Demo-omgevingSynthetisch testdossier. Uploaden, opstellen en beslissen worden hier niet opgeslagen en er gaat niets naar een taalmodel.Meedoen aan de pilotDemo verlaten
Concept. De beoordeling loopt nog: 80 van 81 signaleringen staan open. Verder beoordelen. Zodra alles beoordeeld is, wordt dit overzicht en de pdf definitief.
21 punten om te verbeteren, waarvan 1 vraagt snel aandacht.
Wat de leverancier doet, waarvoor en hoe lang. Zonder duidelijke afspraken is niet te controleren of de leverancier zich eraan houdt.
Verbeteren
Gebruikt de leverancier de gegevens alleen voor deze opdracht?
Uitleg
Datavoogd ziet dat de doelen per verwerking concreet zijn benoemd op het niveau van de gemeentelijke taak (meldingen woonoverlast ontvangen, vastleggen, hosten, beschikbaar stellen en beheren) in tabel 1 van bijlage 1.
Volledige toelichting
Datavoogd ziet dat de doelen per verwerking concreet zijn benoemd op het niveau van de gemeentelijke taak (meldingen woonoverlast ontvangen, vastleggen, hosten, beschikbaar stellen en beheren) in tabel 1 van bijlage 1. Een uitdrukkelijk verbod op gebruik voor eigen doeleinden van de verwerker (analyse, productverbetering, training van modellen, marketing) ontbreekt echter; artikel 3.1 sluit dat alleen indirect uit via de instructiebinding. Ook een expliciete uitsluiting of afbakening van geanonimiseerd of geaggregeerd eigen gebruik is niet opgenomen. De beschreven doelen sluiten wel aan bij de in de hoofdovereenkomst beschreven app en het zaaksysteem; een AI- of analysefunctie wordt niet genoemd en evenmin uitgesloten.
Ook opgemerkt
Tabel 1 noemt bij technisch en applicatiebeheer toegang tot logbestanden/gebruikersgegevens; of die gegevens ook voor eigen doeleinden van de verwerker (bijv. dienstverbetering) mogen worden gebruikt, is niet afgebakend.
→ Laat vastleggen dat de leverancier de gegevens niet voor eigen doelen gebruikt, ook niet om software of AI te trainen.
AP2025-1.3 · AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: doelen van de verwerking
Verbeteren
Zijn aansprakelijkheid, overstap naar een andere leverancier en audits ergens geregeld?
Uitleg
Datavoogd ziet dat de overeenkomst aansprakelijkheid (art. 6.1) en exit/teruggave en wissing (art. 7.1) doorverwijst naar Hoofdovereenkomst HO-2024-017, die niet is overgelegd; de afspraken over aansprakelijkheid en exit zijn daarom niet te controleren.
Volledige toelichting
Datavoogd ziet dat de overeenkomst aansprakelijkheid (art. 6.1) en exit/teruggave en wissing (art. 7.1) doorverwijst naar Hoofdovereenkomst HO-2024-017, die niet is overgelegd; de afspraken over aansprakelijkheid en exit zijn daarom niet te controleren. Er is geen bijlage 3 of verwijzing naar de GIBIT 2025 (art. 17, 27.14, 28, 29) in het document opgenomen, en evenmin is vastgelegd of de aansprakelijkheidsbeperking ook boetes van de toezichthouder raakt. Het addendum regelt in A.3 wel bewaartermijnen en verwijdering na afloop van een bewaartermijn, maar niet de teruggave of wissing bij be\u00ebindiging van de dienstverlening. Audits zijn in art. 4.2 inhoudelijk geregeld (medewerking, certificeringsuitzondering, kostenverdeling), maar de praktische uitvoering staat niet uitgewerkt; de FG kan de Hoofdovereenkomst opvragen om deze drie onderwerpen te verifi\u00ebren.
Ook opgemerkt
Art. 6.1 neemt de aansprakelijkheidsbeperking van de Hoofdovereenkomst onverkort over zonder uitzondering voor boetes van de toezichthouder of AVG-schade.
Het addendum vult art. 7.1 aan met bewaartermijnen, maar bevat geen exit- of teruggaveprocedure bij einde van de dienstverlening.
→ Controleer of het hoofdcontract dit regelt, en vul het anders aan.
IBD-GAT-3 · Bekend gat: IBD Standaard VWO v2.54 art. 6.1 en 7.1 verwijzen aansprakelijkheid, exit en audits naar de hoofdovereenkomst (toelichting 2.3, bijlage 3 GIBIT 2025); Hekkelman
Wie heeft de regie
De organisatie bepaalt wat er met de gegevens gebeurt, niet de leverancier. Dat moet uit de afspraken blijken.
Verbeteren
Staat erin wat de organisatie zelf mag en moet?
Uitleg
Datavoogd ziet dat verschillende verantwoordelijkheden van de gemeente wél zijn vastgelegd: instructiebevoegdheid (art. 3.1), vaststellen en schriftelijk meedelen van bewaartermijnen (A.3), besluit over melding van een inbreuk (5.4), dragen van auditkosten (4.2) en algemene toestemming voor subverwerkers (4.5).
