Toetsing verwerkersovereenkomst

De overeenkomst beschrijft het onderwerp en de duur van de verwerking.

Bron: AVG art. 28 lid 3, aanhef: onderwerp en duur van de verwerking

Datavoogd signaleert dat het onderwerp herkenbaar is beschreven: verwerking ten behoeve van de raamovereenkomst voor dagelijks onderhoud en reparatieverzoeken aan circa 4.000 huurwoningen (kenmerk RO-2026-012), nader uitgewerkt in Bijlage 1. De duur is gekoppeld aan die met kenmerk genoemde hoofdovereenkomst, met een einde- en voortduringsregeling in artikel 2.3 en 2.4. Een concrete einddatum of looptijd van RO-2026-012 zelf staat niet in het document; er zijn geen aanwijzingen dat de looptijd is verstreken.

“Partijen hebben op 1 maart 2026 een Overeenkomst met betrekking tot Raamovereenkomst voor dagelijks onderhoud en reparatieverzoeken aan circa 4.000 huurwoningen gesloten met kenmerk RO-2026-012. Ter uitvoering van deze Overeenkomst worden Persoonsgegevens verwerkt.”Overwegende dat: · fragment F009

“Deze Verwerkersovereenkomst is onderdeel van de Overeenkomst en zal gelden voor zolang de Overeenkomst duurt.”2. Totstandkoming, duur en beëindiging van deze Verwerkersovereenkomst · fragment F029

“Anders, namelijk: Uitvoeren van dagelijks onderhoud en reparatieverzoeken aan huurwoningen; Afspraken maken met bewoners over reparatiebezoeken; Facturatie van uitgevoerde werkzaamheden aan de corporatie; Gebruik van de planningsapplicatie van Planningsoftware Fictief BV voor het inplannen van opdrachten”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F086

“Deze Verwerkersovereenkomst treedt in werking op de datum waarop Partijen deze ondertekenen.”2. Totstandkoming, duur en beëindiging van deze Verwerkersovereenkomst · fragment F028

De overeenkomst beschrijft de aard en het doel van de verwerking.

Bron: AVG art. 28 lid 3, aanhef: aard en doel van de verwerking

Datavoogd signaleert dat de aard en het doel van de verwerking in Bijlage 1 zijn uitgewerkt: de hoofdtekst verwijst voor de doeleinden naar Bijlage 1 en die bijlage benoemt concrete handelingen (opdrachten ontvangen, afspraak inplannen, reparatie uitvoeren, vastleggen en factureren) en doelen die specifiek zijn voor dagelijks onderhoud en reparatieverzoeken. Dit gaat verder dan een generieke opsomming van AVG-verwerkingsvormen zoals in de definitie in artikel 1.2. De beschrijving sluit aan op de raamovereenkomst van 1 maart 2026 en op het gebruik van de planningsapplicatie, en oogt daarmee actueel.

“Anders, namelijk: Uitvoeren van dagelijks onderhoud en reparatieverzoeken aan huurwoningen; Afspraken maken met bewoners over reparatiebezoeken; Facturatie van uitgevoerde werkzaamheden aan de corporatie; Gebruik van de planningsapplicatie van Planningsoftware Fictief BV voor het inplannen van opdrachten”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F086

“Anders, namelijk: Ontvangen en verwerken van reparatieopdrachten van de corporatie; Contact opnemen met de bewoner en een afspraak inplannen voor het bezoek; Uitvoeren van de reparatie op het adres van de bewoner; Vastleggen en afhandelen van de opdracht en factureren aan de corporatie”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F092

“In Bijlage 1 wordt opgenomen welke Persoonsgegevens Verwerker precies zal verwerken en voor welke verwerkingsdoeleinden.”3. Verwerken Persoonsgegevens · fragment F034

De overeenkomst benoemt welke soorten persoonsgegevens worden verwerkt en van welke categorieën betrokkenen.

Bron: AVG art. 28 lid 3, aanhef: soort persoonsgegevens en categorieën van betrokkenen

Datavoogd signaleert dat Bijlage 1 de gegevenscategorieën per soort opsomt (voornaam, achternaam, adres, telefoonnummer, e-mailadres, omschrijving van het gebrek en door de bewoner zelf gemelde bijzonderheden) en de categorie betrokkenen benoemt (bewoners/huurders, circa 4.000 huishoudens). BSN is expliciet uitgesloten en gezondheidsgerelateerde bijzonderheden zijn expliciet benoemd als mogelijk spontaan gemeld. De gegevens sluiten aan bij de in Bijlage 1 beschreven dienst (reparatie- en onderhoudsopdrachten) en bij de recente datering van hoofdovereenkomst en risicotoets in 2026. Wel valt op dat Bijlage 2 vakje B (bijzondere/gevoelige gegevens, verhoogd risicoprofiel) aankruist terwijl vakje A (gewone gegevens) leeg blijft, wat op het eerste gezicht schuurt met de formulering in Bijlage 1.

“Voornaam | Bewoners/huurders | 2 jaar na afronding van de opdracht”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F098

“Bewoners/huurders van de corporatie | circa 4.000 huishoudens”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F096

“Bijzondere persoonsgegevens en BSN: Er wordt geen BSN verwerkt en er worden geen bijzondere persoonsgegevens opgevraagd. Wel kan een bewoner bij het maken van een afspraak uit zichzelf een gezondheidsgerelateerde bijzonderheid melden, bijvoorbeeld dat hij slecht ter been is; deze informatie wordt alleen gebruikt voor het inplannen en uitvoeren van het bezoek.”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F099

“☒ B. Bijzondere of gevoelige persoonsgegevens: zoals strafrechtelijk verleden, etnische afkomst, politieke opvattingen, BSN, gezondheid, biometrie en/of religieuze overtuigingen (verhoogd risicoprofiel)”Bijlage 2: Overzicht met beveiligingsmaatregelen · fragment F108

De overeenkomst beschrijft de rechten en verplichtingen van de verwerkingsverantwoordelijke.

Bron: AVG art. 28 lid 3, aanhef: rechten en verplichtingen van de verwerkingsverantwoordelijke

Datavoogd signaleert dat de rechten en verplichtingen van de verantwoordelijke op hoofdlijnen zijn vastgelegd: instructierecht en zeggenschap (F033), auditrecht en keuze voor zelfevaluatie (F046, F049), bezwaar tegen subverwerkers (F037) en de eigen verantwoordelijkheid voor melden aan toezichthouder en betrokkenen (F062). Niet vastgelegd is echter wie namens de corporatie instructies geeft (functie of rol) en via welk kanaal of in welke vorm instructies worden gegeven; alleen voor toestemming voor verwerking buiten de EER wordt een rol genoemd. Die genoemde rol, 'de algemeen directeur van Verwerkingsverantwoordelijke' (F053), sluit niet aan op de aanhef, waarin de corporatie wordt vertegenwoordigd door de directeur-bestuurder en de algemeen directeur juist de vertegenwoordiger van Verwerker is (F004, F006). De in de bijlagen genoemde contactpunten (privacy officer, AVG-mailbox) zijn uitsluitend gekoppeld aan datalekmeldingen, niet aan het geven van instructies.

