Toetsing verwerkersovereenkomst

De overeenkomst beschrijft het onderwerp en de duur van de verwerking.

Bron: AVG art. 28 lid 3, aanhef: onderwerp en duur van de verwerking

Datavoogd signaleert dat het onderwerp herkenbaar is beschreven: levering en beheer van de app voor meldingen woonoverlast en het zaaksysteem Voorbeeldzaak, uitgewerkt in tabel 1 van bijlage 1. De duur is expliciet gekoppeld aan de met kenmerk genoemde Hoofdovereenkomst HO-2024-017 van 1 maart 2024, met een ingangsdatum en een einde dat pas intreedt na beëindiging van de verwerking en nakoming van teruggave of wissing. Er zijn geen aanwijzingen dat de looptijd is verstreken.

“Verwerkersovereenkomst uitvoering Hoofdovereenkomst HO-2024-017 van 1 maart 2024 (levering en beheer app meldingen woonoverlast / zaaksysteem Voorbeeldzaak)”Standaard Verwerkersovereenkomst Gemeenten · fragment F002

“Leverancier Fictief BV levert en beheert een app waarmee inwoners meldingen van woonoverlast doen, inclusief hosting in Nederland en applicatiebeheer via het zaaksysteem Voorbeeldzaak.”Overwegen het volgende: · fragment F010

“Deze Verwerkersovereenkomst gaat in op het moment dat de Hoofdovereenkomst tot stand is gekomen, tenzij Partijen anders overeenkomen.”Artikel 2 Ingangsdatum en duur · fragment F019

“Deze Verwerkersovereenkomst eindigt op het moment dat Verwerker de verwerking van Persoonsgegevens op grond van de Hoofdovereenkomst heeft beëindigd en de afspraken over het teruggeven en/of wissen van Persoonsgegevens zijn nagekomen.”Artikel 2 Ingangsdatum en duur · fragment F020

“Ingangsdatum: 1 maart 2024”Ondertekening · fragment F047

De overeenkomst beschrijft de aard en het doel van de verwerking.

Bron: AVG art. 28 lid 3, aanhef: aard en doel van de verwerking

Datavoogd signaleert dat de aard en het doel van de verwerking zijn uitgewerkt in tabel 1 van bijlage 1, met vier onderscheiden verwerkingen (ontvangen/vastleggen van meldingen, opslag en hosting inclusief back-ups en uitwijk, beschikbaar stellen aan wijkteam en woningcorporatie, en technisch/applicatiebeheer) met per verwerking een doelomschrijving. Deze handelingen en doelen zijn specifiek voor deze dienst en niet louter een opsomming van AVG-verwerkingsvormen. De omschrijving sluit aan bij de dienst uit de considerans (app woonoverlastmeldingen, hosting en applicatiebeheer via zaaksysteem Voorbeeldzaak); interne tegenspraak is niet aangetroffen.

“De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1.”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F024

“Ontvangen en vastleggen van meldingen woonoverlast | Het door inwoners laten indienen en het vastleggen van meldingen van woonoverlast ten behoeve van de behandeling daarvan door de gemeente”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Technisch en applicatiebeheer | Beheer, onderhoud, storingsoplossing en support van de app en het zaaksysteem, waarbij toegang tot persoonsgegevens mogelijk is”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Leverancier Fictief BV levert en beheert een app waarmee inwoners meldingen van woonoverlast doen, inclusief hosting in Nederland en applicatiebeheer via het zaaksysteem Voorbeeldzaak.”Overwegen het volgende: · fragment F010

De overeenkomst benoemt welke soorten persoonsgegevens worden verwerkt en van welke categorieën betrokkenen.

Bron: AVG art. 28 lid 3, aanhef: soort persoonsgegevens en categorieën van betrokkenen

Datavoogd signaleert dat tabel 1 van bijlage 1 per verwerking zowel de categorieën betrokkenen (melders, personen op wie de melding betrekking heeft, overige genoemde personen, gebruikers van de applicatie) als de gegevenscategorieën op concreet niveau benoemt. Bijzondere persoonsgegevens, gegevens van strafrechtelijke aard en het BSN zijn per verwerking expliciet vermeld of uitgesloten. De opsomming sluit aan op de in F010 beschreven dienst (app woonoverlast, hosting en applicatiebeheer), inclusief logbestanden bij beheer en tweedelijns support.

“Melders (inwoners van Gemeente Voorbeeldstad), personen op wie de melding betrekking heeft en overige in de melding genoemde personen (waaronder mogelijk kwetsbare personen)”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Naam, adres, contactgegevens, inhoud en omschrijving van de melding, datum en tijdstip. Bijzondere persoonsgegevens: in de vrije tekst kunnen gezondheidsgegevens (verslaving, psychische problematiek) en gegevens van strafrechtelijke aard voorkomen. BSN: ja, van de melder.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“BSN: nee, het BSN wordt niet gedeeld met wijkteam en woningcorporatie.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

De overeenkomst beschrijft de rechten en verplichtingen van de verwerkingsverantwoordelijke.

Bron: AVG art. 28 lid 3, aanhef: rechten en verplichtingen van de verwerkingsverantwoordelijke

Datavoogd signaleert dat verschillende verantwoordelijkheden van de gemeente wél zijn vastgelegd: instructiebevoegdheid (art. 3.1), vaststellen en schriftelijk meedelen van bewaartermijnen (A.3), besluit over melding van een inbreuk (5.4), dragen van auditkosten (4.2) en algemene toestemming voor subverwerkers (4.5). Wel ontbreekt een aanduiding van wie namens de gemeente instructies geeft (functie of rol) en via welk kanaal; het contactpunt in tabel 2 is beschreven voor privacy- en incidentmeldingen, niet als instructiekanaal. Ook is niet vastgelegd dat de gemeente verantwoordelijk is voor de rechtmatigheid/grondslag van de verwerking of dat zij wijzigingen in de verwerking tijdig doorgeeft (behalve de algemene NB bij bijlage 1). De genoemde rollen (directeur Bedrijfsvoering, functionele privacymailbox) lijken actueel en niet verouderd.

“Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F023

“Verwerker bewaart Persoonsgegevens niet langer dan de bewaartermijnen die Verwerkingsverantwoordelijke op grond van de Archiefwet en de geldende selectielijst heeft vastgesteld en schriftelijk aan Verwerker heeft meegedeeld.”A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1) · fragment F075

“Verwerkingsverantwoordelijke beslist of de Inbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F037

“Contactpunt Verwerkingsverantwoordelijke (privacy/functionele meldingen, ook buiten kantooruren) | Functionele mailbox Privacy Gemeente Voorbeeldstad | privacy@voorbeeldstad.example, 0800-0000001”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F054

De verwerker verwerkt uitsluitend op basis van schriftelijke instructies van de verantwoordelijke, ook wat betreft doorgifte naar een derde land of internationale organisatie, tenzij Unie- of lidstaatrecht de verwerker daartoe verplicht; in dat geval meldt de verwerker die verplichting vooraf, tenzij de wet dat verbiedt.

Bron: AVG art. 28 lid 3 onder a: verwerking uitsluitend op schriftelijke instructies

Datavoogd signaleert dat artikel 3.1 de verwerking uitdrukkelijk bindt aan schriftelijke instructies en de meldplicht bij een wettelijke verwerkingsplicht bevat, inclusief de uitzondering voor gewichtige redenen van algemeen belang. De instructies zijn inhoudelijk vindbaar doordat artikel 3.2 verwijst naar tabel 1 van bijlage 1, die per verwerking doel, betrokkenen, gegevens en locatie benoemt. Hoofdtekst artikel 4.3 laat doorgifte buiten de EER toe met enkel kennisgeving vooraf, terwijl addendum A.1 dat aanscherpt tot voorafgaande schriftelijke toestemming en een benoemd doorgifte-instrument; het addendum gaat bij strijdigheid voor (F069). Er wordt geen verouderd doorgifte-instrument genoemd; bijlage 1 vermeldt uitsluitend verwerkingslocaties binnen de EER (Nederland en Duitsland).

“Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot verwerking verplicht. In dat geval zal Verwerker Verwerkingsverantwoordelijke, voorafgaand aan de verwerking, daarvan zonder onredelijke vertraging in kennis stellen, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F023

“De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1.”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F024

“In afwijking van artikel 4.3 vindt verwerking van Persoonsgegevens buiten de Europese Economische Ruimte, daaronder begrepen toegang op afstand voor beheer of ondersteuning, uitsluitend plaats na voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke en op basis van een in Bijlage 1 benoemd doorgifte-instrument met de daarbij horende aanvullende maatregelen.”A.1 Verwerking buiten de EER (aanvulling op artikel 4.3) · fragment F071

“Verwerker mag Persoonsgegevens buiten de Europese Economische Ruimte (laten) verwerken wanneer is voldaan aan de voorwaarden van artikel 45 of 46 AVG. Wanneer er sprake is van een verwerking buiten de EER, dan stelt Verwerker Verwerkingsverantwoordelijke daarvan vooraf op de hoogte.”Artikel 4 Inhoudelijke afspraken · fragment F028

De verwerker waarborgt dat personen die gemachtigd zijn de gegevens te verwerken zich tot vertrouwelijkheid hebben verbonden of onder een wettelijke geheimhoudingsplicht vallen.

Bron: AVG art. 28 lid 3 onder b: vertrouwelijkheid van gemachtigde personen

Datavoogd signaleert dat artikel 4.4 een geheimhoudingsplicht vastlegt voor personen die werken voor de verwerker en voor subverwerkers, en dat die is geborgd via een getekende geheimhoudingsverklaring of een andere schriftelijke binding. Artikel 7.2 bepaalt dat de geheimhouding doorloopt na beëindiging van de Verwerkersovereenkomst. De formulering 'personen die werken voor' omvat naar de tekst ook tijdelijk en ingehuurd personeel, maar dat wordt niet met zoveel woorden genoemd.

“4.4 Geheimhouding Personen die werken voor (sub)Verwerker en (sub)Verwerker zelf, moeten Persoonsgegevens waarmee zij werken geheimhouden. De personen die werken voor Verwerker en subverwerkers hebben daarom een geheimhoudingsverklaring getekend, of zich op een andere manier schriftelijk gebonden aan de geheimhouding.”Artikel 4 Inhoudelijke afspraken · fragment F029

“7.2 De geheimhouding geldt ook nog na beëindiging van deze Verwerkersovereenkomst.”Artikel 7 Beëindigen verwerkersovereenkomst · fragment F042

De verwerker neemt alle op grond van art. 32 vereiste maatregelen (passende technische en organisatorische beveiliging).

Bron: AVG art. 28 lid 3 onder c, in samenhang met art. 32: beveiliging van de verwerking

Datavoogd signaleert dat artikel 4.1 een beveiligingsbepaling bevat die voor de onderbouwing doorverwijst naar Bijlage 2, waarin het normenkader (ISO/IEC 27001), de certificeringsdatum, de geldigheidsduur tot 1 maart 2028 en de reikwijdte (hosting, beheer en support van Voorbeeldzaak, datacenters Almere en Zwolle) zijn ingevuld, aangevuld met een jaarlijks ISAE 3402 type II-rapport. Het addendum A.5 bindt de certificering aan die reikwijdte en regelt melding bij verval of beperking. Het geheel gaat daarmee verder dan een enkele verwijzing naar artikel 32 AVG; het certificaat is blijkens de vermelde data geldig en de bijlage hoort bij versie 2.54 van 15 april 2026.

