Clausulebibliotheek
Gegevensbescherming-clausule, uitgelegd
Een clausule over gegevensbescherming legt vast hoe persoonsgegevens worden behandeld; wanneer een partij verwerker is onder de UK GDPR, vereist artikel 28(3) benoemde verwerkersbepalingen.
Laatst bijgewerkt 28 oktober 2026
Wat doet de gegevensbescherming-clausule?
Wanneer een leverancier persoonsgegevens verwerkt voor een klant die verwerkingsverantwoordelijke is, bepaalt artikel 28 van de UK GDPR dat de verwerking door een overeenkomst moet worden geregeld. Artikel 28(3) somt de verwerkersbepalingen op die dat contract moet bevatten. Dezelfde UK GDPR geldt in Schotland. Privacywetten van Amerikaanse staten zijn een ander regime. Wij zetten die bepalingen op één gedeelde pagina.
Wat moet een verwerkersovereenkomst onder artikel 28 bevatten?
De overeenkomst moet bindend zijn en het onderwerp, de duur, de aard en het doel van de verwerking, de soorten persoonsgegevens en betrokkenen en de rechten van de verwerkingsverantwoordelijke vastleggen. Artikel 28(3) vereist dan de verwerkersbepalingen onder (a) tot en met (h): gedocumenteerde instructies, geheimhouding, beveiliging, subverwerkers, bijstand, verwijdering of teruggave, en audit.
Wanneer is een partij verwerker in plaats van verwerkingsverantwoordelijke?
Een verwerkingsverantwoordelijke bepaalt de doelen en middelen van de verwerking. Een verwerker verwerkt namens de verwerkingsverantwoordelijke. Een studio die het klantenbestand van een opdrachtgever opslaat om de e-mails van die opdrachtgever te versturen, is meestal een verwerker. Een studio die een eigen marketinglijst opbouwt, is verwerkingsverantwoordelijke van die lijst. Benoem de rol per gegevensset zodat artikel 28 alleen geldt waar het hoort.
Mag de verwerker subverwerkers aanstellen?
Alleen met voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Bij een algemene toestemming moet de verwerker de verwerkingsverantwoordelijke informeren over beoogde toevoegingen of vervangingen zodat die bezwaar kan maken. Dezelfde verplichtingen voor gegevensbescherming moeten doorwerken. De oorspronkelijke verwerker blijft volledig aansprakelijk jegens de verwerkingsverantwoordelijke voor de subverwerker. Schrijf de toestemmingsmethode in de clausule.
Wat gebeurt er met de gegevens als het werk eindigt?
Artikel 28(3)(g) zegt dat de verwerker, naar keuze van de verwerkingsverantwoordelijke, de persoonsgegevens na afloop van de diensten verwijdert of teruggeeft en kopieën verwijdert, tenzij nationaal recht opslag vereist. Combineer dat met geheimhouding en een regel over teruggeven of vernietigen voor niet-persoonlijke vertrouwelijke bestanden. Noem hoe lang logs bewaard mogen worden als een wet dat vereist.
Voorbeeldtekst
Voorbeeld · eigen opstelling
Wanneer de Leverancier persoonsgegevens voor de Opdrachtgever verwerkt als verwerker, zal de Leverancier: die gegevens alleen verwerken op basis van gedocumenteerde instructies van de Opdrachtgever; ervoor zorgen dat personen die bevoegd zijn ze te verwerken gebonden zijn aan geheimhouding; de beveiligingsmaatregelen nemen die artikel 32 van de UK GDPR vereist; geen subverwerker aanstellen zonder voorafgaande schriftelijke toestemming van de Opdrachtgever; de Opdrachtgever bijstaan bij verzoeken van betrokkenen en bij de artikelen 32 tot en met 36; naar keuze van de Opdrachtgever de gegevens aan het einde van de diensten verwijderen of teruggeven, tenzij nationaal recht opslag vereist; en de informatie beschikbaar stellen die nodig is om naleving aan te tonen en audits toestaan.
In begrijpelijke taal
Als de leverancier persoonsgegevens voor de klant verwerkt, doet hij alleen wat de klant heeft vastgelegd, houdt hij ze geheim, zorgt hij voor beveiliging en schakelt hij zonder schriftelijk akkoord geen andere verwerker in. Hij helpt bij de rechten van personen en bij beveiligingsplichten, verwijdert of retourneert de gegevens daarna als het werk eindigt, tenzij de wet zegt dat hij een kopie moet bewaren, en laat de klant controleren.
