Een leverancier die klantgegevens ontvangt, is niet automatisch uw verwerker. De rol hangt af van wat die partij met de gegevens doet. De verwerkingsverantwoordelijke bepaalt het doel en de belangrijkste middelen; de verwerker voert een verwerking namens die organisatie uit. Bekijk daarom de feitelijke werkwijze voordat u een contract kiest. Deze gids helpt u het gesprek over een nieuwe dienst voor te bereiden.
Begin bij één concrete verwerking
Schrijf voor uw eigen voorbereiding één zin: welke personen, welke gegevens en welke handeling? Bijvoorbeeld: een leverancier verstuurt onze afspraakbevestigingen met naam, e-mailadres en datum. Vraag vervolgens wie bepaalt aan wie berichten worden gestuurd en waarvoor gegevens opnieuw mogen worden gebruikt. Beoordeel afzonderlijke diensten apart. Eenzelfde leverancier kan voor verschillende activiteiten verschillende rollen hebben.
Vraag om een uitleg van de gewone werkdag, niet alleen om een etiket in algemene voorwaarden. Wie opent bestanden, welke instellingen kiest u en welke keuzes maakt de leverancier zelf? Technische uitvoeringskeuzes maken een leverancier op zichzelf nog geen verantwoordelijke. Het gaat om de wezenlijke beslissingen over de verwerking.
Drie situaties om uit elkaar te houden
| Vraag | Mogelijke rol | Vervolg van het gesprek |
|---|---|---|
| Voert de ander alleen uw gegevensopdracht uit? | Verwerker | Beschrijf instructies en de grenzen van de opdracht. |
| Bepaalt de ander een eigen doel? | Zelfstandige verantwoordelijke voor die activiteit | Bespreek afzonderlijk waarom u gegevens mag delen. |
| Bepaalt u samen doel en belangrijke middelen? | Mogelijk gezamenlijke verantwoordelijkheid | Laat de taakverdeling en informatie aan personen beoordelen. |
Voorbeeld: afspraken versturen en eigen onderzoek
Stel: een fietsenmaker kiest welke klanten een onderhoudsbericht krijgen. Een berichtendienst verstuurt die berichten en wist de verzendlijst volgens de opdracht. In dit verzonnen voorbeeld past de rol van verwerker. De fietsenmaker noteert als voorbereiding welke velden nodig zijn en vraagt of een andere hostingpartij toegang krijgt. De dienst kan uitleggen hoe een verkeerd verstuurd bericht wordt gemeld.
Wil dezelfde dienst de herkenbare klantgegevens ook gebruiken voor een eigen onderzoek naar koopgedrag? Dan verandert de vraag. Schrap dat extra gebruik uit de opdracht of laat de aparte verwerking beoordelen. Alleen het woord verwerker toevoegen lost dit niet op. Uw checklist leidt zo tot een concrete vraag vóórdat u een volledige klantenlijst uploadt.
Verzamel antwoorden voordat u tekent
- Vraag welke medewerkers en andere leveranciers gegevens kunnen bereiken, en vanuit welke landen.
- Beschrijf wat u bij een incident of privacyverzoek nodig heeft en wie daarvoor bereikbaar is.
- Bespreek een proefexport en de verwijdering bij vertrek, zodat u weet hoe u de dienst kunt verlaten.
Kies het document na de rolbeoordeling
Een schriftelijke verwerkersovereenkomst past wanneer de leverancier namens u verwerkt. Het document regelt die verhouding; het geeft u geen nieuwe wettelijke reden om gegevens te verzamelen. Een privacyverklaring of NDA vervangt het evenmin. Heeft de leverancier al een passend contract? Controleer dat gratis eerst met uw antwoorden. Een eigen document helpt wanneer concrete afspraken nog ontbreken. Bij eigen of gezamenlijke doelen is een andere beoordeling nodig.