Uw webbureau is een verwerker. Het contract dat dat vastlegt, is gratis.

---

KORT ANTWOORD

Als het bureau dat uw website heeft gebouwd de site ook host, of inlogt op de database waarin de gegevens van uw leden staan, verwerkt het persoonsgegevens voor u. Onder de AVG (in het Engels GDPR) is het bureau daarmee een verwerker, en artikel 28 vereist dan een schriftelijke overeenkomst. De Europese Commissie publiceert die overeenkomst gratis. Het echte werk zit in de vier bijlagen.

---

Stel u de secretaris-generaal voor van een vereniging met 800 leden. De website ging twee jaar geleden live met een aanmeldformulier voor leden, een ledenomgeving en een inschrijving voor de nieuwsbrief. Een klein bureau bouwde de site en host hem nog steeds. Wat er destijds is getekend, was een offerte en een factuur.

In AVG-termen is die vereniging de verwerkingsverantwoordelijke en is haar bureau vrijwel zeker een verwerker. De wet kent voor die verhouding een specifieke overeenkomst, en bij heel veel verenigingssites ontbreekt die. Het is ook een van de goedkoopste lacunes om te dichten, want de Commissie heeft de overeenkomst al geschreven.

Het enige deel dat u zelf moet schrijven, zijn vier bijlagen

De overeenkomst zelf bestaat uit de standaardcontractbepalingen van de Europese Commissie voor verwerkingsverantwoordelijken en verwerkers, en de verplichtingen daarin staan vast. Wat per vereniging verschilt, zijn vier bijlagen.

Bijlage I noemt de twee partijen en kost vijf minuten. Bijlage II beschrijft de verwerking: van wie de gegevens zijn, welke gegevens het zijn, of er gevoelige bij zitten, wat ermee gebeurt, waarom en hoe lang. Bijlage III somt de beveiligingsmaatregelen op. Bijlage IV somt iedereen op die verder met de gegevens in aanraking komt.

Voor een gewone vereniging is een eerlijke bijlage II kort: leden en nieuwsbriefabonnees; namen, adressen, e-mailadres, lidmaatschapsstatus en betalingsreferenties; bewaard zolang het lidmaatschap duurt en daarna gedurende een vermelde periode.

Als uw bureau de gegevens van uw leden opslaat, verwerkt het die

De definitie van verwerking in artikel 4, punt 2, van de AVG omvat ook opslaan. Een verwerker is volgens artikel 4, punt 8, iedereen die persoonsgegevens verwerkt "ten behoeve van de verwerkingsverantwoordelijke".

De Europese Gegevensbeschermingsraad (EDPB) neemt dat letterlijk. In zijn richtsnoeren over verwerkingsverantwoordelijken en verwerkers staat het voorbeeld van een hostingdienst die alleen versleutelde bestanden opslaat en er nooit naar kijkt. Toch concluderen de richtsnoeren: "verwerkt de hostingdienst H persoonsgegevens namens werkgever A en is hij derhalve een verwerker". Dezelfde richtsnoeren beschouwen ook een IT-ondersteuningsbedrijf dat bij zijn werk onvermijdelijk persoonsgegevens te zien krijgt als verwerker.

De toets voor uw bureau is dus praktisch. Als het de site host, de database achter het aanmeldformulier beheert of een beheerdersaccount houdt waarmee het onderhoud pleegt, verwerkt het de gegevens van uw leden. Een bureau dat de bestanden heeft overgedragen en nooit meer aan de site heeft gezeten, doet dat mogelijk niet.

Artikel 28 vraagt om een schriftelijke overeenkomst en zegt wat erin moet staan

Artikel 28, lid 3, bepaalt dat verwerking door een verwerker "wordt geregeld in een overeenkomst", en lid 9 dat die schriftelijk moet zijn, wat ook elektronisch mag. De overeenkomst moet vastleggen wat er wordt verwerkt, hoe lang, waarom en over wie, en het bureau tot acht dingen verplichten:

1. Alleen handelen op uw gedocumenteerde instructies.
2. Zijn medewerkers aan geheimhouding binden.
3. De gegevens beveiligen.
4. Een andere verwerker alleen inschakelen onder de voorwaarden die u hebt afgesproken.
5. U helpen leden te antwoorden die hun gegevens willen inzien of laten wissen.
6. U helpen bij beveiliging, meldingen van datalekken en gegevensbeschermingseffectbeoordelingen.
7. De gegevens wissen of teruggeven als het werk eindigt, naar uw keuze.
8. U alles verschaffen wat nodig is om dit alles aan te tonen, en audits toestaan.

