Verwerkersovereenkomst met je webbureau: waarom je die nodig hebt

Ja, je hebt een verwerkersovereenkomst met je webbureau nodig.

Dat geldt zodra dat bureau bij de persoonsgegevens van jouw bezoekers, leads of klanten kan komen. En dat is bijna altijd het geval.

Het verdict: de overeenkomst is geen papierwerk voor de vorm. Ze beschermt vooral jou als opdrachtgever.

Denk aan contactformulieren, een CRM-koppeling, hosting, analytics of gewoon toegang tot je CMS. De GDPR verplicht je dan om de afspraken schriftelijk vast te leggen.

Hieronder: wie wat is, wat erin hoort en hoe je het regelt zonder papierberg.

Wat is een verwerkersovereenkomst en wie is wie?

Een contract waarin je vastlegt hoe een externe partij persoonsgegevens voor jou verwerkt.

In het Engels heet het een Data Processing Agreement of DPA. De afkorting komt rechtstreeks uit de GDPR, in het Nederlands ook wel de AVG genoemd.

De twee rollen

De rolverdeling is de kern:

• Verwerkingsverantwoordelijke: jij. Jouw bedrijf bepaalt waarom en hoe de gegevens verwerkt worden.
• Verwerker: je webbureau en je host. Zij verwerken de gegevens in jouw opdracht, zonder eigen doel.

Bijvoorbeeld: een webbureau dat je formulierinzendingen beheert, of een host die je database op zijn servers bewaart.

Waarom dat onderscheid telt

De wet legt de eindverantwoordelijkheid bij jou als opdrachtgever.

Jij kiest de verwerker en jij geeft de instructies. Jij moet ook kunnen aantonen dat je het netjes geregeld hebt.

De verwerkersovereenkomst is het bewijsstuk daarvan.

Waarom heb je een verwerkersovereenkomst met je webbureau nodig?

Omdat de GDPR het letterlijk verplicht stelt zodra een externe partij persoonsgegevens namens jou verwerkt.

Artikel 28 van de GDPR schrijft voor dat die verwerking geregeld moet zijn in een overeenkomst of een ander bindend rechtsinstrument. De Europese Commissie vat het zo samen.

Er is geen drempel.

Het maakt niet uit hoe groot je bedrijf is of hoeveel gegevens er omgaan.

Waar een webbureau bij je gegevens komt

In de praktijk komt een webbureau bijna altijd bij persoonsgegevens. Vier typische situaties:

• Formulieren: het bouwt en onderhoudt je contactformulieren, met naam, e-mail en telefoonnummer.
• CMS-toegang: het heeft beheerderstoegang, waar inzendingen en gebruikersaccounts in staan.
• Koppelingen: het verbindt je site met je CRM, e-mailtool of analyticssysteem.
• Hosting: het host je site, of regelt dat bij een derde partij.

In al die gevallen kan iemand bij gegevens van echte mensen. Daarmee is de verplichting er.

Hoe je zo’n formulier zelf AVG-conform maakt, lees je in een contactformulier AVG-conform maken.

Wat de overeenkomst voor jou doet

Het is niet alleen een formaliteit. De overeenkomst legt drie dingen vast:

• het bureau gebruikt de gegevens enkel voor jouw doel
• het verkoopt ze niet door
• het beveiligt ze afdoende

Zonder dat papier heb je geen afdwingbare afspraak. Dan draag je het volledige risico alleen.

Het raakt ook aan vertrouwen

Dit raakt ook aan vertrouwen op je B2B-website.

Klanten en prospects laten gegevens achter in de veronderstelling dat je er zorgvuldig mee omgaat.

De keten netjes dichttimmeren met je leveranciers is daar een onzichtbaar maar wezenlijk deel van. Meer daarover in een GDPR-proof website in België.

Is je hostingpartij ook een verwerker?

Ja, je host is in de regel ook een verwerker.

Op zijn servers staan jouw databases, formulierinzendingen en back-ups. Daarmee kan hij technisch bij de persoonsgegevens.

Je hebt dus ook met je host een verwerkersovereenkomst nodig.

Grote providers regelen het vaak standaard

Grote hostingproviders hebben dit meestal standaard geregeld.

Ze bieden een kant-en-klare verwerkersovereenkomst aan. Die aanvaard je digitaal, of ze zit verweven in hun algemene voorwaarden.

Toch controleer je dit beter actief in plaats van het aan te nemen. Vraag je host of webbureau gewoon:

Is er een verwerkersovereenkomst, en waar kan ik die inzien?

Waar je verder op let bij een host, staat in webhosting kiezen voor een B2B-site in België.

Waar staan je gegevens fysiek?

Staan de servers binnen de Europese Economische Ruimte (EER)? Dan is dat het eenvoudigst.

Worden gegevens buiten de EER verwerkt, bijvoorbeeld bij een Amerikaanse cloudleverancier? Dan gelden er extra regels voor die doorgifte, met passende waarborgen.

Dat thema werken we uit in EU-hosting en data residency onder de GDPR.

Vuistregel: een webbureau dat zijn zaken op orde heeft, legt je in een paar zinnen uit waar je data staat.

Ook je tools zijn verwerkers

De rol van verwerker stopt niet bij bureau en host. Ook je CRM, je e-mailtool en je analytics verwerken gegevens in jouw opdracht.

Onze ervaring: wij gebruiken zelf Teamleader als CRM. Ook daar staan leadgegevens, dus ook daar hoort een verwerkersovereenkomst bij.

De homepage van Teamleader, oktober 2026. Een CRM met leads en klanten is een verwerker van je persoonsgegevens.

Voor analytics lees je de details in Google Analytics GDPR-conform.

