Verwerkers & onderaannemers

Uitgangspunten voor dienstverlenerselectie

We selecteren dienstverleners op basis van drie criteria: verwerking bij voorkeur in de EU, contract conform art. 28 AVG met gedocumenteerde technische en organisatorische maatregelen, en gegevensminimalisatie – elke dienst ontvangt alleen de gegevens die nodig zijn voor zijn taak. Vertrouwelijke klantinhoud wordt voor verzending naar AI-diensten gepseudonimiseerd of verwijderd, tenzij contractueel anders is overeengekomen.

Hosting & Infrastructuur

Hetzner Online GmbH, Gunzenhausen (Duitsland): exploitatie van de servers voor website en klantportal in Duitse datacenters; verwerkersovereenkomst conform art. 28 AVG van toepassing. Cloudflare Inc. (VS/EU): DNS, TLS-terminatie en bescherming tegen overbelastingsaanvallen; doorgifte op basis van de EU-standaardcontractbepalingen en het EU-VS Data Privacy Framework, voor zover gegevens de EU verlaten.

Betalingsdienstverlener

Stripe Payments Europe Ltd. (Ierland), PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) en Mollie B.V. (Nederland) verwerken betalingsgegevens onder eigen verantwoordelijkheid op het gebied van gegevensbescherming; wij ontvangen en bewaren geen volledige kaartgegevens. De keuze van de betaalmethode is aan u tijdens het bestelproces.

AI-tools bij de dienstverlening

Voor machinevertaling gebruiken wij DeepSeek als tool, voor beeldgeneratie Magnific/Freepik. Alleen de te vertalen of te illustreren inhoud wordt doorgestuurd – zonder klantgegevens, zonder inloggegevens en, bij vertrouwelijke projecten, na pseudonimisering van gevoelige passages. Resultaten worden altijd handmatig gecontroleerd voordat ze de klant bereiken.

Analyse & Reclame (alleen na toestemming)

Google Ireland Ltd. voor Google Analytics 4 en Google-Ads-meting – uitsluitend na uw toestemming via de cookie-dialoog; details in de cookieverklaring. Voor het verzenden van aanmeldingslinks van het klantportaal per e-mail gebruiken we onze eigen serverinfrastructuur.

Wijzigingen van deze lijst

Als er een dienstverlener bijkomt of wegvalt, werken we deze pagina bij. Klanten met een verwerkersovereenkomst informeren we vooraf over wezenlijke wijzigingen en verlenen we de contractueel overeengekomen bezwaarrechten.

Praktijkvoorbeeld stap voor stap

Stelt u zich voor dat u ons opdracht geeft voor de vertaling van uw bedrijfswebsite. Eerst bereiden we de inhoud voor: we extraheren de teksten uit uw contentmanagementsysteem en verwijderen vertrouwelijke klantgegevens zoals namen of directe contactgegevens die geen deel uitmaken van de vertaalopdracht. De te vertalen tekstonderdelen worden gepseudonimiseerd door bijvoorbeeld bedrijfsnamen te vervangen door plaatshouders, tenzij contractueel anders is overeengekomen.

Vervolgens sturen we de bewerkte inhoud naar DeepSeek, onze verwerker voor machinevertaling. DeepSeek ontvangt daarbij uitsluitend de tekstbestanden – zonder metadata van uw gebruikersaccount, zonder inloggegevens en zonder informatie over betalingsafhandeling. Na de machinevertaling controleert een menselijke redacteur het resultaat op juistheid en consistentie. Pas na deze kwaliteitsborging wordt de vertaling aan u geleverd.

Parallel daaraan kan voor de beeldvorming Magnific of Freepik worden ingezet. Ook hier geldt: alleen de beeldmotieven worden doorgegeven, geen persoonsgegevens. De gehele keten is beveiligd door verwerkersovereenkomsten en technisch-organisatorische maatregelen. Mocht u een betaling verrichten, dan wikkelen Stripe, PayPal of Mollie de transactie onder eigen verantwoordelijkheid af – wij slaan geen volledige kaartgegevens op.

Veelvoorkomende misverstanden

Een veelvoorkomend misverstand betreft de rol van Cloudflare: Velen gaan ervan uit dat Cloudflare een verwerker is – dat is het alleen voor de infrastructuurdiensten zoals DNS en TLS. In werkelijkheid verwerkt Cloudflare als fulfillmentdienstverlener in het kader van content delivery geen persoonsgegevens die verder gaan dan de technische verbinding. We hebben met Cloudflare standaardcontractbepalingen afgesloten en de gegevensverwerking beperkt zich tot IP-adressen en browserkenmerken om de beschikbaarheid van de website te waarborgen.

