Verwerkersovereenkomst bij CRM-software: complete uitleg 2026
Een verwerkersovereenkomst is een verplicht contract tussen jou (de verwerkingsverantwoordelijke) en je CRM-leverancier (de verwerker) wanneer die persoonsgegevens namens jou verwerkt. Gebruik je HubSpot CRM, Pipedrive of Salesforce voor klantdata? Dan is een verwerkersovereenkomst wettelijk verplicht onder de AVG — geen uitzonderingen.
Wat is een verwerkersovereenkomst precies?
Een verwerkersovereenkomst (ook wel DPA, Data Processing Agreement genoemd) regelt de afspraken tussen twee partijen die met persoonsgegevens werken. De ene partij, de verwerkingsverantwoordelijke, bepaalt waarom en hoe persoonsgegevens worden verwerkt. Jij bent dit als je klantgegevens invoert in een CRM.
De andere partij, de verwerker, verwerkt deze gegevens namens jou — bijvoorbeeld door ze op te slaan, te back-uppen of te analyseren. Een CRM-leverancier zoals Zoho CRM of Freshsales is in bijna alle gevallen een verwerker, geen verwerkingsverantwoordelijke.
Zonder een geldige verwerkersovereenkomst ben jij niet compliant met de AVG, ook al doet de software zelf niets fout. De verantwoordelijkheid ligt bij jou als ondernemer.
Voor een breder beeld van hoe je een CRM kiest inclusief dit soort juridische aspecten, kun je onze complete gids over CRM kiezen raadplegen.
Wanneer is een verwerkersovereenkomst verplicht?
Niet elk contact met een softwareleverancier vereist een verwerkersovereenkomst. Het is verplicht zodra een derde partij persoonsgegevens verwerkt namens jou, en dat is bij vrijwel elk CRM-systeem het geval.
- Contactgegevens opslaan: namen, e-mailadressen en telefoonnummers van klanten of leads in je CRM vallen onder persoonsgegevens
- Salesactiviteiten loggen: gespreksnotities, deal-historie en communicatie met prospects worden verwerkt door de leverancier
- E-mailintegraties: als je CRM zoals HubSpot CRM of monday sales CRM e-mails synchroniseert, verwerkt de leverancier ook die inhoud
- Cloudopslag bij derden: vrijwel alle CRM's draaien in de cloud, wat betekent dat je gegevens fysiek bij de leverancier (of diens sub-verwerkers) staan
Kortom: als je een CRM gebruikt met échte klantgegevens, heb je een verwerkersovereenkomst nodig. Er is geen ondergrens qua bedrijfsgrootte — ook ZZP'ers met een klein klantenbestand moeten dit regelen.
Welk CRM past bij jou?
Beantwoord 5 vragen en ontdek het perfecte CRM voor jouw bedrijf
Wie neemt het initiatief voor de verwerkersovereenkomst?
In de praktijk is het niet aan jou om zelf een verwerkersovereenkomst op te stellen. De meeste grote CRM-leveranciers hebben een standaard verwerkersovereenkomst klaarliggen die je kunt accepteren of ondertekenen. Twijfel je welk CRM het beste past bij jouw organisatie en compliance-behoeften, raadpleeg dan onze complete gids over het kiezen van een CRM voordat je een keuze maakt.
- HubSpot CRM biedt een Data Processing Agreement aan die je via het account of juridisch center kunt accepteren
- Salesforce heeft uitgebreide juridische documentatie inclusief een Data Processing Addendum voor Europese klanten
- Pipedrive stelt een verwerkersovereenkomst beschikbaar via het Trust Center of op verzoek
- Zoho CRM biedt eveneens een DPA aan, vaak te vinden in de juridische sectie van de website
Toch is het jouw verantwoordelijkheid als verwerkingsverantwoordelijke om te controleren of deze overeenkomst er daadwerkelijk is, of hij is geaccepteerd en of hij up-to-date is. Wacht niet tot een leverancier het initiatief neemt — vraag er expliciet naar als je niets kunt vinden.
Wat moet er in een verwerkersovereenkomst staan?
De AVG stelt specifieke eisen aan de inhoud van een verwerkersovereenkomst. Een goed contract regelt niet alleen dát er verwerkt wordt, maar ook hoe, door wie en onder welke voorwaarden.
- Onderwerp en duur van de verwerking
- welke gegevens worden verwerkt en voor hoe lang
- Aard en doel van de verwerking
- bijvoorbeeld klantbeheer, salesopvolging of marketingautomatisering
- Type persoonsgegevens en categorieën betrokkenen
- contactgegevens van klanten, leads of medewerkers
- Beveiligingsmaatregelen
- welke technische en organisatorische maatregelen de verwerker treft
- Sub-verwerkers
- of en welke derde partijen (zoals hostingproviders) toegang hebben tot de gegevens
- Meldplicht datalekken
- binnen welke termijn de verwerker jou informeert bij een datalek
- Bijstand bij rechten van betrokkenen
- hoe de verwerker helpt bij verzoeken van klanten om inzage of verwijdering
- Teruggave of vernietiging van gegevens
- wat er gebeurt met de data na beëindiging van het contract
Een overeenkomst die deze punten mist, is niet AVG-proof, ook als er wel een document is ondertekend.
Aandachtspunten bij het beoordelen van een verwerkersovereenkomst
Niet elke standaard-DPA is automatisch geschikt voor jouw situatie. Let bij het doornemen van de overeenkomst op de volgende punten.