“4.1 Beveiligingsmaatregelen Verwerker zorgt voor passende technische en organisatorische maatregelen om de Persoonsgegevens goed te beveiligen, zoals bedoeld in artikel 32 AVG. De wijze waarop Verwerker de passende technische en organisatorische maatregelen aantoont, staat in Bijlage 2.”Artikel 4 Inhoudelijke afspraken · fragment F026

“De verwerker werkt volgens een algemeen erkende norm voor informatiebeveiliging, te weten: ISO/IEC 27001 (leverancier is gecertificeerd; jaarlijks ISAE 3402 type II-rapportage) en is volgens deze norm wel gecertificeerd. Datum laatste certificering: 1 maart 2025”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F060

“Het certificaat is geldig tot 1 maart 2028 en heeft betrekking op: hosting, beheer en support van het zaaksysteem Voorbeeldzaak, datacenters Almere en Zwolle.”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F061

“De in Bijlage 2 genoemde certificering geldt voor de daar vermelde reikwijdte (diensten en locaties) en tot de daar vermelde datum. Verwerker verstrekt op verzoek het certificaat en de verklaring van toepasselijkheid en informeert Verwerkingsverantwoordelijke binnen tien werkdagen als de certificering verloopt, wordt ingetrokken, wordt geschorst of in reikwijdte wordt beperkt.”A.5 Geldigheid en reikwijdte van de certificering (aanvulling op artikel 4.1 en Bijlage 2) · fragment F079

De verwerker schakelt geen andere verwerker in zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verantwoordelijke; bij algemene toestemming informeert hij over beoogde wijzigingen zodat de verantwoordelijke bezwaar kan maken (lid 2). De verwerker legt dezelfde verplichtingen op aan de subverwerker en blijft jegens de verantwoordelijke aansprakelijk (lid 4).

Bron: AVG art. 28 lid 3 onder d, in samenhang met lid 2 en lid 4: inschakelen van subverwerkers

Datavoogd signaleert dat artikel 4.5 een subverwerkersbepaling bevat: de toestemming is expliciet algemeen en de bekende subverwerkers staan in tabel 3 van bijlage 1. Wel ontbreken een concrete aankondigingstermijn en een kanaal voor nieuwe subverwerkers ('op de hoogte houden', respectievelijk 'op korte termijn' in de NB bij bijlage 1) en is geen bezwaarprocedure met gevolg uitgewerkt; er wordt volstaan met een verwijzing naar artikel 28.2 en 28.4 AVG. Ook de doorlegging van gelijkwaardige verplichtingen aan de subverwerker en de blijvende aansprakelijkheid van Verwerker zijn niet in eigen artikeltekst uitgeschreven; het addendum regelt voor subverwerkers alleen het aantonen van een gelijkwaardig beveiligingsniveau.

“De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende subverwerkers vermeldt Verwerker in tabel 3 van Bijlage 1. Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht.”Artikel 4 Inhoudelijke afspraken · fragment F030

“NB: Substantiële wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F057

“Voor subverwerkers uit tabel 3 van Bijlage 1 die Persoonsgegevens hosten of daartoe toegang hebben, toont Verwerker op verzoek aan dat een gelijkwaardig beveiligingsniveau geldt.”A.5 Geldigheid en reikwijdte van de certificering (aanvulling op artikel 4.1 en Bijlage 2) · fragment F079

De verwerker helpt de verantwoordelijke, rekening houdend met de aard van de verwerking, met passende technische en organisatorische maatregelen om te voldoen aan verzoeken van betrokkenen (hoofdstuk III AVG).

Bron: AVG art. 28 lid 3 onder e: bijstand bij verzoeken van betrokkenen

Datavoogd signaleert dat de overeenkomst met artikel 4.6 de standaardbepaling over bijstand bij verzoeken van betrokkenen bevat, maar dat deze niet verder is uitgewerkt dan de wettelijke norm. Er is geen eigen reactietermijn voor de verwerker genoemd (alleen een verwijzing naar 'de wettelijke termijnen'), er staat niet wat er gebeurt als een betrokkene zich rechtstreeks tot Leverancier Fictief BV wendt, en er is geen beschreven functionaliteit voor export, rectificatie of verwijdering per betrokkene. Het addendum vult dit onderdeel niet aan; A.3 regelt alleen bewaartermijnen en verwijdering na afloop van een bewaartermijn.

“4.6 Rechten van betrokkenen Als een betrokkene een beroep doet op zijn rechten zoals genoemd in artikel 12 t/m 22 AVG, helpt Verwerker Verwerkingsverantwoordelijke om daarop binnen de wettelijke termijnen een beslissing te nemen.”Artikel 4 Inhoudelijke afspraken · fragment F031

De verwerker helpt de verantwoordelijke bij het nakomen van de verplichtingen uit art. 32 t/m 36: beveiliging, melden van inbreuken aan de toezichthouder en aan betrokkenen, gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging.

Bron: AVG art. 28 lid 3 onder f: bijstand bij art. 32 t/m 36 (beveiliging, datalekken, DPIA, voorafgaande raadpleging)

Datavoogd signaleert dat bijstand op alle drie de onderwerpen is geregeld: beveiliging (art. 4.1 met Bijlage 2), datalekken (art. 5 met een termijn van 24 uur, vaste informatie-elementen, logboek en ondersteuning bij melding aan AP en betrokkenen) en DPIA/voorafgaande raadpleging (art. 4.7). Voor de datalekmelding zijn contactpunten en bereikbaarheid uitgewerkt in tabel 2 en addendum A.4, maar de opsomming van te leveren informatie noemt de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen niet expliciet (art. 33 lid 3 AVG). Voor DPIA en voorafgaande raadpleging blijft art. 4.7 bij 'werkt altijd mee', zonder te bepalen welke informatie de verwerker levert en binnen welke termijn. Daarmee is de bepaling wel aanwezig, maar op het DPIA-deel nog niet uitgewerkt tot het niveau dat deze regel vraagt.

“Verwerker zorgt voor passende technische en organisatorische maatregelen om de Persoonsgegevens goed te beveiligen, zoals bedoeld in artikel 32 AVG.”Artikel 4 Inhoudelijke afspraken · fragment F026

“Op verzoek van Verwerkingsverantwoordelijke werkt Verwerker altijd mee aan een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging als bedoeld in artikel 35 en 36 AVG.”Artikel 4 Inhoudelijke afspraken · fragment F032

“Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens. Verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) Inbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F034

“Verwerkingsverantwoordelijke beslist of de Inbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene. Verwerker ondersteunt de Verwerkingsverantwoordelijke waar nodig bij de melding aan de toezichthoudende autoriteit en/of Betrokkene.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F037

Na afloop van de dienstverlening wist de verwerker alle persoonsgegevens of geeft hij ze terug, naar keuze van de verantwoordelijke, en wist hij bestaande kopieën, tenzij Unie- of lidstaatrecht opslag voorschrijft.

Bron: AVG art. 28 lid 3 onder g: wissen of teruggeven na afloop

Datavoogd signaleert dat het onderwerp wordt aangeraakt: artikel 7.1 verwijst voor teruggave en wissing naar de Hoofdovereenkomst en addendum A.3 regelt bewaartermijnen, back-upverwijdering binnen 30 dagen en schriftelijke bevestiging op verzoek. Een exit-regeling bij einde dienstverlening zelf ontbreekt echter in dit document: er staat geen keuze tussen wissen of teruggeven door de Verwerkingsverantwoordelijke, geen termijn na beëindiging, geen formaat van teruggave en geen bepaling over kopieën bij de subverwerkers uit tabel 3. De schriftelijke bevestiging van vernietiging is bovendien alleen 'op verzoek' geregeld, niet standaard.

“7.1 Partijen moeten in de Hoofdovereenkomst afspraken maken over de beëindiging van de Hoofdovereenkomst en de daaruit voortvloeiende teruggave en wissing van Persoonsgegevens.”Artikel 7 Beëindigen verwerkersovereenkomst · fragment F041

“2.2 Deze Verwerkersovereenkomst eindigt op het moment dat Verwerker de verwerking van Persoonsgegevens op grond van de Hoofdovereenkomst heeft beëindigd en de afspraken over het teruggeven en/of wissen van Persoonsgegevens zijn nagekomen.”Artikel 2 Ingangsdatum en duur · fragment F020

“Gegevens die uit de productieomgeving zijn verwijderd, worden uiterlijk binnen 30 dagen ook uit back-ups overschreven of vernietigd. Logbestanden die Persoonsgegevens bevatten worden niet langer dan twaalf maanden bewaard, tenzij een wettelijke plicht of een lopend onderzoek naar een Inbreuk langer bewaren vereist. Na afloop van een bewaartermijn verwijdert Verwerker de Persoonsgegevens en bevestigt dit op verzoek schriftelijk aan Verwerkingsverantwoordelijke.”A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1) · fragment F075

De verwerker stelt alle informatie ter beschikking die nodig is om naleving van art. 28 aan te tonen, en maakt audits en inspecties door de verantwoordelijke of een door hem gemachtigde auditor mogelijk en werkt eraan mee.

Bron: AVG art. 28 lid 3 onder h: informatie en audits

Datavoogd signaleert dat een audit- en informatiebepaling aanwezig is (artikel 4.2, aangevuld met bijlage 2 en addendum A.5) en dat de kostenverdeling expliciet is geregeld. Wel signaleert Datavoogd dat de tenzij-clausule in artikel 4.2 het auditrecht geheel kan laten vervallen zodra de verwerker een geldige, periodiek getoetste certificering heeft; daarmee kan de certificering het eigen auditrecht volledig vervangen. Ook ontbreken een auditfrequentie en een aankondigingstermijn, en is niet vastgelegd dat de verwerker alle informatie die nodig is om naleving van art. 28 AVG aan te tonen ter beschikking stelt: A.5 noemt alleen het certificaat en de verklaring van toepasselijkheid op verzoek. Het genoemde ISO 27001-certificaat (geldig tot 1 maart 2028) is op de documentdatum (15 april 2026) geldig.

“Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen, tenzij Verwerker door middel van een geldige certificering, die periodiek door een geaccrediteerde instelling wordt getoetst, heeft aangetoond dat Verwerker de gemaakte afspraken nakomt.”Artikel 4 Inhoudelijke afspraken · fragment F027

“De kosten van deze audit worden gedragen door Verwerkingsverantwoordelijke (zowel eigen kosten als kosten van Verwerker), tenzij de auditor één of meer tekortkomingen van niet ondergeschikte aard van Verwerker constateert die ten nadele zijn van Verwerkingsverantwoordelijke.”Artikel 4 Inhoudelijke afspraken · fragment F027

“Verwerker verstrekt op verzoek het certificaat en de verklaring van toepasselijkheid en informeert Verwerkingsverantwoordelijke binnen tien werkdagen als de certificering verloopt, wordt ingetrokken, wordt geschorst of in reikwijdte wordt beperkt.”A.5 Geldigheid en reikwijdte van de certificering (aanvulling op artikel 4.1 en Bijlage 2) · fragment F079

“ISO/IEC 27001 (leverancier is gecertificeerd; jaarlijks ISAE 3402 type II-rapportage) en is volgens deze norm wel gecertificeerd. Datum laatste certificering: 1 maart 2025”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F060

“Het certificaat is geldig tot 1 maart 2028 en heeft betrekking op: hosting, beheer en support van het zaaksysteem Voorbeeldzaak, datacenters Almere en Zwolle.”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F061

De verwerker stelt de verantwoordelijke onmiddellijk in kennis als een instructie naar zijn mening inbreuk maakt op de AVG of ander Unie- of lidstaatrecht over gegevensbescherming.

Bron: AVG art. 28 lid 3, slotzin: melden van een instructie die in strijd is met de AVG

Datavoogd signaleert dat de meldplicht bij een naar het oordeel van de verwerker onrechtmatige instructie expliciet in de artikeltekst is opgenomen via addendum A.2, dat volgens F069 onderdeel is van de afspraken en voorgaat bij strijdigheid. De bepaling regelt ook wat er in de tussentijd met de instructie gebeurt: opschorting tot een schriftelijke reactie van de verantwoordelijke. De hoofdtekst zelf (artikel 3.1, F023) regelt alleen de kennisgeving bij een wettelijke verwerkingsplicht, niet deze meldplicht; het addendum vult dat aan.

“Als een schriftelijke instructie van Verwerkingsverantwoordelijke naar het oordeel van Verwerker in strijd is met de AVG of de UAVG, informeert Verwerker Verwerkingsverantwoordelijke daarover zonder onredelijke vertraging en schort Verwerker de uitvoering van die instructie op totdat Verwerkingsverantwoordelijke schriftelijk heeft gereageerd.”A.2 Instructie in strijd met de AVG (aanvulling op artikel 3.1) · fragment F073

“In aanvulling op de Standaard Verwerkersovereenkomst Gemeenten (versie 2.54) komen Partijen het volgende overeen. Bij strijdigheid gaat dit addendum voor op de artikelen waarnaar het verwijst.”Addendum bij de Standaard Verwerkersovereenkomst · fragment F069

De overeenkomst is toegesneden op deze verwerking en herhaalt niet alleen de tekst van art. 28 AVG.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 5: AVG-vereisten herhalen is niet genoeg

Datavoogd signaleert dat de hoofdtekst weliswaar de artikelstructuur van de Standaard (en daarmee art. 28 AVG) volgt, maar dat de bijlagen en het addendum dienstspecifiek zijn ingevuld: tabel 1 beschrijft vier concrete verwerkingen rond de app woonoverlast met doelen, betrokkenen, gegevens en locatie, tabel 3 noemt twee subverwerkers, bijlage 2 een concrete certificering en het addendum bewaartermijnen en bereikbaarheid. Er is geen kernonderwerp dat uitsluitend met wettekst of met "n.t.b." is ingevuld. Het beeld van een louter papieren verwerkersovereenkomst komt in deze tekst niet naar voren.

“Ontvangen en vastleggen van meldingen woonoverlast | Het door inwoners laten indienen en het vastleggen van meldingen van woonoverlast ten behoeve van de behandeling daarvan door de gemeente”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Hostingpartner Fictief BV, Almere (uitwijklocatie Zwolle), <contactgegevens>”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

“Logbestanden die Persoonsgegevens bevatten worden niet langer dan twaalf maanden bewaard, tenzij een wettelijke plicht of een lopend onderzoek naar een Inbreuk langer bewaren vereist.”A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1) · fragment F075

“Het certificaat is geldig tot 1 maart 2028 en heeft betrekking op: hosting, beheer en support van het zaaksysteem Voorbeeldzaak, datacenters Almere en Zwolle.”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F061

De overeenkomst beschrijft hoe de verwerking plaatsvindt: welke systemen, welke handelingen, waar de gegevens staan en wie erbij kan.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 5-6: hoe wordt verwerkt

Datavoogd signaleert dat de overeenkomst de wijze van verwerking concreet beschrijft: de app voor meldingen woonoverlast en het zaaksysteem Voorbeeldzaak, hosting in Nederland (Almere, uitwijk Zwolle) en tweedelijns support vanuit Duitsland. Tabel 1 van bijlage 1 benoemt per verwerking de handelingen, de verwerkingslocatie en wie toegang heeft (gemeentemedewerkers, wijkteam, woningcorporatie, beheerders), en tabel 3 koppelt dat aan de subverwerkers. De genoemde systemen en locaties sluiten aan bij de reikwijdte van het certificaat in bijlage 2 en bevatten geen verwijzing naar vervangen omgevingen.

“Leverancier Fictief BV levert en beheert een app waarmee inwoners meldingen van woonoverlast doen, inclusief hosting in Nederland en applicatiebeheer via het zaaksysteem Voorbeeldzaak.”Overwegen het volgende: · fragment F010

“Technisch en applicatiebeheer | Beheer, onderhoud, storingsoplossing en support van de app en het zaaksysteem, waarbij toegang tot persoonsgegevens mogelijk is”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Nederland (EER); tweedelijns support vanuit Duitsland (EER)”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Hostingpartner Fictief BV, Almere (uitwijklocatie Zwolle), <contactgegevens>”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

“Het certificaat is geldig tot 1 maart 2028 en heeft betrekking op: hosting, beheer en support van het zaaksysteem Voorbeeldzaak, datacenters Almere en Zwolle.”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F061

De overeenkomst legt vast hoelang de verwerker de gegevens bewaart, per gegevenscategorie of verwerking, inclusief logbestanden en back-ups.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: duur en bewaartermijnen, dataminimalisatie

Datavoogd signaleert dat het addendum (A.3) bewaartermijnen vastlegt: koppeling aan de Archiefwet en de geldende selectielijst voor de inhoudelijke gegevens, 30 dagen voor verwijdering uit back-ups en twaalf maanden voor logbestanden, met verwijdering en bevestiging na afloop van een termijn. De hoofdtekst en Bijlage 1 bevatten zelf geen bewaartermijnen; het addendum vult dit aan en gaat volgens F069 voor. Omdat naar 'de geldende selectielijst' wordt verwezen en niet naar een ingetrokken versie, wijst niets op een verouderd schema.

“Verwerker bewaart Persoonsgegevens niet langer dan de bewaartermijnen die Verwerkingsverantwoordelijke op grond van de Archiefwet en de geldende selectielijst heeft vastgesteld en schriftelijk aan Verwerker heeft meegedeeld. Gegevens die uit de productieomgeving zijn verwijderd, worden uiterlijk binnen 30 dagen ook uit back-ups overschreven of vernietigd. Logbestanden die Persoonsgegevens bevatten worden niet langer dan twaalf maanden bewaard, tenzij een wettelijke plicht of een lopend onderzoek naar een Inbreuk langer bewaren vereist.”A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1) · fragment F075

“A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1)”A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1) · fragment F074

“Na afloop van een bewaartermijn verwijdert Verwerker de Persoonsgegevens en bevestigt dit op verzoek schriftelijk aan Verwerkingsverantwoordelijke.”A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1) · fragment F075

De doelen van de verwerking zijn concreet benoemd en de verwerker mag de gegevens niet voor eigen doelen gebruiken.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: doelen van de verwerking

Datavoogd signaleert dat de doelen per verwerking concreet zijn benoemd op het niveau van de gemeentelijke taak (meldingen woonoverlast ontvangen, vastleggen, hosten, beschikbaar stellen en beheren) in tabel 1 van bijlage 1. Een uitdrukkelijk verbod op gebruik voor eigen doeleinden van de verwerker (analyse, productverbetering, training van modellen, marketing) ontbreekt echter; artikel 3.1 sluit dat alleen indirect uit via de instructiebinding. Ook een expliciete uitsluiting of afbakening van geanonimiseerd of geaggregeerd eigen gebruik is niet opgenomen. De beschreven doelen sluiten wel aan bij de in de hoofdovereenkomst beschreven app en het zaaksysteem; een AI- of analysefunctie wordt niet genoemd en evenmin uitgesloten.

“Het door inwoners laten indienen en het vastleggen van meldingen van woonoverlast ten behoeve van de behandeling daarvan door de gemeente”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F023

“De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1.”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F024

De gegevenscategorieën zijn concreet opgesomd (zie ook ART28-02), met expliciete vermelding of uitsluiting van bijzondere persoonsgegevens, strafrechtelijke gegevens en BSN.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: soort persoonsgegevens

Datavoogd signaleert dat tabel 1 van bijlage 1 de gegevenscategorieën per verwerking benoemt op veldniveau (naam, adres, contactgegevens, inhoud en omschrijving van de melding, datum en tijdstip) en dat bijzondere gegevens, strafrechtelijke gegevens en BSN per verwerking expliciet worden bevestigd of uitgesloten. Bij de beheerverwerking wordt verwezen naar 'alle in de applicatie vastgelegde persoonsgegevens en logbestanden/gebruikersgegevens', wat alleen via de terugverwijzing naar verwerking 1 concreet is. De opsomming sluit aan bij de beschreven dienst (app woonoverlast, hosting in Nederland, support vanuit Duitsland) en vertoont geen innerlijke tegenspraak met de hoofdtekst.

“Naam, adres, contactgegevens, inhoud en omschrijving van de melding, datum en tijdstip. Bijzondere persoonsgegevens: in de vrije tekst kunnen gezondheidsgegevens (verslaving, psychische problematiek) en gegevens van strafrechtelijke aard voorkomen. BSN: ja, van de melder.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“BSN: nee, het BSN wordt niet gedeeld met wijkteam en woningcorporatie.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Alle in de applicatie vastgelegde persoonsgegevens en logbestanden/gebruikersgegevens. Bijzondere persoonsgegevens: alleen incidenteel zichtbaar bij beheer (zie verwerking 1). BSN: ja, incidenteel zichtbaar bij beheer.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

De categorieën betrokkenen zijn concreet benoemd (zie ook ART28-02), inclusief kwetsbare groepen (minderjarigen, mensen in schuldhulp of zorg) als die aan de orde zijn.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: categorieën van betrokkenen

Datavoogd signaleert dat tabel 1 van bijlage 1 de categorieën betrokkenen per verwerking benoemt als herkenbare groepen in relatie tot de dienst (melders/inwoners, personen op wie de melding betrekking heeft, overige in de melding genoemde personen en gebruikers van de applicatie), en niet volstaat met een algemene verwijzing naar "betrokkenen". De groepen sluiten aan bij de beschreven verwerking (app voor meldingen woonoverlast en zaaksysteem). Kwetsbare groepen zijn alleen generiek aangeduid als "waaronder mogelijk kwetsbare personen"; minderjarigen worden nergens expliciet genoemd of uitgesloten, terwijl bij woonoverlastmeldingen gezinsleden in beeld kunnen komen.

“Melders (inwoners van Gemeente Voorbeeldstad), personen op wie de melding betrekking heeft en overige in de melding genoemde personen (waaronder mogelijk kwetsbare personen)”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Melders, personen op wie de melding betrekking heeft en gebruikers van de applicatie (gemeentemedewerkers, wijkteam, woningcorporatie)”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

Voor het melden van een inbreuk in verband met persoonsgegevens is aan beide kanten een contactpunt vastgelegd.

