# Publicatieblad L 199/2021

| | ISSN 1977-0758 |
| --- | --- |
| Publicatieblad
  van de Europese Unie | L 199 |
| | |
| Uitgave in de Nederlandse taal | Wetgeving | 64e jaargang7 juni 2021 |

ISSN 1977-0758

Publicatieblad

van de Europese Unie

L 199

Uitgave in de Nederlandse taal

Wetgeving

64e jaargang7 juni 2021

---

| Inhoud | | II   Niet-wetgevingshandelingen | Bladzijde |
| --- | --- | --- | --- |
| | | VERORDENINGEN |
| | * | Uitvoeringsverordening (EU) 2021/909 van de Commissie van 31 mei 2021 tot indeling van bepaalde goederen in de gecombineerde nomenclatuur | 1 |
| | * | Uitvoeringsverordening (EU) 2021/910 van de Commissie van 31 mei 2021 tot indeling van bepaalde goederen in de gecombineerde nomenclatuur | 4 |
| | * | Uitvoeringsverordening (EU) 2021/911 van de Commissie van 31 mei 2021 tot indeling van bepaalde goederen in de gecombineerde nomenclatuur | 7 |
| | * | Uitvoeringsverordening (EU) 2021/912 van de Commissie van 4 juni 2021 tot goedkeuring van de wijziging van de specificaties van het nieuwe voedingsmiddel lacto-N-neotetraose (microbiële bron) en tot wijziging van Uitvoeringsverordening (EU) 2017/2470 (
  1
  ) | 10 |
| | | BESLUITEN |
| | * | Uitvoeringsbesluit (EU) 2021/913 van de Commissie van 3 juni 2021 betreffende de ter ondersteuning van Verordening (EU) 2019/2022 en Gedelegeerde Verordening (EU) 2019/2017 opgestelde geharmoniseerde normen voor huishoudelijke afwasmachines | 13 |
| | * | Uitvoeringsbesluit (EU) 2021/915 van de Commissie van 4 juni 2021 betreffende standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers uit hoofde van artikel 28, lid 7, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad en artikel 29, lid 7, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (
  1
  ) | 18 |
| | * | Uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021 betreffende standaardcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad (
  1
  ) | 31 |

Inhoud

II   Niet-wetgevingshandelingen

Bladzijde

VERORDENINGEN

*

Uitvoeringsverordening (EU) 2021/909 van de Commissie van 31 mei 2021 tot indeling van bepaalde goederen in de gecombineerde nomenclatuur

1

*

Uitvoeringsverordening (EU) 2021/910 van de Commissie van 31 mei 2021 tot indeling van bepaalde goederen in de gecombineerde nomenclatuur

4

*

Uitvoeringsverordening (EU) 2021/911 van de Commissie van 31 mei 2021 tot indeling van bepaalde goederen in de gecombineerde nomenclatuur

7

*

Uitvoeringsverordening (EU) 2021/912 van de Commissie van 4 juni 2021 tot goedkeuring van de wijziging van de specificaties van het nieuwe voedingsmiddel lacto-N-neotetraose (microbiële bron) en tot wijziging van Uitvoeringsverordening (EU) 2017/2470 (
  1
  )

N

1

10

BESLUITEN

*

Uitvoeringsbesluit (EU) 2021/913 van de Commissie van 3 juni 2021 betreffende de ter ondersteuning van Verordening (EU) 2019/2022 en Gedelegeerde Verordening (EU) 2019/2017 opgestelde geharmoniseerde normen voor huishoudelijke afwasmachines

13

*

Uitvoeringsbesluit (EU) 2021/915 van de Commissie van 4 juni 2021 betreffende standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers uit hoofde van artikel 28, lid 7, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad en artikel 29, lid 7, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (
  1
  )

1

18

*

Uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021 betreffende standaardcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad (
  1
  )

1

31

| | |
| --- | --- |
| | (1)   Voor de EER relevante tekst. |

---

(1)   Voor de EER relevante tekst.

1

| NL | Besluiten waarvan de titels mager zijn gedrukt, zijn besluiten van dagelijks beheer die in het kader van het landbouwbeleid zijn genomen en die in het algemeen een beperkte geldigheidsduur hebben.
  Besluiten waarvan de titels vet zijn gedrukt en die worden voorafgegaan door een sterretje, zijn alle andere besluiten. |
| --- | --- |

NL

Besluiten waarvan de titels mager zijn gedrukt, zijn besluiten van dagelijks beheer die in het kader van het landbouwbeleid zijn genomen en die in het algemeen een beperkte geldigheidsduur hebben.

Besluiten waarvan de titels vet zijn gedrukt en die worden voorafgegaan door een sterretje, zijn alle andere besluiten.

---

II Niet-wetgevingshandelingen

VERORDENINGEN

| 7.6.2021 | NL | Publicatieblad van de Europese Unie | L 199/1 |
| --- | --- | --- | --- |

7.6.2021

NL

Publicatieblad van de Europese Unie

L 199/1

---

UITVOERINGSVERORDENING (EU) 2021/909 VAN DE COMMISSIE

van 31 mei 2021

tot indeling van bepaalde goederen in de gecombineerde nomenclatuur

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) nr. 952/2013 van het Europees Parlement en van de Raad van 9 oktober 2013 tot vaststelling van het douanewetboek van de Unie (1), en met name artikel 57, lid 4, en artikel 58, lid 2,

Overwegende hetgeen volgt:

| (1) | Om de uniforme toepassing te waarborgen van de gecombineerde nomenclatuur die als bijlage bij Verordening (EEG) nr. 2658/87 (2) is gevoegd, dienen bepalingen voor de indeling van de in de bijlage bij onderhavige verordening vermelde goederen te worden vastgesteld. |
| --- | --- |

(1)

Om de uniforme toepassing te waarborgen van de gecombineerde nomenclatuur die als bijlage bij Verordening (EEG) nr. 2658/87 (2) is gevoegd, dienen bepalingen voor de indeling van de in de bijlage bij onderhavige verordening vermelde goederen te worden vastgesteld.

| (2) | Bij Verordening (EEG) nr. 2658/87 zijn de algemene regels voor de interpretatie van de gecombineerde nomenclatuur vastgesteld. Deze regels zijn ook van toepassing op iedere andere nomenclatuur die, geheel of gedeeltelijk of met toevoeging van onderverdelingen, de gecombineerde nomenclatuur overneemt en die bij specifieke EU-wetgeving is vastgesteld met het oog op de toepassing van tarief- of andere maatregelen in het kader van het goederenverkeer. |
| --- | --- |

(2)

Bij Verordening (EEG) nr. 2658/87 zijn de algemene regels voor de interpretatie van de gecombineerde nomenclatuur vastgesteld. Deze regels zijn ook van toepassing op iedere andere nomenclatuur die, geheel of gedeeltelijk of met toevoeging van onderverdelingen, de gecombineerde nomenclatuur overneemt en die bij specifieke EU-wetgeving is vastgesteld met het oog op de toepassing van tarief- of andere maatregelen in het kader van het goederenverkeer.

| (3) | Volgens deze algemene regels dienen de in kolom 1 van de tabel in de bijlage omschreven goederen te worden ingedeeld onder de in kolom 2 vermelde GN-code om de in kolom 3 genoemde redenen. |
| --- | --- |

(3)

Volgens deze algemene regels dienen de in kolom 1 van de tabel in de bijlage omschreven goederen te worden ingedeeld onder de in kolom 2 vermelde GN-code om de in kolom 3 genoemde redenen.

| (4) | Er dient te worden bepaald dat een bindende tariefinlichting die is afgegeven voor onder deze verordening vallende goederen en die in strijd is met deze verordening, door de houder van die inlichting nog gedurende een bepaalde periode mag worden gebruikt op grond van artikel 34, lid 9, van Verordening (EU) nr. 952/2013. Die periode moet worden vastgesteld op drie maanden. |
| --- | --- |

(4)

Er dient te worden bepaald dat een bindende tariefinlichting die is afgegeven voor onder deze verordening vallende goederen en die in strijd is met deze verordening, door de houder van die inlichting nog gedurende een bepaalde periode mag worden gebruikt op grond van artikel 34, lid 9, van Verordening (EU) nr. 952/2013. Die periode moet worden vastgesteld op drie maanden.

| (5) | De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Comité douanewetboek, |
| --- | --- |

(5)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Comité douanewetboek,

HEEFT DE VOLGENDE VERORDENING VASTGESTELD:

Artikel 1

De in kolom 1 van de tabel in de bijlage omschreven goederen worden in de gecombineerde nomenclatuur ingedeeld onder de in kolom 2 van die tabel vermelde GN-code.

Artikel 2

Een bindende tariefinlichting die niet in overeenstemming is met deze verordening, mag op grond van artikel 34, lid 9, van Verordening (EU) nr. 952/2013 nog gedurende een periode van drie maanden na de inwerkingtreding van deze verordening worden gebruikt.

