Snelle Antwoord: Onder de GDPR bepaalt een verwerkingsverantwoordelijke waarom en hoe persoonsgegevens worden verwerkt, terwijl een verwerker gegevens uitsluitend op instructies van de verwerkingsverantwoordelijke verwerkt. De aansprakelijkheid verschilt aanzienlijk: verwerkingsverantwoordelijken dragen de breedste verantwoordelijkheid, terwijl verwerkers alleen directe aansprakelijkheid hebben wanneer zij buiten wettelijke instructies handelen of specifieke GDPR-verplichtingen schenden die op hen van toepassing zijn.
Belangrijkste Punten
- Een verwerkingsverantwoordelijke beslist over de doeleinden en middelen van verwerking; een verwerker handelt namens de verwerkingsverantwoordelijke.
- Verwerkingsverantwoordelijken dragen de primaire GDPR-aansprakelijkheid; verwerkers hebben alleen directe aansprakelijkheid onder Artikel 82 in specifieke omstandigheden.
- Beide rollen kunnen tegelijkertijd binnen één organisatie bestaan; een bedrijf kan verwerkingsverantwoordelijke zijn voor zijn eigen klanten en verwerker voor een ander bedrijf.
- Een juridisch bindende Data Processing Agreement (DPA) is verplicht wanneer een verwerkingsverantwoordelijke een verwerker inschakelt.
- Sub-verwerkers vereisen voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke; de hoofdverwerker blijft volledig aansprakelijk voor het gedrag van de sub-verwerker.
- Het verkeerd classificeren van je rol is een compliance-risico dat je organisatie blootstelt aan regelgevende sancties.
- Verwerkers die persoonsgegevens voor hun eigen doeleinden gebruiken, worden automatisch verwerkingsverantwoordelijken voor die verwerkingsactiviteit.
- De Data (Use and Access) Act 2026 van het VK introduceert verdere wijzigingen die organisaties die onder de UK GDPR opereren, snel moeten herzien.
Wat Is het Verschil Tussen een Verwerkingsverantwoordelijke en een Verwerker Onder de GDPR?
Een verwerkingsverantwoordelijke is elke entiteit die de doeleinden en middelen van de verwerking van persoonsgegevens bepaalt. Een verwerker is elke entiteit die persoonsgegevens verwerkt namens een verwerkingsverantwoordelijke, strikt volgens de instructies van de verwerkingsverantwoordelijke [1].
Het onderscheid hangt af van de besluitvormingsautoriteit. Als jouw organisatie beslist waarom gegevens worden verzameld en hoe ze zullen worden gebruikt, ben je de verwerkingsverantwoordelijke. Als jouw organisatie alleen gegevens beheert omdat een andere entiteit jou heeft geïnstrueerd, en je hebt geen onafhankelijke zeggenschap over het doel, ben je de verwerker.
Praktische voorbeelden:
| Scenario | Rol |
|---|---|
| Een e-commerce retailer die klantenaankoopgegevens verzamelt | Verwerkingsverantwoordelijke |
| Een cloudhostingprovider die de database van die retailer opslaat | Verwerker |
| Een payroll SaaS-platform dat werknemersgegevens voor een werkgever verwerkt | Verwerker |
| Een marketingbureau dat zijn eigen prospectlijst opbouwt | Verwerkingsverantwoordelijke |
| Een CRM-leverancier die klantgegevens benadert om ondersteuning te bieden | Verwerker |
De ICO benadrukt dat het label in een contract de rol niet bepaalt, maar het werkelijke gedrag dat doet [1]. Een leverancier die in een contract "verwerker" wordt genoemd, maar onafhankelijke beslissingen neemt over het gebruik van gegevens, is wettelijk gezien een verwerkingsverantwoordelijke, ongeacht wat de overeenkomst zegt.
Wat Zijn de Hoofdzakelijke Verantwoordelijkheden van een Verwerkingsverantwoordelijke Onder de GDPR?
Verwerkingsverantwoordelijken dragen de zwaarste compliance-last onder de GDPR. Zij zijn verantwoordelijk voor de gehele levenscyclus van gegevens en moeten ervoor zorgen dat elke verwerker die zij inschakelen voldoet aan de GDPR-normen [3].