Nog een misverstand: dat analysesoftware zoals Google Analytics 4 automatisch actief zou zijn. Het tegendeel is het geval: deze wordt pas geladen na uw uitdrukkelijke toestemming via de cookie-dialoog. Zonder toestemming vindt er geen gegevensoverdracht plaats aan Google Ireland Ltd. voor analyse- of advertentiedoeleinden. Ook betalingsdienstverleners handelen op eigen verantwoordelijkheid – wij geven geen klantprofielen door, maar slechts de voor de transactie benodigde gegevens.

Tot slot wordt vaak aangenomen dat AI-tools toegang hebben tot het volledige klantproject. In werkelijkheid ontvangen zij alleen de concreet te bewerken inhoud – en dat in gepseudonimiseerde vorm, indien er contractuele vertrouwelijkheidsafspraken bestaan. Een volledige openbaarmaking van projectinhoud vindt niet plaats.

Samenspel met onze andere richtlijnen

De lijst van verwerkers en onderverwerkers is een centraal puzzelstuk van ons privacyconcept, dat verweven is met ander beleid. In onze privacyverklaring leest u welke rechten u als betrokkene heeft en hoe u deze kunt uitoefenen – zoals inzage, rectificatie of verwijdering van uw gegevens. Daar staan ook de contactgegevens van onze functionaris voor gegevensbescherming.

Ons cookiebeleid vult de lijst van verwerkers aan door in detail te beschrijven welke diensten op de website na uw toestemming actief worden – met name Google Analytics 4 en Google Ads. De toestemming wordt beheerd via de cookie-dialoog en u kunt deze te allen tijde intrekken.

In de verwerkersovereenkomst (AVG-overeenkomst) die we met onze klanten sluiten, is vastgelegd welke gegevens we in welke mate mogen verwerken. De hier genoemde onderverwerkers zijn daarin ofwel reeds genoemd ofwel als categorie (bijv. "hostingprovider") opgenomen. Bij wezenlijke wijzigingen – zoals het toevoegen of wegvallen van een dienstverlener – informeren we u vooraf en geven we u het contractueel overeengekomen recht van bezwaar.

Zo zorgen we ervoor dat al het beleid naadloos op elkaar aansluit en u te allen tijde kunt nagaan wie welke gegevens voor welk doel verwerkt.

Praktijkvoorbeeld stap voor stap

Stel dat u ons opdracht geeft voor de vertaling van uw bedrijfswebsite. Het proces begint met het voorbereiden van de inhoud: We extraheren de teksten uit uw contentmanagementsysteem en verwijderen vertrouwelijke klantgegevens zoals namen of directe contactgegevens die geen deel uitmaken van de vertaling. Vervolgens pseudonimiseren we de te vertalen tekstonderdelen, bijvoorbeeld door bedrijfsnamen te vervangen door plaatshouders, tenzij contractueel anders is overeengekomen. In deze voorbereide staat sturen we de inhoud naar DeepSeek, onze verwerker voor machinevertaling. DeepSeek ontvangt uitsluitend de pure tekstbestanden – zonder metadata van uw gebruikersaccount, zonder inloggegevens en zonder informatie over betalingsverwerking. Na de machinevertaling controleert een menselijke redacteur het resultaat op juistheid en consistentie. Pas na deze kwaliteitsborging wordt de vertaling aan u geleverd. Parallel kan voor de beeldvorming Magnific of Freepik worden ingezet. Ook hier geldt: Alleen de beeldmotieven worden verzonden, geen persoonsgegevens. De hele keten is beveiligd door verwerkersovereenkomsten en technisch-organisatorische maatregelen. Als u een betaling verricht, wikkelen Stripe, PayPal of Mollie de transactie in eigen verantwoordelijkheid af – wij slaan geen volledige kaartgegevens op. Dit concrete voorbeeld laat zien hoe gegevensminimalisatie en onze contractuele verplichtingen al in de normale projectgang worden toegepast.

Veelvoorkomende misverstanden

Een veelvoorkomend misverstand is de aanname dat wij uw inhoud onbeschermd aan derden doorgeven. In werkelijkheid bereiden wij de te verzenden gegevens altijd zodanig voor dat alleen het noodzakelijkste wordt verzonden: Bij gebruik van AI-tools zoals DeepSeek ontvangen deze uitsluitend de pure tekstblokken, maar niet uw inloggegevens, klantgegevens of betalingsinformatie. Evenzo moet worden opgemerkt dat betalingsdienstverleners zoals Stripe, PayPal en Mollie niet als onze verwerkers handelen, maar als zelfstandige verantwoordelijken – wij slaan geen volledige kaartgegevens op. Een ander misverstand betreft de opslaglocaties: onze servers draaien bij Hetzner in Duitsland, terwijl Cloudflare verantwoordelijk is voor DNS en bescherming. Mochten gegevens de EU verlaten, gebeurt dit op basis van de EU-modelcontractbepalingen en het EU-VS Data Privacy Framework. Tot slot is niet iedereen zich ervan bewust dat analyse- en advertentiediensten zoals Google Analytics alleen na uw toestemming via de cookie-dialoog worden gebruikt. Deze verduidelijkingen helpen het vertrouwen in de gegevensverwerking bij ons te versterken.