Artikel 3

Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Brussel, 31 mei 2021.

Voor de Commissie,

namens de voorzitter,

Gerassimos THOMAS

Directeur-generaal

Directoraat-generaal Belastingen en Douane-unie

---

(1)  
  PB L 269 van 10.10.2013, blz. 1.

1

(2)  Verordening (EEG) nr. 2658/87 van de Raad van 23 juli 1987 met betrekking tot de tarief- en statistieknomenclatuur en het gemeenschappelijk douanetarief (PB L 256 van 7.9.1987, blz. 1).

2

---

BIJLAGE

| Omschrijving | Indeling (GN-code) | Motivering |
| --- | --- | --- |
| (1) | (2) | (3) |
| Een flexibel artikel (een zogenoemde “zwemnoodle”) vervaardigd van kunststof met celstructuur (kunststofschuim) in de vorm van een holle buis met een lengte van ongeveer 1 m en een diameter van ongeveer 8 cm. Het artikel drijft op water en wordt aangeboden om te worden gebruikt als drijfhulpmiddel dat voldoet aan een Europese norm voor drijfhulpmiddelen voor zwemles (EN 13138-2:2014). Het artikel is ook schokdempend en thermisch isolerend.
  Zie afbeeldingen  (*1) | 3926 90 97 | De indeling is vastgesteld op basis van de algemene regels 1 en 6 voor de interpretatie van de gecombineerde nomenclatuur en de tekst van de GN-codes 3926 , 3926 90 en 3926 90 97 .
  Indeling onder post 9506 als artikelen en materieel voor lichaamsoefening, voor gymnastiek, voor atletiek, voor andere sporten of voor openluchtspelen is uitgesloten, omdat het artikel vanwege zijn eenvoudige, gangbare vorm niet kan worden geïdentificeerd als artikel dat is ontworpen voor lichaamsoefening of sporten bedoeld bij post 9506 , hoewel het artikel vanwege zijn drijfeigenschappen voldoet aan de norm voor drijfhulpmiddelen voor zwemles. Bovendien kan het artikel, vanwege zijn eenvoudige vorm en het gangbare materiaal, voor verschillende doeleinden worden gebruikt (bijvoorbeeld als schokdempende beschermende producten die rond palen worden aangebracht, thermische-isolatieproducten die rond buizen worden aangebracht, producten voor het amusement van kinderen).
  Indeling onder post 9503 als ander speelgoed is eveneens uitgesloten, omdat het artikel op basis van het ontwerp niet duidelijk kan worden geïdentificeerd als artikel voor het amusement van kinderen of volwassenen.
  Bijgevolg moet het artikel worden ingedeeld naar het materiaal waarvan het is vervaardigd (kunststof).
  Het artikel moet daarom worden ingedeeld onder GN-code 3926 90 97 als andere artikelen van kunststof. |

Omschrijving

Indeling (GN-code)

Motivering

(1)

(2)

(3)

Een flexibel artikel (een zogenoemde “zwemnoodle”) vervaardigd van kunststof met celstructuur (kunststofschuim) in de vorm van een holle buis met een lengte van ongeveer 1 m en een diameter van ongeveer 8 cm. Het artikel drijft op water en wordt aangeboden om te worden gebruikt als drijfhulpmiddel dat voldoet aan een Europese norm voor drijfhulpmiddelen voor zwemles (EN 13138-2:2014). Het artikel is ook schokdempend en thermisch isolerend.

Zie afbeeldingen  (*1)

3926 90 97

De indeling is vastgesteld op basis van de algemene regels 1 en 6 voor de interpretatie van de gecombineerde nomenclatuur en de tekst van de GN-codes 3926 , 3926 90 en 3926 90 97 .

Indeling onder post 9506 als artikelen en materieel voor lichaamsoefening, voor gymnastiek, voor atletiek, voor andere sporten of voor openluchtspelen is uitgesloten, omdat het artikel vanwege zijn eenvoudige, gangbare vorm niet kan worden geïdentificeerd als artikel dat is ontworpen voor lichaamsoefening of sporten bedoeld bij post 9506 , hoewel het artikel vanwege zijn drijfeigenschappen voldoet aan de norm voor drijfhulpmiddelen voor zwemles. Bovendien kan het artikel, vanwege zijn eenvoudige vorm en het gangbare materiaal, voor verschillende doeleinden worden gebruikt (bijvoorbeeld als schokdempende beschermende producten die rond palen worden aangebracht, thermische-isolatieproducten die rond buizen worden aangebracht, producten voor het amusement van kinderen).

Indeling onder post 9503 als ander speelgoed is eveneens uitgesloten, omdat het artikel op basis van het ontwerp niet duidelijk kan worden geïdentificeerd als artikel voor het amusement van kinderen of volwassenen.

Bijgevolg moet het artikel worden ingedeeld naar het materiaal waarvan het is vervaardigd (kunststof).

Het artikel moet daarom worden ingedeeld onder GN-code 3926 90 97 als andere artikelen van kunststof.

---

(*1)  De afbeeldingen zijn louter ter informatie.

Image 1

---

| 7.6.2021 | NL | Publicatieblad van de Europese Unie | L 199/4 |
| --- | --- | --- | --- |

7.6.2021

NL

Publicatieblad van de Europese Unie

L 199/4

---

UITVOERINGSVERORDENING (EU) 2021/910 VAN DE COMMISSIE

van 31 mei 2021

tot indeling van bepaalde goederen in de gecombineerde nomenclatuur

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) nr. 952/2013 van het Europees Parlement en van de Raad van 9 oktober 2013 tot vaststelling van het douanewetboek van de Unie (1), en met name artikel 57, lid 4, en artikel 58, lid 2,

Overwegende hetgeen volgt:

| (1) | Om de uniforme toepassing te waarborgen van de gecombineerde nomenclatuur die als bijlage bij Verordening (EEG) nr. 2658/87 (2) is gevoegd, dienen bepalingen voor de indeling van de in de bijlage bij onderhavige verordening vermelde goederen te worden vastgesteld. |
| --- | --- |

(1)

Om de uniforme toepassing te waarborgen van de gecombineerde nomenclatuur die als bijlage bij Verordening (EEG) nr. 2658/87 (2) is gevoegd, dienen bepalingen voor de indeling van de in de bijlage bij onderhavige verordening vermelde goederen te worden vastgesteld.

| (2) | Bij Verordening (EEG) nr. 2658/87 zijn de algemene regels voor de interpretatie van de gecombineerde nomenclatuur vastgesteld. Deze regels zijn ook van toepassing op iedere andere nomenclatuur die, geheel of gedeeltelijk of met toevoeging van onderverdelingen, de gecombineerde nomenclatuur overneemt en die bij specifieke EU-wetgeving is vastgesteld met het oog op de toepassing van tarief- of andere maatregelen in het kader van het goederenverkeer. |
| --- | --- |

(2)

Bij Verordening (EEG) nr. 2658/87 zijn de algemene regels voor de interpretatie van de gecombineerde nomenclatuur vastgesteld. Deze regels zijn ook van toepassing op iedere andere nomenclatuur die, geheel of gedeeltelijk of met toevoeging van onderverdelingen, de gecombineerde nomenclatuur overneemt en die bij specifieke EU-wetgeving is vastgesteld met het oog op de toepassing van tarief- of andere maatregelen in het kader van het goederenverkeer.

| (3) | Volgens deze algemene regels dienen de in kolom 1 van de tabel in de bijlage omschreven goederen te worden ingedeeld onder de in kolom 2 vermelde GN-code om de in kolom 3 genoemde redenen. |
| --- | --- |

(3)

Volgens deze algemene regels dienen de in kolom 1 van de tabel in de bijlage omschreven goederen te worden ingedeeld onder de in kolom 2 vermelde GN-code om de in kolom 3 genoemde redenen.

| (4) | Er dient te worden bepaald dat een bindende tariefinlichting die is afgegeven voor onder deze verordening vallende goederen en die in strijd is met deze verordening, door de houder van die inlichting nog gedurende een bepaalde periode mag worden gebruikt op grond van artikel 34, lid 9, van Verordening (EU) nr. 952/2013. Die periode moet worden vastgesteld op drie maanden. |
| --- | --- |

(4)

Er dient te worden bepaald dat een bindende tariefinlichting die is afgegeven voor onder deze verordening vallende goederen en die in strijd is met deze verordening, door de houder van die inlichting nog gedurende een bepaalde periode mag worden gebruikt op grond van artikel 34, lid 9, van Verordening (EU) nr. 952/2013. Die periode moet worden vastgesteld op drie maanden.

| (5) | De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Comité douanewetboek, |
| --- | --- |

(5)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Comité douanewetboek,

HEEFT DE VOLGENDE VERORDENING VASTGESTELD:

Artikel 1

De in kolom 1 van de tabel in de bijlage omschreven goederen worden in de gecombineerde nomenclatuur ingedeeld onder de in kolom 2 van die tabel vermelde GN-code.

