# Gegevensuitwisselingsovereenkomst tussen zelfstandige verwerkingsverantwoordelijken Tussen zelfstandige verwerkingsverantwoordelijken, op grond van uitvoering [naam wettelijke regeling of hoofdovereenkomst, met het doel] Gemeente [naam gemeente], waarvan [het college van Burgemeester en Wethouders/de Gemeenteraad] de verwerkingsverantwoordelijke is, verder te noemen Verwerkingsverantwoordelijke, hierbij rechtsgeldig vertegenwoordigd door de [heer of mevrouw] [persoonsnaam], [functie] en [Naam organisatie], gevestigd te [plaatsnaam], KVK-nummer [nummer] Verwerkingsverantwoordelijke, hierbij rechtsgeldig vertegenwoordigd door de [de heer of mevrouw], [persoonsnaam] , [functie], hierna afzonderlijk te noemen “Partij”, of gezamenlijk “Partijen” Overwegen het volgende: - Partijen , - Partijen zullen ter uitvoering van de hiervoor vermelde [taken/afspraken] Persoonsgegevens verwerken; - Op de verwerking van Persoonsgegevens door Partijen zijn de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG) van toepassing; - Partijen zijn ieder Verwerkingsverantwoordelijke als bedoeld in artikel 4, aanhef en onder 7, AVG voor de verwerkingen die zij uitvoeren; - Partijen stellen vast dat zij beide ieder voor zich verwerkingsverantwoordelijke zijn voor hun eigen deel van de verwerking, als bedoeld in artikel 3.2 van deze overeenkomst. - Partijen willen in aanvulling op de AVG en de UAVG de volgende afspraken vastleggen over de verwerking van Persoonsgegevens; Artikel 1 Definities 1.1 Begrippen uit de AVG en de UAVG die in deze Overeenkomst worden gebruikt, hebben dezelfde betekenis. 1.2 Bijlagen: aanhangsels bij deze Overeenkomst die onlosmakelijk deel uitmaken van deze Overeenkomst. Artikel 2 Ingangsdatum en duur 2.1 Deze overeenkomst gaat in op het moment dat de Hoofdovereenkomst tot stand is gekomen, tenzij Partijen anders overeenkomen. 2.2 Deze overeenkomst eindigt op het moment dat Partijen de verwerking van Persoonsgegevens hebben beëindigd. 2.3. Partijen zullen deze overeenkomst gedurende de looptijd periodiek evalueren en aanpassen bij gewijzigde omstandigheden. Artikel 3 Onderwerp van deze Overeenkomst 3.1 Partijen verwerken de door of via Partijen ter beschikking gestelde Persoonsgegevens uitsluitend voor de uitvoering van de hierboven genoemde [Hoofdovereenkomst] en het [doel omschrijven voor het afsluiten van de regeling/Hoofdovereenkomst] 3.2 Iedere Partij vult de door haar uit te voeren leveringen aan de andere Partij in tabel 1 van Bijlage 1 in. Artikel 4 Inhoudelijke afspraken 4.1 Beveiligingsmaatregelen Partijen zorgen ervoor dat passende technische en organisatorische maatregelen worden genomen om de Persoonsgegevens goed te beveiligen ten aanzien van de levering van Persoonsgegevens, overeenkomstig artikel 32 AVG. Deze maatregelen garanderen een passend beveiligingsniveau bij de verwerkingen genoemd in Bijlage 1. In Bijlage 2 wordt het passend beveiligingsniveau en organisatorische maatregelen door Partijen aangetoond. 4.2 Geheimhouding Personen die werken voor Partijen moeten Persoonsgegevens waarmee zij werken geheimhouden. De personen die werken voor Partijen en eventueel ingeschakelde derden hebben daarom een geheimhoudingsverklaring getekend, of zich op een andere manier schriftelijk gebonden aan de geheimhouding. 4.3 Verwerkers Partijen houden - indien van toepassing - bij welke verwerkers zijn ingeschakeld bij de verwerking van Persoonsgegevens. 4.4 Rechten van betrokkenen Als Betrokkene een beroep doet op zijn rechten, zoals genoemd in artikel 12 t/m 22 AVG, kan deze zich richten tot de Partij die Verwerkingsverantwoordelijke is voor de desbetreffende verwerking (zie Bijlage 1). Mocht een Betrokkene zich tot de verkeerde Verwerkingsverantwoordelijke richten, dan zorgt de Partij die het verzoek ontvangt, dat dit verzoek naar de juiste Partij wordt verzonden. Partijen zullen elkaar zo nodig redelijkerwijs ondersteunen bij het tijdig afhandelen van de hierboven genoemde verzoeken. 4.5 Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging Op verzoek van een Partij werkt de andere Partij altijd mee aan een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging als bedoeld in artikel 35 en 36 AVG. Artikel 5 Inbreuk in verband met Persoonsgegevens tijdens de uitwisseling 5.1 Partijen zullen elkaar over en weer zo snel mogelijk, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens. Partijen vermelden hierbij - voor zover bekend - de vermeende oorzaak van de (vermoedelijke) Inbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen. 5.2 In geval van een Inbreuk nemen Partijen zonder onredelijke vertraging alle maatregelen om de Inbreuk te herstellen, de gevolgen daarvan te beperken en verdere Inbreuken te voorkomen. Partijen zullen elkaar informeren over de voortgang daarvan en de te nemen en genomen maatregelen. 