De controleplicht ligt bij de vereniging. Artikel 28, lid 1, bepaalt dat een verwerkingsverantwoordelijke uitsluitend een beroep doet op verwerkers die "afdoende garanties" bieden. De EDPB voegt eraan toe dat het aanvaarden van de standaardvoorwaarden van een leverancier die verantwoordelijkheid niet verplaatst, en dat een leverancier die zijn voorwaarden wijzigt door ze op zijn website te plaatsen daarmee niet aan artikel 28 voldoet.

De Commissie heeft het contract al geschreven, en het kost niets

Uitvoeringsbesluit (EU) 2021/915 van de Commissie van 4 juni 2021 bevat standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers. Artikel 1 van het besluit bepaalt dat ze voldoen aan artikel 28, leden 3 en 4.

De bepalingen liggen vast. Bepaling 2 zegt dat de partijen ze niet mogen wijzigen, behalve door informatie in de bijlagen toe te voegen of bij te werken. Ze kunnen deel uitmaken van een bredere overeenkomst, zoals uw overeenkomst met het bureau, zolang niets anders daarin ze tegenspreekt.

Niemand hoeft dus de verplichtingen op te stellen. Toen Elevates in 2026 zijn eerste ledenproject voor een vereniging aannam, koos het op 16 augustus dit contract in plaats van er zelf een te schrijven. Wat overblijft is uw eigen situatie beschrijven in de vier bijlagen, en daar gaat de tijd in zitten.

De bijlage die de meeste bureaus nooit hebben ingevuld, is de lijst van subverwerkers

Artikel 28, lid 2, bepaalt dat een verwerker zonder uw voorafgaande specifieke of algemene schriftelijke toestemming geen andere verwerker mag inschakelen. Bepaling 7.7 van de tekst van de Commissie maakt daar twee opties van: elke subverwerker vooraf goedkeuren, of een lijst goedkeuren en schriftelijk op de hoogte worden gesteld voordat die verandert.

Op een verenigingssite staan op die lijst meestal het hostingbedrijf, de dienst die de nieuwsbrief verstuurt, de tool achter de formulieren, de back-upopslag en eventuele analytics. Elk van hen die ledengegevens verwerkt voor het bureau, in plaats van onder uw eigen rechtstreekse contract, hoort op die lijst.

Als uw bureau die lijst niet in een middag kan opstellen, is dat de bevinding. Het betekent dat niemand weet waar de gegevens van uw leden naartoe gaan.

Een bureau dat beslist wat er met uw gegevens gebeurt, is geen verwerker meer

Artikel 28, lid 10, bepaalt dat een verwerker die de doeleinden en middelen van de verwerking bepaalt, daarvoor als verwerkingsverantwoordelijke wordt beschouwd. Een bureau dat uw ledenlijst hergebruikte om zijn eigen diensten aan te prijzen, of eigen tracking aan uw site toevoegde, zou die beslissingen zelf nemen.

Daarom is de regel over de doeleinden in bijlage II voor beide partijen van belang. Het is de schriftelijke vastlegging van wat het bureau mocht doen, en dus van wat het niet mocht.

Wat dit vraagt, en wat Elevates doet

Begin zonder iemand te betalen. Download de bepalingen van EUR-Lex, vul bijlage I zelf in en stuur de bijlagen II tot en met IV naar uw bureau om in te vullen. Komen ze binnen een week terug met een volledige lijst van subverwerkers en een duidelijke beschrijving van de verwerking, onderteken dan. Dat is het hele werk, en veel verenigingen zijn dan klaar.

Het plafond zijn bijlage II en IV. Beide hangen ervan af dat u weet waar de gegevens echt naartoe gaan: elk formulier, elke plug-in, elke e-maildienst, elke embed en elke back-up. Op een site die over meerdere jaren is gebouwd, soms door meer dan één persoon, heeft niemand die kaart, ook het bureau niet.

De regel waarmee Elevates werkt, is dat gegevens die de site niet hoeft te bewaren, er doorheen gaan in plaats van worden opgeslagen, want elk systeem dat ledengegevens bewaart voegt een regel toe aan bijlage IV en een plek waar iets mis kan gaan. Voor een vereniging waarvan de site zonder kaart is gegroeid, brengt Elevates elke plek in kaart waar ledengegevens naartoe gaan, vult de bijlagen in op basis van wat het vindt en verwijdert wat er niet hoeft te zijn voordat iemand tekent.

Als uw bureau een volledige bijlage IV terugstuurt, zit u goed. Als het dat niet kan, staan de gegevens van uw leden op meer plekken dan iemand heeft opgeschreven, en is het contract het makkelijkste deel van de oplossing.

Dit bericht beschrijft gepubliceerde wetgeving en richtsnoeren. Het is geen juridisch advies over een specifieke vereniging.