Volledige toelichting
Datavoogd ziet dat verschillende verantwoordelijkheden van de gemeente wél zijn vastgelegd: instructiebevoegdheid (art. 3.1), vaststellen en schriftelijk meedelen van bewaartermijnen (A.3), besluit over melding van een inbreuk (5.4), dragen van auditkosten (4.2) en algemene toestemming voor subverwerkers (4.5). Wel ontbreekt een aanduiding van wie namens de gemeente instructies geeft (functie of rol) en via welk kanaal; het contactpunt in tabel 2 is beschreven voor privacy- en incidentmeldingen, niet als instructiekanaal. Ook is niet vastgelegd dat de gemeente verantwoordelijk is voor de rechtmatigheid/grondslag van de verwerking of dat zij wijzigingen in de verwerking tijdig doorgeeft (behalve de algemene NB bij bijlage 1). De genoemde rollen (directeur Bedrijfsvoering, functionele privacymailbox) lijken actueel en niet verouderd.
Ook opgemerkt
Alleen de ondertekenende functie (directeur Bedrijfsvoering) is genoemd; wie in de uitvoeringsfase bevoegd is instructies te wijzigen of uit te breiden, blijft open.
F057 legt het doorgeven van substantiële wijzigingen in de tabellen bij 'partijen' zonder termijn, terwijl A.4 voor contactpuntwijzigingen wel vijf werkdagen noemt.
Toelichting van de beoordelaar
Bevestigd; beveiligingsbijlage laten aanvullen voor ondertekening
→ Laat vastleggen wie namens de organisatie opdrachten geeft en via welk kanaal.
ART28-03 · AVG art. 28 lid 3, aanhef: rechten en verplichtingen van de verwerkingsverantwoordelijke · bevestigd door Functionaris gegevensbescherming
Verbeteren
Doet de leverancier alleen wat in de afgesproken tabel staat?
Uitleg
Datavoogd ziet dat de instructiebepaling van de Standaard volledig is opgenomen, inclusief de uitzondering voor een wettelijke verplichting met voorafgaande kennisgeving, en dat de toegestane verwerkingen zijn begrensd tot tabel 1 van Bijlage 1.
Volledige toelichting
Datavoogd ziet dat de instructiebepaling van de Standaard volledig is opgenomen, inclusief de uitzondering voor een wettelijke verplichting met voorafgaande kennisgeving, en dat de toegestane verwerkingen zijn begrensd tot tabel 1 van Bijlage 1. Datavoogd ziet wel dat een expliciete bepaling over verdere verwerking buiten tabel 1 ontbreekt en dat de tekst en het addendum nergens ingaan op toepassing van kunstmatige intelligentie, testen, trainen of productverbetering. Er is ook geen ruime toestemming voor eigen doelen opgenomen, zodat de begrenzing alleen impliciet uit artikel 3.1 en 3.2 volgt. Daarmee is niet uitdrukkelijk vastgelegd dat AI-toepassing voorafgaande schriftelijke toestemming vereist.
Ook opgemerkt
Tabel 1 vermeldt bij verwerking 4 (technisch en applicatiebeheer) toegang tot alle gegevens en logbestanden; of daarbij analyse- of AI-functies worden gebruikt blijkt niet uit de tekst.
→ Laat vastleggen dat al het andere gebruik, ook voor eigen doelen, niet mag.
IBD-3.1 · IBD Standaard VWO v2.54, art. 3.1 en toelichting 3.1: uitsluitend op schriftelijke instructies; verdere verwerking en AI alleen met toestemming
Beveiliging en toegang
Hoe de gegevens beschermd zijn, wie erbij kan en hoe u dat kunt controleren.
Verbeteren
Kan de organisatie controleren of de leverancier zich aan de afspraken houdt?
Uitleg
Datavoogd ziet dat een audit- en informatiebepaling aanwezig is (artikel 4.2, aangevuld met bijlage 2 en addendum A.5) en dat de kostenverdeling expliciet is geregeld.
Volledige toelichting
Datavoogd ziet dat een audit- en informatiebepaling aanwezig is (artikel 4.2, aangevuld met bijlage 2 en addendum A.5) en dat de kostenverdeling expliciet is geregeld. Wel ziet Datavoogd dat de tenzij-clausule in artikel 4.2 het auditrecht geheel kan laten vervallen zodra de verwerker een geldige, periodiek getoetste certificering heeft; daarmee kan de certificering het eigen auditrecht volledig vervangen. Ook ontbreken een auditfrequentie en een aankondigingstermijn, en is niet vastgelegd dat de verwerker alle informatie die nodig is om naleving van art. 28 AVG aan te tonen ter beschikking stelt: A.5 noemt alleen het certificaat en de verklaring van toepasselijkheid op verzoek. Het genoemde ISO 27001-certificaat (geldig tot 1 maart 2028) is op de documentdatum (15 april 2026) geldig.
Ook opgemerkt
Bijlage 2 noemt een jaarlijks ISAE 3402 type II-rapport als bewijs van toereikendheid, maar nergens is vastgelegd dat dit rapport aan de verwerkingsverantwoordelijke wordt verstrekt.
De reikwijdte van het certificaat (hosting, beheer en support zaaksysteem, datacenters Almere en Zwolle) dekt niet zichtbaar de tweedelijns support vanuit Duitsland uit tabel 1 en 3.
