Op een dinsdagochtend staat er een servicebericht in de inbox van een installatiebedrijf met veertien monteurs. De leverancier van het planningspakket kondigt nieuwe functies aan: vanaf volgende maand vat het systeem werkbonnen samen, stelt het offerteteksten voor en beantwoordt het eenvoudige klantvragen in de chat op de website. Onderaan staat de zin die er juridisch toe doet. Voor deze functies wordt een nieuwe partij ingeschakeld die de gegevens verwerkt, en wie binnen dertig dagen geen bezwaar maakt, wordt geacht in te stemmen. De directeur leest het en archiveert het bericht.
De termijn om te reageren loopt vanaf dat moment. De aankondiging breidt de kring van partijen uit die bij uw klantgegevens kunnen, en vaak ook de doeleinden waarvoor die gegevens worden gebruikt. Het verwerkersrecht en het gewone verbintenissenrecht behandelen die twee dingen los van elkaar, en dat verschil bepaalt wat u nog kunt afdwingen.
Wat er in de keten verandert: een partij erbij, dezelfde gegevens
Uw softwareleverancier is meestal verwerker: hij verwerkt persoonsgegevens ten behoeve van u, en u bepaalt doel en middelen. Als hij voor de nieuwe functies een modelaanbieder of een cloudpartij inschakelt, wordt die partij subverwerker. Dezelfde brongegevens gaan die functies in: namen van contactpersonen in werkbonnen, adressen, klachtomschrijvingen, soms gezondheids- of betalingsgegevens die in een vrij tekstveld terecht zijn gekomen. Daarbij ontstaan nieuwe categorieën: samenvattingen, prompts, vectorrepresentaties en logbestanden van wat gebruikers hebben ingevoerd. Wat verandert, is wie de gegevens te zien krijgt, waar ze staan en welke afgeleiden ervan worden bewaard.
Dat maakt de aankondiging tot een contractueel moment. In artikel 28 lid 4 AVG staat dat de verwerker die een andere verwerker inschakelt daaraan dezelfde verplichtingen moet opleggen, en dat hij tegenover u volledig aansprakelijk blijft voor het nakomen van de verplichtingen van die andere verwerker. Uw leverancier kan zijn positie dus niet verkleinen door werk door te geven. Dat is de goede helft van het nieuws.
Artikel 28 lid 2 AVG geeft u een mededeling en een bezwaar, en zwijgt over het gevolg
De minder goede helft staat in lid 2. Een verwerker schakelt geen andere verwerker in zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Bijna elke verwerkersovereenkomst die een mkb-bedrijf tekent, bevat die algemene toestemming al: u heeft bij het sluiten van het contract ingestemd met de subverwerkers op een lijst en met toekomstige wijzigingen daarvan. In dat geval verplicht de AVG de leverancier alleen om u te informeren over voorgenomen toevoegingen of vervangingen en om u de mogelijkheid te bieden daartegen bezwaar te maken.
Over wat er ná dat bezwaar gebeurt, zegt de verordening niets: geen vetorecht, geen opschortende werking, geen ontbindingsrecht. De contractuele uitkomst hangt dus af van het beding in uw eigen overeenkomst. Staat daar dat u bij een gegrond bezwaar de overeenkomst tussentijds kunt beëindigen zonder vergoeding en met medewerking aan dataexport, dan heeft u een afdwingbare uitweg. Ontbreekt zo'n beding, dan blijft het bezwaar een schriftelijk standpunt zonder eigen sanctie. Uw verantwoordelijkheid verdwijnt daarmee niet. De EDPB-opinie 22/2024 benadrukt dat de verwerkingsverantwoordelijke ook bij een algemene toestemming zelf beslist over het inschakelen van een subverwerker en moet beoordelen of die partij voldoende garanties biedt. De opinie koppelt de diepgang van die beoordeling aan het risico en de omstandigheden van het geval. Blijft die beoordeling achterwege en legt u haar niet vast, dan raakt dat uw eigen verantwoordingsplicht onder de artikelen 5 lid 2 en 24 AVG. Dit is dezelfde constructie die eerder speelde bij de kennisclausule in leveranciersvoorwaarden: de bevoegdheid van de leverancier is ruim geformuleerd, en het tegenwicht moet uit uw eigen tekst komen.