“Verwerker verwerkt alleen Persoonsgegevens in opdracht van Verwerkingsverantwoordelijke en Verwerker heeft geen zeggenschap over de Persoonsgegevens. Verwerker volgt instructies van Verwerkingsverantwoordelijke ten aanzien van de verwerking op en mag de Persoonsgegevens niet op een andere manier verwerken, tenzij Verwerkingsverantwoordelijke Verwerker daar van tevoren toestemming of opdracht voor geeft”3. Verwerken Persoonsgegevens · fragment F033

“Verwerkingsverantwoordelijke heeft één keer per jaar, of vaker indien daartoe een concrete en aantoonbare aanleiding bestaat, het recht de naleving van deze Verwerkersovereenkomst te (laten) controleren, bijvoorbeeld door middel van een audit.”4. Beveiligen Persoonsgegevens · fragment F046

“Ook mag Verwerker de Betrokkenen niet informeren over het Datalek. Deze verantwoordelijkheid ligt bij Verwerkingsverantwoordelijke.”7. Datalekken · fragment F062

“zonder daarvoor voorafgaande schriftelijke toestemming van de algemeen directeur van Verwerkingsverantwoordelijke”5. Exporteren Persoonsgegevens · fragment F053

“Woningcorporatie Voorbeeldwonen, statutair gevestigd te Voorbeeldstad, vertegenwoordigd door de directeur-bestuurder, hierna te noemen: 'Verwerkingsverantwoordelijke'”Verwerkersovereenkomst Onderhoudsbedrijf Fictief BV · fragment F004

De verwerker verwerkt uitsluitend op basis van schriftelijke instructies van de verantwoordelijke, ook wat betreft doorgifte naar een derde land of internationale organisatie, tenzij Unie- of lidstaatrecht de verwerker daartoe verplicht; in dat geval meldt de verwerker die verplichting vooraf, tenzij de wet dat verbiedt.

Bron: AVG art. 28 lid 3 onder a: verwerking uitsluitend op schriftelijke instructies

Datavoogd signaleert dat de instructiebepaling aanwezig is (art. 3.1) en dat de inhoudelijke instructies via art. 3.2 zijn ingevuld in Bijlage 1, die concrete diensten, doelen, gegevens en bewaartermijnen benoemt. Doorgifte buiten de EER is expliciet geregeld: verboden zonder voorafgaande schriftelijke toestemming, met een adequaatheidsbesluit of passende waarborgen als voorwaarde; Bijlage 5 bevestigt dat er nu geen doorgifte plaatsvindt. De meldplicht bij een wettelijke verwerkingsplicht, inclusief de uitzondering als de wet kennisgeving verbiedt, is opgenomen. Het genoemde doorgifte-instrument (SCC's C/2021/3972) is de huidige versie.

“Verwerker verwerkt alleen Persoonsgegevens in opdracht van Verwerkingsverantwoordelijke en Verwerker heeft geen zeggenschap over de Persoonsgegevens. Verwerker volgt instructies van Verwerkingsverantwoordelijke ten aanzien van de verwerking op en mag de Persoonsgegevens niet op een andere manier verwerken, tenzij Verwerkingsverantwoordelijke Verwerker daar van tevoren toestemming of opdracht voor geeft of Verwerker hiertoe op grond van een Unierechtelijke of lidstatelijke bepaling verplicht is. In dit laatste geval stelt Verwerker Verwerkingsverantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.”3. Verwerken Persoonsgegevens · fragment F033

“In Bijlage 1 wordt opgenomen welke Persoonsgegevens Verwerker precies zal verwerken en voor welke verwerkingsdoeleinden.”3. Verwerken Persoonsgegevens · fragment F034

“Verwerker mag geen Persoonsgegevens (laten) verwerken buiten de EER, ook niet door Subverwerkers en/of andere personen of organisaties, zonder daarvoor voorafgaande schriftelijke toestemming van de algemeen directeur van Verwerkingsverantwoordelijke.”5. Exporteren Persoonsgegevens · fragment F053

“komen Verwerkingsverantwoordelijke en Verwerker de Standard Contractual Clauses van de Europese Commissie (C/2021/3972), met indien wenselijk daarin opgenomen extra waarborgen, overeen”5. Exporteren Persoonsgegevens · fragment F055

De verwerker waarborgt dat personen die gemachtigd zijn de gegevens te verwerken zich tot vertrouwelijkheid hebben verbonden of onder een wettelijke geheimhoudingsplicht vallen.

Bron: AVG art. 28 lid 3 onder b: vertrouwelijkheid van gemachtigde personen

Datavoogd signaleert dat artikel 6 een geheimhoudingsbepaling bevat die zowel eigen personeel als ingeschakelde hulppersonen omvat en die is geborgd via een geheimhoudingsbeding in de (arbeids-)contracten. Artikel 2.4 regelt dat de geheimhoudingsplicht van Verwerker voortduurt na beëindiging van de Verwerkersovereenkomst. Niet uitgewerkt is of de geheimhouding van individuele medewerkers, tijdelijke krachten en ZZP'ers ook na einde van hun dienstverband of inzet blijft gelden, en of dit voor niet-contractueel gebonden inhuur op andere wijze is vastgelegd (bijvoorbeeld een aparte geheimhoudingsverklaring).

“Verwerker zal de verstrekte Persoonsgegevens geheim houden, tenzij dit op basis van een wettelijke verplichting niet kan.”6. Geheimhouding · fragment F057

“Verwerker zorgt dat zijn/haar personeel en ingeschakelde hulppersonen zich aan deze geheimhouding houden, door een geheimhoudingsplicht in de (arbeids-)contracten op te nemen.”6. Geheimhouding · fragment F058

“Na beëindiging van deze Verwerkersovereenkomst zullen de lopende verplichtingen voor Verwerker, zoals het melden van Datalekken waarbij Persoonsgegevens van Verwerkingsverantwoordelijke betrokken zijn en de plicht tot geheimhouding blijven voortduren.”2. Totstandkoming, duur en beëindiging van deze Verwerkersovereenkomst · fragment F031

De verwerker neemt alle op grond van art. 32 vereiste maatregelen (passende technische en organisatorische beveiliging).

Bron: AVG art. 28 lid 3 onder c, in samenhang met art. 32: beveiliging van de verwerking

Datavoogd signaleert dat de overeenkomst een beveiligingsbepaling bevat (artikel 4.1-4.2) met een gevulde Bijlage 2 waarin concrete maatregelen staan: versleuteling, MFA, ISO 27001-certificering, gegevensscheiding en BIC 2.0 als kader. Het normenkader is dus genoemd, maar van het ISO 27001-certificaat ontbreken nummer, geldigheidsduur en reikwijdte (welke dienst, welke locatie), zodat niet vaststaat of de gecertificeerde scope deze onderhoudsdienst en de planningsapplicatie dekt. Ook maatregelen rond logging, toegangsbeheer en back-up (bewaartermijn) zijn niet benoemd, terwijl Bijlage 1 wel back-ups in Nederland vermeldt. Bijlage 2 is niet gedateerd of geversioneerd, waardoor de actualiteit ten opzichte van de contractdatum 1 oktober 2026 niet is te beoordelen.

