In dit artikel slaan we de inleiding over en richten we ons direct op een contractaudit, onderverdeeld in negen contractcategorieën: Verwerkersovereenkomsten, Regelingen voor gezamenlijke verwerkingsverantwoordelijken, Internationale doorgiften, Subverwerkers, Melding van datalekken, Auditrechten, Exit, Aansprakelijkheid en AI-leveranciers. Elk onderdeel behandelt de wettelijke vereisten, de te verifiëren clausules in de documentatie en de punten waarop standaardmodellen doorgaans tekortschieten. Vraag een LEGALFLY-demo aan en ontdek hoe wij een gepersonaliseerd playbook voor u opstellen – gebaseerd op uw interne richtlijnen of modelcontracten – dat naadloos aansluit op de huidige en toekomstige AVG-kaders.

Wanneer uw organisatie vanuit de VS opereert en diensten aanbiedt aan betrokkenen in de EU, behandelt onze AVG-compliancechecklist voor Amerikaanse ondernemingen eerst de verplichtingen op programmaniveau.

Wat wijzigt er in de checklist voor 2026: de Digitale Omnibus

Op 19 november 2025 heeft de Europese Commissie het voorstel voor de Digitale Omnibus gepresenteerd: twee verordeningen die substantiële delen van de AVG en de e-privacyrichtlijn herzien. Dit voorstel werd uiteindelijk opgesplitst in de AI-verordening (Artificial Intelligence Act) en de Data Omnibus, die gerichte wijzigingen van de AVG bevat.

De AI-verordening is in juli 2026 vastgesteld als Verordening (EU) 2026/1744 (waarbij de datum van toepassing van Bijlage III, betreffende hoog-risicosystemen, is verschoven naar 2 december 2027), terwijl de Data Omnibus zich momenteel nog in de eerste lezing bevindt.

Ondanks het verzoek van het voorzitterschap van de Raad van de Europese Unie om de onderhandelingen te openen, hebben de ambassadeurs van de lidstaten nog geen consensus bereikt en zijn diverse bijeenkomsten verplaatst. Aangezien een mandaat van de Raad de AVG niet rechtstreeks kan wijzigen, vormt dit slechts een tussenstap in het wetgevingsproces. 

Hoewel de definitieve tekst van de Omnibus nog aanzienlijk kan worden gewijzigd, hebben de volgende voorstellen reeds directe gevolgen voor de contractspraktijk:

• Persoonsgegevens worden relatief – Een herzien artikel 4, lid 1, merkt informatie niet aan als persoonsgegeven voor een entiteit die de betrokkene redelijkerwijs niet kan identificeren. Dit codificeert het arrest van het Hof van Justitie van de EU van september 2025 in de zaak EDPS/SRB (C-413/23 P) inzake gepseudonymiseerde gegevens. 

• Harmonisatie van DPIA's – De Commissie heeft Uniebrede lijsten voorgesteld van verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling (GEB/DPIA) wel of juist niet verplicht is, vergezeld van een gestandaardiseerd model ter vervanging van de huidige nationale lijsten.

• Wijzigingen in de meldplicht datalekken – De kennisgeving aan de toezichthoudende autoriteit zou uitsluitend nog verplicht zijn bij inbreuken die waarschijnlijk een hoog risico inhouden, met een termijn van 96 uur in plaats van 72 uur, via één centraal Europees meldpunt dat wordt gedeeld met NIS2 en overige incidentenregimes. 

• Verduidelijking van de rechtsgrondslag voor AI-verwerking – Een nieuw artikel 88c bevestigt dat de ontwikkeling en exploitatie van AI-systemen kan worden gebaseerd op het gerechtvaardigd belang, inclusief een strikte uitzondering op grond van artikel 9 voor residuele bijzondere categorieën van persoonsgegevens in trainingsdatasets.

Voor bedrijfsjuristen betekent dit in concreto dat zij hun AVG-complianceprogramma moeten handhaven conform het geldende recht, versterkt met contracten die toekomstige wetswijzigingen contractueel kunnen opvangen. In het volgende onderdeel wordt dit clausule voor clausule uiteengezet.

Het uitvoeren van een AVG-complianceaudit voor contracten

Hanteer het verwerkingsregister als uitgangspunt in plaats van het contractbeheersysteem; de registers van de verwerkingsactiviteiten conform artikel 30 bevatten immers al een overzicht van alle ontvangers van persoonsgegevens. Aan elke ontvanger moet een contractuele regeling zijn gekoppeld die aansluit bij diens kwalificatie, en elk contract moet nauwgezet overeenkomen met de feitelijke werkzaamheden van de leverancier. 