Kernverplichtingen van verwerkingsverantwoordelijken zijn onder andere:
- Het vaststellen en documenteren van een wettelijke basis voor elke verwerkingsactiviteit
- Het verstrekken van transparante privacy-informatie aan betrokkenen
- Het faciliteren van rechten van betrokkenen, toegang, rectificatie, verwijdering, overdraagbaarheid en bezwaar
- Het uitvoeren van Data Protection Impact Assessments (DPIA's) voor risicovolle verwerking
- Het aanstellen van een Data Protection Officer (DPO) waar vereist
- Het uitvoeren van due diligence voordat verwerkers worden ingeschakeld en het monitoren van hun voortdurende compliance
- Het uitvoeren van een schriftelijke Data Processing Agreement met elke ingeschakelde verwerker [3]
Verwerkingsverantwoordelijken kunnen de aansprakelijkheid niet uitbesteden. Zelfs wanneer een verwerker een inbreuk veroorzaakt, blijft de verwerkingsverantwoordelijke verantwoordelijk tegenover toezichthoudende autoriteiten voor zijn keuze van verwerker en de adequaatheid van contractuele waarborgen.
Wat Zijn de Hoofdzakelijke Verantwoordelijkheden van een Verwerker Onder de GDPR?
Verwerkers hebben directe GDPR-verplichtingen, niet alleen contractuele, en kunnen compliance niet als een probleem van de verwerkingsverantwoordelijke beschouwen [3].
Directe verplichtingen van verwerkers onder de GDPR zijn onder andere:
- Gegevens alleen verwerken op gedocumenteerde instructies van de verwerkingsverantwoordelijke
- Het implementeren van passende technische en organisatorische beveiligingsmaatregelen
- Het bijhouden van registers van alle verwerkingsactiviteiten die namens verwerkingsverantwoordelijken worden uitgevoerd
- De verwerkingsverantwoordelijke zonder onredelijke vertraging op de hoogte stellen van elke datalek
- De verwerkingsverantwoordelijke helpen bij het vervullen van verzoeken van betrokkenen
- Alle persoonsgegevens verwijderen of retourneren bij beëindiging van het contract
- Sub-verwerkers alleen inschakelen met voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke [3]
"Verwerkers hebben directe verplichtingen onder de GDPR, niet alleen contractuele plichten, en lopen het risico op regelgevende blootstelling als ze buiten de wettelijke instructies van de verwerkingsverantwoordelijke handelen."
Wie Is Aansprakelijk Bij Een Datalek: Verwerkingsverantwoordelijke of Verwerker?
Beiden kunnen aansprakelijk zijn, maar de reikwijdte verschilt. Onder Artikel 82 van de GDPR heeft elke persoon die schade lijdt door een inbreuk op de GDPR het recht om schadevergoeding te eisen van de verwerkingsverantwoordelijke of verwerker die verantwoordelijk is [2].
Verwerkingsverantwoordelijken zijn aansprakelijk voor schade veroorzaakt door elke verwerking die inbreuk maakt op de GDPR. Verwerkers zijn alleen aansprakelijk wanneer zij niet voldoen aan de GDPR-verplichtingen die specifiek op verwerkers zijn gericht, of wanneer zij buiten of in strijd met de wettelijke instructies van de verwerkingsverantwoordelijke handelen [2].
Aansprakelijkheidsverdeling in de praktijk:
- Als een verwerker een inbreuk lijdt omdat de verwerkingsverantwoordelijke onvoldoende beveiligingsinstructies heeft gegeven, draagt de verwerkingsverantwoordelijke waarschijnlijk de primaire aansprakelijkheid.
- Als een verwerker de beveiligingseisen van de verwerkingsverantwoordelijke negeert, draagt de verwerker directe aansprakelijkheid.
- Beiden kunnen hoofdelijk aansprakelijk worden gesteld, wat betekent dat een betrokkene beide partijen kan aanspreken voor het volledige bedrag van de schade, waarbij zij de verantwoordelijkheid later onderling kunnen verdelen.