“Verwerker zorgt ervoor dat de Persoonsgegevens voldoende worden beveiligd. Om verlies en onrechtmatige verwerkingen te voorkomen neemt Verwerker passende technische en organisatorische maatregelen.”4. Beveiligen Persoonsgegevens · fragment F043

“Deze maatregelen zijn afgestemd op het risico van de Verwerking. Een overzicht van deze maatregelen en het beleid daaromtrent wordt opgenomen in Bijlage 2.”4. Beveiligen Persoonsgegevens · fragment F044

“☒ Anders, namelijk: Certificering ISO 27001; Multifactorauthenticatie (MFA)”Bijlage 2: Overzicht met beveiligingsmaatregelen · fragment F117

“Onderhoudsbedrijf Fictief BV is ISO 27001 gecertificeerd en past versleuteling en MFA toe. De corporatie werkt volgens de Baseline Informatiebeveiliging Corporaties (BIC 2.0). Op 15 februari 2026 is een risicotoets privacy en cybersecurity uitgevoerd.”Bijlage 2: Overzicht met beveiligingsmaatregelen · fragment F118

“Verwerker is verplicht de verwerkte persoonsgegevens strikt gescheiden te houden van andere (persoons)gegevens (van derden en/of zichzelf).”Bijlage 2: Overzicht met beveiligingsmaatregelen · fragment F105

De verwerker schakelt geen andere verwerker in zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verantwoordelijke; bij algemene toestemming informeert hij over beoogde wijzigingen zodat de verantwoordelijke bezwaar kan maken (lid 2). De verwerker legt dezelfde verplichtingen op aan de subverwerker en blijft jegens de verantwoordelijke aansprakelijk (lid 4).

Bron: AVG art. 28 lid 3 onder d, in samenhang met lid 2 en lid 4: inschakelen van subverwerkers

Datavoogd signaleert dat het document een uitgewerkte subverwerkersbepaling bevat: schriftelijke kennisgeving vooraf, een bezwaartermijn van 30 dagen met gevolg (bij uitblijven van overeenstemming wordt de subverwerker niet ingeschakeld) en contractuele doorlegging van de verplichtingen. Bijlage 1 vult dit aan met specifieke toestemming voor Planningsoftware Fictief BV, met de vermelding dat er een verwerkersovereenkomst tussen Verwerker en Subverwerker is. Hoofdtekst en bijlage sluiten op elkaar aan; er wordt niet verwezen naar een vervallen kanaal of contactpunt.

“Verwerker mag een Subverwerker inschakelen die is gevestigd binnen de Europese Economische Ruimte (EER) en daarbinnen Persoonsgegevens zal verwerken, mits hij Verwerkingsverantwoordelijke hiervan schriftelijk in kennis heeft gesteld en Verwerkingsverantwoordelijke conform artikel 3.5 hierna geen bezwaar heeft gemaakt.”3. Verwerken Persoonsgegevens · fragment F036

“Verwerkingsverantwoordelijke kan, binnen dertig (30) dagen na de schriftelijke melding van Verwerker en onder opgaaf van redenen, bezwaar maken tegen het inschakelen, waaronder toevoegingen en vervangingen, van Subverwerkers zoals bedoeld in artikel 3.4 hierboven.”3. Verwerken Persoonsgegevens · fragment F037

“Verwerker waarborgt contractueel en blijft ervoor verantwoordelijk dat alle door hem ingeschakelde Subverwerkers de verplichtingen ten aanzien van de Verwerking van Persoonsgegevens, zoals vervat in de Overeenkomst en deze Verwerkersovereenkomst, naleven”3. Verwerken Persoonsgegevens · fragment F038

“Verwerkingsverantwoordelijke verleent conform artikel 3.4 toestemming aan Verwerker voor het laten uitvoeren van de volgende handelingen met persoonsgegevens door de volgende sub-verwerkers:”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F100

De verwerker helpt de verantwoordelijke, rekening houdend met de aard van de verwerking, met passende technische en organisatorische maatregelen om te voldoen aan verzoeken van betrokkenen (hoofdstuk III AVG).

Bron: AVG art. 28 lid 3 onder e: bijstand bij verzoeken van betrokkenen

Datavoogd signaleert dat de overeenkomst bijstand bij verzoeken van betrokkenen regelt met een termijn van 14 dagen (binnen de maand van art. 12 lid 3 AVG) en dat is vastgelegd hoe rechtstreekse verzoeken worden behandeld: onverwijld melden, niet zelf beantwoorden en doorverwijzen naar de verantwoordelijke. Niet beschreven is welke concrete functionaliteit of werkwijze beschikbaar is om een verzoek uit te voeren, zoals een export van gegevens per betrokkene of het doorvoeren van rectificatie en verwijdering; artikel 9 regelt alleen verwijdering en teruggave van de gehele gegevensset. Ook is niet vastgelegd of aan deze bijstand kosten verbonden zijn.

“Wanneer Verwerkingsverantwoordelijke een verzoek van een Betrokkene ontvangt ten aanzien van het uitoefenen van zijn of haar rechten, dan werkt Verwerker daar binnen een termijn van 14 dagen aan mee. Deze rechten bestaan uit een verzoek om inzage, verbetering, aanvulling, verwijdering of afscherming, bezwaar maken tegen de verwerking van de Persoonsgegevens en een verzoek tot overdraagbaarheid van de eigen Persoonsgegevens.”3. Verwerken Persoonsgegevens · fragment F039

“Verwerker stelt de Verwerkingsverantwoordelijke onverwijld in kennis van elk verzoek dat hij van een Betrokkene ontvangt ten aanzien van de verwerking van Persoonsgegevens door Verwerker namens Verwerkingsverantwoordelijke. Verwerker antwoordt niet zelf op het verzoek, tenzij de Verwerkingsverantwoordelijke daartoe toestemming en/of opdracht heeft gegeven.”3. Verwerken Persoonsgegevens · fragment F040

“Indien het voor Verwerker niet direct duidelijk is of de Betrokkene een verzoek doet ten aanzien van de Persoonsgegevens die Verwerker namens Verwerkingsverantwoordelijke verwerkt, dan zal Verwerker de Betrokkene te kennen geven dat het verzoek aan de betreffende verwerkingsverantwoordelijke kan worden gericht”3. Verwerken Persoonsgegevens · fragment F041

De verwerker helpt de verantwoordelijke bij het nakomen van de verplichtingen uit art. 32 t/m 36: beveiliging, melden van inbreuken aan de toezichthouder en aan betrokkenen, gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging.

Bron: AVG art. 28 lid 3 onder f: bijstand bij art. 32 t/m 36 (beveiliging, datalekken, DPIA, voorafgaande raadpleging)

Datavoogd signaleert dat de bijstand bij datalekken en bij beveiliging is uitgewerkt (meldtermijn van 24 uur, proces en informatielijst in Bijlage 3, jaarlijkse beveiligingsrapportage), maar dat een bepaling over bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens in de hoofdtekst en de bijlagen ontbreekt. Bijlage 4 vermeldt alleen een door de verantwoordelijke afgenomen risicotoets en een afspraak om die binnen 12 maanden te actualiseren, zonder vast te leggen welke informatie de verwerker daarvoor levert en binnen welke termijn. Daarmee is voor twee van de drie onderwerpen niet vastgelegd wat de verwerker levert; voor het datalekonderdeel wordt de concreetheid afzonderlijk getoetst onder AP2025-2.1 t/m 2.4.

“In geval van een ontdekking van een mogelijk Datalek zal Verwerker Verwerkingsverantwoordelijke hierover informeren binnen een termijn van 24 uur overeenkomstig het proces volgend uit Bijlage 3, zodat Verwerkingsverantwoordelijke indien nodig een melding van het Datalek bij de Toezichthouder kan doen.”7. Datalekken · fragment F060

“Verwerker zal Verwerkingsverantwoordelijke op de hoogte houden van nieuwe ontwikkelingen rondom het Datalek, ook zal Verwerker de getroffen maatregelen om het Datalek te beperken en te beëindigen en een soortgelijk incident in de toekomst te kunnen voorkomen, overleggen aan Verwerkingsverantwoordelijke.”7. Datalekken · fragment F061

“Verwerkingsverantwoordelijke heeft op 15 februari 2026 een Risicotoets Privacy en Cybersecurity afgenomen rondom de in deze verwerkersovereenkomst omschreven diensten en het hieruit voortkomende gebruik van persoonsgegevens.”Bijlage 4: Risicotoets Privacy en Cybersecurity en afspraken rondom maatregelen · fragment F143

“Ter controle van de genomen beveiligingsmaatregelen zal Verwerker aan Verwerkingsverantwoordelijke ieder jaar een rapportage sturen waarin de genomen maatregelen staan en de eventuele aandachts- en/of verbeterpunten.”4. Beveiligen Persoonsgegevens · fragment F045

Na afloop van de dienstverlening wist de verwerker alle persoonsgegevens of geeft hij ze terug, naar keuze van de verantwoordelijke, en wist hij bestaande kopieën, tenzij Unie- of lidstaatrecht opslag voorschrijft.