Hieronder treft u de hoofdlijnen aan, gevolgd door een diepgaande toelichting:

1. Verwerkersovereenkomsten onder artikel 28

Artikel 28, lid 3, schrijft de verplichte minimuminhoud voor van elke overeenkomst tussen verwerkingsverantwoordelijke en verwerker; de meeste verwerkersovereenkomsten (DPA's) sommen deze elementen standaard op.

De kernvraag bij een audit is echter of deze bepalingen juridisch afdwingbaar zijn geformuleerd en of de bijlagen de feitelijke verwerkingsactiviteiten accuraat beschrijven.

Richtlijnen 07/2020 van de EDPB inzake de begrippen verwerkingsverantwoordelijke en verwerker zijn helder: het louter overnemen van de wettekst van artikel 28 volstaat niet; de overeenkomst moet concreet specificeren hoe aan elke verplichting invulling wordt gegeven. Indien het model van de leverancier ontoereikend is, kunnen de standaardcontractbepalingen van de Commissie op grond van artikel 28 (Uitvoeringsbesluit 2021/915) als uitgangspunt dienen.

Checklist: Artikel 28 Verwerkersovereenkomst

☑️ Het onderwerp, de duur, de aard en het doel van de verwerking, het type persoonsgegevens en de categorieën van betrokkenen zijn specifiek toegespitst op de betreffende dienstverlening en niet generiek geformuleerd.

☑️ De verwerker handelt uitsluitend op basis van gedocumenteerde instructies, inclusief ten aanzien van doorgiften, en stelt de verantwoordelijke onmiddellijk in kennis indien een instructie inbreuk lijkt te maken op de AVG.

☑️ Personen die gemachtigd zijn om de gegevens te verwerken, hebben zich tot vertrouwelijkheid verbonden.

☑️ De beveiligingsmaatregelen conform artikel 32 zijn beschreven in een bijlage die direct aansluit op de dienst, inclusief het recht op inzage in wijzigingen.

☑️ Voor het inschakelen van subverwerkers is voorafgaande (specifieke of algemene) schriftelijke toestemming vereist, met een verplichting tot het integraal doorleggen van dezelfde verplichtingen (zie onderdeel 4).

☑️ De verwerker verleent bijstand bij verzoeken van betrokkenen binnen een vooraf vastgestelde termijn.

☑️ De verwerker verleent bijstand bij de naleving van de artikelen 32 tot en met 36: beveiliging, melding van datalekken, DPIA's en voorafgaande raadpleging.

☑️ Verwijdering of teruggave na afloop van de dienstverlening geschiedt naar keuze van de opdrachtgever, binnen een duidelijke termijn en voorzien van een schriftelijke bevestiging (zie onderdeel 7).

☑️ De verwerker stelt alle benodigde informatie ter beschikking om de nakoming van de verplichtingen aan te tonen en maakt audits mogelijk (zie onderdeel 6).

☑️ Rangorde van bepalingen: de bepalingen van de verwerkersovereenkomst prevaleren boven de hoofdovereenkomst voor zover het gegevensbescherming betreft.

Let op: Bijlage I bevat dikwijls een integrale kopie van de gehele productcatalogus van de leverancier. Wanneer instructies vervolgens worden gedefinieerd als "het gebruik van de dienst", verkrijgt de verwerker feitelijk het recht om zelfstandig doeleinden te bepalen. Dit is een veelvoorkomende tekortkoming in standaardmodellen: bepaalde verwerkingen van klantgegevens vallen daardoor buiten de verwerkersovereenkomst, waardoor de verwerker voor die gegevens als zelfstandig verwerkingsverantwoordelijke optreedt.

2. Regelingen voor gezamenlijke verwerkingsverantwoordelijken onder artikel 26

Een regeling voor gezamenlijke verwerkingsverantwoordelijkheid ontbreekt in de praktijk het vaakst. Het Hof van Justitie van de EU hanteert een ruime uitleg: in de zaken Wirtschaftsakademie (C-210/16) en Fashion ID (C-40/17) werd geoordeeld dat een partij die invloed uitoefent op het doel en de middelen van een specifieke verwerkingsfase, reeds voor die fase als gezamenlijk verwerkingsverantwoordelijke kwalificeert. 