5.3 Partijen maken na een geconstateerde Inbreuk afspraken over welke Partij de melding doet bij de toezichthoudende autoriteit en/of de Betrokkene(n). Artikel 6 Beëindigen Overeenkomst 6.1 Partijen maken - indien noodzakelijk - in de Hoofdovereenkomst afspraken over de teruggave en wissing van Persoonsgegevens. 6.2 De geheimhouding geldt ook nog na beëindiging van deze Overeenkomst. Artikel 7 Overige bepalingen 7.1 Op deze Overeenkomst is Nederlands recht van toepassing. Alle geschillen, ook als alleen één Partij vindt dat er een geschil is, zullen in eerste instantie worden voorgelegd aan de bevoegde rechter. Partijen kunnen onderling ook zelf vooraf en bevoegde rechter aanwijzen (forumkeuze). 7.2 Deze Overeenkomst maakt onlosmakelijk deel uit van de Hoofdovereenkomst. Ondertekening Aldus overeengekomen en ondertekend, Ingangsdatum: [……………] Gemeente [naam gemeente] [Naam organisatie] namens deze: [naam, functie] namens deze: [naam, functie] plaats: [……………..] plaats: [………………………] datum: [………………….] datum: […………………….] Bijlage 1: Overzicht van te verwerken persoonsgegevens - Iedere Partij vult de cyclus van de levering van Persoonsgegevens in. Toelichting: Welke persoonsgegevens worden er verstrekt/geleverd? Wat is daarvan het doel en wie zijn daarbij betrokken (categorieën van betrokkenen)? Om welke soort persoonsgegevens gaat het en vindt er eventueel doorgifte naar derde landen plaats? | 1. Naam verwerking: | Toelichting verstrekking A>B en B>A | | |---|---|---| | 2. Verwerkingsdoeleinden | 3. Categorieën van betrokkenen | 4. Categorieën Persoonsgegevens | | De doelen van de gegevensverwerking zijn: | Kruis aan indien van toepassing: ☐ Aanvrager ☐ Belanghebbenden ☐ Bestuurders/ Raadsleden ☐ Ambtenaren ☐ Website- bezoekers ☐ Personeel leverancier ☐ Scholieren ☐ Ouderen ☐ Gehandicapten ☐ Kinderen ☐ Burgers ☐ Anders, namelijk: | Kruis aan indien van toepassing: ☐ Voor- en achternaam ☐ E-mailadres ☐ Telefoonnummer ☐ Woonadres ☐ Geboortedatum ☐ Geslacht ☐ BSN ☐ Identificatienummer ☐ Nationaliteit ☐ Strafrechtelijke gegevens ☐ Kopie identiteitsbewijs ☐ Bankrekeningnummer ☐ Schulden ☐ Salarisgegevens ☐ Arbeidsrelatiegegevens ☐ Beeldmateriaal ☐ Locatiegegevens (gps) ☐ IP-adres ☐ Inloggegevens ☐ Ras of etnische afkomst ☐ Politieke opvattingen ☐ Religieuze of levensbeschouwelijke opvattingen ☐ Lidmaatschap vakbond ☐ Genetische gegevens ☐ Biometrische gegevens ☐ Gezondheidsgegevens ☐ Seksueel gedrag of seksuele gerichtheid ☐ Anders, namelijk: | | 5. Hoelang worden de persoonsgegevens bewaard? | | | | 6. Is er sprake van doorgifte naar derde landen? | ☐ Nee. Je hoeft vraag 7 en 8 niet in te vullen. Als het antwoord ‘Ja’ is vul dan wel vraag 7 en 8 in deze tabel in. ☐ Ja, namelijk naar de volgende landen: | | | 7. Van welke doorgifte instrumenten wordt gebruikgemaakt? | | | | 8. Welke aanvullende maatregelen worden genomen? (indien nodig) | | | 2. Contactgegevens [naam Partij] | Contactpersoon Verwerkingsverantwoordelijke (NB: Ook buiten kantooruren) | Naam: Privacy Officer Contactgegevens: naam@voorbeeldgemeente.nl | |---|---| Contactgegevens [naam Partij] | Contactpersoon Verwerkingsverantwoordelijke (NB: Ook buiten kantooruren) | Naam: Contactgegevens: | |---|---| NB: Eventuele wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door. Bijlage 2: Aantonen passend niveau van beveiliging NB: Iedere Partij vult Bijlage 2 in voor de verwerkingen waar de partij verantwoordelijk is. - Heeft verwerkingsverantwoordelijke certificering waaruit blijkt dat persoonsgegevens voldoende worden beveiligd? (Denk aan ISO 27001 en/of SOC II) Indien ja, vul in om welke certificaten het gaat. Stuur de certificaten en verklaring van toepasselijkheid (VVT) ook mee met de verwerkersovereenkomst. ……………………………………………………………………………………………………. - Indien het antwoord op vraag 1 ‘Ja’ is: is dat certificaat ook van toepassing op het systeem waarin de persoonsgegevens worden verwerkt? ……………………………………………………………………………………………………. - Indien het antwoord op vraag 1 ‘Nee’ is: werkt verwerkingsverantwoordelijke volgens bepaalde erkende normen? Bijvoorbeeld de BIO, ISO2700x of NIST. Zo ja, geef aan welke. ……………………………………………………………………………………………………. - Deze vraag alleen invullen als het antwoord op vraag 1 en 3 ‘Nee’ is. Welke maatregels neemt verwerkingsverantwoordelijke om de persoonsgegevens goed te beveiligen? Verwerkingsverantwoordelijke neemt de volgende maatregelen: - VUL IN - VUL IN