Artikel 2

Een bindende tariefinlichting die niet in overeenstemming is met deze verordening, mag op grond van artikel 34, lid 9, van Verordening (EU) nr. 952/2013 nog gedurende een periode van drie maanden na de inwerkingtreding van deze verordening worden gebruikt.

Artikel 3

Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Brussel, 31 mei 2021.

Voor de Commissie

namens de voorzitter,

Gerassimos THOMAS

Directeur-generaal

Directoraat-generaal Belastingen en Douane-unie

---

(1)  
  PB L 269 van 10.10.2013, blz. 1.

1

(2)  Verordening (EEG) nr. 2658/87 van de Raad van 23 juli 1987 met betrekking tot de tarief- en statistieknomenclatuur en het gemeenschappelijk douanetarief (PB L 256 van 7.9.1987, blz. 1).

2

---

BIJLAGE

| Omschrijving | Indeling
  (GN-code) | Motivering |
| --- | --- | --- |
| (1) | (2) | (3) |
| Staafjes van cermets met een uniforme ronde dwarsdoorsnede. De artikelen van verschillende lengte en diameters hebben stompe uiteinden en kunnen massief of geperforeerd zijn en koelkanalen hebben. Sommige artikelen zijn afgeschuind.
  De artikelen zijn vervaardigd van cermets, met name van gesinterd metaalcarbide op basis van wolfraamcarbide met kobalt als bindmiddel.
  Aangezien de artikelen slechts in beperkte mate zijn bewerkt en een eenvoudige vorm hebben, kunnen deze worden gebruikt voor een breed scala aan toepassingen, bijvoorbeeld als verstevigingselementen. Als de artikelen verder worden bewerkt, kunnen deze worden gebruikt voor gereedschap en als gereedschap. | 8113 00 90 | De indeling is vastgesteld op basis van de algemene regels 1 en 6 voor de interpretatie van de gecombineerde nomenclatuur, aantekening 4 op afdeling XV en de tekst van de GN-codes 8113 00 en 8113 00 90 .
  Indeling onder GN-code 8209 00 80 als staafjes en dergelijke voorwerpen voor gereedschap, niet gemonteerd, vervaardigd van cermets, is uitgesloten, aangezien de artikelen alleen voor gereedschap en als gereedschap kunnen worden gebruikt als zij verder worden bewerkt en deze ook geschikt zijn voor andere doeleinden.
  Deze artikelen vallen onder post 8113 , waartoe cermets behoren, ook in ruwe vorm of in de vorm van artikelen die niet elders in de gecombineerde nomenclatuur worden genoemd (zie ook de GS-toelichtingen op post 8113 , zesde alinea).
  Het artikel moet daarom worden ingedeeld onder GN-code 8113 00 90 als cermets en andere werken daarvan. |

Omschrijving

Indeling

(GN-code)

Motivering

(1)

(2)

(3)

Staafjes van cermets met een uniforme ronde dwarsdoorsnede. De artikelen van verschillende lengte en diameters hebben stompe uiteinden en kunnen massief of geperforeerd zijn en koelkanalen hebben. Sommige artikelen zijn afgeschuind.

De artikelen zijn vervaardigd van cermets, met name van gesinterd metaalcarbide op basis van wolfraamcarbide met kobalt als bindmiddel.

Aangezien de artikelen slechts in beperkte mate zijn bewerkt en een eenvoudige vorm hebben, kunnen deze worden gebruikt voor een breed scala aan toepassingen, bijvoorbeeld als verstevigingselementen. Als de artikelen verder worden bewerkt, kunnen deze worden gebruikt voor gereedschap en als gereedschap.

8113 00 90

De indeling is vastgesteld op basis van de algemene regels 1 en 6 voor de interpretatie van de gecombineerde nomenclatuur, aantekening 4 op afdeling XV en de tekst van de GN-codes 8113 00 en 8113 00 90 .

Indeling onder GN-code 8209 00 80 als staafjes en dergelijke voorwerpen voor gereedschap, niet gemonteerd, vervaardigd van cermets, is uitgesloten, aangezien de artikelen alleen voor gereedschap en als gereedschap kunnen worden gebruikt als zij verder worden bewerkt en deze ook geschikt zijn voor andere doeleinden.

Deze artikelen vallen onder post 8113 , waartoe cermets behoren, ook in ruwe vorm of in de vorm van artikelen die niet elders in de gecombineerde nomenclatuur worden genoemd (zie ook de GS-toelichtingen op post 8113 , zesde alinea).

Het artikel moet daarom worden ingedeeld onder GN-code 8113 00 90 als cermets en andere werken daarvan.

---

| 7.6.2021 | NL | Publicatieblad van de Europese Unie | L 199/7 |
| --- | --- | --- | --- |

7.6.2021

NL

Publicatieblad van de Europese Unie

L 199/7

---

UITVOERINGSVERORDENING (EU) 2021/911 VAN DE COMMISSIE

van 31 mei 2021

tot indeling van bepaalde goederen in de gecombineerde nomenclatuur

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) nr. 952/2013 van het Europees Parlement en van de Raad van 9 oktober 2013 tot vaststelling van het douanewetboek van de Unie (1), en met name artikel 57, lid 4, en artikel 58, lid 2,

Overwegende hetgeen volgt:

| (1) | Om de uniforme toepassing te waarborgen van de gecombineerde nomenclatuur die als bijlage bij Verordening (EEG) nr. 2658/87 (2) is gevoegd, dienen bepalingen voor de indeling van de in de bijlage bij onderhavige verordening vermelde goederen te worden vastgesteld. |
| --- | --- |

(1)

Om de uniforme toepassing te waarborgen van de gecombineerde nomenclatuur die als bijlage bij Verordening (EEG) nr. 2658/87 (2) is gevoegd, dienen bepalingen voor de indeling van de in de bijlage bij onderhavige verordening vermelde goederen te worden vastgesteld.

| (2) | Bij Verordening (EEG) nr. 2658/87 zijn de algemene regels voor de interpretatie van de gecombineerde nomenclatuur vastgesteld. Deze regels zijn ook van toepassing op iedere andere nomenclatuur die, geheel of gedeeltelijk of met toevoeging van onderverdelingen, de gecombineerde nomenclatuur overneemt en die bij specifieke EU-wetgeving is vastgesteld met het oog op de toepassing van tarief- of andere maatregelen in het kader van het goederenverkeer. |
| --- | --- |

(2)

Bij Verordening (EEG) nr. 2658/87 zijn de algemene regels voor de interpretatie van de gecombineerde nomenclatuur vastgesteld. Deze regels zijn ook van toepassing op iedere andere nomenclatuur die, geheel of gedeeltelijk of met toevoeging van onderverdelingen, de gecombineerde nomenclatuur overneemt en die bij specifieke EU-wetgeving is vastgesteld met het oog op de toepassing van tarief- of andere maatregelen in het kader van het goederenverkeer.

| (3) | Volgens deze algemene regels dienen de in kolom 1 van de tabel in de bijlage omschreven goederen te worden ingedeeld onder de in kolom 2 vermelde GN-code om de in kolom 3 genoemde redenen. |
| --- | --- |

(3)

Volgens deze algemene regels dienen de in kolom 1 van de tabel in de bijlage omschreven goederen te worden ingedeeld onder de in kolom 2 vermelde GN-code om de in kolom 3 genoemde redenen.

| (4) | Er dient te worden bepaald dat een bindende tariefinlichting die is afgegeven voor onder deze verordening vallende goederen en die in strijd is met deze verordening, door de houder van die inlichting nog gedurende een bepaalde periode mag worden gebruikt op grond van artikel 34, lid 9, van Verordening (EU) nr. 952/2013. Die periode moet worden vastgesteld op drie maanden. |
| --- | --- |

(4)

Er dient te worden bepaald dat een bindende tariefinlichting die is afgegeven voor onder deze verordening vallende goederen en die in strijd is met deze verordening, door de houder van die inlichting nog gedurende een bepaalde periode mag worden gebruikt op grond van artikel 34, lid 9, van Verordening (EU) nr. 952/2013. Die periode moet worden vastgesteld op drie maanden.

| (5) | De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Comité douanewetboek, |
| --- | --- |

(5)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Comité douanewetboek,

HEEFT DE VOLGENDE VERORDENING VASTGESTELD:

Artikel 1

De in kolom 1 van de tabel in de bijlage omschreven goederen worden in de gecombineerde nomenclatuur ingedeeld onder de in kolom 2 van die tabel vermelde GN-code.