Een verwerker kan aansprakelijkheid ontlopen door te bewijzen dat hij niet verantwoordelijk was voor het evenement dat de schade veroorzaakte [2]. Dit is een hoge drempel: de verwerker moet volledige naleving van zijn GDPR-verplichtingen aantonen.
Kan Een Bedrijf Tegelijkertijd Zowel Verwerkingsverantwoordelijke Als Verwerker Zijn?
Ja. Een organisatie kan tegelijkertijd als verwerkingsverantwoordelijke voor sommige verwerkingsactiviteiten en als verwerker voor andere optreden, zelfs binnen dezelfde zakelijke relatie [1].
Bijvoorbeeld, een digitaal marketingbureau kan als verwerkingsverantwoordelijke optreden wanneer het zijn eigen HR-gegevens van werknemers beheert, en als verwerker wanneer het reclamecampagnes uitvoert met behulp van klantgegevens. De rol wordt per activiteit bepaald, niet per bedrijf.
Kan Een Verwerker Een Verwerkingsverantwoordelijke Worden Als Ze Gegevens Voor Hun Eigen Doeleinden Gebruiken?
Een verwerker wordt automatisch een verwerkingsverantwoordelijke op het moment dat hij persoonsgegevens gebruikt voor doeleinden die verder gaan dan de instructies van de verwerkingsverantwoordelijke [1]. Dit is een van de meest ingrijpende misclassificaties in de praktijk.
Als een cloud-analyseleverancier begint met het delven van klantgegevens om zijn eigen AI-modellen te trainen zonder toestemming, heeft hij de rol van verwerker verlaten en de status van verwerkingsverantwoordelijke voor die activiteit aangenomen, met alle bijbehorende GDPR-verplichtingen en aansprakelijkheidsrisico's. Geen contractclausule kan deze herclassificatie voorkomen; het is een kwestie van feit, niet van overeenkomst.
Hoe Beschermen Data Processing Agreements Verwerkers Tegen Aansprakelijkheid?
Een Data Processing Agreement (DPA) is een verplicht juridisch instrument onder de GDPR wanneer een verwerkingsverantwoordelijke een verwerker inschakelt [3]. Voor verwerkers is een goed opgestelde DPA het primaire mechanisme om de aansprakelijkheidsblootstelling te beperken.
Een conforme DPA moet specificeren:
- Het onderwerp, de duur, de aard en het doel van de verwerking
- Het type persoonsgegevens en de categorieën van betrokkenen die betrokken zijn
- De verplichtingen en rechten van de verwerkingsverantwoordelijke
- Geheimhoudingsvereisten voor bevoegde personen
- Beveiligingsmaatregelen die moeten worden geïmplementeerd
- Voorwaarden voor het inschakelen van sub-verwerkers
- Procedures voor het retourneren of verwijderen van gegevens aan het einde van het contract [3]
Wanneer een verwerker strikt binnen de reikwijdte van de DPA handelt, verschuift de aansprakelijkheid voor eventuele schade voornamelijk naar de verwerkingsverantwoordelijke. Omgekeerd, als een verwerker die instructies overschrijdt, wordt de DPA bewijs van de afwijking in plaats van een schild.
Wat Gebeurt Er Als Een Verwerker De GDPR-Regels Schendt?
Verwerkers die de GDPR schenden, worden geconfronteerd met zowel regelgevende boetes als civiele aansprakelijkheid voor schade. Toezichthoudende autoriteiten kunnen administratieve boetes rechtstreeks aan verwerkers opleggen, tot EUR 20 miljoen of 4% van de wereldwijde jaarlijkse omzet voor de ernstigste inbreuken, afhankelijk van wat hoger is [2].
Naast boetes kunnen verwerkers worden geconfronteerd met claims onder Artikel 82 van betrokkenen die schade hebben geleden. Ze kunnen ook contractuele aansprakelijkheid tegenover de verwerkingsverantwoordelijke onder de DPA ondervinden, inclusief schadeloosstellingsverplichtingen.
Hebben Verwerkers Hun Eigen Data Protection Officer Nodig?