Bron: AP aanbeveling 1, datalekafspraken, p. 6: actueel, bereikbaar en concreet contactpunt bij een datalek

Datavoogd signaleert dat tabel 2 van bijlage 1 aan beide zijden een contactpunt vastlegt: bij de verantwoordelijke een functionele privacymailbox met telefoonnummer, bij de verwerker het Security Operations Center met functioneel e-mailadres en telefoonnummer. Beide contactpunten zijn rollen met een functioneel kanaal en niet gebonden aan één met naam genoemde medewerker. Het addendum A.4 vult de bereikbaarheid en reactietermijnen aan en regelt dat wijzigingen in de contactpunten binnen vijf werkdagen worden doorgegeven. De hoofdtekst (artikel 5.1) en bijlage spreken elkaar op dit punt niet tegen.

“Contactpunt Verwerkingsverantwoordelijke (privacy/functionele meldingen, ook buiten kantooruren) | Functionele mailbox Privacy Gemeente Voorbeeldstad | privacy@voorbeeldstad.example, 0800-0000001”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F054

“Contactpunt Verwerker (security/incidenten, 24x7, ook buiten kantooruren) | Security Operations Center Leverancier Fictief BV | soc@fictief.example, 0800-0000002”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F054

“Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F034

Vastgelegd is wanneer het contactpunt bereikbaar is, ook buiten kantooruren en in weekend en vakantie, zodat de 72-uurstermijn van art. 33 AVG haalbaar blijft.

Bron: AP aanbeveling 1, datalekafspraken, p. 6: bereikbaarheid van het contactpunt (gezamenlijke mailbox)

Datavoogd signaleert dat de bereikbaarheid van de contactpunten in tijden is uitgedrukt (werkdagen 08.00-17.00 uur via mailbox en telefoon, daarbuiten telefonisch) en dat het contactpunt van Verwerker als 24x7 is aangemerkt. Er is een tweede kanaal (telefoon naast functionele mailbox) en een escalatiepad naar de vertegenwoordiger van de andere Partij als een reactie uitblijft, plus een bevestigingstermijn van vier uur bij een (vermoedelijke) Inbreuk. Dat sluit aan op wat deze regel vraagt met het oog op de 72-uurstermijn van art. 33 AVG.

“De contactpunten in tabel 2 van Bijlage 1 zijn op werkdagen tussen 08.00 en 17.00 uur bereikbaar via de vermelde mailbox en het vermelde telefoonnummer, en daarbuiten via het vermelde telefoonnummer. Een bericht over een (vermoedelijke) Inbreuk wordt binnen vier uur bevestigd, een ander bericht binnen één werkdag. Blijft een reactie uit, dan wendt de melder zich tot de in deze Verwerkersovereenkomst genoemde vertegenwoordiger van de andere Partij.”A.4 Bereikbaarheid en reactietermijn van de contactpunten (aanvulling op Bijlage 1, tabel 2) · fragment F077

“Contactpunt Verwerker (security/incidenten, 24x7, ook buiten kantooruren) | Security Operations Center Leverancier Fictief BV | soc@fictief.example, 0800-0000002”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F054

“Tabel 2: Contactgegevens (NB: ook buiten kantooruren).”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F053

De termijn waarbinnen de verwerker een inbreuk aan de verantwoordelijke meldt is vastgelegd en laat de verantwoordelijke voldoende tijd om binnen 72 uur na kennisname aan de AP te melden (art. 33 lid 1 en 2 AVG).

Bron: AP aanbeveling 1, datalekafspraken, p. 7: termijn in uren voor de dataleknotificatie

Datavoogd signaleert dat de meldtermijn concreet in uren is vastgelegd (uiterlijk 24 uur) en start bij vaststelling van een (vermoedelijke) inbreuk, dus ook bij een vermoeden en niet pas na afgerond onderzoek; dat laat ruimte binnen de 72-uurstermijn van art. 33 AVG. Datavoogd signaleert wel dat nergens expliciet is bepaald dat dezelfde 24-uurstermijn geldt voor inbreuken die bij een subverwerker plaatsvinden; artikel 4.5 legt alleen in algemene zin de art. 28 lid 2 en 4 AVG-verplichtingen door, zodat de keten melder-subverwerker-verwerker-gemeente niet is gemaximeerd. Op dit onderdeel voldoet de bepaling daarmee niet volledig aan wat de toetsregel vraagt.

“5.1 Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F034

“Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht.”Artikel 4 Inhoudelijke afspraken · fragment F030

Vastgelegd is welke informatie de verwerker bij een melding levert, aansluitend op wat de verantwoordelijke aan de AP moet melden (art. 33 lid 3 AVG): aard van de inbreuk, categorieën en aantallen betrokkenen en gegevens, waarschijnlijke gevolgen, genomen en voorgestelde maatregelen.

Bron: AP aanbeveling 1, datalekafspraken, p. 7: minimale inhoud van de dataleknotificatie

Datavoogd signaleert dat artikel 5.1 een opsomming van meldinhoud bevat (oorzaak, categorie persoonsgegevens, categorie en aantal betrokkenen), maar dat de waarschijnlijke gevolgen van de inbreuk en de genomen en voorgestelde maatregelen niet als verplichte onderdelen van de melding zijn benoemd; artikel 5.2 regelt wel het treffen van maatregelen en het voortdurend informeren, maar niet als vast meldingselement. Ondersteuning bij de melding aan de AP en aan betrokkenen is vastgelegd in artikel 5.4, medewerking aan onderzoek volgt hooguit indirect uit het logboek in artikel 5.3. Voor informatie die bij de eerste melding nog niet bekend is ('voor zover bekend') is geen concrete nalevertermijn afgesproken, alleen 'voortdurend op de hoogte houden'. Daarmee dekt de meldinhoud art. 33 lid 3 AVG niet volledig.

“Verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) Inbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F034

“In geval van een Inbreuk neemt Verwerker zonder onredelijke vertraging alle maatregelen om de Inbreuk te herstellen, de gevolgen daarvan te beperken en verdere Inbreuken te voorkomen en houdt de Verwerkingsverantwoordelijke hiervan voortdurend op de hoogte.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F035

“Verwerkingsverantwoordelijke beslist of de Inbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene. Verwerker ondersteunt de Verwerkingsverantwoordelijke waar nodig bij de melding aan de toezichthoudende autoriteit en/of Betrokkene.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F037

“Verwerker heeft een gedetailleerd logboek van de Inbreuken en de maatregelen die op Inbreuken zijn genomen. Verwerkingsverantwoordelijke mag dat inzien, wanneer deze daarom vraagt.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F036

De ingeschakelde subverwerkers zijn met naam benoemd, met vestigingsland, de dienst die zij leveren en de locatie van verwerking.

Bron: AP aanbeveling 2 (houd grip op de hele leveranciersketen), p. 8-9: zicht op subverwerkers, waar gevestigd en welke verwerkingen

Datavoogd signaleert dat tabel 3 van bijlage 1 twee subverwerkers met naam, vestigings- en verwerkingsland en de geleverde dienst benoemt (hosting/back-up in Almere en Zwolle, tweedelijns support vanuit Duitsland), wat aansluit op de supportvermelding in tabel 1. De overeenkomst draagt een versienummer en datum (15 april 2026) en de bijlagen maken daar onlosmakelijk deel van uit, zodat de lijst dateerbaar is; bijlage 1 zelf heeft geen eigen versieaanduiding. Het overzicht is beperkt tot de ten tijde van afsluiten bekende subverwerkers, met de afspraak dat substantiële wijzigingen op korte termijn worden doorgegeven.

“Hostingpartner Fictief BV, Almere (uitwijklocatie Zwolle), <contactgegevens> | <KvK-nummer> | Opslaan en hosten van persoonsgegevens; Back-ups, herstel en continuïteitsvoorzieningen | Hosting van de app en het zaaksysteem Voorbeeldzaak, inclusief back-up- en uitwijkvoorzieningen | Nederland (EER)”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

“Supportdesk Fictief GmbH, Duitsland, <contactgegevens> | <registratienummer> | Technisch, organisatorisch of operationeel beheer met mogelijke toegang tot persoonsgegevens | Tweedelijns support op de app en het zaaksysteem Voorbeeldzaak | Duitsland (EER)”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

“De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende subverwerkers vermeldt Verwerker in tabel 3 van Bijlage 1.”Artikel 4 Inhoudelijke afspraken · fragment F030

“Versie 2.54 (15 april 2026).”Standaard Verwerkersovereenkomst Gemeenten · fragment F003

Er is een procedure voor het toevoegen, wijzigen of vervangen van subverwerkers: hoe en wanneer wordt aangekondigd, hoe de verantwoordelijke bezwaar maakt en wat het gevolg van bezwaar is.

Bron: AP aanbeveling 2 (houd grip op de hele leveranciersketen), p. 9, en art. 28 lid 2 AVG: instemming met subverwerkers en wijzigingen

Datavoogd signaleert dat er wel een bepaling over nieuwe subverwerkers is (algemene toestemming plus een informatieplicht), maar dat de procedure niet is uitgewerkt: er is geen aankondigingstermijn in dagen, geen kanaal, geen bezwaartermijn en geen omschrijving van het gevolg van bezwaar (niet inschakelen, alternatief of opzeggen). De verwijzing naar artikel 28.2 en 28.4 AVG houdt het bezwaarrecht formeel in stand, maar vult de procedure niet in. Ook de notitie bij bijlage 1 blijft bij "op korte termijn", zonder termijn of gevolg. Het addendum bevat geen aanvulling op artikel 4.5.

“Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht.”Artikel 4 Inhoudelijke afspraken · fragment F030

“NB: Substantiële wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F057

De overeenkomst maakt expliciet of persoonsgegevens buiten de EER worden verwerkt of toegankelijk zijn (ook bij subverwerkers, support op afstand en back-ups), naar welk land, en op basis van welk doorgifte-instrument uit hoofdstuk V AVG.

Bron: AP aanbeveling 2 (houd grip op de hele leveranciersketen), p. 8: vestigingsplaats subverwerkers; art. 28 lid 3 onder a en hoofdstuk V AVG: doorgifte buiten de EER

Datavoogd signaleert dat het document expliciet maakt waar wordt verwerkt: bijlage 1 tabel 1 vermeldt per verwerking Nederland (EER), inclusief opslag, back-ups en uitwijk, en tweedelijns support vanuit Duitsland (EER); tabel 3 noemt per subverwerker land en verwerkingslocatie, beide binnen de EER. Het addendum A.1 gaat boven artikel 4.3 en bindt verwerking buiten de EER, inclusief toegang op afstand voor beheer of support, aan voorafgaande schriftelijke toestemming en een in bijlage 1 benoemd doorgifte-instrument. Er is dus feitelijk geen doorgifte naar een derde land, waardoor geen doorgifte-instrument in gebruik is en actualiteit daarvan niet te beoordelen is. Hoofdtekst en bijlagen spreken elkaar op dit punt niet tegen; het addendum benoemt de afwijking van artikel 4.3 uitdrukkelijk.