Artikel 2

Een bindende tariefinlichting die niet in overeenstemming is met deze verordening, mag op grond van artikel 34, lid 9, van Verordening (EU) nr. 952/2013 nog gedurende een periode van drie maanden na de inwerkingtreding van deze verordening worden gebruikt.

Artikel 3

Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Brussel, 31 mei 2021.

Voor de Commissie

namens de voorzitter,

Gerassimos
  THOMAS

Directeur-generaal

Directoraat-generaal Belastingen en Douane-unie

---

(1)  
  PB L 269 van 10.10.2013, blz. 1.

1

(2)  Verordening (EEG) nr. 2658/87 van de Raad van 23 juli 1987 met betrekking tot de tarief- en statistieknomenclatuur en het gemeenschappelijk douanetarief (PB L 256 van 7.9.1987, blz. 1).

2

---

BIJLAGE

| Omschrijving | Indeling
  (GN-code) | Motivering |
| --- | --- | --- |
| (1) | (2) | (3) |
| Meubelroller bestaande uit:






  — | een plaat op houtbasis (vezelplaat met afgeronde hoeken en randen); |

Omschrijving

Indeling

(GN-code)

Motivering

(1)

(2)

(3)

Meubelroller bestaande uit:

—

een plaat op houtbasis (vezelplaat met afgeronde hoeken en randen);

| — | antislipmatjes van kunststof aan de bovenkant van de plaat; |
| --- | --- |

—

antislipmatjes van kunststof aan de bovenkant van de plaat;

| — | wielen van kunststof; |
| --- | --- |

—

wielen van kunststof;

| — | steunen van metaal om de wielen van kunststof aan de onderzijde van de panelen te bevestigen. |
| --- | --- |

—

steunen van metaal om de wielen van kunststof aan de onderzijde van de panelen te bevestigen.

In het artikel is een greepuitsparing aangebracht waardoor het bijvoorbeeld met de hand opgetild of aan de muur opgehangen kan worden.

Het artikel is ontworpen om te worden gebruikt voor het vervoer van verschillende voorwerpen, met name meubels en andere zware voorwerpen.

(Zie afbeelding)  (*1)

4421 99 10

De indeling is vastgesteld op basis van de algemene regels 1, 3 b) en 6 voor de interpretatie van de gecombineerde nomenclatuur, aantekening 3 op hoofdstuk 44 en de bewoordingen van de GN-codes 4421 , 4421 99 en 4421 99 10 .

Indeling onder GN-code 8716 80 00 als andere voertuigen zonder eigen beweegkracht is uitgesloten omdat de objectieve kenmerken en eigenschappen van het artikel niet volledig overeenkomen met de tekst van post 8716 en GN-code 8716 80 00 .

Gezien zijn objectieve kenmerken en eigenschappen, waaronder een handvat dat niet wordt gebruikt om het artikel met de voet of hand te duwen, en gezien het ontwerp voor het vervoer van zware voorwerpen zoals meubels door tegen die voorwerpen te duwen, is het artikel niet ontworpen om door andere voertuigen te worden getrokken, om met de hand te worden getrokken of voortgeduwd, om te worden voortbewogen door af te zetten met de voet of om te worden getrokken door dieren (zie ook de GS-toelichtingen op post 8716 , tweede alinea).

Het artikel kan niet als voertuig worden beschouwd omdat het niet beschikt over bepaalde kenmerken en eigenschappen van een met de hand of voet voortbewogen voertuig van post 8716 doordat het geen kar of wagen is of het niet bestaat uit een specifiek deel van een voertuig, zoals een chassis.

Bijgevolg moet het artikel worden ingedeeld naar het materiaal waarvan het is vervaardigd.

Het artikel is een samengesteld product dat bestaat uit verschillende materialen (hout, kunststof en metaal). De component die het artikel zijn wezenlijke karakter verleent, is hout, aangezien de houten plaat het hoofdbestanddeel van het samengestelde product vormt en de houten plaat het belangrijkst is voor het beoogde gebruik van het artikel.

Het artikel moet daarom worden ingedeeld onder GN-code 4421 99 10 als andere houtwaren van vezelplaat.

Image 2

---

(*1)  De foto is louter ter informatie.

---

| 7.6.2021 | NL | Publicatieblad van de Europese Unie | L 199/10 |
| --- | --- | --- | --- |

7.6.2021

NL

Publicatieblad van de Europese Unie

L 199/10

---

UITVOERINGSVERORDENING (EU) 2021/912 VAN DE COMMISSIE

van 4 juni 2021

tot goedkeuring van de wijziging van de specificaties van het nieuwe voedingsmiddel lacto-N-neotetraose (microbiële bron) en tot wijziging van Uitvoeringsverordening (EU) 2017/2470

(Voor de EER relevante tekst)

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) 2015/2283 van het Europees Parlement en de Raad van 25 november 2015 betreffende nieuwe voedingsmiddelen, tot wijziging van Verordening (EU) nr. 1169/2011 van het Europees Parlement en de Raad en tot intrekking van Verordening (EG) nr. 258/97 van het Europees Parlement en de Raad en Verordening (EG) nr. 1852/2001 van de Commissie (1), en met name artikel 12,

Overwegende hetgeen volgt:

| (1) | Bij Verordening (EU) 2015/2283 is vastgesteld dat alleen nieuwe voedingsmiddelen die zijn toegelaten en in de Unielijst zijn opgenomen, in de Unie in de handel mogen worden gebracht. |
| --- | --- |

(1)

Bij Verordening (EU) 2015/2283 is vastgesteld dat alleen nieuwe voedingsmiddelen die zijn toegelaten en in de Unielijst zijn opgenomen, in de Unie in de handel mogen worden gebracht.

| (2) | Krachtens artikel 8 van Verordening (EU) 2015/2283 is Uitvoeringsverordening (EU) 2017/2470 van de Commissie (2) vastgesteld met de Unielijst van toegelaten nieuwe voedingsmiddelen. |
| --- | --- |

(2)

Krachtens artikel 8 van Verordening (EU) 2015/2283 is Uitvoeringsverordening (EU) 2017/2470 van de Commissie (2) vastgesteld met de Unielijst van toegelaten nieuwe voedingsmiddelen.

| (3) | Krachtens artikel 12 van Verordening (EU) 2015/2283 moet de Commissie een ontwerpuitvoeringshandeling tot toelating van het in de Unie in de handel brengen van een nieuw voedingsmiddel en tot bijwerking van de Unielijst indienen. |
| --- | --- |

(3)

Krachtens artikel 12 van Verordening (EU) 2015/2283 moet de Commissie een ontwerpuitvoeringshandeling tot toelating van het in de Unie in de handel brengen van een nieuw voedingsmiddel en tot bijwerking van de Unielijst indienen.

| (4) | Bij Uitvoeringsbesluit (EU) 2016/375 van de Commissie (3) is overeenkomstig Verordening (EG) nr. 258/97 van het Europees Parlement en de Raad (4) een vergunning verleend voor het in de handel brengen van door chemische synthese geproduceerd lacto-N-neotetraose als nieuw voedselingrediënt. |
| --- | --- |

(4)

Bij Uitvoeringsbesluit (EU) 2016/375 van de Commissie (3) is overeenkomstig Verordening (EG) nr. 258/97 van het Europees Parlement en de Raad (4) een vergunning verleend voor het in de handel brengen van door chemische synthese geproduceerd lacto-N-neotetraose als nieuw voedselingrediënt.

| (5) | Op 1 september 2016 heeft de onderneming Glycom A/S de Commissie overeenkomstig artikel 5 van Verordening (EG) nr. 258/97 in kennis gesteld van het voornemen om uit microbiële bron afkomstig lacto-N-neotetraose dat met behulp van Escherichia coli stam K-12 is geproduceerd, als nieuw voedselingrediënt in de handel te brengen. |
| --- | --- |

(5)

Op 1 september 2016 heeft de onderneming Glycom A/S de Commissie overeenkomstig artikel 5 van Verordening (EG) nr. 258/97 in kennis gesteld van het voornemen om uit microbiële bron afkomstig lacto-N-neotetraose dat met behulp van Escherichia coli stam K-12 is geproduceerd, als nieuw voedselingrediënt in de handel te brengen.

| (6) | Glycom A/S heeft in de kennisgeving aan de Commissie overeenkomstig artikel 3, lid 4, van Verordening (EG) nr. 258/97 ook een door de Ierse bevoegde autoriteit afgegeven verslag ingediend waarin op basis van het door die onderneming ingediende wetenschappelijke bewijs is geconcludeerd dat lacto-N-neotetraose dat met behulp van Escherichia coli stam K-12 is geproduceerd, wezenlijk gelijkwaardig is aan synthetisch lacto-N-neotetraose, waarvoor bij Uitvoeringsbesluit (EU) 2016/375 een vergunning is verleend. Uit microbiële bron afkomstig lacto-N-neotetraose is derhalve in de Unielijst van nieuwe voedingsmiddelen opgenomen. |
| --- | --- |

