Verwerkersovereenkomst voor Coaches: Wat het is, Wanneer je het nodig hebt, en Hoe je het regelt

De complete gids voor Nederlandse coaches die AVG-compliant willen werken, zonder juristen-jargon, met concrete checklist van met welke leveranciers je een verwerkersovereenkomst nodig hebt, en hoe je je VO-stapel minimaliseert.

Eerst even de naam: Blooom (met drie o’s) is coaching software, geen coach en geen coachingbureau. Wij maken het platform dat Nederlandse coaches gebruiken om hun praktijk te runnen.

Het probleem: coaches lopen onbewust enorm AVG-risico

Coaches verwerken bijzondere persoonsgegevens. Niet alleen NAW-gegevens, maar inhoud van sessies, hulpvragen, doelen, emotionele toestanden, soms gezondheidsgegevens of relatieproblematiek. Dat is geen normaal contactenboek, dat is gevoelige data die onder de zwaarste AVG-regels valt. Lees voor de bredere context onze pillar over AVG voor coaches.

Voor de gemiddelde Nederlandse coach betekent dat:

• Je hebt te maken met tientallen leveranciers die jouw cliëntdata aanraken
• De meeste coaches hebben geen overzicht van wie wat doet
• Geen enkele coach raakt automatisch AVG-compliant door alleen een privacyverklaring op de website te zetten
• Bij een datalek of audit moet je binnen 72 uur kunnen aantonen welke verwerkers je gebruikt, welke VO’s je hebt, en wat je beveiligingsmaatregelen zijn
• Een boete voor een AVG-overtreding kan vrij snel oplopen tot €5.000-€20.000 voor een solopraktijk, los van reputatieschade

Deze gids legt uit hoe je dit goed regelt, en hoe je je VO-stapel zo klein mogelijk houdt door slim met je tooling om te gaan.

Wat is een verwerkersovereenkomst eigenlijk?

Heel concreet: een verwerkersovereenkomst (Engels: Data Processing Agreement of DPA) is een schriftelijk contract waarin staat:

• Wie wat doet: jij bent verwerkingsverantwoordelijke, leverancier is verwerker
• Waarvoor: welk doel (bijvoorbeeld “sessieverslagen opslaan en doorzoekbaar maken”)
• Welke data: persoonsgegevens van je cliënten
• Hoe lang: duur van de verwerking
• Hoe beveiligd: welke technische en organisatorische maatregelen de verwerker treft
• Subverwerkers: welke andere partijen de verwerker mag inschakelen
• Datalek-meldplicht: dat de verwerker je informeert bij incidenten
• Audits: dat jij mag controleren of het klopt
• Einde: wat er met de data gebeurt als de samenwerking stopt (teruggeven of verwijderen)

De AVG schrijft dit voor in artikel 28. Het is geen optie, geen “extra zekerheid”, het is verplicht zodra een externe partij persoonsgegevens in jouw opdracht verwerkt.

Verwerkingsverantwoordelijke versus verwerker

Dit onderscheid is cruciaal en wordt vaak verkeerd begrepen.

Jij als coach bent verwerkingsverantwoordelijke voor de cliëntgegevens die je verzamelt. Jij bepaalt waarom (om te coachen) en hoe (welke informatie, welke tools, welke bewaartermijn). Je cliënt heeft zijn gegevens aan jou afgegeven.

Een leverancier is verwerker als hij in jouw opdracht en namens jou met die data werkt, zonder eigen doel. De praktijksoftware, je boekhoudprogramma, je e-mailprovider, je opname-tool.

Een leverancier is GEEN verwerker als hij zelf besluit waarom hij data verwerkt, bijvoorbeeld de Belastingdienst, een NOBCO-koepelorganisatie waar je lid van bent, of een rechtbank. Met die partijen heb je geen VO maar werken jullie op grond van wet of zelfstandige verantwoordelijkheid.

Wanneer heb je als coach een verwerkersovereenkomst nodig?

Kort antwoord: altijd wanneer een externe partij persoonsgegevens van je cliënten verwerkt in jouw opdracht.

Lang antwoord: hieronder een complete lijst met typische leveranciers van een Nederlandse coach, met aanduiding of er een VO nodig is.

✅ VO nodig, verwerker

❌ Geen VO nodig

⚠️ Twijfelgevallen

De realiteit: hoeveel VO’s heeft de gemiddelde coach?