“In afwijking van artikel 4.3 vindt verwerking van Persoonsgegevens buiten de Europese Economische Ruimte, daaronder begrepen toegang op afstand voor beheer of ondersteuning, uitsluitend plaats na voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke en op basis van een in Bijlage 1 benoemd doorgifte-instrument met de daarbij horende aanvullende maatregelen.”A.1 Verwerking buiten de EER (aanvulling op artikel 4.3) · fragment F071

“Nederland (EER); tweedelijns support vanuit Duitsland (EER) | Niet van toepassing | Niet van toepassing”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Supportdesk Fictief GmbH, Duitsland, <contactgegevens> | <registratienummer> | Technisch, organisatorisch of operationeel beheer met mogelijke toegang tot persoonsgegevens | Tweedelijns support op de app en het zaaksysteem Voorbeeldzaak | Duitsland (EER) | Niet van toepassing | Niet van toepassing”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

De overeenkomst en de bijlagen zijn gedateerd en geversioneerd, zodat vaststaat welke versie geldt en wanneer die voor het laatst is herzien.

Bron: AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 10-11: bijhouden en periodiek herzien

Datavoogd signaleert dat de hoofdtekst een versienummer en datum draagt (versie 2.54, 15 april 2026) en dat een ingangsdatum is vermeld (1 maart 2024), maar dat de ondertekeningsdatum nog openstaat als invulveld. Bijlage 1, Bijlage 2 en het addendum hebben geen eigen datum of versienummer; alleen het addendum verwijst naar versie 2.54 van de Standaard, zodat per bijlage niet vaststaat wanneer die voor het laatst is herzien. Verwijzingen naar vervallen wetgeving (Wbp, Privacy Shield, oude modelbepalingen) ontbreken; de tekst verwijst naar AVG en UAVG en oogt qua datering actueel.

“Versie 2.54 (15 april 2026). Gebaseerd op de Standaard Verwerkersovereenkomst Gemeenten, versie 2.54 (15 april 2026)”Standaard Verwerkersovereenkomst Gemeenten · fragment F003

“Ingangsdatum: 1 maart 2024”Ondertekening · fragment F047

“Gemeente Voorbeeldstad, namens deze: de directeur Bedrijfsvoering, plaats: <plaats>, datum: <datum>”Ondertekening · fragment F048

“Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F050

“In aanvulling op de Standaard Verwerkersovereenkomst Gemeenten (versie 2.54) komen Partijen het volgende overeen.”Addendum bij de Standaard Verwerkersovereenkomst · fragment F069

Partijen hebben afgesproken wanneer en hoe de overeenkomst en bijlagen worden herzien: periodiek en bij wijzigingen in de verwerking, de subverwerkers, de wetgeving of de beveiliging.

Bron: AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 11: periodiek herzien van afspraken

Datavoogd signaleert dat het document wel meldplichten bij wijzigingen kent (tabellen van bijlage 1 en bijlage 2 "op korte termijn", nieuwe subverwerkers, wijziging contactpunten binnen vijf werkdagen, certificering binnen tien werkdagen), maar geen herzieningsbepaling met een frequentie in tijd, zoals een jaarlijkse beoordeling. Ook ontbreken expliciete triggers voor herziening wegens gewijzigde wetgeving of gewijzigde verwerking, en is niet vastgelegd wie het initiatief neemt. Er is geen procedure beschreven om bijlagen bij te werken zonder de hele overeenkomst opnieuw te ondertekenen (bijv. via een geversioneerd addendum); artikel 2.3 gaat alleen over het vervallen van een oude overeenkomst bij een nieuwe. Omdat geen herzieningstermijn is afgesproken, is actualiteit op dit punt niet te beoordelen.

“NB: Substantiële wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F057

“NB: Substantiële wijzigingen in het bovenstaande en achteruitgang van de voorwaarden geven partijen op korte termijn aan elkaar door.”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F067

“2.3 Wanneer Partijen een (nieuwe) Verwerkersovereenkomst overeenkomen, betekent dat dat de oude Verwerkersovereenkomst komt te vervallen.”Artikel 2 Ingangsdatum en duur · fragment F021

“informeert Verwerkingsverantwoordelijke binnen tien werkdagen als de certificering verloopt, wordt ingetrokken, wordt geschorst of in reikwijdte wordt beperkt”A.5 Geldigheid en reikwijdte van de certificering (aanvulling op artikel 4.1 en Bijlage 2) · fragment F079

De bijlagen (gegevens, betrokkenen, subverwerkers, beveiliging) beschrijven de verwerking zoals die nu plaatsvindt, en zijn onderling en met de hoofdtekst consistent.

Bron: AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 10-11: afspraken sluiten aan op de praktijk; gebruik van bijlagen

Datavoogd signaleert dat bijlage 1 (tabellen 1, 2 en 3) en bijlage 2 inhoudelijk zijn ingevuld en onderling en met de hoofdtekst op hoofdlijnen sporen: de supportlocatie Duitsland in tabel 1 komt terug in tabel 3, de reikwijdte van het ISO-certificaat (hosting, beheer, support, datacenters Almere en Zwolle) sluit aan op de subverwerkers, en de strengere doorgifteregel in addendum A.1 is expliciet als afwijking van artikel 4.3 benoemd met een voorrangsregel. Datavoogd signaleert wel dat tabel 3 nog sjabloonvelden bevat (<contactgegevens>, <KvK-nummer>, <registratienummer>), waardoor die bijlage niet volledig is ingevuld. Datavoogd kan alleen de interne consistentie en de datering toetsen; of de bijlagen de verwerking beschrijven zoals die feitelijk plaatsvindt, moet de FG bij de organisatie nagaan. Verwijzingen naar vervallen systemen, wetgeving of subverwerkers zijn niet aangetroffen.

“Hostingpartner Fictief BV, Almere (uitwijklocatie Zwolle), <contactgegevens> | <KvK-nummer>”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

“Nederland (EER); tweedelijns support vanuit Duitsland (EER)”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Bij strijdigheid gaat dit addendum voor op de artikelen waarnaar het verwijst.”Addendum bij de Standaard Verwerkersovereenkomst · fragment F069

“In afwijking van artikel 4.3 vindt verwerking van Persoonsgegevens buiten de Europese Economische Ruimte, daaronder begrepen toegang op afstand voor beheer of ondersteuning, uitsluitend plaats na voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke”A.1 Verwerking buiten de EER (aanvulling op artikel 4.3) · fragment F071

De overeenkomst is herkenbaar gebaseerd op de Standaard Verwerkersovereenkomst Gemeenten en vermeldt welke versie is gebruikt; afwijkingen van de Standaard zijn benoemd.

Bron: IBD Standaard VWO v2.54, colofon en toelichting Inleiding: gebruik van de Standaard en versie

Datavoogd signaleert dat het document zich expliciet baseert op de Standaard Verwerkersovereenkomst Gemeenten met versienummer 2.54 (15 april 2026) en de artikelindeling van de Standaard volgt (definities, ingangsdatum en duur, onderwerp, inhoudelijke afspraken, inbreuk, aansprakelijkheid, beëindigen, overige bepalingen) met bijlagen 1 en 2. De aanvullingen en afwijkingen zijn gebundeld in een addendum dat per onderdeel naar het betrokken standaardartikel verwijst, waarbij A.1 uitdrukkelijk als afwijking van artikel 4.3 is aangeduid; de overige onderdelen zijn als aanvulling geformuleerd. De vermelde versie is de in de toetsregel genoemde huidige versie.

“Standaard Verwerkersovereenkomst Gemeenten”Standaard Verwerkersovereenkomst Gemeenten · fragment F001

“Versie 2.54 (15 april 2026). Gebaseerd op de Standaard Verwerkersovereenkomst Gemeenten, versie 2.54 (15 april 2026), Vereniging van Nederlandse Gemeenten / Informatiebeveiligingsdienst voor gemeenten”Standaard Verwerkersovereenkomst Gemeenten · fragment F003

“In aanvulling op de Standaard Verwerkersovereenkomst Gemeenten (versie 2.54) komen Partijen het volgende overeen. Bij strijdigheid gaat dit addendum voor op de artikelen waarnaar het verwijst.”Addendum bij de Standaard Verwerkersovereenkomst · fragment F069

“In afwijking van artikel 4.3 vindt verwerking van Persoonsgegevens buiten de Europese Economische Ruimte, daaronder begrepen toegang op afstand voor beheer of ondersteuning, uitsluitend plaats na voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke”A.1 Verwerking buiten de EER (aanvulling op artikel 4.3) · fragment F071

Ingangsdatum en einde van de verwerkersovereenkomst zijn gekoppeld aan de hoofdovereenkomst: zij gaat in bij totstandkoming van de hoofdovereenkomst (tenzij anders afgesproken) en eindigt pas als de verwerking is beëindigd én teruggave of wissing is nagekomen.

Bron: IBD Standaard VWO v2.54, art. 2 (ingangsdatum en duur) en toelichting 2.1-2.3

Datavoogd signaleert dat artikel 2 ingangsdatum en einde koppelt aan de Hoofdovereenkomst en dat die in de overwegingen met kenmerk en datum is aangeduid (HO-2024-017 van 1 maart 2024). Het einde is niet alleen aan de dienst gekoppeld, maar mede aan het nakomen van de afspraken over teruggave en/of wissing. Ook is vastgelegd dat een nieuwe verwerkersovereenkomst de oude doet vervallen. De genoemde hoofdovereenkomst komt overeen met de aanduiding in de titel en de ingangsdatum bij de ondertekening (1 maart 2024).

“2.1 Deze Verwerkersovereenkomst gaat in op het moment dat de Hoofdovereenkomst tot stand is gekomen, tenzij Partijen anders overeenkomen.”Artikel 2 Ingangsdatum en duur · fragment F019

“2.2 Deze Verwerkersovereenkomst eindigt op het moment dat Verwerker de verwerking van Persoonsgegevens op grond van de Hoofdovereenkomst heeft beëindigd en de afspraken over het teruggeven en/of wissen van Persoonsgegevens zijn nagekomen.”Artikel 2 Ingangsdatum en duur · fragment F020

“Partijen hebben op 1 maart 2024 de Hoofdovereenkomst HO-2024-017 van 1 maart 2024 (levering en beheer app meldingen woonoverlast / zaaksysteem Voorbeeldzaak), hierna Hoofdovereenkomst, afgesloten”Overwegen het volgende: · fragment F010

“2.3 Wanneer Partijen een (nieuwe) Verwerkersovereenkomst overeenkomen, betekent dat dat de oude Verwerkersovereenkomst komt te vervallen.”Artikel 2 Ingangsdatum en duur · fragment F021

De verwerker verwerkt uitsluitend in opdracht en volgens schriftelijke instructies; elke verdere verwerking buiten tabel 1 van bijlage 1, inclusief elke toepassing van kunstmatige intelligentie (waaronder testen en trainen), vereist vooraf uitdrukkelijke toestemming.