Met andere woorden: samenwerkingsverbanden op het gebied van co-marketing, gedeelde platforms, HR-systemen op groepsniveau en onderzoeksconsortia leiden regelmatig tot gezamenlijke verantwoordelijkheid voor de verzamelde gegevens, terwijl een adequate overeenkomst ter beheersing hiervan vaak ontbreekt.

Artikel 26 vereist een onderlinge regeling die niet alleen op transparante wijze de respectieve verantwoordelijkheden vastlegt, maar ook de feitelijke verhouding ten aanzien van de betrokkenen weerspiegelt. Betrokkenen kunnen hun rechten te allen tijde jegens elk van de partijen uitoefenen, ongeacht de contractuele afspraken, mits de wezenlijke inhoud van de regeling beschikbaar is.

Checklist: Regeling Gezamenlijke Verantwoordelijken

☑️ De gezamenlijke verwerkingsactiviteiten zijn gedetailleerd geïdentificeerd, met een strikte afbakening tussen gezamenlijke activiteiten en zelfstandige verwerkingen.

☑️ De juridische grondslag van elke partij voor de gezamenlijke verwerking is vastgelegd.

☑️ De verantwoordelijkheid voor transparantieverplichtingen (privacyverklaringen, artikelen 13 en 14) is expliciet aan één partij toebedeeld.

☑️ Er is een centraal contactpunt voor betrokkenen aangewezen, met een vaste termijn voor het doorsturen van verzoeken.

☑️ De verantwoordelijkheden inzake datalekmeldingen, DPIA's en beveiligingsmaatregelen zijn per verwerkingsfase toegewezen.

☑️ De wezenlijke inhoud van de regeling is gepubliceerd of op verzoek beschikbaar voor betrokkenen.

☑️ Interne aansprakelijkheid en vrijwaringen sluiten aan bij de mate van zeggenschap van elke partij, onverlet de hoofdelijke externe aansprakelijkheid jegens betrokkenen (artikel 82, lid 4).

☑️ Exit-voorwaarden bepalen het regime voor gezamenlijk verzamelde gegevens bij beëindiging van de samenwerking.

Let op: Indien de feiten wijzen op gezamenlijke verantwoordelijkheid, dienen partijen een artikel 26-regeling aan te gaan, zelfs als er intern een standaard verwerkersovereenkomst voorhanden is. Deze onjuiste kwalificatie leidt ertoe dat de verhoudingen contractueel verkeerd worden voorgesteld en dat geen van de partijen voldoet aan de toedeling van transparantieverplichtingen conform artikel 26.

3. Clausules voor internationale doorgifte: SCC's, TIA's en het DPF

Voor elke doorgifte buiten de EER is een doorgifte-instrument conform Hoofdstuk V vereist. Dit betreft doorgaans: een adequaatheidsbesluit, de standaardcontractbepalingen van 2021 (Uitvoeringsbesluit 2021/914) of bindende bedrijfsvoorschriften (BCR's) voor intragroepsverkeer.

Bij de contractaudit dient te worden geverifieerd of het instrument rechtsgeldig bestaat, aansluit op de specifieke doorgiftesituatie en, waar vereist, wordt ondersteund door een Transfer Impact Assessment (TIA).

Het EU-VS Data Privacy Framework (DPF) heeft de eerste juridische toetsing doorstaan in september vorig jaar in de zaak Latombe/Commissie (T-553/23). Latombe heeft hiertegen hoger beroep ingesteld; in afwachting van de uitspraak blijft het pragmatische advies van kracht: wanneer een Amerikaanse leverancier zich baseert op DPF-certificering, dienen aanvullend de SCC's als vangnetbepaling in het contract te worden opgenomen, welke automatisch in werking treden indien het adequaatheidsbesluit nietig wordt verklaard.

Checklist: Internationale doorgiften

☑️ Iedere niet-EER-ontvanger, met inbegrip van subverwerkers en supporttoegang vanuit derde landen, is in kaart gebracht en voorzien van een specifiek doorgifte-instrument.

☑️ De juiste SCC-module is toegepast (C2C, C2P, P2P of P2C) en de bijlagen zijn volledig ingevuld.

☑️ De tekst van de SCC's is ongewijzigd overgenomen; overige commerciële voorwaarden zijn niet strijdig met de bepalingen en beperken deze niet.

☑️ Voor elke SCC-doorgifte naar een niet-adequaat land is een gedocumenteerde TIA aanwezig, inclusief een vastgelegde herzieningsdatum.

☑️ Aanvullende maatregelen die uit de TIA voortvloeien (zoals encryptie met sleutelbeheer binnen de EER, pseudonimisering of toegangscontroles) zijn contractueel vastgelegd in de overeenkomst of beveiligingsbijlage.

