ENNL
Menu
← Alle artikelen

Verwerkersovereenkomst coach: wanneer en hoe regelen

Verwerkersovereenkomst coach: wanneer en hoe regelen

Coach beheert afspraken rondom klantgegevens op verschillende apparaten

Als coach heb je een verwerkersovereenkomst nodig zodra een leverancier persoonsgegevens van je cliënten namens jou verwerkt. Werk je met praktijksoftware, een boekhoudprogramma of een videobel-tool die cliëntgegevens ziet of opslaat? Dan is een verwerkersovereenkomst meestal verplicht. Dit volgt rechtstreeks uit artikel 28 AVG en wordt bevestigd door de Autoriteit Persoonsgegevens.

Je hoeft dit niet in één dag te regelen maar wel serieus op te pakken. Zet vandaag deze stappen in gang:

  • Controleer welke leveranciers toegang hebben tot cliëntgegevens: je praktijksoftware, je e-mailprogramma, je boekhouder.
  • Vraag bij elke leverancier de verwerkersovereenkomst op, of stuur zelf een model als die er niet is.
  • Bewaar de ondertekende overeenkomst centraal, niet los in je mailbox tussen honderd andere berichten.
  • Stop niet zomaar met een leverancier die weigert te tekenen, maar zoek eerst een alternatief voor je overstapt.

Verderop lees je precies wat er in zo’n overeenkomst moet staan, welke leveranciers meestal een verwerkersovereenkomst nodig hebben en hoe je dit als coach in een paar stappen regelt.

Belangrijkste inzichten

Een verwerkersovereenkomst is verplicht zodra een leverancier namens jou cliëntgegevens verwerkt, en artikel 28 AVG bepaalt precies wat daarin moet staan.

Punt Details
Bepaal de rol van je leverancier Ga na of de leverancier op jouw instructie werkt of zelf doel en middel bepaalt.
Controleer artikel 28-onderdelen Loop onderwerp, duur, beveiliging, subverwerkers en datalekprocedure na bij elk contract.
Prioriteer leveranciers met directe data-toegang Begin je inventarisatie bij praktijksoftware en boekhoudpartijen.
Exantur ondersteunt met EU-hosting en verwerkersovereenkomst Gebruik dit als onderdeel van je centrale gegevensverwerking, niet als volledige AVG-garantie.

Inhoudsopgave

Wat is een verwerkersovereenkomst coach precies?

Een verwerkersovereenkomst coach is een schriftelijk contract tussen jou als coach en een leverancier die persoonsgegevens van jouw cliënten verwerkt. Denk aan een softwarebedrijf dat je sessienotities host, of een boekhouder die facturen met klantnamen verwerkt.

De AVG kent twee rollen. Jij bent de verwerkingsverantwoordelijke: jij bepaalt waarom je gegevens verzamelt en hoe je ze gebruikt. De leverancier is de verwerker: die handelt alleen op jouw instructie en mag gegevens niet voor eigen doeleinden gebruiken. De Autoriteit Persoonsgegevens omschrijft dit onderscheid als de kern van artikel 28 AVG.

Twijfel je over de rol van een leverancier? Stel deze vragen:

  • Bepaalt de leverancier zelf waarom en hoe gegevens worden gebruikt, of volgt hij alleen jouw instructies?
  • Kan een medewerker van de leverancier cliëntgegevens inzien via support of logbestanden?
  • Verkoopt of hergebruikt de leverancier gegevens voor eigen marketing?
Rol Wie bepaalt doel en middel Voorbeeld in coachingpraktijk
Verwerkingsverantwoordelijke Jij, als coach Jij beslist welke cliëntgegevens je vastlegt en waarom
Verwerker De leverancier, op jouw instructie Praktijksoftware die sessienotities voor jou opslaat
Twijfelgeval Afhankelijk van contract Boekhouder die ook eigen advies geeft op basis van je data

Wanneer heb je als coach een verwerkersovereenkomst nodig?