Bron: IBD Standaard VWO v2.54, art. 3.1 en toelichting 3.1: uitsluitend op schriftelijke instructies; verdere verwerking en AI alleen met toestemming

Datavoogd signaleert dat de instructiebepaling van de Standaard volledig is opgenomen, inclusief de uitzondering voor een wettelijke verplichting met voorafgaande kennisgeving, en dat de toegestane verwerkingen zijn begrensd tot tabel 1 van Bijlage 1. Datavoogd signaleert wel dat een expliciete bepaling over verdere verwerking buiten tabel 1 ontbreekt en dat de tekst en het addendum nergens ingaan op toepassing van kunstmatige intelligentie, testen, trainen of productverbetering. Er is ook geen ruime toestemming voor eigen doelen opgenomen, zodat de begrenzing alleen impliciet uit artikel 3.1 en 3.2 volgt. Daarmee is niet uitdrukkelijk vastgelegd dat AI-toepassing voorafgaande schriftelijke toestemming vereist.

“Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot verwerking verplicht. In dat geval zal Verwerker Verwerkingsverantwoordelijke, voorafgaand aan de verwerking, daarvan zonder onredelijke vertraging in kennis stellen, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F023

“De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1.”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F024

De verwerkingen die de verwerker mag uitvoeren staan beschreven in tabel 1 van bijlage 1: naam van de verwerking of dienst, doeleinden, categorieën betrokkenen, (bijzondere) persoonsgegevens, verwerkingslocatie, doorgifte-instrument en aanvullende maatregelen.

Bron: IBD Standaard VWO v2.54, art. 3.2 en bijlage 1 tabel 1: de uit te voeren verwerkingen

Datavoogd signaleert dat artikel 3.2 verwijst naar tabel 1 van bijlage 1 en dat die tabel vier verwerkingen beschrijft met alle zeven kolommen ingevuld: naam, doeleinden, categorieën betrokkenen, (bijzondere) persoonsgegevens, verwerkingslocatie met land, doorgifte-instrument en aanvullende maatregelen. Bijzondere persoonsgegevens (gezondheid, strafrechtelijk) en BSN zijn per verwerking expliciet genoemd of uitgesloten, zoals bij het beschikbaar stellen aan wijkteam en woningcorporatie. De tabel sluit aan op de in de overwegingen beschreven dienst en de NB legt vast dat substantiële wijzigingen op korte termijn worden doorgegeven.

“3.2 De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1.”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F024

“Ontvangen en vastleggen van meldingen woonoverlast | Het door inwoners laten indienen en het vastleggen van meldingen van woonoverlast ten behoeve van de behandeling daarvan door de gemeente | Melders (inwoners van Gemeente Voorbeeldstad), personen op wie de melding betrekking heeft en overige in de melding genoemde personen (waaronder mogelijk kwetsbare personen) | Naam, adres, contactgegevens, inhoud en omschrijving van de melding, datum en tijdstip. Bijzondere persoonsgegevens: in de vrije tekst kunnen gezondheidsgegevens (verslaving, psychische problematiek) en gegevens van strafrechtelijke aard voorkomen. BSN: ja, van de melder. | Nederland (EER) | Niet van toepassing | Niet van toepassing”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Technisch en applicatiebeheer | Beheer, onderhoud, storingsoplossing en support van de app en het zaaksysteem, waarbij toegang tot persoonsgegevens mogelijk is”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“NB: Substantiële wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F057

De verwerker treft passende maatregelen (art. 32 AVG) en toont dat aan volgens bijlage 2: het normenstelsel (bij voorkeur BIO2, anders ISO 27001, NEN 7510 of vergelijkbaar), of en wanneer hij is gecertificeerd, en waaruit de toereikendheid blijkt (certificaat met verklaring van toepasselijkheid, periodieke externe controles zoals pentesten of TPM's, assurancerapport, eigen controles).

Bron: IBD Standaard VWO v2.54, art. 4.1 en bijlage 2: beveiligingsmaatregelen en aantonen van een passend niveau

Datavoogd signaleert dat artikel 4.1 naar bijlage 2 verwijst en dat bijlage 2 is ingevuld met normenstelsel (ISO/IEC 27001), certificeringsstatus met datum laatste certificering (1 maart 2025) en de bewijsvorm (certificaat met verklaring van toepasselijkheid en jaarlijks ISAE 3402 type II-rapport). Het certificaat loopt tot 1 maart 2028 en is daarmee geldig op de documentdatum (15 april 2026); addendum A.5 vult aan dat Verwerker binnen tien werkdagen meldt als de certificering verloopt, wordt ingetrokken, geschorst of beperkt. Er is niet gekozen voor de BIO2 maar voor ISO 27001, wat de toetsregel als alternatief toestaat.

“Verwerker zorgt voor passende technische en organisatorische maatregelen om de Persoonsgegevens goed te beveiligen, zoals bedoeld in artikel 32 AVG. De wijze waarop Verwerker de passende technische en organisatorische maatregelen aantoont, staat in Bijlage 2.”Artikel 4 Inhoudelijke afspraken · fragment F026

“De verwerker werkt volgens een algemeen erkende norm voor informatiebeveiliging, te weten: ISO/IEC 27001 (leverancier is gecertificeerd; jaarlijks ISAE 3402 type II-rapportage) en is volgens deze norm wel gecertificeerd. Datum laatste certificering: 1 maart 2025”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F060

“Het certificaat is geldig tot 1 maart 2028 en heeft betrekking op: hosting, beheer en support van het zaaksysteem Voorbeeldzaak, datacenters Almere en Zwolle.”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F061

“Geldig ISO/IEC 27001-certificaat en verklaring van toepasselijkheid”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F063

“NB: Substantiële wijzigingen in het bovenstaande en achteruitgang van de voorwaarden geven partijen op korte termijn aan elkaar door.”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F067

De verwerker werkt mee aan audits door een gecertificeerde auditor, tenzij hij met een geldige, periodiek getoetste certificering aantoont dat hij de afspraken nakomt; de kosten zijn voor de verantwoordelijke tenzij de auditor tekortkomingen van niet ondergeschikte aard constateert.

Bron: IBD Standaard VWO v2.54, art. 4.2 en toelichting 4.2: audits, certificering als alternatief, kosten

Datavoogd signaleert dat de auditbepaling van de Standaard integraal is overgenomen: auditor, certificeringsuitzondering en kostenverdeling zijn benoemd, en addendum A.5 vult de geldigheid en reikwijdte van de certificering aan. Niet vastgelegd zijn een auditfrequentie (de toelichting bij art. 4.2 gaat ervan uit dat partijen die vooraf afspreken) en een termijn waarbinnen constateringen van de auditor worden hersteld. De certificering (ISO/IEC 27001, laatste certificering 1 maart 2025, geldig tot 1 maart 2028) is bij de documentdatum van 15 april 2026 geldig en de scope sluit aan bij de verwerkingen in bijlage 1.

“Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen, tenzij Verwerker door middel van een geldige certificering, die periodiek door een geaccrediteerde instelling wordt getoetst, heeft aangetoond dat Verwerker de gemaakte afspraken nakomt. De kosten van deze audit worden gedragen door Verwerkingsverantwoordelijke (zowel eigen kosten als kosten van Verwerker), tenzij de auditor één of meer tekortkomingen van niet ondergeschikte aard van Verwerker constateert die ten nadele zijn van Verwerkingsverantwoordelijke.”Artikel 4 Inhoudelijke afspraken · fragment F027

“Het certificaat is geldig tot 1 maart 2028 en heeft betrekking op: hosting, beheer en support van het zaaksysteem Voorbeeldzaak, datacenters Almere en Zwolle.”Bijlage 2: Aantonen passend niveau van beveiliging · fragment F061

“De in Bijlage 2 genoemde certificering geldt voor de daar vermelde reikwijdte (diensten en locaties) en tot de daar vermelde datum. Verwerker verstrekt op verzoek het certificaat en de verklaring van toepasselijkheid en informeert Verwerkingsverantwoordelijke binnen tien werkdagen als de certificering verloopt, wordt ingetrokken, wordt geschorst of in reikwijdte wordt beperkt.”A.5 Geldigheid en reikwijdte van de certificering (aanvulling op artikel 4.1 en Bijlage 2) · fragment F079

Verwerking buiten de EER is alleen toegestaan onder de voorwaarden van art. 45 of 46 AVG en na voorafgaande kennisgeving; zonder adequaatheidsbesluit maakt de verwerker een analyse van waarborgen en aanvullende maatregelen en legt die ter beoordeling voor; dit geldt ook voor subverwerkers; bijlage 1 vermeldt locatie, instrument en aanvullende maatregelen.

Bron: IBD Standaard VWO v2.54, art. 4.3 en toelichting 4.3, bijlage 1 (verwerkingslocatie, doorgifte-instrument, aanvullende maatregelen): verwerking buiten de EER

Datavoogd signaleert dat artikel 4.3 de standaardtekst volgt (art. 45/46 AVG plus kennisgeving vooraf) en dat addendum A.1 dit verscherpt tot voorafgaande schriftelijke toestemming, inclusief toegang op afstand voor beheer of ondersteuning. Tabel 1 en tabel 3 van bijlage 1 vermelden per verwerking en per subverwerker de verwerkingslocatie en noemen uitsluitend EER-landen (Nederland, uitwijk Zwolle, tweedelijns support Duitsland), met doorgifte-instrument en aanvullende maatregelen op 'Niet van toepassing'. Hoofdtekst, addendum en bijlagen zijn hierin consistent; omdat feitelijk geen doorgifte buiten de EER is voorzien, is de geldigheid van een doorgifte-instrument niet te beoordelen.

“4.3 Verwerking buiten de EER Verwerker mag Persoonsgegevens buiten de Europese Economische Ruimte (laten) verwerken wanneer is voldaan aan de voorwaarden van artikel 45 of 46 AVG. Wanneer er sprake is van een verwerking buiten de EER, dan stelt Verwerker Verwerkingsverantwoordelijke daarvan vooraf op de hoogte.”Artikel 4 Inhoudelijke afspraken · fragment F028

“In afwijking van artikel 4.3 vindt verwerking van Persoonsgegevens buiten de Europese Economische Ruimte, daaronder begrepen toegang op afstand voor beheer of ondersteuning, uitsluitend plaats na voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke en op basis van een in Bijlage 1 benoemd doorgifte-instrument met de daarbij horende aanvullende maatregelen.”A.1 Verwerking buiten de EER (aanvulling op artikel 4.3) · fragment F071

“Nederland (EER); tweedelijns support vanuit Duitsland (EER) | Niet van toepassing | Niet van toepassing”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Supportdesk Fictief GmbH, Duitsland, <contactgegevens> | <registratienummer> | Technisch, organisatorisch of operationeel beheer met mogelijke toegang tot persoonsgegevens | Tweedelijns support op de app en het zaaksysteem Voorbeeldzaak | Duitsland (EER) | Niet van toepassing | Niet van toepassing”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

Personen die werken voor de (sub)verwerker en de (sub)verwerker zelf houden de persoonsgegevens geheim; zij hebben een geheimhoudingsverklaring getekend of zijn anders schriftelijk gebonden; de geheimhouding geldt ook na beëindiging.

Bron: IBD Standaard VWO v2.54, art. 4.4 en 7.2, toelichting 4.4: geheimhouding door personen en (sub)verwerkers, ook na beëindiging

Datavoogd signaleert dat artikel 4.4 zowel de personen die voor de (sub)verwerker werken als de (sub)verwerker zelf tot geheimhouding verplicht en de vorm van binding benoemt (getekende geheimhoudingsverklaring of andere schriftelijke binding). Artikel 7.2 legt vast dat de geheimhouding ook na beëindiging blijft gelden. De drie elementen van de toetsregel (personen, subverwerkers, schriftelijke binding, voortduren) zijn daarmee in de tekst terug te vinden; de formulering volgt de Standaard v2.54.