☑️ De data-importeur is verplicht om kennis te geven van verzoeken van overheidsinstanties tot inzage voor zover wettelijk toegestaan, en disproportionele vorderingen aan te vechten (SCC clausule 15).

☑️ Beroep op het DPF is geverifieerd aan de hand van de actieve certificering van de leverancier, met de SCC's als subsidiaire grondslag.

☑️ Verdere doorgiften door de importeur zijn contractueel beperkt tot ontvangers die gebonden zijn aan een gelijkwaardig doorgifte-instrument.

☑️ Voor doorgiften vanuit het VK is het UK Addendum of de IDTA bijgevoegd; voor Zwitserse gegevensstromen zijn de specifieke Zwitserse aanpassingsclausules opgenomen.

Let op: TIA's worden in de praktijk vaak eenmalig ondertekend en vervolgens niet meer geëvalueerd, zelfs niet wanneer de leverancier verwerkingslocaties wijzigt. Zodra de subverwerkerslijsten in Bijlage III verouderd zijn, voldoet het modelcontract niet meer aan de wettelijke vereisten.

4. Ketenverantwoordelijkheid voor subverwerkers en kennisgeving

Leveranciers schakelen op hun beurt toeleveranciers in die eveneens persoonsgegevens verwerken. Artikel 28, lid 2 en lid 4, vereisen voorafgaande schriftelijke toestemming voor elke subverwerker en het onverkort opleggen van dezelfde gegevensbeschermingsverplichtingen aan de subverwerker, waarbij de hoofdverwerker integraal aansprakelijk blijft voor tekortkomingen van diens subverwerkers.

De EDPB heeft deze norm aangescherpt in Advies 22/2024: verwerkingsverantwoordelijken dienen te allen tijde te kunnen beschikken over de identiteit van alle (sub)verwerkers in de gehele keten, en niet slechts over de eerstelijnsleveranciers. Bovendien rust op de verantwoordelijke de plicht om te verifiëren dat toereikende garanties evenredig aan het risico door de gehele keten zijn geborgd. 

Checklist: Subverwerkers

☑️ De toestemmingsprocedure is expliciet vastgelegd: specifiek (voorafgaande goedkeuring per subverwerker) of algemeen (goedgekeurde lijst met notificatieplicht bij wijzigingen).

☑️ De actuele lijst van subverwerkers is bijgevoegd of gelinkt, met vermelding van naam, statutaire zetel, aard van de dienstverlening en het doorgifte-instrument.

☑️ Kennisgeving van nieuwe of te vervangen subverwerkers geschiedt tijdig vooraf, schriftelijk of via een abonnementsfunctie, met inachtneming van een vaste bezwaartermijn (30 dagen geldt als marktconform).

☑️ De verwerkingsverantwoordelijke beschikt over een recht van bezwaar op redelijke gronden van gegevensbescherming, gekoppeld aan een adequaat rechtsmiddel indien het bezwaar niet wordt verholpen (zoals beëindiging van de betreffende dienst zonder boete of meerkosten).

☑️ De verwerker legt bij schriftelijke overeenkomst identieke verplichtingen op aan elke subverwerker en overlegt deze overeenkomsten op verzoek.

☑️ De verwerker blijft onverminderd aansprakelijk voor de nakoming van de verplichtingen door de subverwerker.

☑️ Transparantie over de keten voorbij de eerste lijn is gewaarborgd, conform het EDPB-standpunt inzake inzicht in alle subverwerkers.

☑️ Vervanging in spoedsituaties is uitsluitend toegestaan onder voorwaarde van onverwijlde notificatie en met behoud van het bezwaarrecht achteraf.

Let op: Modellen schieten tekort wanneer het bezwaarrecht een dode letter blijkt. Voorbeelden zijn: wijzigingen louter publiceren op een webpagina zonder notificatie, bezwaren die enkel leiden tot "overleg te goeder trouw", of situaties waarin het enige rechtsmiddel bij een onopgelost bezwaar bestaat uit de beëindiging van de gehele overeenkomst zonder restitutie van vooruitbetaalde vergoedingen.

5. Meldtermijnen voor datalekken

De verwerkingsverantwoordelijke heeft op grond van artikel 33, lid 1, maximaal 72 uur nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens om deze te melden aan de toezichthoudende autoriteit. De verwerker hoeft de verantwoordelijke op grond van artikel 33, lid 2, daarentegen slechts "zonder onredelijke vertraging" te informeren. Deze discrepantie vormt een aanzienlijk risico: indien de verwerkersovereenkomst geen strikte termijn stelt, kan de termijn van 72 uur voor de verantwoordelijke al grotendeels zijn verstreken voordat de inbreuk intern bekend is.

