Privacy-vragenlijst invullen als verwerker
Verwerk je persoonsgegevens voor een klant, bijvoorbeeld omdat je software klantgegevens opslaat? Dan ben je onder de AVG meestal verwerker, en moet je klant kunnen aantonen dat hij een verwerker met voldoende waarborgen heeft gekozen. Daarom krijg je een privacy-vragenlijst, vaak tegelijk met de verwerkersovereenkomst.
Wat er bijna altijd in staat
| Onderwerp | Typische vraag |
|---|---|
| Rol en verwerkersovereenkomst | Ben je verwerker? Is er een verwerkersovereenkomst volgens artikel 28 AVG? |
| Subverwerkers | Welke subverwerkers gebruik je, en hoe meld je een nieuwe? |
| Locatie en doorgifte | Waar staan de gegevens? Gaan ze buiten de EER, en op welke grond? |
| Beveiliging | Welke technische en organisatorische maatregelen neem je (artikel 32)? |
| Datalekken | Hoe snel meld je een inbreuk aan de klant? |
| Rechten van betrokkenen | Hoe help je bij inzage-, correctie- en verwijderverzoeken? |
| Bewaren en verwijderen | Hoe lang bewaar je gegevens, en wat gebeurt er aan het einde van het contract? |
| Audits | Mag de klant controleren of je je aan de afspraken houdt? |
De belangrijkste regel: één verhaal
Je privacyverklaring, je verwerkersovereenkomst, je subverwerkerslijst en je antwoorden in de vragenlijst moeten hetzelfde zeggen. Een inkoper of privacy officer legt ze naast elkaar. Staat in de vragenlijst “gegevens blijven in de EU” en in je subverwerkerslijst een Amerikaanse dienst zonder uitleg, dan heb je een probleem.
Welk bewijs je klaar wilt hebben
- je standaard-verwerkersovereenkomst
- een actuele lijst van subverwerkers, met dienst, land en doorgiftegrond
- een beschrijving van je technische en organisatorische maatregelen
- je procedure voor datalekken en hoe snel je de klant informeert
- je bewaartermijnen en wat er met gegevens gebeurt bij einde contract
- je verwerkingsregister voor de verwerkingen die je namens klanten doet
Zo pak je het aan
- Bepaal je rol per verwerking. Meestal ben je verwerker, maar voor sommige gegevens (bijvoorbeeld je eigen facturatie of productanalyse) kun je zelf verwerkingsverantwoordelijke zijn. Zeg dat eerlijk.
- Controleer je subverwerkers. Ook je hosting, e-mail, supporttool en AI-diensten tellen mee.
- Wees precies over doorgifte. Noem het land en de grond, zoals standaardcontractbepalingen of een adequaatheidsbesluit.
- Beloof alleen haalbare termijnen. De AVG vraagt een verwerker een inbreuk “zonder onredelijke vertraging” te melden. Spreek een termijn af die je echt haalt.
- Leg alles naast je verwerkersovereenkomst. Antwoorden en contract moeten kloppen.
Hoe Holdvero helpt
Wij vullen de privacy-vragenlijst in op basis van jouw eigen documentatie, met bij elk antwoord de bron, en we signaleren waar je antwoorden en je verwerkersovereenkomst elkaar tegenspreken. Tot 150 vragen valt dit onder Questionnaire Rescue (€695, 3–5 werkdagen). Holdvero geeft geen juridisch advies; je verwerkersovereenkomst laat je toetsen door een jurist.
Veelgestelde vragen
Ben ik verwerker of verwerkingsverantwoordelijke?
Verwerk je gegevens in opdracht en volgens instructies van je klant, dan ben je meestal verwerker. Bepaal je zelf het doel, dan ben je verwerkingsverantwoordelijke. Het kan per verwerking verschillen; laat twijfelgevallen juridisch toetsen.
Moet ik een lijst van subverwerkers openbaar maken?
Je moet je klant informeren over je subverwerkers en over wijzigingen. Veel leveranciers publiceren de lijst daarom op hun website. Dat scheelt vragen.
Hoe snel moet ik een datalek melden aan mijn klant?
Zonder onredelijke vertraging, zegt de AVG. Je klant moet zelf in principe binnen 72 uur melden bij de toezichthouder, dus spreek een korte, haalbare termijn af.
Gebruik ik AI-diensten als subverwerker?
Als een AI-dienst persoonsgegevens van je klant verwerkt, is dat in de regel een subverwerker. Neem hem op in je lijst.
Hulp nodig bij een privacy-vragenlijst?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan