Inleiding
In de sfeer van verenigingen van eigenaars (VvE’s) en hun samenwerking met VvE-beheerders en afrekenbedrijven zijn verwerkersovereenkomsten een essentieel onderdeel van de naleving van de Algemene Verordening Gegevensbescherming (AVG). De AVG stelt strikte eisen aan de verwerking van persoonsgegevens, en dit geldt ook voor de administratieve en technische beheeractiviteiten van een VvE. In de praktijk ontstaat echter vaak verwarring over de rolverdeling tussen VvE’s, VvE-beheerders en afrekenbedrijven, en welke verwerkersovereenkomsten daadwerkelijk moeten worden gesloten.
Deze artikel biedt een overzicht van de relevante voorwaarden en verplichtingen, met name op basis van de juridische en praktische richtlijnen die zijn opgenomen in de algemene voorwaarden van een VvE-beheerder en in publicaties van vakorganisaties. Het artikel richt zich op duidelijkheid rond de rollen van verwerkingsverantwoordelijke, verwerker en subverwerker binnen de AVG, en legt uit hoe deze rollen worden toegepast in de context van energieafrekening en andere beheeractiviteiten.
De AVG en de rolverdeling binnen een VvE-beheer
De AVG is een Europese wetgeving die sinds 25 mei 2018 van kracht is en die strengere regels stelt voor de verwerking van persoonsgegevens. Voor een VvE en haar beheerder betekent dit dat zorgvuldig moet worden bekeken wie de verantwoordelijkheid heeft voor welke activiteiten en hoe dit juridisch moet worden afgedekt.
Verwerkingsverantwoordelijke versus verwerker
Volgens de AVG is de verwerkingsverantwoordelijke de partij die bepaalt hoe en waarvoor persoonsgegevens worden verwerkt. Deze partij is verantwoordelijk voor het naleven van de AVG-voorschriften. In de context van een VvE kan dit de VvE zelf zijn, of – wanneer er sprake is van een beheerder – de VvE-beheerder.
De verwerker daarentegen is de partij die de verwerking van persoonsgegevens uitvoert op verzoek van de verwerkingsverantwoordelijke. Een verwerker is verplicht om dit onder dezelfde voorwaarden te doen die in de verwerkersovereenkomst zijn afgesproken.
De rol van de VvE-beheerder
De rol van de VvE-beheerder is hier cruciaal. In sommige gevallen ziet een VvE-beheerder zichzelf als verwerkingsverantwoordelijke, wat betekent dat de beheerder de verantwoordelijkheid draagt voor de manier waarop persoonsgegevens worden gebruikt. In andere gevallen ziet de VvE-beheerder zichzelf als verwerker, wat betekent dat de VvE zelf de verwerkingsverantwoordelijke is en de beheerder een opdrachtgever is.
Deze keuze heeft directe gevolgen voor de vorm van de overeenkomsten die met afrekenbedrijven worden gesloten. Als de VvE-beheerder verwerkingsverantwoordelijke is, dan is het afrekenbedrijf een verwerker. Als de VvE-beheerder verwerker is, dan is het afrekenbedrijf een subverwerker. Dit betekent dat de verwerkersovereenkomst of subverwerkersovereenkomst moet worden afgesloten en dat de beheerder verantwoordelijk blijft voor de naleving door het afrekenbedrijf.
Voorbeelden van overeenkomsten en rollen
Voorbeeld 1: VvE is verantwoordelijk en VvE-beheerder is verwerker
In dit scenario is de VvE de verwerkingsverantwoordelijke. De VvE-beheerder is dan een verwerker die opdracht krijgt van de VvE om bijvoorbeeld energieafrekening te doen. Als het afrekenbedrijf deze taak uitvoert, dan is het afrekenbedrijf een subverwerker van de VvE-beheerder.
Een subverwerkersovereenkomst dient dan te worden afgesloten tussen de VvE-beheerder en het afrekenbedrijf. Deze overeenkomst legt de verantwoordelijkheden en beperkingen van het afrekenbedrijf vast. Als het afrekenbedrijf zijn verplichtingen niet nakomt, blijft de VvE-beheerder volledig aansprakelijk voor het nakomen van de AVG-voorschrachten, omdat deze verantwoordelijkheid van de VvE-beheerder niet kan worden afgevoerd naar het afrekenbedrijf.