→ Laat het recht op informatie en controle (audit) vastleggen, met een redelijke aankondigingstermijn.
ART28-H · AVG art. 28 lid 3 onder h: informatie en audits
Verbeteren
Werkt de leverancier mee aan controles door een auditor?
Uitleg
Datavoogd ziet dat de auditbepaling van de Standaard integraal is overgenomen: auditor, certificeringsuitzondering en kostenverdeling zijn benoemd, en addendum A.5 vult de geldigheid en reikwijdte van de certificering aan.
Volledige toelichting
Datavoogd ziet dat de auditbepaling van de Standaard integraal is overgenomen: auditor, certificeringsuitzondering en kostenverdeling zijn benoemd, en addendum A.5 vult de geldigheid en reikwijdte van de certificering aan. Niet vastgelegd zijn een auditfrequentie (de toelichting bij art. 4.2 gaat ervan uit dat partijen die vooraf afspreken) en een termijn waarbinnen constateringen van de auditor worden hersteld. De certificering (ISO/IEC 27001, laatste certificering 1 maart 2025, geldig tot 1 maart 2028) is bij de documentdatum van 15 april 2026 geldig en de scope sluit aan bij de verwerkingen in bijlage 1.
Ook opgemerkt
De certificeringsscope in bijlage 2 noemt 'hosting, beheer en support van het zaaksysteem Voorbeeldzaak' en niet expliciet de meldingen-app uit de Hoofdovereenkomst; of de verklaring van toepasselijkheid de app-verwerkingen dekt, blijkt niet uit de tekst.
Voor subverwerkers uit tabel 3 geldt alleen dat Verwerker 'op verzoek' een gelijkwaardig beveiligingsniveau aantoont (F079); een auditrecht of certificeringseis richting Supportdesk Fictief GmbH is niet vastgelegd.
→ Laat medewerking aan audits vastleggen, of een geldige certificering als bewijs.
IBD-4.2 · IBD Standaard VWO v2.54, art. 4.2 en toelichting 4.2: audits, certificering als alternatief, kosten
Als er iets misgaat
Bij een datalek moet de organisatie binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Dat lukt alleen als de leverancier snel en volledig meldt.
Nu regelen
Meldt de leverancier een datalek snel genoeg?
Uitleg
Datavoogd ziet dat de meldtermijn concreet in uren is vastgelegd (uiterlijk 24 uur) en start bij vaststelling van een (vermoedelijke) inbreuk, dus ook bij een vermoeden en niet pas na afgerond onderzoek.
Volledige toelichting
Datavoogd ziet dat de meldtermijn concreet in uren is vastgelegd (uiterlijk 24 uur) en start bij vaststelling van een (vermoedelijke) inbreuk, dus ook bij een vermoeden en niet pas na afgerond onderzoek; dat laat ruimte binnen de 72-uurstermijn van art. 33 AVG. Datavoogd ziet wel dat nergens expliciet is bepaald dat dezelfde 24-uurstermijn geldt voor inbreuken die bij een subverwerker plaatsvinden; artikel 4.5 legt alleen in algemene zin de art. 28 lid 2 en 4 AVG-verplichtingen door, zodat de keten melder-subverwerker-verwerker-gemeente niet is gemaximeerd. Op dit onderdeel voldoet de bepaling daarmee niet volledig aan wat de toetsregel vraagt.
Ook opgemerkt
Het startpunt is 'vaststelling' van de (vermoedelijke) inbreuk; de FG kan wegen of dit samenvalt met het moment van ontdekken/signaleren dan wel ruimte laat voor een intern triagemoment vooraf.
→ Laat een korte meldtermijn vastleggen, zodat de organisatie binnen 72 uur kan melden.
AP2025-2.3 · AP aanbeveling 1, datalekafspraken, p. 7: termijn in uren voor de dataleknotificatie
Verbeteren
Staat erin welke informatie de leverancier bij een datalek geeft?
Uitleg
Datavoogd ziet dat artikel 5.1 een opsomming van meldinhoud bevat (oorzaak, categorie persoonsgegevens, categorie en aantal betrokkenen), maar dat de waarschijnlijke gevolgen van de inbreuk en de genomen en voorgestelde maatregelen niet als verplichte onderdelen van de melding zijn benoemd; artikel 5.2 regelt wel het treffen van maatregelen en het voortdurend informeren, maar niet als vast meldingselement.
Volledige toelichting
Datavoogd ziet dat artikel 5.1 een opsomming van meldinhoud bevat (oorzaak, categorie persoonsgegevens, categorie en aantal betrokkenen), maar dat de waarschijnlijke gevolgen van de inbreuk en de genomen en voorgestelde maatregelen niet als verplichte onderdelen van de melding zijn benoemd; artikel 5.2 regelt wel het treffen van maatregelen en het voortdurend informeren, maar niet als vast meldingselement. Ondersteuning bij de melding aan de AP en aan betrokkenen is vastgelegd in artikel 5.4, medewerking aan onderzoek volgt hooguit indirect uit het logboek in artikel 5.3. Voor informatie die bij de eerste melding nog niet bekend is ('voor zover bekend') is geen concrete nalevertermijn afgesproken, alleen 'voortdurend op de hoogte houden'. Daarmee dekt de meldinhoud art. 33 lid 3 AVG niet volledig.