De vuistregel is simpel: heeft een leverancier technisch toegang tot cliëntgegevens, dan is een verwerkersovereenkomst meestal verplicht. Dat bevestigt ook Sens Juristen in hun uitleg over softwareleveranciers en de AVG.

Duidelijke ja’s:

  • Praktijksoftware waarin je cliëntnamen, sessienotities of intakeformulieren bewaart.
  • Videobel-tools die opnames of chatgeschiedenis opslaan.
  • Boekhoudsoftware met facturen op naam van je cliënten.
  • E-mailmarketingtools met contactlijsten van cliënten of prospects.
  • Betalingsverwerkers die transacties met klantgegevens verwerken.

Duidelijke nee’s:

  • Een leverancier van kantoorbenodigdheden die nooit cliëntdata ziet.
  • Een webhostingpartij zonder toegang tot je cliëntendatabase, puur voor je visitekaartje-website.

Twijfelgevallen ontstaan vaak bij support en analyse. Heeft een supportmedewerker inzage in logbestanden met cliëntnamen? Analyseert een tool gebruiksdata die naar individuele cliënten te herleiden is? Dan is de kans groot dat er toch verwerking plaatsvindt, ook als de leverancier zegt “alleen infrastructuur” te leveren. Teken in dat geval niet blind. Vraag om een verwerkersovereenkomst en zoek een alternatief als de leverancier weigert.

Wat moet er minimaal in de overeenkomst staan?

Artikel 28 AVG somt op wat een verwerkersovereenkomst verplicht moet regelen. De Autoriteit Persoonsgegevens noemt onder meer afspraken over onderwerp, duur, aard en doel van de verwerking, en wat er gebeurt met gegevens na afloop van het contract. Loop deze punten na bij elke overeenkomst die je tekent:

  • Onderwerp, duur, aard en doel: waarom verwerkt de leverancier gegevens en voor hoelang. Vraag: staat dit concreet omschreven, of alleen in vage algemene taal?
  • Soorten persoonsgegevens en categorieën betrokkenen: welke gegevens (namen, contactgegevens, sessienotities) en van wie (cliënten, prospects).
  • Instructies: de leverancier mag alleen verwerken volgens jouw schriftelijke instructies, niet naar eigen inzicht.
  • Geheimhouding: medewerkers van de leverancier moeten gebonden zijn aan geheimhouding.
  • Beveiligingsmaatregelen: welke technische en organisatorische maatregelen neemt de leverancier, zoals versleuteling of toegangscontrole.
  • Subverwerkers: mag de leverancier derden inschakelen, en onder welke voorwaarden.
  • Ondersteuning bij rechten van betrokkenen: helpt de leverancier je bij een verzoek van een cliënt om inzage of verwijdering.
  • Datalekprocedure: binnen welke termijn meldt de leverancier een datalek bij jou.
  • Verwijdering of teruggave: wat gebeurt er met gegevens zodra het contract stopt.
  • Auditrecht: mag je bewijs of logs opvragen om naleving te controleren.

Standaardclausules over geheimhouding en beveiliging zijn meestal onderhandelingsvrij bij grote, gevestigde leveranciers. Onderhandel wel altijd over subverwerkers en de meldtermijn bij datalekken. Die punten laten leveranciers soms te vaag staan.

Typische verwerkers voor coaches en hoe je ze inventariseert

De meeste coaches werken met een handvol leveranciers die daadwerkelijk cliëntgegevens zien. Denk aan:

  • Praktijksoftware of CRM waarin je cliëntdossiers bijhoudt.
  • Software voor sessienotities en voortgangsverslagen.
  • Videovergadertools voor online sessies.
  • Cloudopslag voor documenten en opdrachten.
  • Betalingsverwerkers en facturatiesoftware.
  • Je boekhouder of accountant.
  • E-mailmarketingtools voor nieuwsbrieven aan cliënten.
  • Online formulieren voor intake of inschrijving.

Om te inventariseren, stel per leverancier vijf vragen: welke gegevens ziet deze partij, waar worden ze opgeslagen, wie heeft er toegang, is er al een verwerkersovereenkomst, en wanneer is die voor het laatst gecontroleerd. De Autoriteit Persoonsgegevens biedt een voorbeeldlijst die je kunt gebruiken als startpunt.