Verwerkers zijn onderworpen aan dezelfde drempels voor de aanstelling van een DPO als verwerkingsverantwoordelijken. Een verwerker moet een DPO aanstellen als hij op grote schaal systematische monitoring van individuen uitvoert, of speciale categorieën van gegevens of gegevens over strafrechtelijke veroordelingen op grote schaal verwerkt [1].
Verwerker zijn ontslaat een organisatie niet van de vereiste om een DPO aan te stellen. Veel grote cloudproviders en SaaS-platforms die als verwerkers optreden, zijn verplicht een DPO aan te houden, juist vanwege het volume en de gevoeligheid van de gegevens die zij verwerken.
Wat Is Het Verschil In GDPR-Boetes Tussen Verwerkingsverantwoordelijken En Verwerkers?
De tweelaagse boetestructuur van de GDPR is van toepassing op zowel verwerkingsverantwoordelijken als verwerkers. Laag één dekt minder ernstige inbreuken (tot EUR 10 miljoen of 2% van de wereldwijde omzet); laag twee dekt de ernstigste inbreuken, waaronder onwettige verwerking en het niet respecteren van de rechten van betrokkenen (tot EUR 20 miljoen of 4% van de wereldwijde omzet) [2].
Er is geen wettelijke korting voor verwerkers. In de praktijk beoordelen toezichthoudende autoriteiten echter de schuld, samenwerking en de aard van de inbreuk bij het bepalen van de boetebedragen, factoren die kunnen leiden tot verschillende uitkomsten voor verwerkingsverantwoordelijken versus verwerkers in hetzelfde voorval.
Hebben Sub-Verwerkers Een Andere Aansprakelijkheid Dan Hoofdverwerkers?
Sub-verwerkers dragen dezelfde GDPR-verplichtingen als hoofdverwerkers, maar zijn contractueel gebonden aan de hoofdverwerker in plaats van rechtstreeks aan de verwerkingsverantwoordelijke. Het kritieke onderscheid: de hoofdverwerker blijft volledig aansprakelijk tegenover de verwerkingsverantwoordelijke voor de prestaties van de sub-verwerker [3].
Als een sub-verwerker een inbreuk veroorzaakt, loopt de juridische weg van de verwerkingsverantwoordelijke tegen de hoofdverwerker. De hoofdverwerker moet de sub-verwerker vervolgens afzonderlijk vervolgen. Sub-verwerkers kunnen ook worden geconfronteerd met directe regelgevende actie van toezichthoudende autoriteiten voor hun eigen GDPR-inbreuken.
Sub-verwerker regels in een oogopslag:
- Voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke is vereist voordat een sub-verwerker wordt ingeschakeld
- De hoofdverwerker moet equivalente gegevensbeschermingsverplichtingen aan de sub-verwerker opleggen
- De hoofdverwerker kan de aansprakelijkheid niet ontlopen door naar de fout van de sub-verwerker te wijzen
Hoe Bepaal Je Of Je Een Verwerkingsverantwoordelijke Of Verwerker Bent Voor Jouw Bedrijf?
De bepaling draait om één vraag: beslist jouw organisatie onafhankelijk waarom persoonsgegevens worden verwerkt? Als dat zo is, ben je een verwerkingsverantwoordelijke. Als je alleen gegevens verwerkt omdat een andere entiteit jou heeft geïnstrueerd, en je hebt geen onafhankelijk doel, ben je een verwerker [1].
Een praktische beslissingschecklist:
- Wie heeft besloten deze gegevens in de eerste plaats te verzamelen?
- Wie heeft bepaald waarvoor de gegevens zullen worden gebruikt?
- Heeft jouw organisatie discretionaire bevoegdheid over hoe de gegevens worden verwerkt, of volg je de specificaties van een andere partij?
- Zou de verwerking stoppen als de andere partij hun instructies intrekt?
- Gebruik je de gegevens voor een doel dat jouw organisatie onafhankelijk ten goede komt?
Als je antwoorden in verschillende richtingen wijzen over deze vragen, ben je mogelijk een gezamenlijke verwerkingsverantwoordelijke, een situatie die een aparte transparantieovereenkomst met de andere partij vereist [1].