(6)

Glycom A/S heeft in de kennisgeving aan de Commissie overeenkomstig artikel 3, lid 4, van Verordening (EG) nr. 258/97 ook een door de Ierse bevoegde autoriteit afgegeven verslag ingediend waarin op basis van het door die onderneming ingediende wetenschappelijke bewijs is geconcludeerd dat lacto-N-neotetraose dat met behulp van Escherichia coli stam K-12 is geproduceerd, wezenlijk gelijkwaardig is aan synthetisch lacto-N-neotetraose, waarvoor bij Uitvoeringsbesluit (EU) 2016/375 een vergunning is verleend. Uit microbiële bron afkomstig lacto-N-neotetraose is derhalve in de Unielijst van nieuwe voedingsmiddelen opgenomen.

| (7) | Op 23 juni 2019 heeft de onderneming Chr. Hansen A/S (“de aanvrager”) overeenkomstig artikel 10, lid 1 van Verordening (EU) 2015/2283 een aanvraag bij de Commissie ingediend voor de toelating van lacto-N-neotetraose (microbiële bron), dat door de gecombineerde activiteit van de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) is geproduceerd, als nieuw voedingsmiddel onder dezelfde gebruiksvoorwaarden als waarvoor momenteel een vergunning is verleend voor uit synthetische en microbiële bron afkomstig lacto-N-neotetraose. De aanvrager verzocht om een actualisering van de Unielijst met betrekking tot de nieuwe bron van het nieuwe voedingsmiddel. |
| --- | --- |

(7)

Op 23 juni 2019 heeft de onderneming Chr. Hansen A/S (“de aanvrager”) overeenkomstig artikel 10, lid 1 van Verordening (EU) 2015/2283 een aanvraag bij de Commissie ingediend voor de toelating van lacto-N-neotetraose (microbiële bron), dat door de gecombineerde activiteit van de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) is geproduceerd, als nieuw voedingsmiddel onder dezelfde gebruiksvoorwaarden als waarvoor momenteel een vergunning is verleend voor uit synthetische en microbiële bron afkomstig lacto-N-neotetraose. De aanvrager verzocht om een actualisering van de Unielijst met betrekking tot de nieuwe bron van het nieuwe voedingsmiddel.

| (8) | Bovendien heeft de aanvrager voorgesteld om bepaalde specificaties van lacto-N-neotetraose (microbiële bron) uit deze nieuwe bron te actualiseren, aangezien deze verschillen van de specificaties van het goedgekeurde, uit microbiële bron afkomstige lacto-N-neotetraose dat met behulp van Escherichia coli stam K-12 is geproduceerd, in zoverre dat de gehalten aan as toenemen van ≤ 0,4 % naar ≤ 1,0 %; het niveau van de aanwezigheid van gisten en schimmels toeneemt van de huidige ≤ 10 kolonievormende eenheden (“kve”)/g nieuw voedingsmiddel voor elk van beide typen micro-organismen tot ≤ 50 kve/g voor de combinatie van beide; en methanol (momenteel ≤ 100 mg/kg) en fructose-isomeer van lacto-N-neotetraose (momenteel ≤ 1,0 %) afwezig zijn. |
| --- | --- |

(8)

Bovendien heeft de aanvrager voorgesteld om bepaalde specificaties van lacto-N-neotetraose (microbiële bron) uit deze nieuwe bron te actualiseren, aangezien deze verschillen van de specificaties van het goedgekeurde, uit microbiële bron afkomstige lacto-N-neotetraose dat met behulp van Escherichia coli stam K-12 is geproduceerd, in zoverre dat de gehalten aan as toenemen van ≤ 0,4 % naar ≤ 1,0 %; het niveau van de aanwezigheid van gisten en schimmels toeneemt van de huidige ≤ 10 kolonievormende eenheden (“kve”)/g nieuw voedingsmiddel voor elk van beide typen micro-organismen tot ≤ 50 kve/g voor de combinatie van beide; en methanol (momenteel ≤ 100 mg/kg) en fructose-isomeer van lacto-N-neotetraose (momenteel ≤ 1,0 %) afwezig zijn.

| (9) | De Commissie heeft de Europese Autoriteit voor voedselveiligheid (EFSA) op 17 januari 2020 verzocht overeenkomstig de voorschriften van artikel 11 van Verordening (EU) 2015/2283 een beoordeling uit te brengen van lacto-N-neotetraose, dat door de gecombineerde activiteit van de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) is geproduceerd. |
| --- | --- |

(9)

De Commissie heeft de Europese Autoriteit voor voedselveiligheid (EFSA) op 17 januari 2020 verzocht overeenkomstig de voorschriften van artikel 11 van Verordening (EU) 2015/2283 een beoordeling uit te brengen van lacto-N-neotetraose, dat door de gecombineerde activiteit van de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) is geproduceerd.

| (10) | Op 22 oktober 2020 heeft de EFSA haar wetenschappelijk advies “Safety of lacto-N-neotetraose (LNnT) produced by derivative strains of E. coli BL21 as a novel food pursuant to Regulation (EU) 2015/2283” (5) uitgebracht. |
| --- | --- |

(10)

Op 22 oktober 2020 heeft de EFSA haar wetenschappelijk advies “Safety of lacto-N-neotetraose (LNnT) produced by derivative strains of E. coli BL21 as a novel food pursuant to Regulation (EU) 2015/2283” (5) uitgebracht.

| (11) | In haar wetenschappelijk advies heeft de EFSA geconcludeerd dat lacto-N-neotetraose (LNnT), dat door de gecombineerde activiteit van de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) is geproduceerd, als nieuw voedingsmiddel krachtens Verordening (EU) 2015/2283 veilig is voor de gebruiksvoorwaarden waarvoor momenteel een vergunning is verleend. In dat wetenschappelijk advies worden derhalve voldoende redenen gegeven om vast te stellen dat lacto-N-neotetraose (LNnT), dat door de gecombineerde activiteit van de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) is geproduceerd, voldoet aan artikel 12, lid 1, van Verordening (EU) 2015/2283. |
| --- | --- |

(11)

In haar wetenschappelijk advies heeft de EFSA geconcludeerd dat lacto-N-neotetraose (LNnT), dat door de gecombineerde activiteit van de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) is geproduceerd, als nieuw voedingsmiddel krachtens Verordening (EU) 2015/2283 veilig is voor de gebruiksvoorwaarden waarvoor momenteel een vergunning is verleend. In dat wetenschappelijk advies worden derhalve voldoende redenen gegeven om vast te stellen dat lacto-N-neotetraose (LNnT), dat door de gecombineerde activiteit van de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) is geproduceerd, voldoet aan artikel 12, lid 1, van Verordening (EU) 2015/2283.

| (12) | Het is daarom passend de specificaties van het microbiologisch geproduceerde lacto-N-neotetraose te wijzigen om de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) als bron van het nieuwe voedingsmiddel naast de toegelaten Escherichia coli stam K12 op te nemen en de voorgestelde niveaus voor de aanwezigheid van as, gisten en schimmels te wijzigen. |
| --- | --- |

(12)

Het is daarom passend de specificaties van het microbiologisch geproduceerde lacto-N-neotetraose te wijzigen om de afgeleide stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli stam BL21(DE3) als bron van het nieuwe voedingsmiddel naast de toegelaten Escherichia coli stam K12 op te nemen en de voorgestelde niveaus voor de aanwezigheid van as, gisten en schimmels te wijzigen.

| (13) | De bijlage bij Verordening (EU) 2017/2470 moet daarom dienovereenkomstig worden gewijzigd. |
| --- | --- |

(13)

De bijlage bij Verordening (EU) 2017/2470 moet daarom dienovereenkomstig worden gewijzigd.

| (14) | De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Permanent Comité voor planten, dieren, levensmiddelen en diervoeders, |
| --- | --- |

(14)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Permanent Comité voor planten, dieren, levensmiddelen en diervoeders,

HEEFT DE VOLGENDE VERORDENING VASTGESTELD:

Artikel 1

De vermelding voor de stof lacto-N-neotetraose (microbiële bron) in de krachtens artikel 6 van Verordening (EU) 2015/2283 vastgestelde Unielijst van toegelaten nieuwe voedingsmiddelen wordt gewijzigd zoals aangegeven in de bijlage bij deze verordening.

Artikel 2

Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Brussel, 4 juni 2021.

Voor de Commissie

De voorzitter

Ursula VON DER LEYEN

---

(1)  
  PB L 327 van 11.12.2015, blz. 1.

1

(2)  Uitvoeringsverordening (EU) 2017/2470 van de Commissie van 20 december 2017 tot vaststelling van de Unielijst van nieuwe voedingsmiddelen overeenkomstig Verordening (EU) 2015/2283 van het Europees Parlement en de Raad betreffende nieuwe voedingsmiddelen (PB L 351 van 30.12.2017, blz. 72).