Bouw op basis daarvan een simpel leveranciersregister met deze kolommen: naam leverancier, contactpersoon, type gegevens, toegangsniveau, verwerkersovereenkomst aanwezig (ja/nee), datum laatste review. Begin met leveranciers die cliëntgegevens direct kunnen inzien of langdurig bewaren. Dat zijn de grootste risico’s.

Een paar handen houdt overzicht over een digitale leverancierslijst.

Stappenplan: zo regel je een verwerkersovereenkomst

Een verwerkersovereenkomst regel je niet in één telefoontje, maar het proces is overzichtelijk als je het in stappen knipt.

  1. Inventariseer en prioriteer. Maak het leveranciersregister uit de vorige sectie en rangschik leveranciers op risico: eerst degenen met directe toegang tot cliëntdata.
  2. Vraag de bestaande overeenkomst op. Bij grotere leveranciers ligt er meestal al een standaardovereenkomst klaar. Controleer die tegen de artikel 28-punten uit deze gids.
  3. Onderhandel of accepteer, en teken. Ontbreken cruciale punten zoals de meldtermijn bij datalekken? Vraag om aanpassing. Is alles compleet, teken dan digitaal en bewaar een kopie.
  4. Bewaar centraal en plan een jaarlijkse review. Zet alle ondertekende overeenkomsten in één map of systeem, niet verspreid over mailboxen.

Wie doet wat? Jij als coach neemt het initiatief en beheert het register. Neem zelf contact op met kleinere leveranciers; bij grote softwarebedrijven vind je vaak al een standaardovereenkomst op hun website. Schakel een jurist in bij twijfel over subverwerkers, internationale doorgifte van gegevens of bij een leverancier die weigert te tekenen. Sommige coaches kiezen voor een gecombineerd document, een overeenkomst van opdracht met de verwerkersafspraken erin verwerkt. Dat kan praktisch zijn, zolang de verwerkersverplichtingen niet ondergeschikt worden aan andere bepalingen, zoals EML Juridisch Advies benadrukt.

Leg bij elke overeenkomst vast: ondertekeningsdatum, welke gegevens onder de overeenkomst vallen, en de contactpersoon bij de leverancier. Dat scheelt je tijd bij een volgende review.

Pro-tip: Zet een jaarlijkse herinnering in je agenda om al je verwerkersovereenkomsten in één keer te checken. Nieuwe functies in je software of een nieuwe dienst kunnen betekenen dat de afspraken niet meer kloppen.

Subverwerkers, datalekken en audits: wat als er iets misgaat

Een subverwerker is een derde partij die jouw leverancier inschakelt, bijvoorbeeld een clouddienst waarop de software van je leverancier draait. De leverancier mag een subverwerker alleen inschakelen met jouw toestemming of na melding vooraf, zoals vastgelegd in de verwerkersovereenkomst.

Bij een datalek gelden strikte afspraken. De Autoriteit Persoonsgegevens stelt dat je met je verwerker moet afspreken binnen welke termijn die een lek meldt, zodat jij op tijd kunt handelen richting cliënten en toezichthouder. Vraag bij een lek altijd om schriftelijk bewijs: wat er is gebeurd, welke gegevens zijn geraakt en welke maatregelen zijn genomen.

Voor audits geldt: je mag redelijkerwijs bewijs opvragen, zoals beveiligingsrapporten of logs, maar niet elke week. Eén keer per jaar is gebruikelijk, tenzij er concrete aanleiding is.

Werkt een leverancier niet mee aan deze afspraken? Beschouw dat als een waarschuwingssignaal en zoek een alternatief.

Subverwerkers, datalekken en audits: wat als er iets misgaat — overview diagram

Tijdlijn en kosten: wat kun je verwachten

Reken op deze indicatie:

  • Inventarisatie van leveranciers: 1 tot 2 weken, afhankelijk van hoeveel tools je gebruikt.
  • Overeenkomsten opvragen en onderhandelen: 1 tot 4 weken, want sommige leveranciers reageren traag.
  • Archiveren en jaarlijkse review: doorlopend, met een vast moment per jaar.