Bron: AVG art. 28 lid 3 onder g: wissen of teruggeven na afloop

Datavoogd signaleert dat artikel 9 een exit-bepaling bevat met keuze tussen teruggave en wissen, het wissen van bestaande kopieën, een schriftelijke bevestiging en doorwerking naar subverwerkers, inclusief uitzondering voor wettelijke bewaarplicht. De termijn blijft echter open ('binnen een redelijke termijn') en het formaat van teruggave wordt pas later in overleg bepaald. Over back-ups en de termijn waarbinnen die zijn overschreven bevat het document geen bepaling; Bijlage 1 noemt alleen de bewaartermijn van 2 jaar na afronding van de opdracht tijdens de looptijd. Daarmee is de bepaling aanwezig maar op de punten termijn, formaat en back-ups nog niet ingevuld.

“Bij het eindigen van deze Verwerkersovereenkomst zal Verwerker op eigen kosten, op verzoek en ter keuze van Verwerkingsverantwoordelijke binnen een redelijke termijn alle Persoonsgegevens aan Verwerkingsverantwoordelijke (i) ter beschikking stellen in een in overleg met Verwerkingsverantwoordelijke te bepalen gangbaar formaat en vervolgens alle bestaande kopieën wissen of (ii) alle Persoonsgegevens wissen, tenzij opslag voor Verwerker verplicht is op grond van een wettelijke verplichting.”9. Teruggave Persoonsgegevens en bewaartermijn · fragment F072

“Verwerker zal na de teruggave en/of vernietiging op verzoek van de Verwerker van de Persoonsgegevens schriftelijk aan Verwerkingsverantwoordelijke verklaren niet langer in het bezit te zijn van de Persoonsgegevens en/of in voorkomend geval verklaren op grond van welke wet en ten aanzien van welke Persoonsgegevens hij verplicht is tot opslag.”9. Teruggave Persoonsgegevens en bewaartermijn · fragment F073

“Verwerker is eveneens verantwoordelijk voor een gelijke naleving van dit artikel 9 door eventuele sub-verwerkers.”9. Teruggave Persoonsgegevens en bewaartermijn · fragment F074

De verwerker stelt alle informatie ter beschikking die nodig is om naleving van art. 28 aan te tonen, en maakt audits en inspecties door de verantwoordelijke of een door hem gemachtigde auditor mogelijk en werkt eraan mee.

Bron: AVG art. 28 lid 3 onder h: informatie en audits

Datavoogd signaleert dat de overeenkomst een informatie- en auditbepaling bevat: een jaarlijkse rapportage, een auditrecht van minimaal eenmaal per jaar (vaker bij concrete aanleiding) dat ook door een derde kan worden uitgeoefend ('te (laten) controleren'), en een expliciete kostenverdeling. Zelfevaluatie via vragenlijst is een alternatief, maar vervangt het auditrecht niet: de verantwoordelijke kan alsnog een volledige audit uitvoeren. Een aankondigingstermijn ontbreekt en Verwerker mag 'redelijke nadere eisen' aan een audit stellen. Of het in Bijlage 2 genoemde ISO 27001-certificaat op de toetsdatum geldig is, blijkt niet uit de tekst (geen certificaatnummer of geldigheidsduur), zodat actualiteit hier niet te beoordelen is.

“Ter controle van de genomen beveiligingsmaatregelen zal Verwerker aan Verwerkingsverantwoordelijke ieder jaar een rapportage sturen waarin de genomen maatregelen staan en de eventuele aandachts- en/of verbeterpunten. Hiervoor brengt Verwerker geen kosten in rekening aan Verwerkingsverantwoordelijke.”4. Beveiligen Persoonsgegevens · fragment F045

“Verwerkingsverantwoordelijke heeft één keer per jaar, of vaker indien daartoe een concrete en aantoonbare aanleiding bestaat, het recht de naleving van deze Verwerkersovereenkomst te (laten) controleren, bijvoorbeeld door middel van een audit. Verwerker verleent hierbij naar redelijkheid zijn medewerking en verstrekt hiertoe alle relevante informatie.”4. Beveiligen Persoonsgegevens · fragment F046

“De kosten van een audit, alsmede de voor de audit te maken (vooraf kenbaar gemaakte en door Verwerkingsverantwoordelijke schriftelijk geaccordeerde) arbeidskosten van Verwerker worden gedragen door Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat Verwerker zich niet aan de verplichtingen in deze Verwerkersovereenkomst houdt.”4. Beveiligen Persoonsgegevens · fragment F047

“Indien de beantwoording van de vragenlijst naar mening van Verwerkingsverantwoordelijke onvoldoende aantoont dat Verwerker conform deze Verwerkersovereenkomst persoonsgegevens verwerkt, dan is Verwerkingsverantwoordelijke gerechtigd alsnog een (volledige) audit uit te voeren.”4. Beveiligen Persoonsgegevens · fragment F049

De verwerker stelt de verantwoordelijke onmiddellijk in kennis als een instructie naar zijn mening inbreuk maakt op de AVG of ander Unie- of lidstaatrecht over gegevensbescherming.

Bron: AVG art. 28 lid 3, slotzin: melden van een instructie die in strijd is met de AVG

Datavoogd signaleert dat artikel 4.6 een meldplicht bevat met de term "onmiddellijk", maar dat deze uitsluitend verwijst naar instructies "als bedoeld in artikel 4.4", het artikel over controle en audit. Daarmee lijkt de meldplicht niet te zien op verwerkingsinstructies in het algemeen, zoals de slotzin van art. 28 lid 3 AVG vraagt. Ook ontbreekt een regeling over wat de verwerker in de tussentijd met de betwiste instructie doet (opschorten of overleg). Om die twee redenen is niet aan de eis van concreetheid voldaan.

“4.6 Indien Verwerker meent dat een instructie van Verwerkingsverantwoordelijke als bedoeld in artikel 4.4 van deze Verwerkersovereenkomst, een inbreuk oplevert op geldende wet- en regelgeving, waaronder de AVG, stelt hij Verwerkingsverantwoordelijke hiervan onmiddellijk op de hoogte.”4. Beveiligen Persoonsgegevens · fragment F048

“Verwerker volgt instructies van Verwerkingsverantwoordelijke ten aanzien van de verwerking op en mag de Persoonsgegevens niet op een andere manier verwerken”3. Verwerken Persoonsgegevens · fragment F033

De overeenkomst is toegesneden op deze verwerking en herhaalt niet alleen de tekst van art. 28 AVG.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 5: AVG-vereisten herhalen is niet genoeg

Datavoogd signaleert dat de hoofdtekst grotendeels de sjabloonformulering van art. 28 AVG volgt (F081: "De artikelen zijn ongewijzigd overgenomen"), maar dat de bijlagen dienstspecifiek zijn ingevuld: onderwerp en duur, aard en doel, gegevenscategorieën met bewaartermijn, categorieën betrokkenen met aantallen, autorisaties, verwerkingslocaties, subverwerker en beveiligingsmaatregelen. De kernonderwerpen ART28-00 t/m 03 en AP2025-1.1 t/m 1.5 zijn daarmee niet uitsluitend met wettekst ingevuld; er is geen aanwijzing voor een louter papieren verwerkersovereenkomst. Wel bevatten de bijlagen en de ondertekeningsblokken nog enkele niet ingevulde velden.