Voorbeeld 2: VvE en VvE-beheerder zijn gezamenlijk verwerkingsverantwoordelijke
In sommige gevallen zien zowel de VvE als de VvE-beheerder zichzelf als gezamenlijke verwerkingsverantwoordelijke. Dit betekent dat beiden verantwoordelijk zijn voor de verwerking van persoonsgegevens en dat ze samen bepalen hoe en waarvoor de gegevens worden gebruikt.
In dit geval is het afrekenbedrijf een verwerker en moet er een verwerkersovereenkomst worden afgesloten. Binnen deze overeenkomst moeten zowel de VvE als de VvE-beheerder hun respectievelijke verantwoordelijkheden vastleggen. Dit is vaak afgedekt in een samenwerkingsovereenkomst, waarin de rollen en verantwoordelijkheden van beide partijen duidelijk worden vastgelegd.
Samenwerkingsovereenkomst en verwerkersovereenkomst
Een samenwerkingsovereenkomst is een contract dat tussen de VvE en de VvE-beheerder wordt afgesloten en waarin de verantwoordelijkheden voor de verwerking van persoonsgegevens worden vastgelegd. Deze overeenkomst is van groot belang in gevallen waarin de VvE en de beheerder gezamenlijk verwerkingsverantwoordelijke zijn.
De samenwerkingsovereenkomst moet onder meer het doel van de verwerking, de middelen waarmee deze verwerking gebeurt, en de respectievelijke verantwoordelijkheden van de VvE en de VvE-beheerder bevatten. Ook moet duidelijk worden vastgelegd hoe de rechten van de betrokkene (zoals het recht op inzage en correctie) worden toegepast. Dit is belangrijk om te voldoen aan de AVG-voorschrachten, en om mogelijke geschillen in de praktijk te voorkomen.
Verwerkersovereenkomst en subverwerkersovereenkomst
Wanneer een afrekenbedrijf wordt ingeschakeld voor energieafrekening, is het noodzakelijk om een verwerkersovereenkomst of subverwerkersovereenkomst af te sluiten, afhankelijk van de juridische positie van de VvE-beheerder. Deze overeenkomsten leggen de voorwaarden vast waarbinnen het afrekenbedrijf persoonsgegevens mag verwerken, en wat de verantwoordelijkheden zijn van de beheerder of VvE.
In deze overeenkomsten moet onder meer worden bepaald:
- Hoe de gegevens worden verwerkt;
- Welke beveiligingsmaatregelen worden genomen;
- Hoe lang de gegevens worden bewaard;
- Wat de verantwoordelijkheid is bij eventuele schendingen van de AVG.
Een verwerkersovereenkomst is verplicht bij alle externe verwerkingen van persoonsgegevens, ook als de VvE of VvE-beheerder zelf geen verwerkingsverantwoordelijke is.
Praktijkuitvoering en verantwoordelijkheden
In de praktijk is het belangrijk dat zowel de VvE als de VvE-beheerder en eventueel afrekenbedrijven duidelijk weten wie verantwoordelijk is voor welke activiteiten. Dit voorkomt verwarring en zorgt voor juridische duidelijkheid. Het is verstandig om deze rollen en verantwoordelijkheden op te nemen in de samenwerkingsovereenkomst en de verwerkersovereenkomst.
Verantwoordelijkheid van de VvE-beheerder
De VvE-beheerder is verplicht om op een professionele manier te handelen. Dit betekent dat hij zich moet houden aan de AVG-voorschrachten, en dat hij ervoor moet zorgen dat alle verwerkingen van persoonsgegevens binnen de wettelijke kaders plaatsvinden. Als het afrekenbedrijf een subverwerker is, dan is de VvE-beheerder verantwoordelijk voor de naleving door het afrekenbedrijf.
De VvE-beheerder moet ook zorgvuldig nadenken over welke gegevens worden verwerkt en op welke manier. Dit betreft bijvoorbeeld de opslag van gegevens, de toegang tot gegevens, en de communicatie met betrokkene.
Verantwoordelijkheid van de VvE
De VvE is verantwoordelijk voor het bepalen van hoe en waarvoor persoonsgegevens worden verwerkt. Dit betekent dat de VvE moet beslissen over de doeleinden van de verwerking, en dat ze ervoor moet zorgen dat de AVG-voorschrachten worden nageleefd.