Tijd voor een ongemakkelijke rekensom. Een typische Nederlandse coach gebruikt deze toolstack:

1. Google Workspace (e-mail, agenda, Drive), 1 VO
2. Calendly (boekingen), 1 VO
3. Typeform (intake), 1 VO
4. DocuSign (contracten), 1 VO
5. Mollie of Stripe (betalingen), 1 VO
6. Moneybird of e-Boekhouden (facturatie), 1 VO
7. Notion of Evernote (notities), 1 VO
8. Zoom Pro (video), 1 VO
9. Mailchimp (nieuwsbrief), 1 VO
10. Otter of ChatGPT (AI-verslag), 1 VO

Dat zijn 10 verwerkersovereenkomsten. Tien contracten die je moet opvragen, lezen, ondertekenen, bewaren, en bij wijziging actualiseren. Tien subprocessor-registers om in de gaten te houden. Tien partijen om bij een datalek-melding te checken.

De gemiddelde coach heeft hier… drie van geregeld. Misschien.

Dit is precies waarom we straks gaan kijken hoe je deze stapel kleiner maakt.

Stappenplan: hoe regel je dit goed?

Stap 1: Inventariseer wie je verwerkers zijn

Maak een lijst van alle externe partijen die ooit cliëntdata aanraken in jouw praktijk. Niet alleen software, ook mensen (VA, externe boekhouder), ook diensten die je vergeet (afspraakbevestiging-SMS-service, transcriberingstool die je ooit gebruikte).

Voor elke partij noteer je:

• Naam van de leverancier
• Waarvoor je hem gebruikt
• Welke cliëntdata hij verwerkt
• Of hij verwerker is (in opdracht voor jou) of zelfstandig verantwoordelijke
• Of er al een VO is

Een Excel-bestand of Notion-pagina volstaat. Dit is je verwerkingsregister, verplicht onder AVG art. 30 voor organisaties die regelmatig bijzondere persoonsgegevens verwerken. Dat zijn coaches.

Stap 2: Vraag de VO’s op

Voor elke verwerker waar je nog geen VO mee hebt: ga naar hun website. Zoek op “verwerkersovereenkomst”, “Data Processing Agreement”, “DPA” of “AVG”. 99% van de serieuze leveranciers heeft een standaard-VO klaarliggen, meestal als PDF, soms in te zien via je account-instellingen.

Wat je doet:

• Lees hem (vluchtig is genoeg, kijk vooral naar subverwerkers en bewaartermijnen)
• Onderteken digitaal of accepteer via klik in account
• Bewaar een kopie lokaal of in je centraal compliance-overzicht

Wat te doen als de leverancier geen VO aanbiedt:

1. Vraag erom, een serieuze leverancier maakt hem op verzoek
2. Geen response binnen 2 weken? Overweeg een andere leverancier
3. Voor kleine partijen die er echt geen hebben: gebruik onze Verwerkersovereenkomst Generator, die levert in 3 minuten een AVG art. 28 conform contract dat je samen kunt ondertekenen. Alternatief: template via Autoriteit Persoonsgegevens

Stap 3: Maak gebruik van subprocessor-registers

Een goede verwerker publiceert een subprocessor-register, een lijst met partijen die hij weer inschakelt. Bijvoorbeeld: jouw praktijksoftware (verwerker) gebruikt Supabase voor database-hosting (subverwerker), AssemblyAI voor transcriptie (subverwerker), Mollie voor betalingen (subverwerker).

Wat je moet weten over subverwerkers:

• Ze vallen onder dezelfde VO (de hoofdverwerker is verantwoordelijk)
• Bij wijziging van subverwerkers moet de verwerker je informeren
• Je hebt het recht om bezwaar te maken (in de praktijk zelden zinvol)
• Bij datalek bij een subverwerker meldt de hoofdverwerker dat aan jou

Vraag bij elke verwerker of er een subprocessor-register beschikbaar is. Blooom heeft er bijvoorbeeld één online staan met alle EU-partijen die data aanraken, Supabase EU, AssemblyAI EU-endpoints, Mollie, e-mailprovider. Dat is hoe het hoort.

Stap 4: Bewaar centraal

Maak één plek waar al je verwerkersovereenkomsten leesbaar zijn voor jou. Een map in Google Drive of OneDrive, een Notion-pagina, of een fysieke map. Per VO:

• Naam leverancier
• Datum ondertekening
• Versie/datum van de VO
• Subverwerker-register (link of pdf)
• Eventuele DPA-addenda

Bij een audit, datalek, of vraag van een cliënt moet je dit binnen minuten kunnen tonen.

Stap 5: Houd het up-to-date

Eén keer per jaar even doorlopen:

• Gebruik je nog dezelfde tools?
• Zijn er nieuwe tools bijgekomen?
• Heeft een leverancier de VO aangepast (gebeurt vaak met nieuwe AVG-uitspraken)?
• Zijn er subverwerkers gewijzigd?

Een uur per jaar. Vergeleken met het risico: een investering die zichzelf duizendvoudig terugverdient.

De slimme aanpak: minimaliseer je VO-stapel door consolidatie

Hier komt de invalshoek die de meeste AVG-gidsen overslaan: je VO-verplichting is recht evenredig aan het aantal losse tools dat je gebruikt. Hoe meer losse tools, hoe meer VO’s, hoe meer beheerlast, hoe meer datalek-risico.

Een coach die werkt met:

• Google Workspace + Calendly + Typeform + DocuSign + Mollie + Moneybird + Notion + Zoom Pro + Mailchimp + Otter

…heeft 10 verwerkersovereenkomsten, 10 subprocessor-registers om te volgen, en 10 plekken waar een datalek kan ontstaan.

Een coach die werkt met:

• Blooom (vervangt: agenda, intake, contracten, facturatie, cliëntdossier, notities, AI-verslag) + boekhoudprogramma + e-mailprovider + videoconferentie-tool (Zoom, Teams, Meet) + betaalprovider (Mollie of Stripe, eigen account)

…heeft 5 verwerkersovereenkomsten. Gebruik je een suite zoals Google Workspace (Gmail + Meet onder één VO) of Microsoft 365 (Outlook + Teams onder één VO), dan kom je op 4. Dezelfde dekking, ongeveer de helft van het beheer.

Het goede nieuws: vier van de vijf VO’s worden bij activatie automatisch ondertekend (Blooom, e-mailprovider, video-tool, Mollie/Stripe). Alleen je boekhoudpakket vraagt mogelijk om een aparte handeling. Geen handmatig template-werk meer.

Dit is geen marketing-trucje, dit is een fundamenteel kenmerk van all-in-one praktijksoftware. Hoe meer functies geïntegreerd zijn binnen één tool, hoe minder externe relaties je hebt en hoe makkelijker compliance wordt. Lees ook onze gids over coaching administratie automatiseren voor de bredere consolidatie-gedachte.

Wat Blooom als één verwerkersovereenkomst dekt

Eén Blooom-VO dekt al deze functies binnen één tool:

• Cliëntdossier (vervangt: Notion, Evernote, losse map)
• Sessieagenda en boekingen (vervangt: Calendly, Google Calendar als boekingslink)
• Intake-formulieren (vervangt: Typeform, JotForm), zie ook intake formulieren voor coaches
• Coachcontracten met digitale ondertekening (vervangt: DocuSign, SignWell), zie coachcontract maken
• Facturatie met iDEAL (vervangt: aparte factuur-app, gebruikt jouw eigen Mollie-account, dus Mollie blijft een aparte verwerker met eigen VO)
• Cliëntportaal (vervangt: WhatsApp-werkverkeer, losse projectmappen), zie cliëntportaal voordelen
• Sessienotities (vervangt: Evernote, OneNote)
• AI-sessieverslag (vervangt: ChatGPT, Otter, Notizy), zie AI sessieverslag voor coaches
• Automatische herinneringen (vervangt: handmatige reminder-e-mails)
• E-mailtemplates en -herinneringen (vervangt: deels Mailchimp voor transactionele e-mails)

Dat zijn 10 mogelijke verwerkers die je niet meer nodig hebt als losse tool. Eén VO met Blooom in plaats van 10 met losse leveranciers.

