Wanneer twee organisaties gezamenlijk bepalen hoe en waarom persoonsgegevens worden verwerkt, kunnen zij gezamenlijke verwerkingsverantwoordelijken zijn onder de AVG. In dat geval is een duidelijke overeenkomst geen optie, maar een noodzaak. Hierin moet worden vastgelegd wie verantwoordelijk is voor privacyverklaringen, toestemming, verzoeken van betrokkenen, beveiliging, het afhandelen van datalekken en het contact met toezichthouders.

Aansprakelijkheid onder de AVG: Wat Staat Er Werkelijk op het Spel

De risico's gaan verder dan papierwerk. Toezichthouders kunnen boetes opleggen tot €10 miljoen (of 2% van de wereldwijde omzet), oplopend tot €20 miljoen (of 4%) bij ernstige overtredingen. Individuen kunnen daarnaast op grond van artikel 82 AVG een schadevergoeding claimen voor materiële of immateriële schade. Wanneer meerdere verwerkingsverantwoordelijken gezamenlijk verantwoordelijk zijn voor dezelfde verwerking, kan ieder van hen aansprakelijk worden gesteld voor het volledige bedrag, zodat de gedupeerde zonder vertraging wordt gecompenseerd. De partij die betaalt, kan vervolgens een bijdrage terugvorderen van de andere partijen, naar rato van ieders aandeel in de verantwoordelijkheid.

Precies daarom is een overeenkomst tussen gezamenlijke verwerkingsverantwoordelijken van belang voor de interne verdeling van risico's. Deze moet het volgende omvatten:

1. Hoe aansprakelijkheid wordt verdeeld.

2. Wie de schadevergoeding betaalt.

3. Hoe juridische kosten worden gedeeld.

4. Hoe onderzoeken van toezichthouders worden beheerd.

5. Of vrijwaringen van toepassing zijn.

6. Verzekeringsvereisten.

7. Samenwerking bij juridische procedures.

8. Toegang tot bewijsmateriaal.

9. Bevoegdheid tot schikking.

10. Bijdrage- en verhaalsvorderingen.

De overeenkomst kan de rechten van een individu niet wegnemen, maar wel de onzekerheid tussen de partijen.

Verwerkingsverantwoordelijke versus Verwerker: Een Label Bepaalt Niet de Rol

Een veelgemaakte fout is de aanname dat een contract de AVG-rollen kan vastleggen door simpelweg de ene partij “verwerkingsverantwoordelijke” en de andere “dienstverlener” te noemen. De werkelijke toets is wie daadwerkelijk het doel en de middelen van de verwerking bepaalt, beoordeeld per verwerkingsactiviteit. De Nederlandse rechtspraak bevestigt dit op twee manieren. In DPS v Facebook (ECLI:NL:RBAMS:2023:1407) oordeelde de rechter dat het begrip verwerkingsverantwoordelijke functioneel is, en niet contractueel. In ECLI:NL:RBROT:2025:14138 bevestigde de rechter dat contractuele afhankelijkheid van een partner de eigen verantwoordelijkheid van een verwerkingsverantwoordelijke niet wegneemt.

Kortom, de overeenkomst moet weerspiegelen wat er werkelijk gebeurt, niet het label dat de partijen verkiezen.

Conclusie

Een overeenkomst tussen gezamenlijke verwerkingsverantwoordelijken is niet zomaar papierwerk. Het is een governance-instrument dat organisaties beschermt, verantwoordelijkheid verduidelijkt en vertrouwen opbouwt. Heldere rollen vandaag voorkomen kostbare geschillen morgen.