdracht, twee-factor authenticatie op alle accounts waar beschikbaar, opslag van inloggegevens in een lokale versleutelde password manager (niet in de cloud), wekelijkse back-ups bewaard buiten de eigen server, regelmatige updates van WordPress core, plugins en thema’s. Toegang tot klantsystemen wordt beëindigd zodra deze niet meer nodig is voor de uitvoering van de opdracht.”

Dit is geen marketingtekst, het is een beschrijving van wat ik daadwerkelijk doe. De maatregelen die ik in sectie over trust signals van mijn site noem, staan ook in het contract.

Een typische passage over subverwerkers:

“Verwerker schakelt de volgende subverwerkers in:

• Hostinger, voor hosting (EU-datacenters)
• Bij specifieke opdracht: een door klant aangewezen hostingpartij
• Bitwarden (zelf-gehost of EU-instance), als password manager

Verwerker zal verantwoordelijke informeren bij wijziging van subverwerkers, met een redelijke termijn om bezwaar te maken.”

Dat is alles. Geen 50 services die ik nooit gebruik, geen toekomstige technologie waar ik nu nog niet aan toe ben. Concreet en eerlijk.

Wat met je hosting-partij

Voor de DPA tussen jou en je hostingpartij hoef je zelf niets op te stellen. De grote hosters bieden een kant-en-klare verwerkersovereenkomst aan die je kunt downloaden en ondertekenen, of die soms automatisch onderdeel is van hun voorwaarden.

Hoe vind je die?

• Hostinger: in het paneel onder Account > Legal > Data Processing Addendum
• SiteGround: in het Privacy Policy-gedeelte van hun site
• Cloudways: op aanvraag via support
• Strato, TransIP, Antagonist: in hun voorwaarden of via een ticket

Lees de DPA door. Let vooral op de bewaartermijn (waar staan de back-ups, hoe lang), de subverwerkers (welke datacenters, in welk land), en de meldingstermijn bij een incident. Standaard is acceptabel voor MKB-doeleinden, maar het is je goed recht om kritisch te zijn.

Bij een wijziging van hostingpartij hoort een nieuwe DPA. Zet dat vast op een lijst in je AVG-administratie, zodat je niet zes maanden later ineens merkt dat er met een verkeerde partij wordt gewerkt.

Wat met externe diensten

Mailchimp, Google Analytics, een live-chat-widget, een review-tool. Elk van deze partijen die persoonsgegevens raakt vraagt om een DPA.

Voor de meeste grote diensten is dit een routinekwestie:

• Mailchimp en MailerLite: DPA staat in hun voorwaarden, geen aparte handtekening nodig
• Google Analytics: Google Cloud DPA dekt dit, plus de specifieke Google Analytics Terms
• HubSpot: DPA via hun legal-pagina, downloadbaar
• Stripe of Mollie voor betalingen: DPA via hun voorwaarden

Wat in de praktijk vaker mist: kleinere plugin-leveranciers. Een gespecialiseerde booking-plugin van een eenmans-developer in Duitsland kan zonder DPA werken. Soms staat er een AVG-paragraaf in de plugin-documentatie, soms niet. Voor een MKB-site is dit een afweging: gebruik je het, schakel je het uit, of accepteer je een lichte risico-positie?

Een privacy-advocaat helpt bij die afweging als de gegevens gevoelig zijn. Voor een eenvoudig contactformulier is het risico beperkt. Voor een patiënten-boekingsportaal is het serieus.

Een voorbeeld voor MKB

Hoe ziet een werkbare verwerkersovereenkomst eruit voor een typische MKB-site? Een opzet in zeven blokken:

1. Partijen. Naam en KvK van verantwoordelijke en verwerker
2. Doel en aard. Eén alinea over wat de verwerker doet (technisch beheer / hosting / mailing)
3. Gegevens en betrokkenen. Bullets met categorieën gegevens en groepen personen
4. Duur. “Voor de duur van de onderliggende overeenkomst, eindigt automatisch bij beëindiging”
5. Beveiliging. Concrete maatregelen, geen abstracte zinnen
6. Subverwerkers. Lijst met locaties, plus procedure voor wijziging
7. Datalek-melding. Termijn en kanaal voor melding richting verantwoordelijke

Plus algemene clausules: aansprakelijkheid (vaak conform de hoofdovereenkomst), recht en geschillenbeslechting, audit-recht.

Twee tot vier pagina’s. Ondertekend via een PDF-signing tool of digitaal in de mail. Eén keer per twee jaar herzien, of bij grote wijzigingen in de samenwerking.

Dit is geen juridisch advies

Het is een praktische uitleg. Ik schrijf zelf de DPA’s voor mijn klanten, gebaseerd op modellen die ik via privacy-bronnen en advocaten heb gezien. Voor sectoren met strenge eisen (zorg, financiële sector, onderwijs, overheid) of bij internationale dataoverdracht buiten de EU is een privacy-advocaat geen luxe maar noodzaak. Vraag om een controle van mijn modeltekst voor jouw specifieke situatie.

Voor MKB-klanten die met mij een WordPress onderhoudscontract sluiten, hoort de verwerkersovereenkomst standaard bij het pakket. Geen extra kosten, gewoon onderdeel van het werk. Een nieuwe versie wordt opgesteld als ik subverwerkers wijzig (bijvoorbeeld bij een hostingmigratie) of wanneer de wetgeving substantieel verandert.

Geen 24/7-support. Voor losse hulp bij het opstellen of beoordelen van een DPA met een andere partij reken ik per uur. Standaard €70 per uur. Spoed €105 per uur.

Heb je een specifieke vraag? Stuur me je situatie: welke partijen je gebruikt, of er al iets ondertekend is. Ik geef een eerlijke inschatting. Voor het juridisch sluitende deel verwijs ik door naar een privacy-advocaat. Meer artikelen staan in de categorie website beveiliging.