Hoe Blooom dit AVG-correct heeft geregeld:

• EU-hosting: alle data in Supabase EU
• AI binnen de EU: AssemblyAI EU-endpoints voor transcriptie
• Versleuteling: API-sleutels met AES-256-GCM, wachtwoorden met bcrypt, HTTPS-only voor verkeer en at-rest encryptie voor audio
• Subprocessor-register: openbaar en up-to-date
• Verwerkersovereenkomst: conform AVG art. 28, beschikbaar bij account-activatie
• Recht op verwijdering: één-klik account-deletion, 30 dagen grace-period, daarna volledige wis
• Audio-bewaartermijn: 90 dagen, daarna automatisch verwijderd, alleen transcript en verslag blijven
• Consent voor opname: expliciet gelogd per cliënt, intrekbaar
• Row Level Security: database-niveau scheiding tussen coaches en cliënten, geen kans op data-lek tussen accounts

Veelgestelde vragen

Moet ik een VO afsluiten met élke leverancier?

Met elke verwerker, ja. Met partijen die zelfstandig verantwoordelijk zijn (Belastingdienst, beroepsvereniging, advocaat) niet. Zie de tabellen hierboven voor concrete voorbeelden.

Wat als een leverancier geen verwerkersovereenkomst aanbiedt?

Vraag erom. Krijg je niets, stop dan met die leverancier. Voor kleine partijen die echt geen kant-en-klare VO hebben, kun je onze Verwerkersovereenkomst Generator gebruiken, die genereert in 3 minuten een AVG art. 28 conform contract dat je samen kunt ondertekenen. Maar realiseer je: als een leverancier zelf geen VO heeft, is dat een signaal dat hij AVG niet serieus neemt. Wil je daar je cliëntdata neerleggen?

Telt een digitale klik-akkoord als ondertekening?

Ja. Een digitale acceptatie waarbij duidelijk is wie heeft geklikt, wanneer, en waarop, is rechtsgeldig. Veel grote leveranciers gebruiken dit. Bewaar wel een kopie van de geaccepteerde VO-versie.

Kan ik volstaan met een algemene zin in mijn contract?

Nee. De AVG schrijft specifieke inhoud voor (art. 28 lid 3). Een zin als “leverancier zal AVG naleven” is onvoldoende. Je hebt een echt contract nodig met alle vereiste elementen.

Wat is het risico als ik dit niet regel?

In oplopende ernst:

• Cliëntklacht bij Autoriteit Persoonsgegevens, kost je tijd en goodwill
• Audit, kost je weken aan administratie
• Datalek zonder VO, meldplicht binnen 72 uur, transparant naar getroffenen, mogelijk in pers
• Boete, voor solopraktijken meestal €1.000-€20.000 bij eerste overtreding
• Reputatieschade, coaching draait om vertrouwen. Eén datalek-bericht in lokale pers kan een praktijk kraken.

Mag ik ChatGPT, Claude of Notion AI gebruiken voor sessieverslagen?

Niet zonder Enterprise- of Team-versie met een verwerkersovereenkomst voor jouw context. De gratis of Plus-versies van OpenAI en Anthropic verwerken data in de VS, gebruiken het standaard voor modeltraining, en bieden geen VO. Voor cliëntdata is dat een AVG-overtreding. Voor algemene vragen (niet cliëntspecifiek) is het prima.

Coach-native AI-tools zoals Blooom’s geïntegreerde sessieverslag zijn AVG-correct geconfigureerd, EU-endpoints, geen modeltraining op jouw data, VO standaard inbegrepen. Zie onze AI-sessieverslag-gids voor de complete uitleg.

Hoe lang moet ik een verwerkersovereenkomst bewaren?

Zolang de verwerking duurt, plus minimaal 5 jaar daarna (wegens mogelijke claims of audits). Praktisch: bewaar ze gewoon voor altijd, het is een PDF.

Wat als mijn cliënt vraagt om inzage in verwerkersovereenkomsten?

Cliënten hebben recht op informatie over welke leveranciers hun data verwerken, dat staat in je privacyverklaring. Ze hebben geen recht op inzage in de volledige VO-tekst (die is bedrijfsvertrouwelijk). Maar het lijstje van verwerkers moet je transparant kunnen tonen.

Heb ik een Data Protection Officer (FG) nodig?

Voor de gemiddelde solo-coach: nee. Een Functionaris Gegevensbescherming is verplicht voor organisaties die op grote schaal bijzondere persoonsgegevens verwerken. Een solo-praktijk met 20-50 cliënten valt daar normaal niet onder. Bij grotere praktijken of als je samenwerkt met zorgverzekeraars: laat het juridisch toetsen.

Wat als ik wissel van leverancier?

De oude verwerker moet je data binnen redelijke termijn teruggeven of verwijderen, dat staat in de VO. Vraag een export van alle data voordat je opzegt. Bevestig schriftelijk dat alle data daarna is verwijderd. Bewaar die bevestiging.

De checklist: ben je AVG-compliant op verwerkersovereenkomsten?

Loop deze door. Eerlijk antwoord.

• Ik heb een verwerkingsregister waarin alle externe partijen staan die mijn cliëntdata verwerken
• Ik weet voor elke partij of het een verwerker is of zelfstandig verantwoordelijke
• Ik heb een getekende VO met elke verwerker, bewaar die centraal, en kan ze binnen 5 minuten tonen
• Ik ken het subprocessor-register van elke grote verwerker
• Ik update mijn VO-overzicht minstens jaarlijks
• Ik gebruik geen gratis AI-tools (ChatGPT Free, Claude Free) voor cliëntdata
• Ik bewaar geen cliëntdata op privé-Google-accounts of niet-zakelijke clouds
• Mijn privacyverklaring op mijn website noemt mijn belangrijkste verwerkers
• Ik weet wat ik moet doen bij een datalek (melden binnen 72 uur)
• Ik kan een complete data-export voor een cliënt leveren binnen 30 dagen

Vinkjes onder 5? Tijd om dit weekend serieus op te ruimen.

Hoe Blooom dit oplost

We hebben in dit artikel veel over algemene AVG-praktijk gesproken. Tijd om concreet te worden over wat Blooom doet om jouw VO-last te verkleinen.

Veel minder verwerkersovereenkomsten. Door 10+ functies te integreren in één platform, vervang je losse tools en daarmee losse VO’s. Vier tot vijf verwerkers in plaats van tien, en de meeste daarvan worden bij activatie automatisch ondertekend.

Standaard meegeleverd, niet als losse aankoop. Bij activatie van je Blooom-account is de verwerkersovereenkomst al klaar, conform AVG art. 28, bewerkt en uitgelegd in begrijpelijk Nederlands. Geen jurist nodig om het te lezen.

Subprocessor-register openbaar. Alle subverwerkers die Blooom gebruikt, Supabase EU, AssemblyAI EU-endpoints, Mollie, e-mailprovider, staan in een openbaar register. Bij wijziging krijg je notificatie.

EU-only. Alle data, alle verwerkingen, alle AI-analyses gebeuren binnen de Europese Unie. Geen Amerikaanse Cloud Act-risico’s. Geen transfers naar de VS.

Audit-klaar uit de doos. Mocht een cliënt vragen, een verzekeraar een audit doen, of (in worst case) de AP langskomen, alle documentatie ligt klaar. Het export-pakket bevat verwerkingsregister, VO, subprocessor-lijst, security-overzicht. Eén klik.

Coach-vriendelijke compliance. We snappen dat AVG niet de reden is dat je coach bent geworden. Daarom hebben we de complexiteit weggehaald: jij vinkt eenmalig akkoord aan, en blijft compliant zonder verder na te denken, terwijl wij op de achtergrond zorgen dat het ook werkelijk klopt.

Start 14 dagen gratis met Blooom →

Inclusief standaard verwerkersovereenkomst, complete AVG-stack, en de rust dat je dit goed geregeld hebt zonder er een tweede baan van te maken.

Gerelateerde gidsen

• AVG voor Coaches: Privacy en Dossiervorming
• AI Sessieverslag voor Coaches: De Complete Gids
• Coaching Administratie Automatiseren: Complete Gids
• Coaching Software Vergelijken in Nederland
• Coachcontract Maken: Templates & Juridische Tips
• Intake Formulieren voor Coaches: Templates & Best Practices
• Cliëntportaal: Waarom Het Onmisbaar Wordt
• Te Veel Administratie als Coach? Hier is Wat Je Kunt Doen
• Coachingspraktijk Starten in Nederland: De Complete Gids

Blooom is de rustige coach-CRM. Geen takenlijst, geen tien losse tools die je zelf compliant moet maken, gewoon één plek waar je praktijk professioneel én AVG-correct loopt. Gebouwd in Nederland, voor Nederlandse coaches.

Disclaimer: deze gids is informatief en geen juridisch advies. Voor specifieke situaties, vooral bij samenwerking met zorgverzekeraars, gemeenten, of bij grote praktijken, raadpleeg een AVG-jurist.