gegevensverwerkingsovereenkomsten

Een gegevensverwerkingsovereenkomst (GVO) is een contract tussen een verwerkingsverantwoordelijke en een verwerker waarin de voorwaarden voor de verwerking van persoonsgegevens zijn vastgelegd. Het doel is de verwerking volgens de Algemene Verordening Gegevensbescherming (AVG/GDPR) te regelen en aansprakelijkheid en verantwoordelijkheden te verdelen.

In een GVO worden de rollen gedefinieerd: de verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking; de verwerker verwerkt persoonsgegevens namens de verantwoordelijke. De overeenkomst is vereist wanneer een derde partij persoonsgegevens verwerkt in naam van de controller.

Belangrijkste inhoud is onder andere de aard en het doel van de verwerking; de soorten persoonsgegevens en betrokkenen; de duur van de verwerking; en de verplichtingen van partijen om de verwerking te sturen en te controleren. De overeenkomst koppelt expliciet aan artikel 28 van de GDPR.

Verwerkingsverantwoordelijke en verwerker zijn verplicht op basis van de GVO om te handelen volgens schriftelijke instructies, passende beveiligingsmaatregelen te nemen, en vertrouwelijkheid te waarborgen. De verwerker moet de controller helpen bij naleving van verplichtingen zoals het beheren van rechten van betrokkenen, uitvoeren van een DPIA en melding van inbreuken.

Subprocessors vereisen toestemming en moeten dezelfde verplichtingen opleggen als in de GVO. Bij internationale transfers naar derde landen gelden passende waarborgen, zoals standaardcontractuele clausules (SCC) of adequaatheidsbesluiten. De GVO regelt ook de auditrechten en de monitoring van naleving.

Bij beëindiging van de overeenkomst bepaalt de GVO hoe data moet worden teruggegeven of veilig verwijderd, en hoe lang logs bewaard blijven. Aansprakelijkheid en eventuele schadevergoeding bij niet-naleving worden in de GVO vastgelegd, evenals escalatie- en klachtprocedures.

---