Verwerkersovereenkomst bij WordPress-onderhoud: wie tekent wat?
Kort antwoord: wie een WordPress-site onderhoudt, kan bij de persoonsgegevens op die site. Denk aan formulierinzendingen, gebruikersaccounts en bestellingen. Dan ben je verwerker, en dan is een schriftelijke verwerkersovereenkomst verplicht. Besteed je het onderhoud uit, dan is je onderhoudspartij subverwerker. Ook die hoort in de afspraken.1
Waarom onderhoud onder de AVG valt
Bij updates, back-ups en herstel heb je toegang tot de database. Daarin staan bij de meeste sites persoonsgegevens: berichten uit het contactformulier, accounts van gebruikers, bij WooCommerce ook namen, adressen en bestellingen. Een back-up is een volledige kopie van die gegevens. Wie daar namens de klant mee werkt, is verwerker.
De AVG eist van zowel de verwerkingsverantwoordelijke als de verwerker dat er een verwerkersovereenkomst is (artikel 28, derde lid). Ontbreekt die, dan zijn beide partijen in overtreding.12
De keten: klant, bureau, onderhoudspartij
| Partij | Rol onder de AVG | Wat je regelt |
|---|---|---|
| Je klant (eigenaar van de site) | verwerkingsverantwoordelijke | Verwerkersovereenkomst met jouw bureau |
| Jouw webbureau | verwerker | Toestemming van de klant voor subverwerkers |
| Je onderhoudspartij | subverwerker | Subverwerkersovereenkomst met jouw bureau |
Een verwerker schakelt geen subverwerker in zonder voorafgaande schriftelijke toestemming van de verantwoordelijke. Die toestemming kan ook algemeen in de verwerkersovereenkomst staan, met voorwaarden. De verwerker legt de subverwerker dezelfde verplichtingen op en blijft volledig aansprakelijk als die ze niet nakomt.1
White-label en de AVG
White-label betekent dat je klant jouw naam en jouw logo ziet, niet de onze. Dat verandert niets aan de AVG. Je klant moet akkoord zijn met het inschakelen van subverwerkers. In de praktijk regel je dat met een algemene toestemming in je eigen verwerkersovereenkomst, plus een lijst van subverwerkers die je op verzoek deelt. Zo blijft de klantrelatie bij jou en klopt het juridisch.
Wat er in de overeenkomst moet staan
De Autoriteit Persoonsgegevens noemt deze onderwerpen:1
- onderwerp, duur, aard en doel van de verwerking, het soort gegevens en de categorieën betrokkenen;
- verwerking alleen op schriftelijke instructie;
- geheimhoudingsplicht voor wie bij de verwerker werkt;
- passende beveiliging, zoals versleuteling en herstel na incidenten;
- regels voor subverwerkers;
- hulp bij privacyrechten van betrokkenen (inzage, correctie, verwijdering);
- hulp bij datalekken en een DPIA;
- verwijderen of teruggeven van gegevens na afloop, inclusief kopieën;
- meewerken aan audits.
Vragen voor je onderhoudspartij
- Sluit je een (sub)verwerkersovereenkomst met ons af?
- Waar staan de back-ups, en hoe lang worden ze bewaard?
- Wie heeft toegang tot de wp-admin en de database, en hoe is die toegang beveiligd?
- Hoe snel hoor ik het als er een datalek is?
- Wat gebeurt er met back-ups als we stoppen?
Hoe Stilbeheer dit regelt
Stilbeheer sluit met elk bureau een verwerkersovereenkomst af. We hebben geen contact met je klanten, tenzij jij dat wilt. Back-ups gaan dagelijks naar een externe locatie, niet op dezelfde server, en worden 30 dagen (Basis) of 90 dagen (Plus) bewaard. Bij een probleem reageren we binnen 4 werkuren.
Basis kost €19 en Plus €35 per site per maand, excl. btw, vanaf 5 sites en maandelijks opzegbaar. Bekijk de pakketten of plan een kennismakingsgesprek. In dat gesprek nemen we ook de verwerkersovereenkomst door.
Veelgestelde vragen
Heb ik een verwerkersovereenkomst nodig als ik alleen updates doe?
Ja, als je daarbij toegang hebt tot persoonsgegevens, bijvoorbeeld via de database of back-ups. Bij vrijwel elke WordPress-site met een formulier is dat zo.
Moet mijn klant weten dat ik het onderhoud uitbesteed?
Je klant moet schriftelijk toestemming geven voor subverwerkers. Dat kan als algemene toestemming in je verwerkersovereenkomst. Je klant ziet verder jouw naam en jouw rapport.
Wie is aansprakelijk als de onderhoudspartij een fout maakt?
Tegenover je klant blijf jij als verwerker volledig aansprakelijk voor je subverwerker. Leg daarom dezelfde verplichtingen door in je subverwerkersovereenkomst.
Geldt dit ook in België?
Ja. De AVG is een Europese verordening en geldt in Nederland en België.
Bronnen
- Autoriteit Persoonsgegevens, Verwerkersovereenkomst (geraadpleegd 30-10-2026)
- Verordening (EU) 2016/679 (AVG), artikel 28, EUR-Lex (geraadpleegd 30-10-2026)
Dit is algemene informatie, geen juridisch advies.