Waar moet je op letten?
| Punt | Let op | Zet in op |
|---|---|---|
| Rollen | Een verwerkersbijlage die is vastgeschroefd aan een deal waarin beide partijen verwerkingsverantwoordelijke zijn. | Een zin die de rol per gegevensset benoemt. |
| Instructies | “Verwerk zoals nodig voor de diensten” zonder gedocumenteerde instructies. | Een bijlage met onderwerp, duur, soorten gegevens en betrokkenen. |
| Subverwerkers | Vrij spel om iedereen aan te stellen, of stilte. | Voorafgaande schriftelijke toestemming, doorwerking en blijvende aansprakelijkheid. |
| Einde van de klus | Geen regel over verwijderen of teruggeven. | De keuze van de verwerkingsverantwoordelijke, met een uitzondering voor wettelijke bewaring. |
| Plafond | Een onbeperkte gegevensvrijwaring bij een klein honorarium, of een plafond dat een datalek opslokt. | Een benoemde positie ten opzichte van het aansprakelijkheidsplafond en de vrijwaring. |
In welke contracten zit ze?
Lex neemt deze clausule onder andere op in:
- Overeenkomst van opdracht (raamovereenkomst voor dienstenEen raamovereenkomst voor diensten (master services agreement, MSA) legt de juridische voorwaarden voor een doorlopende relatie vast, waarbij elk project daarna in een aparte opdrachtomschrijving wordt afgesproken.Meer in de begrippenlijst)
- Overeenkomst voor websiteontwikkeling
- Adviesovereenkomst
Wat zegt de wet?
Verwerking door een verwerker moet worden geregeld in een overeenkomst die de verwerker bindt en die het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het type persoonsgegevens en de categorieën betrokkenen, en de verplichtingen en rechten van de verwerkingsverantwoordelijke vastlegt, inclusief de verwerkersbepalingen in artikel 28(3)(a)–(h).
Bron: UK GDPR, Article 28(3)Gecontroleerd 28 oktober 2026In afwachting van juridische controle
Stel een raamovereenkomst voor diensten op met deze clausule
Gratis voor de andere partijLex stelt het op in begrijpelijke taal naast de juridische tekst. Deel één link; beide partijen komen tot een akkoord en ondertekenen.
Veelgestelde vragen
Wat betekent een clausule over gegevensbescherming?
Ze legt vast hoe persoonsgegevens onder het contract worden behandeld. Wanneer een partij persoonsgegevens voor de andere verwerkt als verwerker onder de UK GDPR, vereist artikel 28 dat die verwerking wordt geregeld door een overeenkomst met benoemde verwerkersbepalingen.
Wat moet een verwerkersovereenkomst onder artikel 28 van de UK GDPR bevatten?
Het onderwerp, de duur, de aard en het doel van de verwerking, de soorten gegevens en betrokkenen en de verwerkersbepalingen in artikel 28(3)(a)–(h), waaronder gedocumenteerde instructies, geheimhouding, beveiliging, subverwerkers, bijstand, verwijdering of teruggave, en audit.
Wanneer is een leverancier verwerker?
Wanneer hij persoonsgegevens namens de klant verwerkt in plaats van zelf de doelen en middelen te bepalen. De clausule moet de rol per gegevensset benoemen. Artikel 28 geldt voor verwerkersrelaties.
Mag een verwerker subverwerkers inschakelen?
Alleen met voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Dezelfde verplichtingen moeten doorwerken en de oorspronkelijke verwerker blijft volledig aansprakelijk jegens de verwerkingsverantwoordelijke voor de subverwerker.
Wat gebeurt er met persoonsgegevens als het contract eindigt?
Naar keuze van de verwerkingsverantwoordelijke verwijdert of retourneert de verwerker ze en verwijdert hij kopieën, tenzij nationaal recht opslag vereist. Schrijf die keuze in de clausule.
Bronnen
- UK GDPR, Article 28(3)Gecontroleerd 28 oktober 2026In afwachting van juridische controle
Gerelateerd
Sjablonen met deze clausule
Andere clausules
De juridische tekst is bindendLaatst beoordeeld 28 oktober 2026In afwachting van juridische controle