“☒ Anders, namelijk: Uitvoeren van dagelijks onderhoud en reparatieverzoeken aan huurwoningen; Afspraken maken met bewoners over reparatiebezoeken; Facturatie van uitgevoerde werkzaamheden aan de corporatie; Gebruik van de planningsapplicatie van Planningsoftware Fictief BV voor het inplannen van opdrachten”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F086

“Voornaam | Bewoners/huurders | 2 jaar na afronding van de opdracht”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F098

“Planningsoftware Fictief BV | Utrecht, Nederland | 00000002 | Levering en hosting van de planningsapplicatie waarin naam, adres, telefoonnummer, e-mailadres en de omschrijving van het gebrek van de bewoner worden verwerkt | ja | Nederland (EER) | Nee | <aantal>”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F101

“Opslag, verwerking en back-up vinden plaats in Nederland (EER). De planningsapplicatie wordt gehost door Planningsoftware Fictief BV te Utrecht, Nederland.”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F102

De overeenkomst beschrijft hoe de verwerking plaatsvindt: welke systemen, welke handelingen, waar de gegevens staan en wie erbij kan.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 5-6: hoe wordt verwerkt

Datavoogd signaleert dat Bijlage 1 de verwerking concreet beschrijft: het gebruikte systeem (de planningsapplicatie van Planningsoftware Fictief BV), de handelingen (opdracht ontvangen, afspraak inplannen, reparatie uitvoeren, factureren), de locatie van opslag, verwerking en back-up (Nederland, EER, hosting te Utrecht) en wie toegang heeft (6 planners en monteurs). De hoofdtekst zelf blijft algemeen (artikel 3.2 verwijst naar Bijlage 1), maar bijlage en hoofdtekst spreken elkaar niet tegen. De genoemde systemen en locaties sluiten aan bij de risicotoets van 15 februari 2026 en ogen actueel.

“Gebruik van de planningsapplicatie van Planningsoftware Fictief BV voor het inplannen van opdrachten”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F086

“Opslag, verwerking en back-up vinden plaats in Nederland (EER). De planningsapplicatie wordt gehost door Planningsoftware Fictief BV te Utrecht, Nederland.”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F102

“6 | Planners en monteurs”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F094

“Ontvangen en verwerken van reparatieopdrachten van de corporatie; Contact opnemen met de bewoner en een afspraak inplannen voor het bezoek; Uitvoeren van de reparatie op het adres van de bewoner; Vastleggen en afhandelen van de opdracht en factureren aan de corporatie”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F092

De overeenkomst legt vast hoelang de verwerker de gegevens bewaart, per gegevenscategorie of verwerking, inclusief logbestanden en back-ups.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: duur en bewaartermijnen, dataminimalisatie

Datavoogd signaleert dat Bijlage 1 per gegevenscategorie een in tijd uitgedrukte bewaartermijn bevat (2 jaar na afronding van de opdracht), die in artikel 9.1 bindend is verklaard, en dat Bijlage 2 dezelfde termijn herhaalt. Voor logbestanden en back-ups ontbreekt echter een eigen termijn: back-ups worden alleen naar locatie benoemd en logging komt in de tekst niet voor. Daarmee is de bepaling op het punt van logging en back-ups niet volledig geconcretiseerd.

“Anders: omschrijving van het gebrek en gegevens over de opdracht/afspraak | Bewoners/huurders | 2 jaar na afronding van de opdracht”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F098

“De Verwerker houdt zich gedurende de looptijd van de Overeenkomst aan de bewaartermijnen die Verwerker en Verwerkingsverantwoordelijke zijn overeengekomen in Bijlage 1 bij deze Verwerkersovereenkomst en verwijdert Persoonsgegevens op verzoek van Verwerkingsverantwoordelijke, tenzij Verwerker wettelijk verplicht is de Persoonsgegevens te bewaren.”9. Teruggave Persoonsgegevens en bewaartermijn · fragment F071

“Opslag, verwerking en back-up vinden plaats in Nederland (EER).”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F102

De doelen van de verwerking zijn concreet benoemd en de verwerker mag de gegevens niet voor eigen doelen gebruiken.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: doelen van de verwerking

Datavoogd signaleert dat de doelen in Bijlage 1 per dienst concreet zijn benoemd op het niveau van de corporatietaak (reparatieverzoeken, afspraken met bewoners, facturatie, gebruik planningsapplicatie) en aansluiten bij de beschreven werkzaamheden. Eigen gebruik door de verwerker wordt afgebakend via artikel 3.1: alleen verwerken in opdracht, geen zeggenschap, niet op andere wijze tenzij de verantwoordelijke toestemming geeft. Een uitdrukkelijk verbod op gebruik in geanonimiseerde of geaggregeerde vorm, voor productverbetering, analyse of modeltraining ontbreekt echter; dit wordt alleen indirect afgedekt door de instructiegebondenheid. De doelomschrijving dekt de huidige functionaliteit, inclusief de ingeschakelde planningsapplicatie.

“☒ Anders, namelijk: Uitvoeren van dagelijks onderhoud en reparatieverzoeken aan huurwoningen; Afspraken maken met bewoners over reparatiebezoeken; Facturatie van uitgevoerde werkzaamheden aan de corporatie; Gebruik van de planningsapplicatie van Planningsoftware Fictief BV voor het inplannen van opdrachten”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F086

“☒ Anders, namelijk: Ontvangen en verwerken van reparatieopdrachten van de corporatie; Contact opnemen met de bewoner en een afspraak inplannen voor het bezoek; Uitvoeren van de reparatie op het adres van de bewoner; Vastleggen en afhandelen van de opdracht en factureren aan de corporatie”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F092

“Verwerker verwerkt alleen Persoonsgegevens in opdracht van Verwerkingsverantwoordelijke en Verwerker heeft geen zeggenschap over de Persoonsgegevens. Verwerker volgt instructies van Verwerkingsverantwoordelijke ten aanzien van de verwerking op en mag de Persoonsgegevens niet op een andere manier verwerken”3. Verwerken Persoonsgegevens · fragment F033

“deze informatie wordt alleen gebruikt voor het inplannen en uitvoeren van het bezoek”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F099

De gegevenscategorieën zijn concreet opgesomd (zie ook ART28-02), met expliciete vermelding of uitsluiting van bijzondere persoonsgegevens, strafrechtelijke gegevens en BSN.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: soort persoonsgegevens

Datavoogd signaleert dat Bijlage 1 de gegevens per veld opsomt (naam, adres, telefoonnummer, e-mailadres, omschrijving van het gebrek en door de bewoner zelf gemelde bijzonderheden) en dat BSN en bijzondere persoonsgegevens expliciet aan bod komen, met een toelichting op mogelijke gezondheidsinformatie. Strafrechtelijke gegevens (art. 10 AVG) worden nergens expliciet benoemd of uitgesloten, waarmee niet aan alle drie de expliciete vermeldingen uit de regel is voldaan. Verder signaleert Datavoogd spanning tussen Bijlage 1 ('geen bijzondere persoonsgegevens opgevraagd') en Bijlage 2, waar uitsluitend hokje B (bijzondere of gevoelige gegevens, waaronder BSN en strafrechtelijk verleden) is aangekruist en hokje A voor gewone gegevens niet. De opsomming zelf sluit inhoudelijk aan bij de beschreven onderhouds- en reparatiedienst.