Wat Zijn Veelvoorkomende Fouten Die Bedrijven Maken Met Verwerkingsverantwoordelijke En Verwerker Rollen?
Misclassificatie is de meest voorkomende fout, en het heeft echte compliance-gevolgen. Organisaties gaan vaak ervan uit dat het feit dat ze in een contract "leverancier" of "dienstverlener" worden genoemd, hen een verwerker maakt, terwijl hun werkelijke gedrag hen kwalificeert als verwerkingsverantwoordelijke.
Andere veelvoorkomende fouten:
- Het overslaan van de DPA: Verwerkingsverantwoordelijken die verwerkers inschakelen zonder een schriftelijke DPA zijn in directe schending van de GDPR, ongeacht hoe veilig de systemen van de verwerker zijn.
- Het niet controleren van sub-verwerkers: Verwerkingsverantwoordelijken vergeten vaak dat hun verwerker sub-verwerkers heeft ingeschakeld zonder toestemming of equivalente contractuele bescherming.
- Aannemen dat verwerkers de rechten van betrokkenen afhandelen: Verwerkingsverantwoordelijken blijven verantwoordelijk voor het reageren op verzoeken van betrokkenen; verwerkers helpen alleen.
- Het negeren van het risico op herclassificatie: Verwerkers die hun diensten uitbreiden en beginnen met het gebruik van klantgegevens voor analyses, modeltraining of benchmarking, kunnen onbedoeld verwerkingsverantwoordelijken worden zonder de verschuiving te erkennen.
Voor organisaties die toestemming en gegevensstromen over websites en digitale eigendommen beheren, kan een consent management platform zoals Biscotti CMP verwerkingsverantwoordelijken helpen om wettelijke bases te documenteren en toestemmingsregisters te beheren, een fundamenteel element van de verantwoordelijkheid van verwerkingsverantwoordelijken onder de GDPR.
Hoe Moet Een Klein Bedrijf Omgaan Met Verantwoordelijkheden Van Verwerkingsverantwoordelijke Versus Verwerker?
Kleine bedrijven zijn niet vrijgesteld van het controller-verwerker kader van de GDPR. Als een klein bedrijf klantgegevens verzamelt, zelfs alleen e-mailadressen voor een nieuwsbrief, is het een verwerkingsverantwoordelijke en moet het voldoen aan alle verplichtingen van verwerkingsverantwoordelijken.
Praktische stappen voor kleine bedrijven:
- Breng elke tool of leverancier in kaart die persoonsgegevens namens jou beheert (e-mailplatforms, analysetools, betalingsverwerkers, CRM's).
- Bevestig of er een ondertekende DPA bestaat met elke leverancier.
- Controleer of de DPA van elke leverancier voldoet aan de minimale vereisten van de GDPR.
- Publiceer een conforme privacyverklaring die jouw verwerkingsactiviteiten nauwkeurig beschrijft.
- Stel een proces in voor het reageren op verzoeken van betrokkenen binnen de wettelijke termijn van 30 dagen.
De Data (Use and Access) Act 2026 van het VK, die op 19 juni 2026 koninklijke goedkeuring ontving, introduceert verdere wijzigingen in de gegevensbeschermingswetgeving die kleine bedrijven in het VK met juridische raad moeten herzien om ervoor te zorgen dat hun verplichtingen als verwerkingsverantwoordelijke actueel blijven [1].
Veelgestelde Vragen
V: Is een SaaS-bedrijf altijd een verwerker? Een SaaS-bedrijf is een verwerker alleen wanneer het persoonsgegevens strikt namens zijn klanten verwerkt en voor geen onafhankelijk doel. Als het klantgegevens gebruikt voor zijn eigen analyses, productverbetering of marketing, wordt het een verwerkingsverantwoordelijke voor die activiteiten.
V: Moet een verwerker zich registreren bij een toezichthoudende autoriteit? De registratievereisten variëren per EU-lidstaat. Verwerkers moeten echter interne Registers van Verwerkingsactiviteiten (RoPA) bijhouden onder Artikel 30 van de GDPR als ze 250 of meer mensen in dienst hebben, of als de verwerking waarschijnlijk een risico voor betrokkenen met zich meebrengt.