2

(3)  Uitvoeringsbesluit (EU) 2016/375 van de Commissie van 11 maart 2016 tot verlening van een vergunning voor het in de handel brengen van lacto-N-neotetraose als nieuw voedselingrediënt krachtens Verordening (EG) nr. 258/97 van het Europees Parlement en de Raad (PB L 70 van 16.3.2016, blz. 22).

3

N

(4)  Verordening (EG) nr. 258/97 van het Europees Parlement en de Raad van 27 januari 1997 betreffende nieuwe voedingsmiddelen en nieuwe voedselingrediënten (PB L 43 van 14.2.1997, blz. 1).

4

(5)  
  EFSA Journal 2020;18(11):6305.

5

EFSA Journal

---

BIJLAGE

In tabel 2 (Specificaties) van de bijlage bij Uitvoeringsverordening (EU) 2017/2470 wordt de vermelding voor lacto-N-neotetraose (microbiële bron) vervangen door:

| “Lacto-N-neotetraose


  (microbiële bron) | Definitie:

  Chemische naam: β-D-galactopyranosyl-(1→4)-2-aceetamido-2-deoxy-β-D-glucopyranosyl-(1→3)-β-D-galactopyranosyl-(1→4)-D-glucopyranose
  Chemische formule: C26H45NO21

  CAS-nr.: 13007-32-4
  Moleculaire massa: 707,63 g/mol

  Bron:







  — | Een genetisch gemodificeerde stam van Escherichia coli K-12, of |
| --- | --- | --- |

“Lacto-N-neotetraose

(microbiële bron)

Definitie:

Chemische naam: β-D-galactopyranosyl-(1→4)-2-aceetamido-2-deoxy-β-D-glucopyranosyl-(1→3)-β-D-galactopyranosyl-(1→4)-D-glucopyranose

Chemische formule: C26H45NO21

CAS-nr.: 13007-32-4

Moleculaire massa: 707,63 g/mol

Bron:

—

Een genetisch gemodificeerde stam van Escherichia coli K-12, of

| — | een combinatie van de genetisch gemodificeerde stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli BL21(DE3) |
| --- | --- |

—

een combinatie van de genetisch gemodificeerde stammen PS-LNnT-JBT en DS-LNnT-JBT van Escherichia coli BL21(DE3)

Omschrijving:

Lacto-N-neotetraose is een wit tot gebroken wit poeder dat door een microbiologisch proces wordt geproduceerd.

Zuiverheid:

Gehalte (vrij van water): ≥ 80 %

D-Lactose: ≤ 10,0 %

Lacto-N-triose II: ≤ 3,0 %

para-lacto-N-neohexaose: ≤ 5,0 %

Fructose-isomeer van lacto-N-neotetraose: ≤ 1,0 %

Som van de sachariden (lacto-N-neotetraose, D-lactose, lacto-N-triose II, para-lacto-N-neohexaose, fructose-isomeer van lacto-N-neotetraose): ≥ 92 % (% m/m droge stof)

pH (20 °C bij een 5 %-oplossing): 4,0-7,0

Water: ≤ 9,0 %

Sulfaatas: ≤ 1,0 %

Oplosmiddelresten (methanol): ≤ 100 mg/kg

Resterende eiwitten: ≤ 0,01 %

Microbiologische criteria:

Totaalaantal aerobe mesofiele bacteriën: ≤ 500 kve/g

Gisten en schimmels: ≤ 50 kve/g

Resterende endotoxinen: ≤ 10 EU/mg

Kve: kolonievormende eenheden; EU: endotoxine-eenheden”

---

BESLUITEN

| 7.6.2021 | NL | Publicatieblad van de Europese Unie | L 199/13 |
| --- | --- | --- | --- |

7.6.2021

NL

Publicatieblad van de Europese Unie

L 199/13

---

UITVOERINGSBESLUIT (EU) 2021/913 VAN DE COMMISSIE

van 3 juni 2021

betreffende de ter ondersteuning van Verordening (EU) 2019/2022 en Gedelegeerde Verordening (EU) 2019/2017 opgestelde geharmoniseerde normen voor huishoudelijke afwasmachines

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad van 25 oktober 2012 betreffende Europese normalisatie, tot wijziging van de Richtlijnen 89/686/EEG en 93/15/EEG van de Raad alsmede de Richtlijnen 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG en 2009/105/EG van het Europees Parlement en de Raad en tot intrekking van Beschikking 87/95/EEG van de Raad en Besluit nr. 1673/2006/EG van het Europees Parlement en de Raad (1) en met name artikel 10, lid 6,

Overwegende hetgeen volgt:

| (1) | Overeenkomstig artikel 9, lid 2, van Richtlijn 2009/125/EG van het Europees Parlement en de Raad (2) moeten de lidstaten een product waarvoor geharmoniseerde normen zijn toegepast waarvan de referentienummers in het Publicatieblad van de Europese Unie zijn bekendgemaakt, beschouwen als zijnde in overeenstemming met alle relevante voorschriften van de toepasselijke uitvoeringsmaatregel waarop die normen betrekking hebben. In artikel 4 van en bijlage III bij Gedelegeerde Verordening (EU) 2019/2022 (3) van de Commissie zijn de toepasselijke metings- en berekeningsvoorschriften voor huishoudelijke afwasmachines opgenomen. |
| --- | --- |

(1)

Overeenkomstig artikel 9, lid 2, van Richtlijn 2009/125/EG van het Europees Parlement en de Raad (2) moeten de lidstaten een product waarvoor geharmoniseerde normen zijn toegepast waarvan de referentienummers in het Publicatieblad van de Europese Unie zijn bekendgemaakt, beschouwen als zijnde in overeenstemming met alle relevante voorschriften van de toepasselijke uitvoeringsmaatregel waarop die normen betrekking hebben. In artikel 4 van en bijlage III bij Gedelegeerde Verordening (EU) 2019/2022 (3) van de Commissie zijn de toepasselijke metings- en berekeningsvoorschriften voor huishoudelijke afwasmachines opgenomen.

| (2) | Overeenkomstig artikel 13 van Verordening (EU) 2017/1369 (4) van het Europees Parlement en de Raad maakt de Commissie, nadat krachtens artikel 16 van die verordening een gedelegeerde handeling is vastgesteld waarin specifieke voorschriften betreffende de etikettering zijn vastgelegd, in het Publicatieblad van de Europese Unie de referenties bekend van de geharmoniseerde normen die voldoen aan de desbetreffende metings- en berekeningsvoorschriften van de gedelegeerde handeling. Wanneer dergelijke geharmoniseerde normen bij de conformiteitsbeoordeling van een product worden toegepast, wordt het model verondersteld conform te zijn aan de toepasselijke metings- en berekeningsvoorschriften van de gedelegeerde handeling. In artikel 3 van en bijlage IV bij Gedelegeerde Verordening (EU) 2019/2017 (5) van de Commissie zijn de toepasselijke metings- en berekeningsvoorschriften voor huishoudelijke afwasmachines opgenomen. |
| --- | --- |

(2)

Overeenkomstig artikel 13 van Verordening (EU) 2017/1369 (4) van het Europees Parlement en de Raad maakt de Commissie, nadat krachtens artikel 16 van die verordening een gedelegeerde handeling is vastgesteld waarin specifieke voorschriften betreffende de etikettering zijn vastgelegd, in het Publicatieblad van de Europese Unie de referenties bekend van de geharmoniseerde normen die voldoen aan de desbetreffende metings- en berekeningsvoorschriften van de gedelegeerde handeling. Wanneer dergelijke geharmoniseerde normen bij de conformiteitsbeoordeling van een product worden toegepast, wordt het model verondersteld conform te zijn aan de toepasselijke metings- en berekeningsvoorschriften van de gedelegeerde handeling. In artikel 3 van en bijlage IV bij Gedelegeerde Verordening (EU) 2019/2017 (5) van de Commissie zijn de toepasselijke metings- en berekeningsvoorschriften voor huishoudelijke afwasmachines opgenomen.

| (3) | Bij Uitvoeringsbesluit C(2020) 4329 (6) heeft de Commissie het Europees Comité voor Normalisatie (CEN), het Europees Comité voor elektrotechnische normalisatie (Cenelec) en het Europees Instituut voor telecommunicatienormen (ETSI) verzocht om bestaande geharmoniseerde normen inzake huishoudelijke afwasmachines, huishoudelijke wasmachines en huishoudelijke was-droogcombinaties te herzien ter ondersteuning van de Verordeningen (EU) 2019/2022 en (EU) 2019/2023 en Gedelegeerde Verordeningen (EU) 2019/2017 en (EU) 2019/2014. |
| --- | --- |

(3)