De kosten blijven meestal beperkt. Gebruik je alleen standaardovereenkomsten van bekende softwareleveranciers, dan zijn de kosten laag: vooral je eigen tijd. Wil je juridische controle op maatwerkclausules, dan lopen de kosten iets op, afhankelijk van de complexiteit van je leveranciersnetwerk. Digitale ondertekentools voegen meestal een matige kostenpost toe.

Pro-tip: Gebruik een model-verwerkersovereenkomst als startpunt, zoals te vinden op zzp-adviespagina’s, en reserveer een jurist alleen voor de clausules die echt maatwerk vragen.

Hoe Exantur de verwerkersovereenkomst en privacy voor coaches ondersteunt

Exantur biedt coaches EU-hosting, een verwerkersovereenkomst en een veilig coachee-portaal als onderdeel van het product. Dat helpt bij je eigen verwerkersverplichtingen, maar vervangt ze niet. Concreet betekent dit voor jouw praktijk:

  • Cliëntgegevens, sessienotities en documenten blijven op één centrale plek, wat inventarisatie voor je leveranciersregister makkelijker maakt.
  • Het beveiligde coachee-portaal geeft cliënten zelf toegang tot hun eigen gegevens, wat helpt bij verzoeken om inzage.
  • De ondertekende verwerkersovereenkomst met Exantur ligt vast als bewijsstuk voor je eigen dossier.

Het gebruik van software als Exantur maakt je coachingpraktijk niet automatisch volledig AVG-compliant. Je blijft zelf verantwoordelijk voor je overige leveranciers.

Persoonlijke noot van een coachgericht auteur

Begin klein: regel eerst de verwerkersovereenkomst met de leverancier die de meeste cliëntdata ziet, meestal je praktijksoftware. Gebruik gerust een modelovereenkomst als startpunt en vraag pas juridisch advies bij twijfel over subverwerkers of internationale doorgifte. Plan daarna gewoon een jaarlijkse check, dan blijft het overzichtelijk.

Exantur helpt je verwerkersovereenkomsten praktisch te regelen

Er zijn verschillende routes om je verwerkersovereenkomsten op orde te krijgen: los per leverancier uitzoeken, een jurist inschakelen voor elk contract, of alles verspreid bijhouden in mappen en mailboxen. Exantur kiest een andere weg. Omdat cliëntgegevens, sessienotities en documenten al in één centrale werkruimte staan met EU-hosting en een eigen verwerkersovereenkomst, hoef je die ene grote leverancier niet apart te controleren. Dat scheelt tijd bij je jaarlijkse review.

Voor coaches die hun praktijkmanagementsoftware willen combineren met veilig gegevensgebruik, is dat een directe manier om structuur en privacy tegelijk te regelen. Bekijk de coaching-praktijkmanagementsoftware van Exantur en start een proefperiode van 14 dagen om te zien hoe cliëntbeheer, sessienotities en het coachee-portaal in de praktijk werken.

Bronnen

Veelgestelde vragen

Wanneer is een verwerkersovereenkomst verplicht?

Wat is een standaard verwerkersovereenkomst?

Een standaard verwerkersovereenkomst is een modelcontract met de basisclausules uit artikel 28 AVG, zoals beveiliging en geheimhouding. Pas het model altijd aan op je eigen praktijk voordat je tekent.

Kan ik als coach werken zonder diploma?

Coaching is in Nederland geen beschermd beroep, dus je kunt zonder verplicht diploma werken. De verplichting om een verwerkersovereenkomst te sluiten staat hier los van en geldt ongeacht je opleiding.

Wat is het zakelijke tarief voor coaching?

Tarieven voor coaching verschillen sterk per specialisatie en ervaring, en zijn niet wettelijk vastgelegd. Belangrijker voor je AVG-verplichtingen is niet je tarief, maar of leveranciers die je inschakelt cliëntgegevens verwerken.

Aanbeveling