V: Kan een verwerker een instructie van een verwerkingsverantwoordelijke weigeren? Ja, als het volgen van de instructie de verwerker zou dwingen de GDPR te schenden. In dergelijke gevallen moet de verwerker de verwerkingsverantwoordelijke op de hoogte stellen en, als de instructie niet wordt gecorrigeerd, mogelijk de relatie beëindigen.
V: Wat is een gezamenlijke verwerkingsverantwoordelijke regeling? Gezamenlijke verwerkingsverantwoordelijken bestaan wanneer twee of meer entiteiten gezamenlijk de doeleinden en middelen van verwerking bepalen. Ze moeten hun respectieve verantwoordelijkheden documenteren in een transparante regeling en de essentie van die regeling beschikbaar stellen aan betrokkenen [1].
V: Hoe lang moet een DPA van kracht blijven? Een DPA moet van kracht blijven gedurende de duur van de verwerkingsrelatie. Bij beëindiging regelt het de verplichting van de verwerker om alle persoonsgegevens te verwijderen of te retourneren.
V: Zijn verwerkers aansprakelijk voor boetes die aan verwerkingsverantwoordelijken zijn opgelegd? Nee. Boetes worden opgelegd aan de entiteit die de inbreuk heeft gepleegd. Verwerkers kunnen echter afzonderlijke boetes krijgen voor hun eigen inbreuken en kunnen schadeloosstellingsclaims van verwerkingsverantwoordelijken onder de DPA ondervinden.
V: Is de GDPR van toepassing op verwerkers buiten de EU? Ja. De GDPR is van toepassing op verwerkers buiten de EU wanneer zij persoonsgegevens van EU-burgers verwerken namens EU-gevestigde verwerkingsverantwoordelijken, of wanneer zij anderszins onder de territoriale reikwijdte van de GDPR vallen volgens Artikel 3.
V: Wat is het verschil tussen een DPA en een Standaard Contractuele Clausule? Een DPA regelt de relatie tussen verwerkingsverantwoordelijke en verwerker binnenlands. Standaard Contractuele Clausules (SCC's) zijn specifieke contractuele mechanismen voor het overdragen van persoonsgegevens naar derde landen buiten de EU/EEA die geen adequaatheidsbesluit hebben.
Conclusie
Verantwoordelijkheid van de Verwerkingsverantwoordelijke versus Verwerker: Begrijpen van jouw Aansprakelijkheid Onder de GDPR is geen abstracte juridische oefening, het bepaalt wie geconfronteerd wordt met regelgevende boetes, wie betrokkenen compenseert, en wie verantwoordelijk is tegenover toezichthoudende autoriteiten wanneer er iets misgaat. Het onderscheid berust op een feitelijke vraag over besluitvormingsautoriteit, niet op contractlabels.
Actiegerichte volgende stappen:
- Voer een gegevensmapping uit om elke verwerkingsactiviteit en de rol van jouw organisatie in elke activiteit te identificeren.
- Controleer bestaande leverancierscontracten om te bevestigen dat conforme DPA's zijn opgesteld met elke verwerker die je inschakelt.
- Herzie sub-verwerker afspraken om ervoor te zorgen dat voorafgaande toestemming bestaat en equivalente verplichtingen worden opgelegd.
- Als je zowel als verwerkingsverantwoordelijke als verwerker opereert in verschillende activiteiten, documenteer elke rol afzonderlijk.
- Voor organisaties in het VK, herzie de implicaties van de Data (Use and Access) Act 2026 met gekwalificeerde juridische raad.
- Implementeer een consent management oplossing zoals Biscotti CMP om auditeerbare toestemmingsregisters bij te houden en jouw verplichtingen als verwerkingsverantwoordelijke te ondersteunen.
Misclassificatie is geen technische kwestie, het is een compliance-kloof met directe financiële en reputatiegevolgen. Het correct krijgen van de rollen vanaf het begin is de meest kosteneffectieve GDPR-investering die elke organisatie kan doen.
Referenties
[1] Wat zijn Verwerkingsverantwoordelijken en Verwerkers - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Relaties Tussen Verwerkingsverantwoordelijke En Verwerker - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai