U ondertekent een “AVG-compatibele” VPS. De DPA is een pdf van twee pagina’s: “de dienstverlener verbindt zich ertoe de regelgeving na te leven”. Geen lijst met onderaannemers, geen vervaltermijn, geen verwijderingsprocedure bij beëindiging. Een jaar later klantaudit: blokkering.
De onderaannemingsovereenkomst (DPA) Art. 28 is geen standaardtekst. Dit is het contract dat de host verplicht om uw persoonlijke gegevens alleen op gedocumenteerde instructies te verwerken.
Niet-onderhandelbare clausules (minimum)
Doel en duur — exact product (gedeelde Pro, VPS Gravelines), duur afgestemd op het hostingcontract.
Aard en doel — hosting, code-uitvoering, opslag, infraroodlogboeken.
Gedocumenteerde instructies — ticket, runbook of raamcontract; geen behandeling buiten instructie.
Vertrouwelijkheid — personeel dat toegang heeft tot gegevens.
Beveiliging Art. 32 — encryptie, toegangscontrole, back-ups, tests.
Subverwerkers — lijst + kennisgeving van wijziging + recht van verzet.
Individuele rechtenbijstand, DPIA, inbreuk — uiterste datum voor kennisgeving van inbreuk (≤72 uur), CNIL-samenwerking.
Einde contract — verwijdering/retour + certificaat.
| Clausule | Zwak signaal | Sterk signaal |
|---|---|---|
| Onderaannemers | “Vertrouwde partners” | Gedateerde PDF-lijst + 30 dagen notificatie |
| Inbreuk | “In overeenstemming met de wet” | ≤72 uur + details verstrekt |
| Verwijdering | “Beste inspanningen” | Deadline 30 dagen + certificaat |
| Locatie | “Europese Unie” | Back-up van regio + uitsluitingen |
Weigeren of onderhandelen
Clausules die de totale aansprakelijkheid bij overtreding uitsluiten. Auditverbod. Gratis overdracht buiten de EU zonder mechanisme. DPA toepasselijke “wereldwijde aanbieding” zonder uw product.
De top: de DPA beschermt de gegevensbeheerder, niet de verkoper
Beslis en ga vooruit zonder blinde vlek
- Download DPA vóór ondertekening, niet erna.
- Controleer checklist Art. 28 punt voor punt.
- Breng upstream-onderaannemers in kaart (CDN, ondersteuning, hardware).
- Lijn register en overschrijvingen buiten de EU.
Veelgestelde vragen
Bent u nog steeds een onderaannemer?
Ja, als het volgens uw instructies wordt verwerkt; niet als het zijn doelen stelt.
Standaard DPA aanvaardbaar?
Na perimeterbeoordeling, ST, inbreuk, verwijdering.
SCC EU-host?
Indien de Amerikaanse upstreamketen of overdracht buiten de EU plaatsvindt.
Einde contract?
Verwijderen/retourneren + certificaat + max.
Een sterke DPA leest als meetbare verplichtingen – niet als een belofte van ‘volledige naleving’ op het gebied van de verkoop.