“4.4 Geheimhouding Personen die werken voor (sub)Verwerker en (sub)Verwerker zelf, moeten Persoonsgegevens waarmee zij werken geheimhouden. De personen die werken voor Verwerker en subverwerkers hebben daarom een geheimhoudingsverklaring getekend, of zich op een andere manier schriftelijk gebonden aan de geheimhouding.”Artikel 4 Inhoudelijke afspraken · fragment F029

“7.2 De geheimhouding geldt ook nog na beëindiging van deze Verwerkersovereenkomst.”Artikel 7 Beëindigen verwerkersovereenkomst · fragment F042

De bekende subverwerkers staan in tabel 3 van bijlage 1 (naam en contactgegevens, KvK-nummer, uitbestede verwerkingen per categorie, toepassing, verwerkingslocatie, doorgifte-instrument, aanvullende maatregelen); de verantwoordelijke geeft algemene toestemming; de verwerker meldt nieuwe subverwerkers en art. 28 lid 2 en 4 AVG blijven van kracht (bezwaarrecht, doorlegging, aansprakelijkheid).

Bron: IBD Standaard VWO v2.54, art. 4.5, toelichting 4.5 en bijlage 1 tabel 3: subverwerkers

Datavoogd signaleert dat artikel 4.5 en tabel 3 van bijlage 1 aanwezig zijn, met algemene toestemming, een meldplicht voor nieuwe subverwerkers en een verwijzing naar artikel 28 lid 2 en 4 AVG, en dat de uitbestede verwerkingen, toepassing en verwerkingslocatie per subverwerker zijn ingevuld. Tegelijk staan bij beide subverwerkers nog placeholders voor contactgegevens (<contactgegevens>) en KvK- of registratienummer, zodat de door de Standaard gevraagde kolommen niet volledig zijn ingevuld. Ook is voor de melding van nieuwe subverwerkers geen kanaal of termijn vastgelegd en is niet uitgewerkt wat er na bezwaar gebeurt. De tabel sluit inhoudelijk aan bij de verwerkingen in tabel 1 (hosting in Nederland, tweedelijns support vanuit Duitsland) en kent de NB over doorgeven van substantiële wijzigingen.

“De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende subverwerkers vermeldt Verwerker in tabel 3 van Bijlage 1. Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht.”Artikel 4 Inhoudelijke afspraken · fragment F030

“Hostingpartner Fictief BV, Almere (uitwijklocatie Zwolle), <contactgegevens> | <KvK-nummer> | Opslaan en hosten van persoonsgegevens; Back-ups, herstel en continuïteitsvoorzieningen | Hosting van de app en het zaaksysteem Voorbeeldzaak, inclusief back-up- en uitwijkvoorzieningen | Nederland (EER) | Niet van toepassing | Niet van toepassing”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

“Supportdesk Fictief GmbH, Duitsland, <contactgegevens> | <registratienummer> | Technisch, organisatorisch of operationeel beheer met mogelijke toegang tot persoonsgegevens | Tweedelijns support op de app en het zaaksysteem Voorbeeldzaak | Duitsland (EER) | Niet van toepassing | Niet van toepassing”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

“NB: Substantiële wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F057

Bij een beroep op de rechten van art. 12 t/m 22 AVG helpt de verwerker de verantwoordelijke om binnen de wettelijke termijn te beslissen; een betrokkene die zich rechtstreeks tot de verwerker wendt wordt direct doorgeleid naar de verantwoordelijke.

Bron: IBD Standaard VWO v2.54, art. 4.6 en toelichting 4.6: bijstand bij rechten van betrokkenen

Datavoogd signaleert dat de bijstandsbepaling aanwezig is en dat daarbij naar de wettelijke termijnen wordt verwezen (F031, standaardtekst art. 4.6). Er is echter geen bepaling gevonden over de situatie waarin een betrokkene zich rechtstreeks tot Verwerker wendt (directe doorgeleiding naar Verwerkingsverantwoordelijke), en het addendum vult dit punt niet aan. Ook een concrete aanlevertermijn voor Verwerker en een kostenafspraak (volgens de toelichting in de hoofdovereenkomst) ontbreken in dit document.

“4.6 Rechten van betrokkenen Als een betrokkene een beroep doet op zijn rechten zoals genoemd in artikel 12 t/m 22 AVG, helpt Verwerker Verwerkingsverantwoordelijke om daarop binnen de wettelijke termijnen een beslissing te nemen.”Artikel 4 Inhoudelijke afspraken · fragment F031

Op verzoek werkt de verwerker altijd mee aan een DPIA en een voorafgaande raadpleging (art. 35 en 36 AVG); afspraken over uitvoering, termijn en kosten horen in de hoofdovereenkomst of een addendum.

Bron: IBD Standaard VWO v2.54, art. 4.7 en toelichting 4.7: DPIA en voorafgaande raadpleging

Datavoogd signaleert dat artikel 4.7 de medewerking aan een DPIA en een voorafgaande raadpleging onvoorwaardelijk vastlegt ("altijd"), conform de Standaard. Nergens in de hoofdtekst, de bijlagen of het addendum (A.1 t/m A.5) is echter benoemd waar de uitvoering, termijn en kosten van die medewerking zijn geregeld; er wordt ook niet naar een artikel in de Hoofdovereenkomst verwezen. Daarmee blijft open of en waar afspraken over termijn en kosten bestaan.

“4.7 Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging Op verzoek van Verwerkingsverantwoordelijke werkt Verwerker altijd mee aan een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging als bedoeld in artikel 35 en 36 AVG.”Artikel 4 Inhoudelijke afspraken · fragment F032

“In aanvulling op de Standaard Verwerkersovereenkomst Gemeenten (versie 2.54) komen Partijen het volgende overeen. Bij strijdigheid gaat dit addendum voor op de artikelen waarnaar het verwijst.”Addendum bij de Standaard Verwerkersovereenkomst · fragment F069

De verwerker informeert de verantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 24 uur na vaststelling van een (vermoedelijke) inbreuk, met voor zover bekend de vermoedelijke oorzaak, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen.

Bron: IBD Standaard VWO v2.54, art. 5.1 en toelichting 5.1: melding van een (vermoedelijke) inbreuk binnen 24 uur, met minimale inhoud

Datavoogd signaleert dat artikel 5.1 de tekst van de Standaard v2.54 volgt: melding zonder onredelijke vertraging en uiterlijk binnen 24 uur na vaststelling, ook bij vermoedelijke inbreuken, met de vier inhoudselementen (vermeende oorzaak, categorie persoonsgegevens, categorie betrokkenen, aantal betrokkenen). Het addendum vult dit aan met een bevestigingstermijn van vier uur voor inbreukmeldingen, wat de termijn niet verruimt. De bijlagen spreken de hoofdtekst op dit punt niet tegen.

“5.1 Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens. Verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) Inbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F034

“Een bericht over een (vermoedelijke) Inbreuk wordt binnen vier uur bevestigd, een ander bericht binnen één werkdag.”A.4 Bereikbaarheid en reactietermijn van de contactpunten (aanvulling op Bijlage 1, tabel 2) · fragment F077

Bij een inbreuk neemt de verwerker direct maatregelen om te herstellen, de gevolgen te beperken en herhaling te voorkomen en houdt hij de verantwoordelijke voortdurend op de hoogte; hij houdt een gedetailleerd logboek van inbreuken en maatregelen dat de verantwoordelijke mag inzien; de verantwoordelijke beslist over melding aan de AP en betrokkenen en de verwerker ondersteunt daarbij.

Bron: IBD Standaard VWO v2.54, art. 5.2 t/m 5.4 en toelichting: herstelmaatregelen, logboek van inbreuken, beslissing over melden bij de verantwoordelijke

Datavoogd signaleert dat alle vier onderdelen aanwezig zijn: herstel en beperking van gevolgen met voortdurende informatieplicht (art. 5.2), een gedetailleerd logboek met inzagerecht (art. 5.3) en een uitdrukkelijke beslissingsbevoegdheid van de Verwerkingsverantwoordelijke over melding aan de AP en betrokkenen met ondersteuning door Verwerker (art. 5.4). Het inzagerecht op het logboek is echter ongeclausuleerd geformuleerd en niet beperkt tot inbreuken die de eigen verwerkingen van deze gemeente betreffen, zoals de toelichting bij art. 5.3 van de Standaard veronderstelt. Datavoogd merkt op dat dit punt in het addendum niet is aangevuld.

“In geval van een Inbreuk neemt Verwerker zonder onredelijke vertraging alle maatregelen om de Inbreuk te herstellen, de gevolgen daarvan te beperken en verdere Inbreuken te voorkomen en houdt de Verwerkingsverantwoordelijke hiervan voortdurend op de hoogte.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F035

“Verwerker heeft een gedetailleerd logboek van de Inbreuken en de maatregelen die op Inbreuken zijn genomen. Verwerkingsverantwoordelijke mag dat inzien, wanneer deze daarom vraagt.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F036

“Verwerkingsverantwoordelijke beslist of de Inbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene. Verwerker ondersteunt de Verwerkingsverantwoordelijke waar nodig bij de melding aan de toezichthoudende autoriteit en/of Betrokkene.”Artikel 5 Inbreuk in verband met Persoonsgegevens · fragment F037

Bijlage 1 tabel 2 bevat de contactpersonen van de verantwoordelijke en de verwerker, ook buiten kantooruren, bij voorkeur via een functioneel gemeentelijk e-mailadres dat niet wijzigt bij vertrek van een medewerker, en de contactgegevens van de IBD; de verantwoordelijke zorgt voor 24/7 bereikbaarheid voor het ontvangen van meldingen.

Bron: IBD Standaard VWO v2.54, bijlage 1 tabel 2 en toelichting: contactpersonen, ook buiten kantooruren, en de IBD

Datavoogd signaleert dat bijlage 1 tabel 2 voor beide partijen een rol met functionele contactgegevens bevat (functionele mailbox Privacy van de gemeente en het SOC van de leverancier), met de uitdrukkelijke vermelding "ook buiten kantooruren", en dat de contactgegevens van de IBD zijn opgenomen. Doordat gebruik is gemaakt van functionele mailboxen en algemene telefoonnummers in plaats van persoonsnamen, is het risico op verouderde gegevens bij personeelswisselingen beperkt. Addendum A.4 werkt de bereikbaarheid nader uit; dat spreekt tabel 2 niet tegen, maar beperkt de bereikbaarheid buiten 08.00-17.00 uur tot het telefoonnummer.