- Locatie van dataopslag: sommige CRM's, zoals Close CRM, hebben data-infrastructuur die niet standaard in de EU staat — check of er passende waarborgen zijn bij doorgifte buiten de EU
- Sub-verwerkerslijst: vraag naar een actuele lijst van sub-verwerkers en hoe je op de hoogte wordt gehouden van wijzigingen
- Aansprakelijkheid bij datalekken: controleer welke partij aansprakelijk is en binnen welke termijn je geïnformeerd wordt
- Bewaartermijnen: zorg dat de overeenkomst aansluit op je eigen bewaarbeleid, niet op een standaardtermijn van de leverancier
- Auditrecht: heb je het recht om de beveiligingsmaatregelen van de verwerker te laten controleren of een rapport op te vragen?
- Beëindiging van het contract: wat gebeurt er met je klantdata als je overstapt naar een ander CRM, zoals van Capsule CRM naar Freshsales?
Twijfel je over specifieke clausules, raadpleeg dan een jurist of privacy-adviseur — een verwerkersovereenkomst is een juridisch document met reële aansprakelijkheidsrisico's.
AVG in de praktijk bij CRM-software
De AVG (Algemene Verordening Gegevensbescherming) is de Europese privacywet die sinds 2018 van kracht is, en een verwerkersovereenkomst is daarbinnen geen formaliteit maar een harde eis. Artikel 28 AVG verplicht een schriftelijke overeenkomst tussen verwerkingsverantwoordelijke en verwerker zodra persoonsgegevens worden verwerkt.
Voor CRM-gebruik betekent dit concreet: elke tool waarin je klantnamen, e-mailadressen of gespreksnotities opslaat, valt hieronder. Dit geldt voor HubSpot CRM, Pipedrive, Salesforce, Zoho CRM, Close CRM, Freshsales, monday sales CRM en Capsule CRM — zonder uitzondering, ongeacht de grootte van je bedrijf.
Naast de verwerkersovereenkomst zijn er andere AVG-eisen relevant voor CRM-gebruik. Opt-in is vereist voordat je iemand mag toevoegen aan marketingcommunicatie vanuit je CRM. Bewaartermijnen moeten transparant zijn: bewaar je leadgegevens niet oneindig zonder reden. Ook moet je klanten kunnen informeren over hun rechten, zoals inzage en verwijdering van hun gegevens.
Een NL/EU-datacenter is geen wettelijke eis op zich, maar vermindert wel het risico bij internationale gegevensdoorgifte. Check bij leveranciers zoals Salesforce of Zoho CRM waar de servers fysiek staan en of er passende waarborgen zijn (zoals EU Standard Contractual Clauses) als data buiten de EU wordt verwerkt.
Meer achtergrond over de wettelijke basis vind je op de website van de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder op de AVG. Voor de exacte wettekst kun je de officiële AVG-tekst via EUR-Lex raadplegen.
Twijfel je of jouw CRM-gebruik volledig compliant is? Raadpleeg een privacyjurist of Functionaris Gegevensbescherming voor advies op maat — dit artikel biedt algemene informatie, geen juridisch advies voor jouw specifieke situatie.
Wil je meer weten over hoe CRM-keuze en implementatie in de praktijk werken, inclusief de rol van dataoverdracht? Bekijk dan onze uitleg over CRM implementatie: stappenplan, kosten en valkuilen of lees eerst wat een CRM systeem precies inhoudt.
Praktische stappen om een verwerkersovereenkomst te regelen
Het regelen van een verwerkersovereenkomst hoeft niet ingewikkeld te zijn als je systematisch te werk gaat.
- Ga na welke CRM-leveranciers persoonsgegevens namens jou verwerken
- Zoek op de website van de leverancier naar een Trust Center, juridisch center of Data Processing Agreement
- Controleer of het document de verplichte onderdelen bevat, zoals beveiligingsmaatregelen en sub-verwerkers
- Onderteken of accepteer de overeenkomst, en bewaar een kopie voor je eigen administratie
- Herhaal dit proces voor elke andere tool die persoonsgegevens verwerkt, zoals e-mailmarketing of helpdesksoftware
- Controleer periodiek of de overeenkomst nog actueel is, zeker bij grote productupdates van de leverancier
Voor wie meerdere CRM's overweegt en wil weten hoe deze onderling scoren op transparantie en features, is onze vergelijking van 8 CRM-systemen een goed startpunt.
Conclusie
Een verwerkersovereenkomst is geen formaliteit maar een wettelijke verplichting zodra je klantgegevens verwerkt via een CRM-systeem. Of je nu HubSpot CRM, Pipedrive, Salesforce of een van de andere tools gebruikt: controleer altijd of er een geldige, volledige overeenkomst is voordat je persoonsgegevens invoert.
Ga voor een bredere afweging langs onze complete gids over CRM kiezen, of vergelijk direct de opties op basis van features, prijs en compliance via onze CRM-vergelijkingspagina.
💡 Let op: dit artikel biedt algemene juridische informatie over verwerkersovereenkomsten en is geen vervanging voor persoonlijk juridisch advies. Raadpleeg bij twijfel een privacyjurist of Functionaris Gegevensbescherming voor jouw specifieke situatie.
Veelgestelde vragen
Wat is het verschil tussen een verwerker en een verwerkingsverantwoordelijke?
Is een verwerkersovereenkomst verplicht voor ZZP'ers met een CRM?
Waar vind ik de verwerkersovereenkomst van mijn CRM-leverancier?
Wat gebeurt er als ik geen verwerkersovereenkomst heb afgesloten?
Moet ik voor elke tool die ik gebruik een aparte verwerkersovereenkomst hebben?
Verandert een verwerkersovereenkomst als ik van CRM wissel?
Vergelijk alle crm tools
Bekijk onze complete vergelijking met features, prijzen en reviews. Onafhankelijk beoordeeld, transparant gescoord.
Naar de CRM vergelijking