Ook opgemerkt
De aard van de inbreuk en de geraakte systemen zijn niet als apart meldingselement genoemd; alleen de 'vermeende oorzaak'.
Het addendum (A.4) regelt wel een bevestigingstermijn van vier uur, maar geen termijn voor nalevering van ontbrekende inhoudelijke informatie.
→ Laat de informatie opsommen die nodig is voor de melding, zoals aantal mensen en gevolgen.
AP2025-2.4 · AP aanbeveling 1, datalekafspraken, p. 7: minimale inhoud van de dataleknotificatie
Verbeteren
Beperkt de leverancier de schade na een datalek?
Uitleg
Datavoogd ziet dat alle vier onderdelen aanwezig zijn: herstel en beperking van gevolgen met voortdurende informatieplicht (art. 5.2), een gedetailleerd logboek met inzagerecht (art. 5.3) en een uitdrukkelijke beslissingsbevoegdheid van de Verwerkingsverantwoordelijke over melding aan de AP en betrokkenen met ondersteuning door Verwerker (art. 5.4).
Volledige toelichting
Datavoogd ziet dat alle vier onderdelen aanwezig zijn: herstel en beperking van gevolgen met voortdurende informatieplicht (art. 5.2), een gedetailleerd logboek met inzagerecht (art. 5.3) en een uitdrukkelijke beslissingsbevoegdheid van de Verwerkingsverantwoordelijke over melding aan de AP en betrokkenen met ondersteuning door Verwerker (art. 5.4). Het inzagerecht op het logboek is echter ongeclausuleerd geformuleerd en niet beperkt tot inbreuken die de eigen verwerkingen van deze gemeente betreffen, zoals de toelichting bij art. 5.3 van de Standaard veronderstelt. Datavoogd merkt op dat dit punt in het addendum niet is aangevuld.
Ook opgemerkt
Art. 5.2 spreekt van 'zonder onredelijke vertraging' in plaats van een concrete termijn voor herstelmaatregelen; de meldtermijn van 24 uur in art. 5.1 geldt alleen voor de kennisgeving.
→ Laat vastleggen dat de leverancier direct herstelt en de organisatie op de hoogte houdt.
IBD-5.2 · IBD Standaard VWO v2.54, art. 5.2 t/m 5.4 en toelichting: herstelmaatregelen, logboek van inbreuken, beslissing over melden bij de verantwoordelijke
Andere bedrijven en buitenland
Of de leverancier andere bedrijven inschakelt en of gegevens buiten Europa terechtkomen.
Verbeteren
Mag de leverancier zomaar andere bedrijven inschakelen?
Uitleg
Datavoogd ziet dat artikel 4.5 een subverwerkersbepaling bevat: de toestemming is expliciet algemeen en de bekende subverwerkers staan in tabel 3 van bijlage 1.
Volledige toelichting
Datavoogd ziet dat artikel 4.5 een subverwerkersbepaling bevat: de toestemming is expliciet algemeen en de bekende subverwerkers staan in tabel 3 van bijlage 1. Wel ontbreken een concrete aankondigingstermijn en een kanaal voor nieuwe subverwerkers ('op de hoogte houden', respectievelijk 'op korte termijn' in de NB bij bijlage 1) en is geen bezwaarprocedure met gevolg uitgewerkt; er wordt volstaan met een verwijzing naar artikel 28.2 en 28.4 AVG. Ook de doorlegging van gelijkwaardige verplichtingen aan de subverwerker en de blijvende aansprakelijkheid van Verwerker zijn niet in eigen artikeltekst uitgeschreven; het addendum regelt voor subverwerkers alleen het aantonen van een gelijkwaardig beveiligingsniveau.
Ook opgemerkt
Artikel 4.5 spreekt van informeren over 'beoogde inschakeling' zonder termijn, waardoor onduidelijk blijft of de gemeente feitelijk vóór ingebruikname bezwaar kan maken.
Het addendum (A.1) bindt verwerking buiten de EER, ook door subverwerkers, wel aan voorafgaande schriftelijke toestemming; voor EER-subverwerkers blijft alleen de algemene toestemming gelden.
→ Laat vastleggen dat dit alleen met toestemming mag, met dezelfde afspraken voor die bedrijven.
ART28-D · AVG art. 28 lid 3 onder d, in samenhang met lid 2 en lid 4: inschakelen van subverwerkers
Verbeteren
Wat gebeurt er als de leverancier een ander bedrijf wil inschakelen?
Uitleg
Datavoogd ziet dat er wel een bepaling over nieuwe subverwerkers is (algemene toestemming plus een informatieplicht), maar dat de procedure niet is uitgewerkt: er is geen aankondigingstermijn in dagen, geen kanaal, geen bezwaartermijn en geen omschrijving van het gevolg van bezwaar (niet inschakelen, alternatief of opzeggen).
Volledige toelichting
Datavoogd ziet dat er wel een bepaling over nieuwe subverwerkers is (algemene toestemming plus een informatieplicht), maar dat de procedure niet is uitgewerkt: er is geen aankondigingstermijn in dagen, geen kanaal, geen bezwaartermijn en geen omschrijving van het gevolg van bezwaar (niet inschakelen, alternatief of opzeggen). De verwijzing naar artikel 28.2 en 28.4 AVG houdt het bezwaarrecht formeel in stand, maar vult de procedure niet in. Ook de notitie bij bijlage 1 blijft bij "op korte termijn", zonder termijn of gevolg. Het addendum bevat geen aanvulling op artikel 4.5.
Ook opgemerkt
Voor de subverwerker Supportdesk Fictief GmbH (tweedelijns support) is geen bezwaar- of wijzigingsprocedure vastgelegd, terwijl daar toegang tot BSN en mogelijk gezondheids- en strafrechtelijke gegevens aan de orde is.
→ Laat vastleggen hoe dat wordt aangekondigd en hoe de organisatie bezwaar kan maken.
AP2025-3.2 · AP aanbeveling 2 (houd grip op de hele leveranciersketen), p. 9, en art. 28 lid 2 AVG: instemming met subverwerkers en wijzigingen
Verbeteren
Staan de andere bedrijven in de tabel van bijlage 1?
Uitleg
Datavoogd ziet dat artikel 4.5 en tabel 3 van bijlage 1 aanwezig zijn, met algemene toestemming, een meldplicht voor nieuwe subverwerkers en een verwijzing naar artikel 28 lid 2 en 4 AVG, en dat de uitbestede verwerkingen, toepassing en verwerkingslocatie per subverwerker zijn ingevuld.
Volledige toelichting
Datavoogd ziet dat artikel 4.5 en tabel 3 van bijlage 1 aanwezig zijn, met algemene toestemming, een meldplicht voor nieuwe subverwerkers en een verwijzing naar artikel 28 lid 2 en 4 AVG, en dat de uitbestede verwerkingen, toepassing en verwerkingslocatie per subverwerker zijn ingevuld. Tegelijk staan bij beide subverwerkers nog placeholders voor contactgegevens (<contactgegevens>) en KvK- of registratienummer, zodat de door de Standaard gevraagde kolommen niet volledig zijn ingevuld. Ook is voor de melding van nieuwe subverwerkers geen kanaal of termijn vastgelegd en is niet uitgewerkt wat er na bezwaar gebeurt. De tabel sluit inhoudelijk aan bij de verwerkingen in tabel 1 (hosting in Nederland, tweedelijns support vanuit Duitsland) en kent de NB over doorgeven van substantiële wijzigingen.
Ook opgemerkt
Tabel 3 draagt geen eigen datum of versieaanduiding; alleen de overeenkomst als geheel is gedateerd (versie 2.54, 15 april 2026).
→ Laat de tabel met naam, KvK, taken en locatie invullen.
Mensen mogen hun gegevens inzien of laten verwijderen. De leverancier moet daarbij helpen, en ook bij een DPIA.
Verbeteren
Helpt de leverancier als iemand zijn gegevens wil inzien of laten verwijderen?
Uitleg
Datavoogd ziet dat de overeenkomst met artikel 4.6 de standaardbepaling over bijstand bij verzoeken van betrokkenen bevat, maar dat deze niet verder is uitgewerkt dan de wettelijke norm.
Volledige toelichting
Datavoogd ziet dat de overeenkomst met artikel 4.6 de standaardbepaling over bijstand bij verzoeken van betrokkenen bevat, maar dat deze niet verder is uitgewerkt dan de wettelijke norm. Er is geen eigen reactietermijn voor de verwerker genoemd (alleen een verwijzing naar 'de wettelijke termijnen'), er staat niet wat er gebeurt als een betrokkene zich rechtstreeks tot Leverancier Fictief BV wendt, en er is geen beschreven functionaliteit voor export, rectificatie of verwijdering per betrokkene. Het addendum vult dit onderdeel niet aan; A.3 regelt alleen bewaartermijnen en verwijdering na afloop van een bewaartermijn.
Ook opgemerkt
Tabel 1 vermeldt dat in de vrije tekst van meldingen gezondheidsgegevens en strafrechtelijke gegevens kunnen voorkomen en dat meldingen ook toegankelijk zijn voor wijkteam en woningcorporatie; bij inzage- en verwijderingsverzoeken is daardoor ook van belang hoe gegevens van derden in de melding worden behandeld.
→ Laat een termijn vastleggen en beschrijven hoe de leverancier helpt, bijvoorbeeld met een export per persoon.
ART28-E · AVG art. 28 lid 3 onder e: bijstand bij verzoeken van betrokkenen
Verbeteren
Helpt de leverancier bij beveiliging, datalekken en een DPIA?
Uitleg
Datavoogd ziet dat bijstand op alle drie de onderwerpen is geregeld: beveiliging (art. 4.1 met Bijlage 2), datalekken (art. 5 met een termijn van 24 uur, vaste informatie-elementen, logboek en ondersteuning bij melding aan AP en betrokkenen) en DPIA/voorafgaande raadpleging (art. 4.7).
Volledige toelichting
Datavoogd ziet dat bijstand op alle drie de onderwerpen is geregeld: beveiliging (art. 4.1 met Bijlage 2), datalekken (art. 5 met een termijn van 24 uur, vaste informatie-elementen, logboek en ondersteuning bij melding aan AP en betrokkenen) en DPIA/voorafgaande raadpleging (art. 4.7). Voor de datalekmelding zijn contactpunten en bereikbaarheid uitgewerkt in tabel 2 en addendum A.4, maar de opsomming van te leveren informatie noemt de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen niet expliciet (art. 33 lid 3 AVG). Voor DPIA en voorafgaande raadpleging blijft art. 4.7 bij 'werkt altijd mee', zonder te bepalen welke informatie de verwerker levert en binnen welke termijn. Daarmee is de bepaling wel aanwezig, maar op het DPIA-deel nog niet uitgewerkt tot het niveau dat deze regel vraagt.
→ Laat per onderwerp vastleggen wat de leverancier levert en binnen welke termijn.
ART28-F · AVG art. 28 lid 3 onder f: bijstand bij art. 32 t/m 36 (beveiliging, datalekken, DPIA, voorafgaande raadpleging)
Verbeteren
Helpt de leverancier op tijd als inwoners hun rechten gebruiken?
Uitleg
Datavoogd ziet dat de bijstandsbepaling aanwezig is en dat daarbij naar de wettelijke termijnen wordt verwezen (F031, standaardtekst art. 4.6).
Volledige toelichting
Datavoogd ziet dat de bijstandsbepaling aanwezig is en dat daarbij naar de wettelijke termijnen wordt verwezen (F031, standaardtekst art. 4.6). Er is echter geen bepaling gevonden over de situatie waarin een betrokkene zich rechtstreeks tot Verwerker wendt (directe doorgeleiding naar Verwerkingsverantwoordelijke), en het addendum vult dit punt niet aan. Ook een concrete aanlevertermijn voor Verwerker en een kostenafspraak (volgens de toelichting in de hoofdovereenkomst) ontbreken in dit document.
Ook opgemerkt
De app wordt door inwoners zelf gebruikt voor meldingen, waardoor een rechtstreeks inzage- of verwijderverzoek aan Verwerker praktisch voor de hand ligt; een doorgeleidingsafspraak is in dit document niet vastgelegd.
→ Laat vastleggen hoe en binnen welke termijn de leverancier helpt.
IBD-4.6 · IBD Standaard VWO v2.54, art. 4.6 en toelichting 4.6: bijstand bij rechten van betrokkenen
Verbeteren
Werkt de leverancier mee aan een DPIA?
Uitleg
Datavoogd ziet dat artikel 4.7 de medewerking aan een DPIA en een voorafgaande raadpleging onvoorwaardelijk vastlegt ("altijd"), conform de Standaard.
Volledige toelichting
Datavoogd ziet dat artikel 4.7 de medewerking aan een DPIA en een voorafgaande raadpleging onvoorwaardelijk vastlegt ("altijd"), conform de Standaard. Nergens in de hoofdtekst, de bijlagen of het addendum (A.1 t/m A.5) is echter benoemd waar de uitvoering, termijn en kosten van die medewerking zijn geregeld; er wordt ook niet naar een artikel in de Hoofdovereenkomst verwezen. Daarmee blijft open of en waar afspraken over termijn en kosten bestaan.
Ook opgemerkt
Artikel 6.1 verklaart aansprakelijkheidsbeperkingen uit de Hoofdovereenkomst van toepassing, maar over kosten van AVG-ondersteuning (DPIA, audit) zegt de VWO alleen iets bij audits (art. 4.2), niet bij DPIA.
→ Laat afspraken over medewerking, termijn en kosten vastleggen.
IBD-4.7 · IBD Standaard VWO v2.54, art. 4.7 en toelichting 4.7: DPIA en voorafgaande raadpleging
Bewaren en verwijderen
Hoe lang gegevens blijven staan en wat er gebeurt als de samenwerking stopt.
Verbeteren
Worden de gegevens verwijderd of teruggegeven als de samenwerking stopt?
Uitleg
Datavoogd ziet dat het onderwerp wordt aangeraakt: artikel 7.1 verwijst voor teruggave en wissing naar de Hoofdovereenkomst en addendum A.3 regelt bewaartermijnen, back-upverwijdering binnen 30 dagen en schriftelijke bevestiging op verzoek.
Volledige toelichting
Datavoogd ziet dat het onderwerp wordt aangeraakt: artikel 7.1 verwijst voor teruggave en wissing naar de Hoofdovereenkomst en addendum A.3 regelt bewaartermijnen, back-upverwijdering binnen 30 dagen en schriftelijke bevestiging op verzoek. Een exit-regeling bij einde dienstverlening zelf ontbreekt echter in dit document: er staat geen keuze tussen wissen of teruggeven door de Verwerkingsverantwoordelijke, geen termijn na beëindiging, geen formaat van teruggave en geen bepaling over kopieën bij de subverwerkers uit tabel 3. De schriftelijke bevestiging van vernietiging is bovendien alleen 'op verzoek' geregeld, niet standaard.
Ook opgemerkt
A.3 koppelt bewaring aan de door de gemeente meegedeelde Archiefwet-/selectielijsttermijnen; of die mededeling is gedaan blijkt niet uit het document.