Bij het afsluiten van een beheerovereenkomst met een VvE-beheerder moet de VvE ervoor zorgen dat deze overeenkomst duidelijk vastlegt wie de verwerkingsverantwoordelijke is, en hoe de verwerking van persoonsgegevens is afgedekt. Dit is verstandig om eventuele rechtsproblemen te voorkomen.
Verantwoordelijkheid van het afrekenbedrijf
Als het afrekenbedrijf een verwerker of subverwerker is, dan is het verplicht om aan de voorwaarden van de verwerkersovereenkomst of subverwerkersovereenkomst te voldoen. Het afrekenbedrijf mag alleen verwerken in de mate die in de overeenkomst is bepaald, en het moet ervoor zorgen dat de AVG-voorschrachten worden nageleefd.
Het afrekenbedrijf moet ook zorgen voor passende beveiligingsmaatregelen, zoals encryptie van gegevens en beveiliging van servers. Het afrekenbedrijf is verantwoordelijk voor eventuele schendingen van de AVG die het zelf veroorzaakt, maar in het geval van een subverwerker blijft de VvE-beheerder verantwoordelijk voor het nakomen van de AVG-voorschrachten.
Aandachtspunten bij het afsluiten van beheerovereenkomsten
Het afsluiten van een beheerovereenkomst is een belangrijk moment in de relatie tussen de VvE en de VvE-beheerder. Het is verstandig om hierbij een aantal aandachtspunten te hanteren om mogelijke geschillen te voorkomen en om juridische duidelijkheid te creëren.
Duidelijke afspraken over rollen en verantwoordelijkheden
Een belangrijk aandachtspunt is het vastleggen van de rollen en verantwoordelijkheden van de VvE en de VvE-beheerder. Dit betreft bijvoorbeeld wie verwerkingsverantwoordelijke is en wie verwerker is. Het is verstandig om deze afspraken in een aparte samenwerkingsovereenkomst te leggen, zodat duidelijk is wie verantwoordelijk is voor welke activiteiten.
Prijzen en voorwaarden
Het is verstandig om de prijs en voorwaarden voor de beheeractiviteiten duidelijk vast te leggen in de beheerovereenkomst. Dit betreft bijvoorbeeld de kosten voor het uitvoeren van energieafrekening, het innen van achterstanden, of het organiseren van vergaderingen.
De beheerovereenkomst moet ook bepalen hoe eventuele extra werkzaamheden worden afgesproken. Dit is verstandig om eventuele geschillen over de kosten te voorkomen.
Communicatie en samenwerking
Een andere belangrijk aandachtspunt is het opbouwen van een goede communicatie en samenwerking tussen de VvE en de VvE-beheerder. Het is verstandig om regelmatig te controleren of de beheeractiviteiten worden uitgevoerd zoals afgesproken, en of er eventuele problemen zijn.
De VvE moet ook ervoor zorgen dat de VvE-beheerder op de hoogte is van eventuele veranderingen in de AVG-voorschrachten, en dat deze worden meegenomen in de samenwerkingsovereenkomst en verwerkersovereenkomst.
Conclusie
De AVG stelt duidelijke eisen aan de verwerking van persoonsgegevens in de context van VvE’s en hun samenwerking met VvE-beheerders en afrekenbedrijven. Het is van groot belang dat zowel de VvE als de VvE-beheerder en eventueel afrekenbedrijven weten wie verantwoordelijk is voor welke activiteiten, en dat deze verantwoordelijkheden duidelijk worden afgedekt in de samenwerkingsovereenkomst en verwerkersovereenkomst.
Het afsluiten van een beheerovereenkomst is een belangrijk moment in de relatie tussen de VvE en de VvE-beheerder. Het is verstandig om hierbij rekening te houden met een aantal aandachtspunten, zoals het vastleggen van rollen en verantwoordelijkheden, het afspreeken van prijzen en voorwaarden, en het opbouwen van een goede communicatie en samenwerking.
Door deze zaken te hanteren, kan een VvE en haar beheerder zorgen voor een juridisch duidelijke en professionele samenwerking, en kan de AVG-naleving worden gewaarborgd.