“Voornaam | Bewoners/huurders | 2 jaar na afronding van de opdracht Achternaam | Bewoners/huurders | 2 jaar na afronding van de opdracht Adres | Bewoners/huurders | 2 jaar na afronding van de opdracht Telefoonnummer | Bewoners/huurders | 2 jaar na afronding van de opdracht E-mailadres | Bewoners/huurders | 2 jaar na afronding van de opdracht”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F098

“Er wordt geen BSN verwerkt en er worden geen bijzondere persoonsgegevens opgevraagd. Wel kan een bewoner bij het maken van een afspraak uit zichzelf een gezondheidsgerelateerde bijzonderheid melden, bijvoorbeeld dat hij slecht ter been is; deze informatie wordt alleen gebruikt voor het inplannen en uitvoeren van het bezoek.”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F099

“☒ B. Bijzondere of gevoelige persoonsgegevens: zoals strafrechtelijk verleden, etnische afkomst, politieke opvattingen, BSN, gezondheid, biometrie en/of religieuze overtuigingen (verhoogd risicoprofiel)”Bijlage 2: Overzicht met beveiligingsmaatregelen · fragment F108

De categorieën betrokkenen zijn concreet benoemd (zie ook ART28-02), inclusief kwetsbare groepen (minderjarigen, mensen in schuldhulp of zorg) als die aan de orde zijn.

Bron: AP aanbeveling 1 (maak afspraken zo concreet mogelijk), p. 6: categorieën van betrokkenen

Datavoogd signaleert dat Bijlage 1 één categorie betrokkenen benoemt die herkenbaar aansluit op de dienst: bewoners/huurders van de corporatie, met een aantal van circa 4.000 huishoudens. Deze aanduiding is specifieker dan een generieke verwijzing naar 'betrokkenen' en komt overeen met de omschrijving in Bijlage 2 (F109), zodat hoofdtekst en bijlagen op dit punt consistent lijken. Wel valt op dat wordt geteld in huishoudens, terwijl alleen 'bewoners/huurders' als categorie is benoemd; medebewoners, minderjarige huisgenoten of contactpersonen die bij een reparatieafspraak in beeld kunnen komen worden niet apart genoemd.

“Categorie betrokkenen | Aantal Bewoners/huurders van de corporatie | circa 4.000 huishoudens”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F096

“Anders: door de bewoner zelf gemelde bijzonderheden bij het maken van een afspraak (bijvoorbeeld dat hij slecht ter been is) | Bewoners/huurders | 2 jaar na afronding van de opdracht”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F098

“Hoeveel personen zijn betrokken: circa 4.000 huishoudens (bewoners van circa 4.000 huurwoningen).”Bijlage 2: Overzicht met beveiligingsmaatregelen · fragment F109

Voor het melden van een inbreuk in verband met persoonsgegevens is aan beide kanten een contactpunt vastgelegd.

Bron: AP aanbeveling 1, datalekafspraken, p. 6: actueel, bereikbaar en concreet contactpunt bij een datalek

Datavoogd signaleert dat Bijlage 3 aan beide kanten een contactpunt vastlegt: bij de verantwoordelijke de privacy officer met functionele mailbox en telefoonnummer, bij de verwerker de security officer met eigen functioneel e-mailadres en nummer. De contactpunten zijn aan een rol gekoppeld en niet aan een met naam genoemde persoon, waardoor ze niet van één individu afhankelijk zijn. Bijlage 2 herhaalt dezelfde gegevens, wat onderling consistent is met Bijlage 3 en met artikel 7.1 van de hoofdtekst.

“Toegewezen contactpersoon: privacy officer. Telefoonnummer: 0800-0000003. E-mailadres: privacy@voorbeeldwonen.example. Geef de gegevens ook door aan avg@voorbeeldwonen.example.”Bijlage 3: Proces rondom het melden van Datalekken en de te verstrekken informatie · fragment F131

“Contactpersoon Onderhoudsbedrijf Fictief BV (privacy officer, security officer of functionaris gegevensbescherming): security officer. Telefoonnummer: 0800-0000004. E-mailadres: security@fictief.example.”Bijlage 3: Proces rondom het melden van Datalekken en de te verstrekken informatie · fragment F141

“Contact corporatie: privacy@voorbeeldwonen.example, 0800-0000003, AVG-mailbox avg@voorbeeldwonen.example. Contact verwerker: security@fictief.example, 0800-0000004.”Bijlage 2: Overzicht met beveiligingsmaatregelen · fragment F118

Vastgelegd is wanneer het contactpunt bereikbaar is, ook buiten kantooruren en in weekend en vakantie, zodat de 72-uurstermijn van art. 33 AVG haalbaar blijft.

Bron: AP aanbeveling 1, datalekafspraken, p. 6: bereikbaarheid van het contactpunt (gezamenlijke mailbox)

Datavoogd signaleert dat de overeenkomst wel contactpersonen en contactgegevens aan beide zijden vastlegt (F131, F141), maar nergens vastlegt wanneer die contactpunten bereikbaar zijn: er zijn geen bereikbaarheidstijden, geen 24/7-afspraak en geen piket- of escalatieregeling als het primaire contactpunt niet reageert. Bijlage 3 volstaat met "Neem direct contact op" zonder tijdvenster. Daarmee is niet in tijden uitgedrukt hoe de meldketen buiten kantooruren, in het weekend en in vakantieperioden werkt.

“Toegewezen contactpersoon: privacy officer. Telefoonnummer: 0800-0000003. E-mailadres: privacy@voorbeeldwonen.example. Geef de gegevens ook door aan avg@voorbeeldwonen.example.”Bijlage 3: Proces rondom het melden van Datalekken en de te verstrekken informatie · fragment F131

De termijn waarbinnen de verwerker een inbreuk aan de verantwoordelijke meldt is vastgelegd en laat de verantwoordelijke voldoende tijd om binnen 72 uur na kennisname aan de AP te melden (art. 33 lid 1 en 2 AVG).

Bron: AP aanbeveling 1, datalekafspraken, p. 7: termijn in uren voor de dataleknotificatie

Datavoogd signaleert dat artikel 7.1 een termijn in uren vastlegt: 24 uur, gerekend vanaf de ontdekking van een mogelijk Datalek, dus ook bij een vermoeden en zonder dat eerst intern onderzoek hoeft te zijn afgerond. Die termijn laat de verantwoordelijke in beginsel ruimte om binnen 72 uur na kennisname aan de AP te melden. Doorwerking naar Subverwerkers is niet expliciet in artikel 7 geregeld, maar loopt indirect via de algemene doorleggingsplicht van artikel 3.6.

“In geval van een ontdekking van een mogelijk Datalek zal Verwerker Verwerkingsverantwoordelijke hierover informeren binnen een termijn van 24 uur overeenkomstig het proces volgend uit Bijlage 3, zodat Verwerkingsverantwoordelijke indien nodig een melding van het Datalek bij de Toezichthouder kan doen.”7. Datalekken · fragment F060

“Verwerker waarborgt contractueel en blijft ervoor verantwoordelijk dat alle door hem ingeschakelde Subverwerkers de verplichtingen ten aanzien van de Verwerking van Persoonsgegevens, zoals vervat in de Overeenkomst en deze Verwerkersovereenkomst, naleven”3. Verwerken Persoonsgegevens · fragment F038

Vastgelegd is welke informatie de verwerker bij een melding levert, aansluitend op wat de verantwoordelijke aan de AP moet melden (art. 33 lid 3 AVG): aard van de inbreuk, categorieën en aantallen betrokkenen en gegevens, waarschijnlijke gevolgen, genomen en voorgestelde maatregelen.

Bron: AP aanbeveling 1, datalekafspraken, p. 7: minimale inhoud van de dataleknotificatie

Datavoogd signaleert dat Bijlage 3 een concrete lijst met te verstrekken informatie bevat (contactgegevens, datum/tijd, omschrijving van het incident, welke gegevens en van wie) en dat artikel 7.2 verplicht tot het overleggen van getroffen maatregelen en nieuwe ontwikkelingen. Niet expliciet benoemd zijn de (geschatte) aantallen betrokkenen en records, de waarschijnlijke gevolgen van de inbreuk en de voorgestelde (nog te nemen) maatregelen. Voor nalevering van nog ontbrekende informatie is alleen een open formulering opgenomen ('op de hoogte houden van nieuwe ontwikkelingen') zonder termijn. Artikel 7.3 legt het informeren van betrokkenen bij de verantwoordelijke, maar een verplichting tot medewerking aan het onderzoek en aan die informatievoorziening (art. 34 AVG) ontbreekt.

“Te verstrekken informatie bij een melding:”Bijlage 3: Proces rondom het melden van Datalekken en de te verstrekken informatie · fragment F132

“4. Een omschrijving van het incident”Bijlage 3: Proces rondom het melden van Datalekken en de te verstrekken informatie · fragment F136

“7. Of er mogelijk gegevens zijn gelekt of verloren gegaan; zo ja, van wie en welke gegevens”Bijlage 3: Proces rondom het melden van Datalekken en de te verstrekken informatie · fragment F139

“Verwerker zal Verwerkingsverantwoordelijke op de hoogte houden van nieuwe ontwikkelingen rondom het Datalek, ook zal Verwerker de getroffen maatregelen om het Datalek te beperken en te beëindigen en een soortgelijk incident in de toekomst te kunnen voorkomen, overleggen aan Verwerkingsverantwoordelijke.”7. Datalekken · fragment F061

“Verwerker mag geen melding van een Datalek aan de Toezichthouder doen, wanneer bij het Datalek Persoonsgegevens van Verwerkingsverantwoordelijke betrokken zijn. Ook mag Verwerker de Betrokkenen niet informeren over het Datalek. Deze verantwoordelijkheid ligt bij Verwerkingsverantwoordelijke.”7. Datalekken · fragment F062

De ingeschakelde subverwerkers zijn met naam benoemd, met vestigingsland, de dienst die zij leveren en de locatie van verwerking.

Bron: AP aanbeveling 2 (houd grip op de hele leveranciersketen), p. 8-9: zicht op subverwerkers, waar gevestigd en welke verwerkingen

Datavoogd signaleert dat Bijlage 1 één subverwerker met naam, vestigingsadres en land, KvK-nummer, geleverde dienst, verwerkte gegevens en verwerkingslocatie (Nederland, EER) benoemt, wat aansluit op wat de toetsregel vraagt. De hoofdtekst is gedateerd 1 oktober 2026 en Bijlage 1 is specifiek voor deze verwerking ingevuld; de bijlage draagt zelf geen eigen versienummer. In de kolom 'Aantal personen met toegang' staat nog de placeholder '<aantal>'.

“Planningsoftware Fictief BV | Utrecht, Nederland | 00000002 | Levering en hosting van de planningsapplicatie waarin naam, adres, telefoonnummer, e-mailadres en de omschrijving van het gebrek van de bewoner worden verwerkt | ja | Nederland (EER) | Nee | <aantal>”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F101

“Opslag, verwerking en back-up vinden plaats in Nederland (EER). De planningsapplicatie wordt gehost door Planningsoftware Fictief BV te Utrecht, Nederland.”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F102

“Verwerkingsverantwoordelijke verleent conform artikel 3.4 toestemming aan Verwerker voor het laten uitvoeren van de volgende handelingen met persoonsgegevens door de volgende sub-verwerkers:”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F100

Er is een procedure voor het toevoegen, wijzigen of vervangen van subverwerkers: hoe en wanneer wordt aangekondigd, hoe de verantwoordelijke bezwaar maakt en wat het gevolg van bezwaar is.

Bron: AP aanbeveling 2 (houd grip op de hele leveranciersketen), p. 9, en art. 28 lid 2 AVG: instemming met subverwerkers en wijzigingen

Datavoogd signaleert dat artikel 3.4 en 3.5 een procedure bevatten voor toevoeging, wijziging en vervanging van subverwerkers: aankondiging gebeurt schriftelijk, de bezwaartermijn is uitgedrukt in dertig dagen en het gevolg van bezwaar is beschreven (overleg en, zolang er geen overeenstemming is, niet inschakelen). Bijlage 1 sluit hierop aan door de enige subverwerker met naam op te nemen als reeds gegeven toestemming. De tekst noemt geen termijn tussen de schriftelijke melding en het feitelijke inschakelen, en biedt geen kosteloze opzegmogelijkheid bij blijvend bezwaar.

“Verwerker mag een Subverwerker inschakelen die is gevestigd binnen de Europese Economische Ruimte (EER) en daarbinnen Persoonsgegevens zal verwerken, mits hij Verwerkingsverantwoordelijke hiervan schriftelijk in kennis heeft gesteld en Verwerkingsverantwoordelijke conform artikel 3.5 hierna geen bezwaar heeft gemaakt.”3. Verwerken Persoonsgegevens · fragment F036

“Verwerkingsverantwoordelijke kan, binnen dertig (30) dagen na de schriftelijke melding van Verwerker en onder opgaaf van redenen, bezwaar maken tegen het inschakelen, waaronder toevoegingen en vervangingen, van Subverwerkers”3. Verwerken Persoonsgegevens · fragment F037

“Voor zover Partijen nog geen overeenstemming hebben bereikt, zal Verwerker de desbetreffende Subverwerker niet inschakelen.”3. Verwerken Persoonsgegevens · fragment F037

De overeenkomst maakt expliciet of persoonsgegevens buiten de EER worden verwerkt of toegankelijk zijn (ook bij subverwerkers, support op afstand en back-ups), naar welk land, en op basis van welk doorgifte-instrument uit hoofdstuk V AVG.

Bron: AP aanbeveling 2 (houd grip op de hele leveranciersketen), p. 8: vestigingsplaats subverwerkers; art. 28 lid 3 onder a en hoofdstuk V AVG: doorgifte buiten de EER

Datavoogd signaleert dat de hoofdtekst verwerking buiten de EER uitsluit zonder voorafgaande schriftelijke toestemming en dat de bijlagen dit bevestigen: de enige subverwerker is in Utrecht (Nederland) gevestigd en verwerkt daar, en opslag, verwerking en back-up vinden in Nederland plaats; Bijlage 5 verklaart de SCC's niet van toepassing. Hoofdtekst en bijlagen zijn op dit punt onderling consistent; er is geen tegenstrijdige clausule die doorgifte 'waar nodig' toestaat. Voor een eventuele toekomstige doorgifte verwijst artikel 5 naar een adequaatheidsbesluit (art. 45) of de modelcontractbepalingen van 2021 (C/2021/3972), een actueel instrument. Support op afstand wordt niet apart benoemd, maar de locatiebeschrijving noemt opslag, verwerking en back-up wel expliciet.