Wanneer uw leverancier zelf verwerkingsverantwoordelijke wordt: artikel 28 lid 10 AVG
Er is een tweede vraag die zwaarder weegt dan de subverwerker zelf: waarvoor worden de gegevens gebruikt. Een verwerker mag op grond van artikel 28 lid 3 sub a AVG uitsluitend handelen op uw gedocumenteerde instructies. Bepaalt hij zelf doel en middelen van een verwerking, dan geldt hij op grond van lid 10 voor die verwerking als verwerkingsverantwoordelijke. Het trainen of verbeteren van een eigen model met uw klantgegevens is zo'n eigen doel. Stel de leverancier daarom drie feitelijke vragen: gaan mijn gegevens de productverbetering in, op welke rechtsgrond, en met welke bewaartermijn. Het antwoord hoort in de verwerkersovereenkomst te staan, met een datum en een verantwoordelijke.
Die vraag heeft ook een kant die op u terugslaat. De EDPB-opinie 28/2024 van 17 december 2024 behandelt onder meer wanneer een AI-model als anoniem kan gelden en welke gevolgen onrechtmatige verwerking in de ontwikkelfase heeft voor het latere gebruik van dat model. Een afnemer die zo'n model inzet, kan daar last van krijgen. Daarnaast geldt sinds 2 augustus 2026 artikel 50 van de AI-verordening (EU) 2024/1689: systemen die rechtstreeks met mensen communiceren, moeten zo zijn ontworpen dat de gebruiker weet dat hij met AI te maken heeft, tenzij dat voor een normaal geïnformeerde en redelijk oplettende persoon al duidelijk is uit de omstandigheden. Die ontwerpplicht rust op de aanbieder van het systeem; als gebruiksverantwoordelijke draagt u haar niet zonder meer. Praktisch betekent dat een garantie in het contract dat de functie aan artikel 50 voldoet, plus een afspraak over de tekst die de klant te zien krijgt. Die chatfunctie staat immers onder uw naam op uw website, en de klant belt u. Wat een geautomatiseerde tegenpartij aan de klantzijde betekent voor de totstandkoming van overeenkomsten, staat in het eerdere stuk over de inkoopagent in uw webshop.
Artikel 6:76 BW loopt naast het verwerkersrecht
Hier ligt de bepaling die in deze gesprekken zelden op tafel komt. Artikel 6:76 BW zegt dat de schuldenaar die bij de uitvoering van een verbintenis gebruikmaakt van de hulp van andere personen, voor hun gedragingen op gelijke wijze aansprakelijk is als voor eigen gedragingen. Uw leverancier heeft de subverwerker gekozen. Voor zover die partij wordt ingezet bij de uitvoering van wat de leverancier u heeft beloofd, en haar handelen bij de leverancier zelf een tekortkoming zou opleveren, wordt dat handelen aan de leverancier toegerekend. Het gedrag van de hulppersoon telt dan als zijn eigen gedrag, ook als hij er feitelijk geen zicht op had.
Het verwerkersrecht geeft u dus een informatieplicht en een formeel bezwaar; het verbintenissenrecht geeft u een toerekeningsregel. De praktijk haalt die twee door elkaar en onderhandelt alleen over de eerste. Kijk daarom in dezelfde week naar de exoneratie. Een aansprakelijkheidsbeperking tot twaalf maanden vergoeding met uitsluiting van gevolgschade laat de toerekening van artikel 6:76 BW in stand. Zij begrenst het gevolg ervan: de vordering die uit die toerekening voortvloeit, wordt teruggebracht tot een bedrag dat bij een datalek in de klantadministratie zelden de werkelijke schade dekt. Bij beveiligingsgebreken in leverancierscontracten is dat mechanisme eerder aan de orde geweest.
Het wijzigingsbeding getoetst aan artikel 6:233, 6:235 en 6:248 BW
Blijft over de vraag of de leverancier de dienst eenzijdig zo mag veranderen. Staat het wijzigingsbeding in algemene voorwaarden, dan is het op grond van artikel 6:233 sub a BW vernietigbaar als het onredelijk bezwarend is, gelet op de aard van de overeenkomst, de wederzijds kenbare belangen en de omstandigheden van het geval. Een beding dat de gebruiker toestaat een wezenlijk andere prestatie te leveren dan is toegezegd, staat voor consumenten op de grijze lijst; bij kleine ondernemers kan die norm via reflexwerking meewegen. Let wel op artikel 6:235 lid 1 BW. Dat sluit het beroep op de artikelen 6:233 en 6:234 BW uit voor twee omschreven categorieën: de in artikel 2:360 BW bedoelde rechtspersoon die zijn jaarrekening laatstelijk openbaar heeft gemaakt of op wie in het laatst afgesloten boekjaar artikel 2:403 BW is toegepast, en de partij bij wie op dat tijdstip vijftig of meer personen werkzaam zijn dan wel bij wie dat aantal blijkt uit een opgave krachtens de Handelsregisterwet 2007. Lid 3 voegt daar een categorie aan toe die voor mkb-dienstverleners vaak beslissend is: wie zelf meermalen dezelfde of nagenoeg dezelfde algemene voorwaarden gebruikt, kan zich op de vernietigingsgronden van de artikelen 6:233 en 6:234 BW niet beroepen. Het gaat om de partij die meermalen dezelfde of nagenoeg dezelfde algemene voorwaarden in haar eigen overeenkomsten gebruikt; die verliest dat verweer ook tegenover haar leverancier. Valt uw onderneming onder een van die categorieën, dan resteert artikel 6:248 lid 2 BW.