“Tabel 2: Contactgegevens (NB: ook buiten kantooruren).”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F053

“Contactpunt Verwerkingsverantwoordelijke (privacy/functionele meldingen, ook buiten kantooruren) | Functionele mailbox Privacy Gemeente Voorbeeldstad | privacy@voorbeeldstad.example, 0800-0000001”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F054

“Contactpunt Verwerker (security/incidenten, 24x7, ook buiten kantooruren) | Security Operations Center Leverancier Fictief BV | soc@fictief.example, 0800-0000002”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F054

“Contactgegevens IBD | Informatiebeveiligingsdienst | telefoonnummer: 070-204 55 11, e-mailadres: privacy@vng.nl”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F054

“De contactpunten in tabel 2 van Bijlage 1 zijn op werkdagen tussen 08.00 en 17.00 uur bereikbaar via de vermelde mailbox en het vermelde telefoonnummer, en daarbuiten via het vermelde telefoonnummer.”A.4 Bereikbaarheid en reactietermijn van de contactpunten (aanvulling op Bijlage 1, tabel 2) · fragment F077

De Standaard regelt teruggave en wissing na afloop niet zelf maar verwijst naar de hoofdovereenkomst; er moeten dus in de hoofdovereenkomst, in een addendum bij de hoofdovereenkomst of in een addendum bij de VWO concrete afspraken staan over exit, teruggave en wissing (art. 28 lid 3 onder g AVG).

Bron: IBD Standaard VWO v2.54, art. 7.1 en toelichting 2.3, 7.1: teruggave en wissing geregeld in de hoofdovereenkomst of een addendum (GIBIT 2025 art. 27.14 en 29 als voorbeeld)

Datavoogd signaleert dat artikel 7.1 de standaardverwijzing naar de Hoofdovereenkomst bevat, maar dat die Hoofdovereenkomst (HO-2024-017) niet is bijgevoegd en dat geen artikelnummers (bijvoorbeeld GIBIT 2025 art. 27.14 en 29) van toepassing zijn verklaard. Addendum A.3 vult dit gedeeltelijk aan met bewaartermijnen, wissing uit back-ups binnen 30 dagen en een verwijderingsbevestiging op verzoek, maar regelt niet de exit zelf: keuze tussen teruggave of wissing, termijn en formaat van teruggave, doorwerking naar subverwerkers en een verklaring van vernietiging ontbreken. De exit-afspraken zijn daarmee niet volledig controleerbaar in het overgelegde geheel.

“7.1 Partijen moeten in de Hoofdovereenkomst afspraken maken over de beëindiging van de Hoofdovereenkomst en de daaruit voortvloeiende teruggave en wissing van Persoonsgegevens.”Artikel 7 Beëindigen verwerkersovereenkomst · fragment F041

“Gegevens die uit de productieomgeving zijn verwijderd, worden uiterlijk binnen 30 dagen ook uit back-ups overschreven of vernietigd. Logbestanden die Persoonsgegevens bevatten worden niet langer dan twaalf maanden bewaard, tenzij een wettelijke plicht of een lopend onderzoek naar een Inbreuk langer bewaren vereist. Na afloop van een bewaartermijn verwijdert Verwerker de Persoonsgegevens en bevestigt dit op verzoek schriftelijk aan Verwerkingsverantwoordelijke.”A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1) · fragment F075

“2.2 Deze Verwerkersovereenkomst eindigt op het moment dat Verwerker de verwerking van Persoonsgegevens op grond van de Hoofdovereenkomst heeft beëindigd en de afspraken over het teruggeven en/of wissen van Persoonsgegevens zijn nagekomen.”Artikel 2 Ingangsdatum en duur · fragment F020

“Partijen hebben op 1 maart 2024 de Hoofdovereenkomst HO-2024-017 van 1 maart 2024 (levering en beheer app meldingen woonoverlast / zaaksysteem Voorbeeldzaak), hierna Hoofdovereenkomst, afgesloten”Overwegen het volgende: · fragment F010

De Standaard laat doorgifte buiten de EER toe als aan art. 45 of 46 AVG is voldaan, met alleen een kennisgeving vooraf; de verantwoordelijke hoeft niet in te stemmen. Voor een gemeente kan dat te ruim zijn. Datavoogd signaleert of de VWO doorgifte uitsluit, aan toestemming bindt, of de ruime standaardtekst ongewijzigd overneemt.

Bron: Bekend gat: IBD Standaard VWO v2.54 art. 4.3 staat verwerking buiten de EER toe zonder toestemming (alleen kennisgeving vooraf); Hekkelman, IBD-model onder de loep; art. 28 lid 3 onder a AVG

Datavoogd signaleert dat de ruime standaardtekst van artikel 4.3 wel is overgenomen, maar dat addendum A.1 daar uitdrukkelijk van afwijkt door doorgifte buiten de EER — inclusief toegang op afstand voor beheer of ondersteuning — te binden aan voorafgaande schriftelijke toestemming en een in bijlage 1 benoemd instrument. Het addendum bepaalt bovendien dat het bij strijdigheid voorgaat op de artikelen waarnaar het verwijst (F069), zodat het bekende gat hier expliciet is gedicht. In tabel 1 en tabel 3 staan alleen verwerkingslocaties binnen de EER (Nederland, Duitsland) en is het doorgifte-instrument telkens 'Niet van toepassing', wat consistent is met het toestemmingsvereiste. Van een geldig doorgifte-instrument is daarom nu geen sprake omdat er geen verwerking buiten de EER is voorzien.

“4.3 Verwerking buiten de EER Verwerker mag Persoonsgegevens buiten de Europese Economische Ruimte (laten) verwerken wanneer is voldaan aan de voorwaarden van artikel 45 of 46 AVG. Wanneer er sprake is van een verwerking buiten de EER, dan stelt Verwerker Verwerkingsverantwoordelijke daarvan vooraf op de hoogte.”Artikel 4 Inhoudelijke afspraken · fragment F028

“In afwijking van artikel 4.3 vindt verwerking van Persoonsgegevens buiten de Europese Economische Ruimte, daaronder begrepen toegang op afstand voor beheer of ondersteuning, uitsluitend plaats na voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke en op basis van een in Bijlage 1 benoemd doorgifte-instrument met de daarbij horende aanvullende maatregelen.”A.1 Verwerking buiten de EER (aanvulling op artikel 4.3) · fragment F071

“Nederland (EER); tweedelijns support vanuit Duitsland (EER)”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F052

“Duitsland (EER) | Niet van toepassing | Niet van toepassing”Bijlage 1: Overzicht van te verwerken persoonsgegevens, contactgegevens partijen en overzicht ingeschakelde subverwerkers · fragment F056

Art. 28 lid 3 AVG eist dat de verwerker de verantwoordelijke onmiddellijk informeert als een instructie naar zijn oordeel inbreuk maakt op de AVG. De Standaard regelt dit alleen in de toelichting (die volgens de Standaard wel onderdeel is van de overeenkomst). Datavoogd signaleert of de VWO dit expliciet in de artikeltekst heeft opgenomen.

Bron: Bekend gat: melding van een onrechtmatige instructie staat alleen in de toelichting bij art. 3.1 van de IBD Standaard VWO v2.54, niet in de artikeltekst; Hekkelman; art. 28 lid 3 slotzin AVG

Datavoogd signaleert dat het bekende gat in de Standaard hier is gedicht: artikel 3.1 van de hoofdtekst zwijgt over een instructie die in strijd is met de AVG, maar A.2 van het addendum regelt dit expliciet met de norm 'zonder onredelijke vertraging' en een opschortingsplicht tot schriftelijke reactie. Het addendum is een bindende contractuele aanvulling (geen toelichting) en gaat blijkens F069 bij strijdigheid voor. De bepaling sluit daarmee aan op de slotzin van art. 28 lid 3 AVG.

“Als een schriftelijke instructie van Verwerkingsverantwoordelijke naar het oordeel van Verwerker in strijd is met de AVG of de UAVG, informeert Verwerker Verwerkingsverantwoordelijke daarover zonder onredelijke vertraging en schort Verwerker de uitvoering van die instructie op totdat Verwerkingsverantwoordelijke schriftelijk heeft gereageerd.”A.2 Instructie in strijd met de AVG (aanvulling op artikel 3.1) · fragment F073

“In aanvulling op de Standaard Verwerkersovereenkomst Gemeenten (versie 2.54) komen Partijen het volgende overeen. Bij strijdigheid gaat dit addendum voor op de artikelen waarnaar het verwijst.”Addendum bij de Standaard Verwerkersovereenkomst · fragment F069

“Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke”Artikel 3 Onderwerp van deze Verwerkersovereenkomst · fragment F023

Aansprakelijkheid, exit-strategie en de uitvoering van audits zijn in de Standaard bewust niet geregeld maar doorverwezen naar de hoofdovereenkomst of een addendum. Ontbreken die afspraken daar, dan is er voor de verwerking van persoonsgegevens niets geregeld. Datavoogd signaleert of de hoofdovereenkomst, een addendum of bijlage 3 (GIBIT 2025 art. 17, 27.14, 28 en 29) deze afspraken bevat en of een aansprakelijkheidsbeperking ook de AVG-boetes raakt.

Bron: Bekend gat: IBD Standaard VWO v2.54 art. 6.1 en 7.1 verwijzen aansprakelijkheid, exit en audits naar de hoofdovereenkomst (toelichting 2.3, bijlage 3 GIBIT 2025); Hekkelman

Datavoogd signaleert dat de overeenkomst aansprakelijkheid (art. 6.1) en exit/teruggave en wissing (art. 7.1) doorverwijst naar Hoofdovereenkomst HO-2024-017, die niet is overgelegd; de afspraken over aansprakelijkheid en exit zijn daarom niet te controleren. Er is geen bijlage 3 of verwijzing naar de GIBIT 2025 (art. 17, 27.14, 28, 29) in het document opgenomen, en evenmin is vastgelegd of de aansprakelijkheidsbeperking ook boetes van de toezichthouder raakt. Het addendum regelt in A.3 wel bewaartermijnen en verwijdering na afloop van een bewaartermijn, maar niet de teruggave of wissing bij be\u00ebindiging van de dienstverlening. Audits zijn in art. 4.2 inhoudelijk geregeld (medewerking, certificeringsuitzondering, kostenverdeling), maar de praktische uitvoering staat niet uitgewerkt; de FG kan de Hoofdovereenkomst opvragen om deze drie onderwerpen te verifi\u00ebren.

“6.1 Eventuele in de Hoofdovereenkomst overeengekomen beperkingen van de aansprakelijkheid hebben ook betrekking op de Verwerkersovereenkomst.”Artikel 6 Aansprakelijkheid · fragment F039

“4.2 Audits Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen”Artikel 4 Inhoudelijke afspraken · fragment F027

“Na afloop van een bewaartermijn verwijdert Verwerker de Persoonsgegevens en bevestigt dit op verzoek schriftelijk aan Verwerkingsverantwoordelijke.”A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1) · fragment F075

Bij regel IBD-GAT-3 zijn een of meer citaten niet geverifieerd: citaat komt niet letterlijk voor in F041; verwijderd

“6.1 Eventuele in de Hoofdovereenkomst overeengekomen beperkingen van de aansprakelijkheid hebben ook betrekking op de Verwerkersovereenkomst.”Artikel 6 Aansprakelijkheid · fragment F039

“4.2 Audits Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen”Artikel 4 Inhoudelijke afspraken · fragment F027

“Na afloop van een bewaartermijn verwijdert Verwerker de Persoonsgegevens en bevestigt dit op verzoek schriftelijk aan Verwerkingsverantwoordelijke.”A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1) · fragment F075