De 30-dagentermijn voor back-ups geldt alleen voor gegevens die 'uit de productieomgeving zijn verwijderd', niet uitdrukkelijk voor de situatie na einde van de dienstverlening.
→ Laat een termijn vastleggen, ook voor back-ups, en een schriftelijke bevestiging dat alles is verwijderd.
ART28-G · AVG art. 28 lid 3 onder g: wissen of teruggeven na afloop
Verbeteren
Is ergens geregeld wat er aan het einde met de gegevens gebeurt?
Uitleg
Datavoogd ziet dat artikel 7.1 de standaardverwijzing naar de Hoofdovereenkomst bevat, maar dat die Hoofdovereenkomst (HO-2024-017) niet is bijgevoegd en dat geen artikelnummers (bijvoorbeeld GIBIT 2025 art. 27.14 en 29) van toepassing zijn verklaard.
Volledige toelichting
Datavoogd ziet dat artikel 7.1 de standaardverwijzing naar de Hoofdovereenkomst bevat, maar dat die Hoofdovereenkomst (HO-2024-017) niet is bijgevoegd en dat geen artikelnummers (bijvoorbeeld GIBIT 2025 art. 27.14 en 29) van toepassing zijn verklaard. Addendum A.3 vult dit gedeeltelijk aan met bewaartermijnen, wissing uit back-ups binnen 30 dagen en een verwijderingsbevestiging op verzoek, maar regelt niet de exit zelf: keuze tussen teruggave of wissing, termijn en formaat van teruggave, doorwerking naar subverwerkers en een verklaring van vernietiging ontbreken. De exit-afspraken zijn daarmee niet volledig controleerbaar in het overgelegde geheel.
Ook opgemerkt
A.3 spreekt over verwijdering na afloop van een bewaartermijn, niet over het moment van beëindiging van de dienstverlening; de samenhang met artikel 7.1 blijft daardoor open.
De Hoofdovereenkomst HO-2024-017 is niet overgelegd, zodat niet te toetsen is of daar exit-, teruggave- en wissingsafspraken in staan.
→ Laat teruggeven en verwijderen regelen in het hoofdcontract of een aanvulling.
IBD-7.1 · IBD Standaard VWO v2.54, art. 7.1 en toelichting 2.3, 7.1: teruggave en wissing geregeld in de hoofdovereenkomst of een addendum (GIBIT 2025 art. 27.14 en 29 als voorbeeld)
Up-to-date houden
Afspraken verouderen. Een datum, een versie en een moment om te herzien houden ze bij de praktijk.
Verbeteren
Hebben de overeenkomst en de bijlagen een datum en versie?
Uitleg
Datavoogd ziet dat de hoofdtekst een versienummer en datum draagt (versie 2.54, 15 april 2026) en dat een ingangsdatum is vermeld (1 maart 2024), maar dat de ondertekeningsdatum nog openstaat als invulveld.
Volledige toelichting
Datavoogd ziet dat de hoofdtekst een versienummer en datum draagt (versie 2.54, 15 april 2026) en dat een ingangsdatum is vermeld (1 maart 2024), maar dat de ondertekeningsdatum nog openstaat als invulveld. Bijlage 1, Bijlage 2 en het addendum hebben geen eigen datum of versienummer; alleen het addendum verwijst naar versie 2.54 van de Standaard, zodat per bijlage niet vaststaat wanneer die voor het laatst is herzien. Verwijzingen naar vervallen wetgeving (Wbp, Privacy Shield, oude modelbepalingen) ontbreken; de tekst verwijst naar AVG en UAVG en oogt qua datering actueel.
Ook opgemerkt
De versiedatum van de overeenkomst (15 april 2026) ligt ruim na de ingangsdatum en de Hoofdovereenkomst van 1 maart 2024, zonder toelichting op de tussenliggende herziening of op welke eerdere versie hiermee vervalt.
De ondertekeningsvelden bevatten nog placeholders (<plaats>, <datum>), waardoor de datum waarop deze versie is vastgesteld niet uit het document blijkt.
→ Zet een datum en versienummer op de overeenkomst en op elke bijlage.
AP2025-4.1 · AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 10-11: bijhouden en periodiek herzien
Verbeteren
Is afgesproken wanneer de afspraken opnieuw worden bekeken?
Uitleg
Datavoogd ziet dat het document wel meldplichten bij wijzigingen kent (tabellen van bijlage 1 en bijlage 2 "op korte termijn", nieuwe subverwerkers, wijziging contactpunten binnen vijf werkdagen, certificering binnen tien werkdagen), maar geen herzieningsbepaling met een frequentie in tijd, zoals een jaarlijkse beoordeling.
Volledige toelichting
Datavoogd ziet dat het document wel meldplichten bij wijzigingen kent (tabellen van bijlage 1 en bijlage 2 "op korte termijn", nieuwe subverwerkers, wijziging contactpunten binnen vijf werkdagen, certificering binnen tien werkdagen), maar geen herzieningsbepaling met een frequentie in tijd, zoals een jaarlijkse beoordeling. Ook ontbreken expliciete triggers voor herziening wegens gewijzigde wetgeving of gewijzigde verwerking, en is niet vastgelegd wie het initiatief neemt. Er is geen procedure beschreven om bijlagen bij te werken zonder de hele overeenkomst opnieuw te ondertekenen (bijv. via een geversioneerd addendum); artikel 2.3 gaat alleen over het vervallen van een oude overeenkomst bij een nieuwe. Omdat geen herzieningstermijn is afgesproken, is actualiteit op dit punt niet te beoordelen.