Is de wijziging onaanvaardbaar en biedt het contract geen uitweg, dan komt opzegging in beeld. Voor duurovereenkomsten voor onbepaalde tijd geldt sinds HR 28 oktober 2011 (De Ronde Venen/Stedin) dat zij in beginsel opzegbaar zijn, maar dat de eisen van redelijkheid en billijkheid in verband met de omstandigheden een voldoende zwaarwegende grond, een termijn of een vergoeding kunnen verlangen. Bij een contract voor bepaalde tijd met automatische verlenging is dat lastiger, en juist daar hoort een uitstapclausule bij wijziging van de subverwerkerslijst.
Zes bepalingen die deze week in uw contract kunnen
Een concrete lijst voor het volgende verlengingsmoment, in de volgorde waarin ze bij een geschil aan bod komen:
- Een reële termijn en een adres. Kennisgeving van een nieuwe subverwerker ten minste dertig dagen vooraf, aan een genoemd contactpersoon, niet in een releasenote.
- Bezwaar met gevolg. Bij gemotiveerd bezwaar geen activering voor uw omgeving, of tussentijdse beëindiging zonder vergoeding en zonder verlies van vooruitbetaalde termijnen.
- Een verbod op eigen doeleinden. Uw gegevens en de daaruit afgeleide gegevens worden niet gebruikt voor training, verbetering of evaluatie van modellen, tenzij u dat per geval schriftelijk toestaat.
- Opt-in voor nieuwe functies. Nieuwe verwerkingsfuncties staan standaard uit en worden per beheerder aangezet, met een logregel wie dat deed.
- Exit die werkt. Export in een gangbaar formaat binnen een genoemd aantal dagen, aantoonbare verwijdering bij subverwerkers, en een prijs die vooraf vaststaat.
- Aansprakelijkheid die de keten volgt. Geen exoneratie voor tekortkomingen van ingeschakelde partijen bij inbreuken op vertrouwelijkheid en gegevensbescherming, en, voor zover rechtens toegestaan, een vrijwaring voor boetes en claims die het gevolg zijn van hun handelen. Zo'n vrijwaring verdeelt het risico tussen u en uw leverancier; uw eigen verantwoordelijkheid als verwerkingsverantwoordelijke tegenover de toezichthouder blijft bestaan.
Wie klantgegevens onder geheimhouding houdt, heeft er nog een reden bij. Bedrijfsgeheimen worden onder de Wet bescherming bedrijfsgeheimen alleen beschermd voor zover, gezien de omstandigheden, redelijke maatregelen zijn genomen om ze geheim te houden. Bestaande geheimhoudings-, beveiligings- en controleafspraken kunnen op zichzelf redelijk zijn. Het punt is bewijsrechtelijk: wie later moet aantonen welke maatregelen golden toen een partij aan de keten werd toegevoegd, staat sterker met een gedocumenteerde beoordeling van die partij dan met een verlopen bezwaartermijn. Uw eigen geheimhoudingsafspraken met opdrachtgevers verwijzen daar vaak rechtstreeks naar.
De contractscan leest een verwerkersovereenkomst en een set algemene voorwaarden met deze zes punten naast elkaar en markeert welke ontbreken. Wat uw leverancier feitelijk met de data doet, blijkt niet uit het contract; die vraag hoort in het gesprek met de accountmanager, met de tekst erbij.
Wetteksten geraadpleegd via eur-lex.europa.eu en wetten.overheid.nl op 27 augustus 2026. Boek 6 BW in de geldende versie van 16 juli 2026; de artikelen 6:76, 6:233, 6:235 en 6:248 BW zijn in die versie ongewijzigd ten opzichte van de eerdere tekst.