Wat dit concreet voor klanten betekent

De hier gepubliceerde lijst van onze verwerkers en onderaannemers biedt u als klant een transparant overzicht van welke dienstverleners in uw opdracht persoonsgegevens verwerken. U kunt te allen tijde nagaan wie uw gegevens voor welk doel ontvangt en op welke rechtsgrond dit gebeurt. Voor klanten die met ons een verwerkersovereenkomst hebben gesloten, bevat deze pagina de essentiële informatie die nodig is om te voldoen aan uw eigen documentatieverplichtingen conform art. 28 AVG.

In de praktijk betekent dit: wanneer u ons opdracht geeft voor de lokalisatie van uw website, weet u dat de benodigde teksten aan DeepSeek worden overgedragen voor machinevertaling – echter in gepseudonimiseerde vorm en alleen na afsluiting van een verwerkersovereenkomst. U kunt erop vertrouwen dat uw inhoud niet voor andere doeleinden wordt gebruikt. Mochten er wijzigingen in de lijst optreden, dan informeren wij u tijdig, zodat u eventueel bezwaar kunt maken. Uw rechten op inzage, rectificatie en verwijdering blijven door de samenwerking met onze dienstverleners onaangetast.

Interne procedure bij ons

Voordat we een nieuwe dienstverlener als verwerker inschakelen, doorloopt deze een gestandaardiseerd beoordelingsproces. Eerst beoordelen we of de verwerking daadwerkelijk noodzakelijk is en of deze niet efficiënter of privacyvriendelijker met eigen middelen kan worden uitgevoerd. Vervolgens vragen we de dienstverlener om een gedetailleerde beschrijving van zijn technische en organisatorische maatregelen (TOM). Op basis hiervan controleren we of de gegevensbeveiliging voldoet aan de stand der techniek en of de gegevens uitsluitend worden verwerkt in de EER of in een derde land met een passend beschermingsniveau.

Na succesvolle beoordeling sluiten we een verwerkersovereenkomst overeenkomstig Art. 28 AVG, waarin de exacte verwerkingsdoeleinden, de categorieën persoonsgegevens, de duur en de verplichtingen van de dienstverlener worden vastgelegd. Alle contracten worden centraal gedocumenteerd en regelmatig gecontroleerd op actualiteit. Bij wezenlijke wijzigingen – bijvoorbeeld een locatiewijziging van de dienstverlener – informeren we onze klanten met een verwerkersovereenkomst vooraf en verlenen we een recht van bezwaar. De gehele selectie en monitoring wordt uitgevoerd door onze privacyafdeling in nauwe afstemming met de IT.

Begrippen helder uitgelegd

Verwerker: Een dienstverlener die in onze opdracht persoonsgegevens verwerkt, zonder deze voor eigen doeleinden te gebruiken. Zo verwerkt bijvoorbeeld Hetzner als hostingdienst uw gegevens op onze servers – maar alleen volgens onze instructies. De juridische basis is een overeenkomst op grond van Art. 28 AVG.

Subverwerker: Een door de verwerker ingeschakeld bedrijf dat op zijn beurt delen van de gegevensverwerking overneemt. In onze keten zijn er momenteel geen subverwerkers; alle genoemde diensten zijn rechtstreeks door ons ingeschakeld.

Standaardcontractbepalingen (SCC): Door de Europese Commissie uitgevaardigde contractbepalingen die een passend beschermingsniveau moeten waarborgen bij de doorgifte van persoonsgegevens naar derde landen. Ze worden gebruikt wanneer er geen adequaatheidsbesluit is.

Pseudonimisering: Het vervangen van identificerende kenmerken door een pseudoniem, zodat een koppeling met de betrokkene alleen mogelijk is met extra kennis. In de praktijk vervangen we vóór doorgifte aan AI-diensten namen of concrete bedrijfsaanduidingen door plaatshouders om de hoeveelheid gegevens te minimaliseren.

Technische en organisatorische maatregelen (TOM): Veiligheidsmaatregelen zoals versleuteling, toegangscontroles of firewalls, die in verwerkersovereenkomsten worden gedocumenteerd.