Voor gereguleerde ondernemingen is de AVG bovendien niet meer het enige tijdschema; verschillende incidentkaders stapelen zich op:

Checklist: Meldplicht datalekken

☑️ De verwerker moet de melding doen binnen een vastgesteld aantal uren na kennisneming, en niet louter "zonder onredelijke vertraging". Een termijn van 24 tot 48 uur geldt in de zakelijke markt als gangbaar.

☑️ Het moment van kennisneming is contractueel gedefinieerd, zodat de termijn aanvangt op het moment van detectie door de verwerker of diens subverwerkers.

☑️ De kennisgeving bevat minimaal de in artikel 33, lid 3, voorgeschreven gegevens, waarbij gefaseerde informatieverstrekking uitdrukkelijk is toegestaan.

☑️ De verwerker is verplicht medewerking te verlenen aan het forensisch onderzoek, de beheersing van het incident en de meldingen aan autoriteiten en betrokkenen.

☑️ Het is de verwerker niet toegestaan om zonder voorafgaande schriftelijke goedkeuring namens de verantwoordelijke meldingen te doen aan toezichthouders of betrokkenen, tenzij dit wettelijk verplicht is.

☑️ Indien uw organisatie tevens onder NIS2 of DORA valt, is de contractuele termijn kort genoeg om aan het strengste regime te voldoen.

☑️ De kosten voor melding, communicatie en herstel die voortvloeien uit een tekortkoming van de verwerker zijn contractueel toegewezen (zie onderdeel 8).

Let op: Standaardovereenkomsten van leveranciers hanteren vaak de zinsnede "zonder onredelijke vertraging" en definiëren een datalek als een "bevestigde" inbreuk. Dit biedt leveranciers de ruimte om dagenlang intern onderzoek te doen alvorens over te gaan tot melding. Zelfs als de Omnibus de wettelijke meldtermijn verruimt naar 96 uur, blijft een vaste contractuele urenclausule voor de verwerker noodzakelijk, aangezien deze rekent vanaf het moment van ontdekking en niet als afgeleide van de wettelijke termijn.

6. Auditrechten

Artikel 28, lid 3, onder h, kent de verwerkingsverantwoordelijke het recht toe op audits en inspecties, uitgevoerd door de verantwoordelijke zelf of een door hem gemachtigde controleur. Grote leveranciers verzetten zich doorgaans tegen audits op locatie – hetgeen bij grootschalige cloudomgevingen begrijpelijk is –, maar de overeenkomst moet een mechanisme bevatten voor verificatie dat niet afhankelijk is van de welwillendheid van de leverancier.

De gebruikelijke contractuele oplossing is gelaagd: onafhankelijke certificeringen en rapportages als eerste stap, gerichte vragenlijsten als tweede stap, en een daadwerkelijke audit wanneer de voorgaande stappen ontoereikend zijn of naar aanleiding van een incident.

Checklist: Auditrechten

☑️ Onafhankelijke rapportages (ISO 27001-certificaat inclusief verklaring van toepasselijkheid, SOC 2 Type II-rapportage) worden op verzoek ten minste jaarlijks verstrekt en zien op alle afgenomen diensten.

☑️ Het recht om periodiek beveiligings- en privacyvragenlijsten voor te leggen met een bindende reactietermijn is geborgd.

☑️ Een audit op locatie of op afstand is mogelijk indien overlegde rapporten onvoldoende uitsluitsel bieden, na een beveiligingsincident, of op instructie van een toezichthoudende autoriteit.

☑️ Audits mogen worden uitgevoerd door een externe, tot geheimhouding verplichte auditor en zijn niet beperkt tot eigen medewerkers van de verantwoordelijke.

☑️ Toezichthoudende autoriteiten hebben onbeperkte toegang, vrij van contractuele beperkingen.

☑️ Aanzegtermijnen, frequentiebeperkingen en kostenverdeling zijn redelijk. De kosten komen voor rekening van de leverancier indien de audit materiële tekortkomingen aan het licht brengt.

☑️ Auditbevindingen verplichten tot een bindend herstelplan met duidelijke termijnen.

☑️ Het controlerecht strekt zich uit tot subverwerkers, hetzij rechtstreeks, hetzij via overlegging van auditrapportages door de verwerker.

Let