Bij Uitvoeringsbesluit C(2020) 4329 (6) heeft de Commissie het Europees Comité voor Normalisatie (CEN), het Europees Comité voor elektrotechnische normalisatie (Cenelec) en het Europees Instituut voor telecommunicatienormen (ETSI) verzocht om bestaande geharmoniseerde normen inzake huishoudelijke afwasmachines, huishoudelijke wasmachines en huishoudelijke was-droogcombinaties te herzien ter ondersteuning van de Verordeningen (EU) 2019/2022 en (EU) 2019/2023 en Gedelegeerde Verordeningen (EU) 2019/2017 en (EU) 2019/2014.

| (4) | Op basis van het in Uitvoeringsbesluit C(2020) 4329 geformuleerde verzoek heeft het Cenelec de geharmoniseerde norm EN 60436:2020 opgesteld om rekening te houden met de technische en wetenschappelijke vooruitgang. Het Cenelec heeft ook wijziging EN 60436:2020/A11:2020 en corrigendum EN 60436:2020/AC:2020-6 bij die norm vastgesteld. |
| --- | --- |

(4)

Op basis van het in Uitvoeringsbesluit C(2020) 4329 geformuleerde verzoek heeft het Cenelec de geharmoniseerde norm EN 60436:2020 opgesteld om rekening te houden met de technische en wetenschappelijke vooruitgang. Het Cenelec heeft ook wijziging EN 60436:2020/A11:2020 en corrigendum EN 60436:2020/AC:2020-6 bij die norm vastgesteld.

| (5) | De Commissie heeft samen met het Cenelec beoordeeld of de geharmoniseerde norm EN 60436:2020, zoals gewijzigd bij EN 60436:2020/A11:2020 en gerectificeerd bij EN 60436:2020/AC:2020-6, voldoet aan het in Uitvoeringsbesluit C(2020) 4329 geformuleerde verzoek. |
| --- | --- |

(5)

De Commissie heeft samen met het Cenelec beoordeeld of de geharmoniseerde norm EN 60436:2020, zoals gewijzigd bij EN 60436:2020/A11:2020 en gerectificeerd bij EN 60436:2020/AC:2020-6, voldoet aan het in Uitvoeringsbesluit C(2020) 4329 geformuleerde verzoek.

| (6) | De geharmoniseerde norm EN 60436:2020, zoals gewijzigd bij EN 60436:2020/A11:2020 en gerectificeerd bij EN 60436:2020/AC:2020-6, voldoet aan de eisen die zij beoogt te bestrijken en die zijn vastgesteld in Verordening (EU) 2019/2022 en Gedelegeerde Verordening (EU) 2019/2017. |
| --- | --- |

(6)

De geharmoniseerde norm EN 60436:2020, zoals gewijzigd bij EN 60436:2020/A11:2020 en gerectificeerd bij EN 60436:2020/AC:2020-6, voldoet aan de eisen die zij beoogt te bestrijken en die zijn vastgesteld in Verordening (EU) 2019/2022 en Gedelegeerde Verordening (EU) 2019/2017.

| (7) | Er moet worden verduidelijkt welke versies van de normen als bedoeld in “3 Modification of Clause 2 “Normative references”” in de norm EN 60436:2020 moeten worden gebruikt in het kader van een vermoeden van conformiteit. |
| --- | --- |

(7)

Er moet worden verduidelijkt welke versies van de normen als bedoeld in “3 Modification of Clause 2 “Normative references”” in de norm EN 60436:2020 moeten worden gebruikt in het kader van een vermoeden van conformiteit.

| (8) | De kolom “Remarks/Notes*” van tabel ZZA.1 in norm EN 60436:2020 voor de toepassing van Gedelegeerde Verordening (EU) 2019/2017 en de kolom “Remarks/Notes*” van tabel ZZB.1 in norm EN 60436:2020 voor de toepassing van Verordening (EU) 2019/2022 moeten van de bekendmaking worden uitgesloten wegens inconsistentie van die kolommen met de eisen in het normatieve hoofdgedeelte van de norm en wegens de rechtsonzekerheid die voortkomt uit de interpretatie van het rechtsgevolg van een vermoeden van conformiteit dat in de voetnoot bij die kolommen is opgenomen. |
| --- | --- |

(8)

De kolom “Remarks/Notes*” van tabel ZZA.1 in norm EN 60436:2020 voor de toepassing van Gedelegeerde Verordening (EU) 2019/2017 en de kolom “Remarks/Notes*” van tabel ZZB.1 in norm EN 60436:2020 voor de toepassing van Verordening (EU) 2019/2022 moeten van de bekendmaking worden uitgesloten wegens inconsistentie van die kolommen met de eisen in het normatieve hoofdgedeelte van de norm en wegens de rechtsonzekerheid die voortkomt uit de interpretatie van het rechtsgevolg van een vermoeden van conformiteit dat in de voetnoot bij die kolommen is opgenomen.

| (9) | Daarom is het passend de referenties van de geharmoniseerde normen EN 60436:2020, zoals gewijzigd bij EN 60436:2020/A11:2020, en gerectificeerd bij EN 60436:2020/AC:2020-6 met beperkingen bekend te maken in het Publicatieblad van de Europese Unie. |
| --- | --- |

(9)

Daarom is het passend de referenties van de geharmoniseerde normen EN 60436:2020, zoals gewijzigd bij EN 60436:2020/A11:2020, en gerectificeerd bij EN 60436:2020/AC:2020-6 met beperkingen bekend te maken in het Publicatieblad van de Europese Unie.

| (10) | De geharmoniseerde norm EN 60436:2020 vervangt de geharmoniseerde normen EN 50242:2016, zoals bekendgemaakt bij Mededeling 2016/C 416/05 van de Commissie (7). Daarom is het passend die mededeling in te trekken. |
| --- | --- |

(10)

De geharmoniseerde norm EN 60436:2020 vervangt de geharmoniseerde normen EN 50242:2016, zoals bekendgemaakt bij Mededeling 2016/C 416/05 van de Commissie (7). Daarom is het passend die mededeling in te trekken.

| (11) | Door naleving van een geharmoniseerde norm wordt vanaf de datum van bekendmaking van de referentie van deze norm in het Publicatieblad van de Europese Unie een vermoeden van conformiteit gevestigd met de overeenkomstige eisen die in de harmonisatiewetgeving van de Unie zijn opgenomen. Dit besluit moet derhalve in werking treden op de datum van de bekendmaking ervan, |
| --- | --- |

(11)

Door naleving van een geharmoniseerde norm wordt vanaf de datum van bekendmaking van de referentie van deze norm in het Publicatieblad van de Europese Unie een vermoeden van conformiteit gevestigd met de overeenkomstige eisen die in de harmonisatiewetgeving van de Unie zijn opgenomen. Dit besluit moet derhalve in werking treden op de datum van de bekendmaking ervan,

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

Artikel 1

De ter ondersteuning van Gedelegeerde Verordening (EU) 2019/2017 opgestelde en in de lijst in bijlage I bij dit besluit opgenomen geharmoniseerde normen voor de energie-etikettering van huishoudelijke afwasmachines worden hierbij met beperkingen bekendgemaakt in het Publicatieblad van de Europese Unie.

De ter ondersteuning van Verordening (EU) 2019/2022 opgestelde en in de lijst in bijlage II bij dit besluit opgenomen geharmoniseerde normen voor het ecologisch ontwerp van huishoudelijke afwasmachines worden hierbij met een beperking bekendgemaakt in het Publicatieblad van de Europese Unie.

Artikel 2

Mededeling 2016/C 416/05 wordt ingetrokken.

Artikel 3

Dit besluit treedt in werking op de dag van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Gedaan te Brussel, 3 juni 2021.

Voor de Commissie

De voorzitter

Ursula VON DER LEYEN

---

(1)  
  PB L 316 van 14.11.2012, blz. 12.

1

(2)  Richtlijn 2009/125/EG van het Europees Parlement en de Raad van 21 oktober 2009 betreffende de totstandbrenging van een kader voor het vaststellen van eisen inzake ecologisch ontwerp voor energiegerelateerde producten (PB L 285 van 31.10.2009, blz. 10).

2

(3)  Verordening (EU) 2019/2022 van de Commissie van 1 oktober 2019 tot vaststelling van eisen inzake ecologisch ontwerp voor huishoudelijke afwasmachines overeenkomstig Richtlijn 2009/125/EG van het Europees Parlement en de Raad, tot wijziging van Verordening (EG) nr. 1275/2008 van de Commissie en tot intrekking van Verordening (EU) nr. 1016/2010 van de Commissie (PB L 315 van 5.12.2019, blz. 267).

3

(4)  Verordening (EU) 2017/1369 van het Europees Parlement en de Raad van 4 juli 2017 tot vaststelling van een kader voor energie-etikettering en tot intrekking van Richtlijn 2010/30/EU (PB L 198 van 28.7.2017, blz. 1).

