De leverancier van uw planningspakket, boekhoudsysteem of helpdesk kondigt nieuwe functies aan die werkbonnen samenvatten, offerteteksten voorstellen en klantvragen beantwoorden. Onderaan het servicebericht staat de zin die er juridisch toe doet: voor die functies wordt een nieuwe partij ingeschakeld die de gegevens verwerkt, en wie binnen dertig dagen geen bezwaar maakt, wordt geacht in te stemmen. Die aankondiging breidt de kring van partijen uit die bij uw klantgegevens kunnen, en vaak ook de doeleinden waarvoor die gegevens worden gebruikt.

Wat artikel 28 lid 2 AVG wel en niet regelt

Bijna elke verwerkersovereenkomst die een mkb-bedrijf tekent, bevat een algemene schriftelijke toestemming voor toekomstige subverwerkers. In dat geval verplicht de AVG de leverancier alleen om u te informeren over een voorgenomen toevoeging of vervanging en om u de gelegenheid te geven bezwaar te maken. Over het gevolg van dat bezwaar zwijgt de verordening: geen vetorecht, geen opschorting, geen ontbindingsrecht. De contractuele uitkomst hangt af van het beding in uw eigen overeenkomst, terwijl u volgens de EDPB-opinie 22/2024 zelf verantwoordelijk blijft voor de beoordeling of de nieuwe partij voldoende garanties biedt. Daarnaast blijft de leverancier op grond van artikel 28 lid 4 AVG volledig aansprakelijk voor het nakomen van de verplichtingen van de partij die hij inschakelt, en geldt hij op grond van lid 10 zelf als verwerkingsverantwoordelijke zodra hij doel en middelen van een verwerking bepaalt — bijvoorbeeld door met uw klantgegevens een eigen model te trainen.

Verwerkersrecht en verbintenissenrecht lopen naast elkaar

In deze gesprekken blijft artikel 6:76 BW meestal onbesproken. Wie bij de uitvoering van een verbintenis gebruikmaakt van de hulp van anderen, is voor hun gedragingen op gelijke wijze aansprakelijk als voor eigen gedragingen. Uw leverancier koos de subverwerker. Voor zover die partij wordt ingezet bij de uitvoering van wat de leverancier heeft beloofd en haar handelen bij de leverancier zelf een tekortkoming zou opleveren, wordt het aan hem toegerekend. Het verwerkersrecht geeft een informatieplicht, het verbintenissenrecht een toerekeningsregel, en een ruime exoneratie begrenst het gevolg van die tweede. Of de dienst eenzijdig mag veranderen, volgt uit het wijzigingsbeding, getoetst aan artikel 6:233 sub a BW, met de grenzen van artikel 6:235 lid 1 en lid 3 BW voor grotere ondernemingen en voor wie zelf meermalen dezelfde voorwaarden gebruikt en artikel 6:248 lid 2 BW als terugvaloptie.

Zes bepalingen voor het volgende verlengingsmoment

Het artikel besluit met een concrete lijst: een reële kennisgevingstermijn aan een genoemd contactpersoon, bezwaar met een beëindigingsgevolg, een verbod op gebruik van uw gegevens voor training en modelverbetering, nieuwe verwerkingsfuncties standaard uit, een exitregeling met export en aantoonbare verwijdering bij subverwerkers, en aansprakelijkheid die de keten volgt. Voor bedrijven die klantgegevens onder geheimhouding houden, komt daar de eis van redelijke geheimhoudingsmaatregelen uit de Wet bescherming bedrijfsgeheimen bij.