Wat hoort er in een verwerkersovereenkomst?

Wat de verwerker met je gegevens mag doen en onder welke voorwaarden.

De GDPR somt in artikel 28 een vaste set onderwerpen op die erin moeten staan. Hieronder de negen belangrijkste.

De afspraken over de verwerking zelf

• Onderwerp, duur, aard en doel. Waarvoor en hoe lang, doorlopend of eenmalig?
• Soort gegevens en betrokkenen. Zoals namen, e-mailadressen en IP-adressen, van leads, klanten of bezoekers.
• Verwerking alleen op jouw instructie. De verwerker gebruikt de gegevens niet voor eigen doeleinden.

De afspraken over bescherming

• Geheimhouding. Medewerkers met toegang zijn tot vertrouwelijkheid verplicht.
• Beveiliging. Passende technische en organisatorische maatregelen, zoals encryptie, toegangsbeheer en back-ups.
• Onderaannemers (subverwerkers). Mag het bureau andere partijen inschakelen, en onder welke voorwaarden?

Denk bij onderaannemers aan een externe host of een e-mailtool. Volgens artikel 28 mag dat alleen met jouw voorafgaande schriftelijke toestemming.

Bij een algemene toestemming moet de verwerker je vooraf melden welke partijen erbij komen. Jij kan dan bezwaar maken.

Hoe je die beveiliging zelf toetst, lees je in websitebeveiliging voor B2B.

De afspraken over hulp en einde

• Hulp bij verplichtingen. De verwerker helpt bij verzoeken tot inzage of verwijdering, en meldt datalekken tijdig.
• Einde van de samenwerking. De gegevens worden teruggegeven of verwijderd, naar jouw keuze.
• Controle. De verwerker werkt mee aan audits en levert de informatie om naleving aan te tonen.

Je hoeft niet vanaf nul te schrijven

De meeste verwerkersovereenkomsten volgen een standaardstramien. Je webbureau of host levert doorgaans een eigen versie aan.

Jouw taak is vooral controleren of de punten hierboven erin staan.

En of de afspraken kloppen met de realiteit. Bijvoorbeeld: bij welke onderaannemers komen je gegevens echt terecht?

Wat gebeurt er als je geen verwerkersovereenkomst hebt?

Dan loop jij het risico, want je blijft aansprakelijk voor wat er met de gegevens gebeurt.

Ook als de fout bij je leverancier ligt.

Het ontbreken van een verwerkersovereenkomst is op zich al een inbreuk op de GDPR. Los van de vraag of er ooit iets misgaat.

De boete

De gegevensbeschermingsautoriteit kan bij overtredingen boetes opleggen.

Voor het ontbreken van een correcte verwerkersovereenkomst gaat het om de lagere boetecategorie van artikel 83:

In de praktijk zal een kmo zelden het maximum zien.

Maar het punt is duidelijk: het is een reëel risico, geen theorie.

Bovendien is het reputatieschade die je niet wil als je net vertrouwen opbouwt bij prospects.

Geen grip als het misloopt

Praktischer nog: zonder overeenkomst heb je geen grip.

Je hebt niet zwart op wit dat je leverancier de gegevens beveiligt, niet doorverkoopt of teruggeeft als je vertrekt.

Op het moment dat er iets misloopt, sta je met lege handen.

Hoe regel je dit in de praktijk?

Systematisch, in vier stappen.

Stap 1: maak een lijst van je verwerkers

Wie komt er bij de persoonsgegevens rond je website?

Typisch je webbureau, je host, je analyticstool en je e-mail- of CRM-systeem. Een cookiescan van je website toont welke externe tools op je site draaien.

Stap 2: vraag van elke partij de overeenkomst op

Veel leveranciers hebben er een klaarliggen.

Krijg je er geen, of weet niemand waar het over gaat? Dan is dat een waarschuwingssignaal.

Stap 3: controleer of de essentie erin staat

Gebruik de punten hierboven als checklist.

Let extra op onderaannemers en op waar je gegevens staan.

Stap 4: bewaar alles op één plek

Zo kan je het tonen als de toezichthouder of een klant ernaar vraagt.

Verwijs er ook naar in je privacyverklaring. Hoe je die opstelt, lees je in een privacybeleid voor je website opstellen.

Een goed webbureau neemt het voortouw

Een goed webbureau biedt de verwerkersovereenkomst uit zichzelf aan, vaak al bij de start van het websitetraject.

Dat het bureau dit proactief regelt en kan uitleggen waar je data staat, is meteen een teken dat het zijn zaken op orde heeft.

Twijfel je over je huidige situatie of begin je aan een nieuw project? Neem dit dan van bij het begin mee in je keuze van leverancier.

In onze complete gids voor een B2B-website laten maken zit dit als een vanzelfsprekend onderdeel van een professioneel traject.

Loopt je site al en zoek je iemand voor het beheer? Ook bij website-onderhoud hoort deze overeenkomst erbij.

De korte samenvatting

Zodra je webbureau of host bij de persoonsgegevens van je bezoekers en leads kan, verplicht de GDPR een schriftelijke verwerkersovereenkomst.

Jij bent verwerkingsverantwoordelijke en blijft eindverantwoordelijk. Die overeenkomst beschermt dus vooral jezelf. Ze legt vier dingen vast:

• waarvoor de gegevens gebruikt worden
• hoe ze beveiligd zijn
• welke onderaannemers meespelen
• wat er bij het einde gebeurt

Het goede nieuws: een degelijke leverancier regelt dit zonder dat je erom hoeft te vragen.

Wil je zeker zijn dat dit bij je website netjes geregeld is? Neem contact op en we lopen het samen door.