Verwerkingsverantwoordelijke vs verwerker boekingssysteem
Wie is de verwerkingsverantwoordelijke en wie de verwerker wanneer klanten online een afspraak boeken? Zo verdelen bedrijf en boekingssysteem de AVG-verantwoordelijkheid.
Wanneer je klanten online een afspraak boeken, is jouw bedrijf de verwerkingsverantwoordelijke voor hun gegevens, omdat jij bepaalt waarom en hoe ze worden gebruikt. De leverancier van het boekingssysteem is de verwerker: die slaat de gegevens op en verwerkt ze namens jou en volgens jouw instructies. Die verhouding wordt vastgelegd in een verwerkersovereenkomst.
Wat is een verwerkingsverantwoordelijke?
De verwerkingsverantwoordelijke is degene die het doel van en de middelen voor de verwerking van persoonsgegevens bepaalt (AVG artikel 4, lid 7). Voor een salon of praktijk betekent dat dat het bedrijf bepaalt welke gegevens klanten bij het boeken moeten opgeven, hoe lang ze worden bewaard en waarvoor ze worden gebruikt.
Als verwerkingsverantwoordelijke moet je onder meer:
- klanten informeren over hoe hun gegevens worden gebruikt, bijvoorbeeld in een privacyverklaring
- een rechtmatige grondslag hebben voor de verwerking, zoals een overeenkomst voor de boeking zelf en toestemming voor marketing
- verzoeken om inzage en verwijdering beantwoorden, in de regel binnen één maand
- leveranciers kiezen die voldoende garanties voor beveiliging bieden
Lees meer in de gids van Klarte over je verantwoordelijkheden als verwerkingsverantwoordelijke.
Wat is een verwerker?
Een verwerker verwerkt persoonsgegevens namens de verwerkingsverantwoordelijke (AVG artikel 4, lid 8). De verwerker mag de gegevens niet voor eigen doeleinden gebruiken. Hij moet de gegevens beveiligen, alleen goedgekeurde subverwerkers inschakelen en de verwerkingsverantwoordelijke onder meer helpen bij verzoeken om inzage.
Verwerkingsverantwoordelijke vs. verwerker: het verschil kort
- Wie beslist? De verwerkingsverantwoordelijke bepaalt doel en middelen. De verwerker volgt instructies.
- Wie antwoordt de klant? De verwerkingsverantwoordelijke beantwoordt verzoeken om inzage. De verwerker helpt daarbij.
- Wie moet een overeenkomst hebben? Beide partijen. AVG artikel 28 vereist een verwerkersovereenkomst tussen hen.
- Voorbeeld: De salon is de verwerkingsverantwoordelijke. Het boekingssysteem is de verwerker.
Hetzelfde bedrijf kan beide rollen hebben voor verschillende gegevens. Klarte is bijvoorbeeld verwerkingsverantwoordelijke voor gegevens over de eigen accounthouders, maar verwerker voor de gegevens van klanten die bij de bedrijven boeken.
Wat moet een verwerkersovereenkomst bevatten?
De overeenkomst moet beschrijven welke gegevens worden verwerkt, met welk doel, hoe lang, hoe ze worden beveiligd en welke subverwerkers worden ingezet. Ook moet erin staan wat er met de gegevens gebeurt als de overeenkomst eindigt. Bekijk de verwerkersovereenkomst van Klarte en de lijst met subverwerkers.
Checklist voor bedrijven die online boekingen ontvangen
- Sluit een verwerkersovereenkomst met je boekingsleverancier.
- Controleer waar de gegevens worden opgeslagen. Klarte slaat gegevens op in de EU.
- Vraag alleen naar de gegevens die je nodig hebt om de afspraak uit te voeren.
- Houd toestemming voor marketing gescheiden van de boeking zelf.
- Zorg voor een procedure voor inzageverzoeken.
- Noteer geen gezondheidsgegevens of andere gevoelige gegevens in boekingsnotities als je daarvoor geen grondslag hebt.
Dit artikel is algemene informatie en geen juridisch advies. Neem bij concrete vragen contact op met een advocaat of je nationale toezichthouder voor gegevensbescherming. Zie ook de definities in de verklarende woordenlijst.
Vragen en antwoorden
Is het boekingssysteem verwerkingsverantwoordelijke of verwerker?
De aanbieder van het boekingssysteem is normaal gesproken verwerker van de gegevens van klanten die boeken. Het bedrijf dat de boekingen ontvangt, is de verwerkingsverantwoordelijke.
Heb ik een verwerkersovereenkomst nodig met het boekingssysteem?
Ja. Artikel 28 van de AVG vereist een schriftelijke verwerkersovereenkomst wanneer een leverancier namens jou persoonsgegevens verwerkt.
Wie moet antwoorden als een klant om inzage vraagt?
Het bedrijf, als verwerkingsverantwoordelijke. Het boekingssysteem helpt je om de gegevens op te halen. In principe moet het verzoek binnen één maand worden beantwoord.
Kan een bedrijf zowel verwerkingsverantwoordelijke als verwerker zijn?
Ja, voor verschillende gegevens. Een boekingsleverancier is verwerkingsverantwoordelijke voor de eigen klant- en accountgegevens, maar verwerker van de boekingen die hij voor bedrijven opslaat.