“Verwerker mag geen Persoonsgegevens (laten) verwerken buiten de EER, ook niet door Subverwerkers en/of andere personen of organisaties, zonder daarvoor voorafgaande schriftelijke toestemming van de algemeen directeur van Verwerkingsverantwoordelijke.”5. Exporteren Persoonsgegevens · fragment F053

“Opslag, verwerking en back-up vinden plaats in Nederland (EER). De planningsapplicatie wordt gehost door Planningsoftware Fictief BV te Utrecht, Nederland.”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F102

“Niet van toepassing: alle verwerking, inclusief die door Subverwerkers, vindt plaats binnen de EER (zie Bijlage 1).”Bijlage 5: Standard Contractual Clauses, inclusief Data Transfer Impact Assessment (SCC's + DTIA) · fragment F145

“komen Verwerkingsverantwoordelijke en Verwerker de Standard Contractual Clauses van de Europese Commissie (C/2021/3972), met indien wenselijk daarin opgenomen extra waarborgen, overeen”5. Exporteren Persoonsgegevens · fragment F055

De overeenkomst en de bijlagen zijn gedateerd en geversioneerd, zodat vaststaat welke versie geldt en wanneer die voor het laatst is herzien.

Bron: AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 10-11: bijhouden en periodiek herzien

Datavoogd signaleert dat de hoofdtekst wel een datum draagt (1 oktober 2026) maar geen eigen versienummer; het genoemde versienummer 1.3 van 12 september 2023 betreft het onderliggende Aedes-sjabloon, niet deze overeenkomst. De bijlagen 1 tot en met 5 hebben zelf geen datum of versieaanduiding, zodat niet vaststaat welke versie van een bijlage geldt en wanneer die voor het laatst is herzien; alleen Bijlage 4 noemt een uitvoeringsdatum van de risicotoets (15 februari 2026). Harde verouderingssignalen ontbreken: er wordt verwezen naar de AVG, de UAVG en de modelbepalingen C/2021/3972 van 2021, niet naar Wbp, Safe Harbor of Privacy Shield. De beoordeling of de nu vermelde datum te oud is, laat Datavoogd aan de FG.

“Datum: 1 oktober 2026”Verwerkersovereenkomst Onderhoudsbedrijf Fictief BV · fragment F002

“Datum en plaats: <datum en plaats> | Datum en plaats: <datum en plaats>”Aldus door Partijen overeengekomen en ondertekend: · fragment F080

“Dit concept is gebaseerd op het sjabloon verwerkersovereenkomst uit de AVG Routeplanner voor woningcorporaties (Aedes, ontwikkeld door Privacy Company), versie 1.3 van 12 september 2023.”Aldus door Partijen overeengekomen en ondertekend: · fragment F081

“Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F082

“de Standard Contractual Clauses van de Europese Commissie (C/2021/3972)”5. Exporteren Persoonsgegevens · fragment F055

Partijen hebben afgesproken wanneer en hoe de overeenkomst en bijlagen worden herzien: periodiek en bij wijzigingen in de verwerking, de subverwerkers, de wetgeving of de beveiliging.

Bron: AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 11: periodiek herzien van afspraken

Datavoogd signaleert dat het document alleen een algemene wijzigingsbepaling kent (art. 10.3) en losse afspraken over actualisering van de risicotoets (Bijlage 4) en overleg bij wijziging van beveiligingsmaatregelen (art. 4.9). Een herzieningsbepaling voor de overeenkomst en de bijlagen zelf, met frequentie én triggers (wijziging in de verwerking, subverwerkers, wetgeving, beveiliging), ontbreekt. Ook is geen procedure vastgelegd om bijlagen bij te werken via bijvoorbeeld een gedateerd addendum met versienummer, zonder de hele overeenkomst opnieuw te tekenen. De enige termijn die wel is vastgelegd (12 maanden na de toets van 15 februari 2026) is op de documentdatum 1 oktober 2026 nog niet verstreken.

“10.3 Afwijkingen van deze Verwerkersovereenkomst zijn slechts geldig wanneer Partijen dit samen schriftelijk afspreken.”10. Slotbepalingen · fragment F078

“Partijen spreken af binnen 12 maanden de toets te actualiseren.”Bijlage 4: Risicotoets Privacy en Cybersecurity en afspraken rondom maatregelen · fragment F143

“4.9 Wanneer Verwerkingsverantwoordelijke vaststelt dat een wijziging in de te nemen beveiligingsmaatregelen noodzakelijk is, treden Partijen in overleg over de wijziging daarvan.”4. Beveiligen Persoonsgegevens · fragment F051

De bijlagen (gegevens, betrokkenen, subverwerkers, beveiliging) beschrijven de verwerking zoals die nu plaatsvindt, en zijn onderling en met de hoofdtekst consistent.

Bron: AP aanbeveling 3 (geef meer prioriteit aan opstellen en bijhouden), p. 10-11: afspraken sluiten aan op de praktijk; gebruik van bijlagen

Datavoogd signaleert dat alle vijf bijlagen zijn ingevuld en op hoofdlijnen aansluiten op de hoofdtekst: de subverwerkerslijst (Nederland, EER) spreekt de doorgiftebepaling in artikel 5 niet tegen en bijlage 5 verklaart de SCC's om die reden niet van toepassing. Wel valt op dat bijlage 1 stelt dat geen bijzondere persoonsgegevens en geen BSN worden verwerkt, terwijl bijlage 2 uitsluitend het vakje 'bijzondere of gevoelige persoonsgegevens (verhoogd risicoprofiel)' aankruist en het vakje voor gewone gegevens leeg laat; dat is een onderlinge spanning die mogelijk uit de zelfgemelde gezondheidsbijzonderheid voortkomt maar niet als zodanig is toegelicht. Verder bevat de subverwerkerstabel nog de openstaande plaatshouder '<aantal>' bij het aantal personen met toegang. Datavoogd kan alleen de interne consistentie en datering van de bijlagen beoordelen; of de bijlagen de feitelijke verwerking beschrijven, moet de FG bij de organisatie nagaan.

“Bijzondere persoonsgegevens en BSN: Er wordt geen BSN verwerkt en er worden geen bijzondere persoonsgegevens opgevraagd.”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F099

“☒ B. Bijzondere of gevoelige persoonsgegevens: zoals strafrechtelijk verleden, etnische afkomst, politieke opvattingen, BSN, gezondheid, biometrie en/of religieuze overtuigingen (verhoogd risicoprofiel)”Bijlage 2: Overzicht met beveiligingsmaatregelen · fragment F108

“Planningsoftware Fictief BV | Utrecht, Nederland | 00000002 | Levering en hosting van de planningsapplicatie waarin naam, adres, telefoonnummer, e-mailadres en de omschrijving van het gebrek van de bewoner worden verwerkt | ja | Nederland (EER) | Nee | <aantal>”Bijlage 1: Overzicht met verwerkingen van Persoonsgegevens en verwerkingsdoelen · fragment F101

“Niet van toepassing: alle verwerking, inclusief die door Subverwerkers, vindt plaats binnen de EER (zie Bijlage 1).”Bijlage 5: Standard Contractual Clauses, inclusief Data Transfer Impact Assessment (SCC's + DTIA) · fragment F145

Buiten de toetsregels (gezien bij ART28-H): Artikel 4.6 verwijst voor de meldplicht bij een onrechtmatige instructie naar 'een instructie ... als bedoeld in artikel 4.4', wat een auditbepaling is; die kruisverwijzing lijkt onjuist.