Veelvoorkomende misverstanden

In de omgang met verwerkers en onderaannemers komen we steeds weer typische misvattingen tegen. Een veelvoorkomend misverstand is de aanname dat elke dienstverlener die bij de dienstverlening betrokken is, automatisch een verwerker is. In werkelijkheid maakt de AVG onderscheid tussen verwerkers (die gegevens verwerken in opdracht van de verwerkingsverantwoordelijke) en zelfstandig verantwoordelijken (zoals betalingsdienstaanbieders die gegevens voor eigen doeleinden gebruiken). Daarom vermelden wij in onze lijst expliciet wanneer een dienstverlener onder eigen verantwoordelijkheid handelt. Een ander misverstand betreft de geografische grens van gegevensverwerking. Veel klanten gaan ervan uit dat verwerking buiten de EU in het algemeen ontoelaatbaar is. Juist is dat doorgiften aan derde landen alleen onder bepaalde garanties mogen plaatsvinden, zoals via standaardcontractbepalingen of adequaatheidsbesluiten. Wij documenteren deze grondslagen voor elke dienstverlener transparant. Ook de rol van kunstmatige intelligentie wordt vaak verkeerd ingeschat. Sommige klanten vrezen dat AI-tools zoals DeepSeek automatisch toegang krijgen tot alle klantgegevens. In werkelijkheid beperken wij de doorgifte strikt tot het voor de dienstverlening noodzakelijke minimum en pseudonimiseren wij gevoelige inhoud vooraf. Tot slot heerst er onzekerheid over de duur van de verwerkersovereenkomsten: deze gelden niet onbeperkt, maar eindigen met de beëindiging van de hoofdovereenkomst of worden regelmatig geactualiseerd. Wij verduidelijken deze punten bij contractsluiting en bij wezenlijke wijzigingen.

Wat dit concreet voor klanten betekent

De transparante weergave van onze verwerkers en onderaannemers heeft voor u als klant meerdere praktische gevolgen. Ten eerste kunt u te allen tijde nagaan welke dienstverleners in welke rol betrokken zijn bij de levering van onze diensten. Dit vergemakkelijkt de nakoming van uw eigen privacyverplichtingen, met name wanneer u op uw beurt aan uw eindklanten informatie moet verstrekken over de verwerking van persoonsgegevens. Ten tweede bent u door de bestaande verwerkersovereenkomsten juridisch gedekt: mocht er bij een van onze dienstverleners een inbreuk op de gegevensbescherming plaatsvinden, dan zijn wij als verwerkingsverantwoordelijke aansprakelijk – niet u. Ten derde profiteert u van een verminderde gegevensblootstelling: door gegevens alleen gepseudonimiseerd of tot het noodzakelijke beperkt aan onderaannemers door te geven, minimaliseren wij het risico voor uw vertrouwelijke informatie. Ten vierde betekent de keuze voor dienstverleners met zetel in de EU of met gelijkwaardige privacynormen dat er voor u geen extra bureaucratische last ontstaat, zoals door de noodzaak van eigen aanvullende overeenkomsten. Ten vijfde kunt u bij contractsluiting met ons individuele wensen uiten: als u bepaalde onderaannemers wilt uitsluiten, onderzoeken wij de technische en economische haalbaarheid – binnen het kader van de bestaande contractuele bepalingen. Mocht een door u niet gewenste dienstverlener dwingend noodzakelijk zijn, dan bespreken wij alternatieve oplossingen. Al met al creëren wij zo een betrouwbare basis voor uw privacy compliance.

Interne procedure bij ons

De inschakeling van een nieuwe verwerker of onderaannemer doorloopt bij Baduno GmbH een vastgesteld intern proces. Eerst beoordeelt het compliance-team de potentiële dienstverlener aan de hand van onze selectiecriteria: zetel in de EU of een derde land met een passend beschermingsniveau, aantoonbare technische en organisatorische maatregelen (TOMs) en bereidheid tot het sluiten van een verwerkersovereenkomst conform art. 28 AVG. Vervolgens wordt een gegevensbeschermingseffectbeoordeling (DPIA) uitgevoerd indien de verwerking naar verwachting een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen – bijvoorbeeld bij grootschalige verwerking van bijzondere categorieën gegevens. Na een positieve beoordeling wordt de verwerkersovereenkomst gesloten, die onder meer de gebondenheid aan instructies, de geheimhoudingsplicht en de bewaartermijnen regelt. Parallel past onze IT-afdeling de technische interfaces aan om een gegevenszuinige overdracht te waarborgen. Voorafgaand aan de productieve inzet testen wij de implementatie in een geïsoleerde omgeving. Indien de dienstverlener relevant is voor de dienstverlening aan klanten, informeren wij betrokken klanten met bestaande verwerkersovereenkomsten vooraf over de geplande inschakeling en verlenen wij hen waar nodig een bezwaarrecht. Het lopende toezicht vindt plaats door regelmatige audits en controles van de TOMs, ten minste jaarlijks of naar aanleiding van een aanleiding. Wijzigingen in de lijst van dienstverleners worden onverwijld op onze pagina gedocumenteerd. Dit proces waarborgt dat elke onderaannemer voldoet aan dezelfde hoge normen inzake gegevensbescherming die wij intern hanteren.