Ook opgemerkt
De term "op korte termijn" in de NB's bij bijlage 1 en bijlage 2 is niet in dagen of weken uitgedrukt.
Het addendum wijkt op onderdelen af van de hoofdtekst (A.1, A.2, A.3), maar er is geen afspraak hoe latere aanvullingen op dezelfde wijze worden vastgelegd.
→ Spreek een vast moment af, bijvoorbeeld jaarlijks, en bij grote veranderingen.
AP2025-4.2 · AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 11: periodiek herzien van afspraken
Verbeteren
Kloppen de bijlagen met hoe het nu echt gaat?
Uitleg
Datavoogd ziet dat bijlage 1 (tabellen 1, 2 en 3) en bijlage 2 inhoudelijk zijn ingevuld en onderling en met de hoofdtekst op hoofdlijnen sporen: de supportlocatie Duitsland in tabel 1 komt terug in tabel 3, de reikwijdte van het ISO-certificaat (hosting, beheer, support, datacenters Almere en Zwolle) sluit aan op de subverwerkers, en de strengere doorgifteregel in addendum A.1 is expliciet als afwijking van artikel 4.3 benoemd met een voorrangsregel.
Volledige toelichting
Datavoogd ziet dat bijlage 1 (tabellen 1, 2 en 3) en bijlage 2 inhoudelijk zijn ingevuld en onderling en met de hoofdtekst op hoofdlijnen sporen: de supportlocatie Duitsland in tabel 1 komt terug in tabel 3, de reikwijdte van het ISO-certificaat (hosting, beheer, support, datacenters Almere en Zwolle) sluit aan op de subverwerkers, en de strengere doorgifteregel in addendum A.1 is expliciet als afwijking van artikel 4.3 benoemd met een voorrangsregel. Datavoogd ziet wel dat tabel 3 nog sjabloonvelden bevat (<contactgegevens>, <KvK-nummer>, <registratienummer>), waardoor die bijlage niet volledig is ingevuld. Datavoogd kan alleen de interne consistentie en de datering toetsen; of de bijlagen de verwerking beschrijven zoals die feitelijk plaatsvindt, moet de FG bij de organisatie nagaan. Verwijzingen naar vervallen systemen, wetgeving of subverwerkers zijn niet aangetroffen.
Ook opgemerkt
De bijlagen dragen geen eigen datum of versieaanduiding, terwijl de hoofdtekst versie 2.54 (15 april 2026) vermeldt en de ingangsdatum 1 maart 2024 is; daardoor is niet uit het stuk af te leiden wanneer de bijlagen voor het laatst zijn bijgewerkt.
→ Loop de bijlagen samen met de leverancier na, vul ze volledig in en haal tegenstrijdigheden weg.
AP2025-4.3 · AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 10-11: afspraken sluiten aan op de praktijk; gebruik van bijlagen
Hier vond Datavoogd niets
Bij deze vragen is geen punt gevonden. Dat is geen oordeel dat de afspraak voldoet.
Staat erin waar de samenwerking over gaat en hoe lang die duurt?
Staat erin wat de leverancier met de gegevens doet en waarom?
Is de overeenkomst echt op deze dienst gemaakt?
Is de standaard voor gemeenten gebruikt, en in welke versie?
Begint en eindigt de overeenkomst samen met het hoofdcontract?
Staat erin welke gegevens worden gebruikt en van wie?
Is precies opgesomd welke gegevens het zijn?
Is duidelijk over welke mensen het gaat?
Is de tabel met verwerkingen in bijlage 1 volledig ingevuld?
Doet de leverancier alleen wat de organisatie vraagt?
Waarschuwt de leverancier als een opdracht in strijd is met de privacywet?
Waarschuwt de leverancier bij een opdracht die tegen de wet ingaat?
Houden medewerkers van de leverancier de gegevens geheim?
Beveiligt de leverancier de gegevens goed?
Staat erin welke systemen worden gebruikt, waar de gegevens staan en wie erbij kan?
Volgt de leverancier een erkende beveiligingsnorm?
Hebben medewerkers een geheimhoudingsverklaring getekend?
Is er aan beide kanten een vast meldpunt voor datalekken?
Is dat meldpunt ook 's avonds, in het weekend en in de vakantie bereikbaar?
Meldt de leverancier een datalek binnen 24 uur?
Staan de contactpersonen in bijlage 1, ook buiten kantooruren?
Staat erin welke andere bedrijven meewerken en waar die zitten?
Kunnen gegevens buiten Europa terechtkomen?
Kunnen gegevens buiten Europa terechtkomen, en onder welke voorwaarden?
Moet de gemeente eerst toestemming geven voor doorgifte buiten Europa?
Staat erin hoe lang gegevens worden bewaard?
Daarnaast noteerde Datavoogd 60 kleine opmerkingen. Die staan in het volledige rapport; na de beoordeling komen de bevestigde opmerkingen in dit overzicht.