Data Processing Agreement · Artikel 28 AVG-overeenkomst · GDPR DPA
Een Verwerkersovereenkomst (DPA) is een contract tussen een verwerkingsverantwoordelijke en een verwerker dat bepaalt hoe persoonsgegevens namens de verantwoordelijke mogen worden verwerkt. Onder artikel 28 AVG is een DPA verplicht zodra een verantwoordelijke een verwerker inschakelt en moet onderwerp, duur, omvang en verplichtingen van de verwerker omvatten.
Een DPA vertaalt de abstracte verwerkerverplichtingen uit de AVG in concrete contractuele toezeggingen. Hij bepaalt welke gegevens worden verwerkt en waarom, hoelang, wie als subverwerker telt en hoe die wordt goedgekeurd, welke beveiligingsmaatregelen gelden, hoe datalekken worden gemeld, hoe auditrechten werken, wat er gebeurt aan het einde van de relatie en hoe internationale doorgiftes worden behandeld. Voor elke SaaS-leverancier die persoonsgegevens opslaat of verwerkt voor EU-gerichte klanten is een conforme DPA een verkoopvoorwaarde — inkoopteams tekenen zonder niet. Voor klanten is de DPA wat de leverancier juridisch aansprakelijk maakt voor de beveiligingstoezeggingen die marketingpagina's beloven.
AVG-boetes worden berekend als percentage van de wereldwijde omzet, en DPA's zijn het primaire contractuele mechanisme dat verantwoordelijken gebruiken om nalevingsrisico toe te wijzen. Een zwakke DPA laat de verantwoordelijke blootgesteld als de verwerker gegevens verkeerd behandelt; een sterke DPA dwingt concrete beveiligingstoezeggingen, auditrechten en snelle melding af. Voor leveranciers voorspelt DPA-kwaliteit de dealomvang: enterprise-klanten vereisen volwassen DPA's met specifieke subverwerkerslijsten, auditrechten en gedefinieerde meldingstermijnen. Een generieke template haalt enterprise-procurement niet meer.
Attorly levert een AVG-artikel-28-conforme DPA die versleuteling in rust en in transit, Bring-Your-Own-Key op Enterprise en melding van datalekken binnen 72 uur dekt.
Bekijk Attorlys DPA