4

(5)  Gedelegeerde Verordening (EU) 2019/2017 van de Commissie van 11 maart 2019 tot aanvulling van Verordening (EU) 2017/1369 van het Europees Parlement en de Raad met betrekking tot de energie-etikettering van huishoudelijke afwasmachines en tot intrekking van Gedelegeerde Verordening (EU) nr. 1059/2010 van de Commissie (PB L 315 van 5.12.2019, blz. 134).

5

(6)  Uitvoeringsbesluit C(2020) 4329 van de Commissie van 1 juli 2020 inzake een normalisatieverzoek aan het Europees Comité voor Normalisatie, het Europees Comité voor elektrotechnische normalisatie en het Europees Instituut voor telecommunicatienormen wat betreft eisen inzake ecologisch ontwerp en energie-etikettering voor huishoudelijke afwasmachines, huishoudelijke wasmachines en huishoudelijke was-droogcombinaties ter ondersteuning van de Verordeningen (EU) 2019/2022 en (EU) 2019/2023 van de Commissie en Gedelegeerde Verordeningen (EU) 2019/2017 en (EU) 2019/2014 van de Commissie.

6

(7)  Mededeling van de Commissie in het kader van de tenuitvoerlegging van Verordening (EU) nr. 1016/2010 van de Commissie tot uitvoering van Richtlijn 2009/125/EG van het Europees Parlement en de Raad betreffende eisen inzake ecologisch ontwerp voor huishoudelijke afwasmachines en van Gedelegeerde Verordening (EU) nr. 1059/2010 van de Commissie houdende aanvulling van Richtlijn 2010/30/EU van het Europees Parlement en de Raad met betrekking tot de energie-etikettering van huishoudelijke afwasmachines (Bekendmaking van titels en referentienummers van geharmoniseerde normen in het kader van de harmonisatiewetgeving van de Unie) (PB C 416 van 11.11.2016, blz. 14).

7

---

BIJLAGE I

De referentie van de ter ondersteuning van Gedelegeerde Verordening (EU) 2019/2017 opgestelde geharmoniseerde norm

| EN 60436:2020
  Elektrische vaatwasmachines voor huishoudelijk gebruik — Beproevingsmethoden voor het meten van de gebruikseigenschappen
  EN 60436:2020/A11:2020
  EN 60436:2020/AC:2020-6
  Beperkingen:






  a) | voor de toepassing van het punt “2 Normative references” zijn de volgende versies van geharmoniseerde normen van toepassing:






  i) | EN 50564:2011; |
| --- | --- | --- |

EN 60436:2020

Elektrische vaatwasmachines voor huishoudelijk gebruik — Beproevingsmethoden voor het meten van de gebruikseigenschappen

EN 60436:2020/A11:2020

EN 60436:2020/AC:2020-6

Beperkingen:

a)

voor de toepassing van het punt “2 Normative references” zijn de volgende versies van geharmoniseerde normen van toepassing:

i)

EN 50564:2011;

| ii) | EN 50643:2018 zoals gewijzigd bij EN 50643:2018/A1:2020; |
| --- | --- |

ii)

EN 50643:2018 zoals gewijzigd bij EN 50643:2018/A1:2020;

| iii) | EN 60704-2-3:2019; |
| --- | --- |

iii)

EN 60704-2-3:2019;

| iv) | EN 60704-2-3:2019 zoals gewijzigd bij EN 60704-2-3:2019/A11:2019; |
| --- | --- |

iv)

EN 60704-2-3:2019 zoals gewijzigd bij EN 60704-2-3:2019/A11:2019;

| v) | EN 60705:2015 zoals gewijzigd bij EN 60705:2015/A2:2018; |
| --- | --- |

v)

EN 60705:2015 zoals gewijzigd bij EN 60705:2015/A2:2018;

| vi) | EN 60734:2012; |
| --- | --- |

vi)

EN 60734:2012;

| vii) | ISO 607:1980. |
| --- | --- |

vii)

ISO 607:1980.

| b) | deze bekendmaking heeft geen betrekking op de kolom “Remarks/Notes*” bij tabel ZZA.1. |
| --- | --- |

b)

deze bekendmaking heeft geen betrekking op de kolom “Remarks/Notes*” bij tabel ZZA.1.

---

BIJLAGE II

De referentie van de ter ondersteuning van Verordening (EU) 2019/2022 opgestelde geharmoniseerde norm

| EN 60436:2020
  Elektrische vaatwasmachines voor huishoudelijk gebruik — Beproevingsmethoden voor het meten van de gebruikseigenschappen
  EN 60436:2020/A11:2020
  EN 60436:2020/AC:2020-6
  Beperkingen:






  a) | voor de toepassing van het punt “2 Normative references” zijn de volgende versies van geharmoniseerde normen van toepassing:






  i) | EN 50564:2011; |
| --- | --- | --- |

EN 60436:2020

Elektrische vaatwasmachines voor huishoudelijk gebruik — Beproevingsmethoden voor het meten van de gebruikseigenschappen

EN 60436:2020/A11:2020

EN 60436:2020/AC:2020-6

Beperkingen:

a)

voor de toepassing van het punt “2 Normative references” zijn de volgende versies van geharmoniseerde normen van toepassing:

i)

EN 50564:2011;

| ii) | EN 50643:2018 zoals gewijzigd bij EN 50643:2018/A1:2020; |
| --- | --- |

ii)

EN 50643:2018 zoals gewijzigd bij EN 50643:2018/A1:2020;

| iii) | EN 60704-2-3:2019; |
| --- | --- |

iii)

EN 60704-2-3:2019;

| iv) | EN 60704-2-3:2019 zoals gewijzigd bij EN 60704-2-3:2019/A11:2019; |
| --- | --- |

iv)

EN 60704-2-3:2019 zoals gewijzigd bij EN 60704-2-3:2019/A11:2019;

| v) | EN 60705:2015 zoals gewijzigd bij EN 60705:2015/A2:2018; |
| --- | --- |

v)

EN 60705:2015 zoals gewijzigd bij EN 60705:2015/A2:2018;

| vi) | EN 60734:2012; |
| --- | --- |

vi)

EN 60734:2012;

| vii) | ISO 607:1980. |
| --- | --- |

vii)

ISO 607:1980.

| b) | deze bekendmaking heeft geen betrekking op de kolom “Remarks/Notes*” bij tabel ZZB.1. |
| --- | --- |

b)

deze bekendmaking heeft geen betrekking op de kolom “Remarks/Notes*” bij tabel ZZB.1.

---

| 7.6.2021 | NL | Publicatieblad van de Europese Unie | L 199/18 |
| --- | --- | --- | --- |

7.6.2021

NL

Publicatieblad van de Europese Unie

L 199/18

---

UITVOERINGSBESLUIT (EU) 2021/915 VAN DE COMMISSIE

van 4 juni 2021

betreffende standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers uit hoofde van artikel 28, lid 7, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad en artikel 29, lid 7, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad

(Voor de EER relevante tekst)

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (1), en met name artikel 28, lid 7,

Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (EU-gegevensbeschermingsverordening) (2), en met name artikel 29, lid 7,

Overwegende hetgeen volgt:

| (1) | De begrippen “verwerkingsverantwoordelijke” en “verwerker” spelen een cruciale rol bij de toepassing van Verordening (EU) 2016/679 en Verordening (EU) 2018/1725. De “verwerkingsverantwoordelijke” is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Voor de toepassing van Verordening (EU) 2018/1725 wordt onder “verwerkingsverantwoordelijke” verstaan: de instelling of het orgaan van de Unie, het directoraat-generaal, of enig ander organisatieonderdeel die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Wanneer de doelstellingen van en de middelen voor deze verwerking in een specifieke Uniehandeling worden vastgesteld, kan de Unie daarin bepalen wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen. Een verwerker is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt. |
| --- | --- |

(1)

De begrippen “verwerkingsverantwoordelijke” en “verwerker” spelen een cruciale rol bij de toepassing van Verordening (EU) 2016/679 en Verordening (EU) 2018/1725. De “verwerkingsverantwoordelijke” is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Voor de toepassing van Verordening (EU) 2018/1725 wordt onder “verwerkingsverantwoordelijke” verstaan: de instelling of het orgaan van de Unie, het directoraat-generaal, of enig ander organisatieonderdeel die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Wanneer de doelstellingen van en de middelen voor deze verwerking in een specifieke Uniehandeling worden vastgesteld, kan de Unie daarin bepalen wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen. Een verwerker is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt.

| (2) | Op de betrekkingen tussen de verwerkingsverantwoordelijken en de gegevensverwerkers die onderworpen zijn aan Verordening (EU) 2016/679 moet dezelfde reeks standaardcontractbepalingen van toepassing zijn, ook wanneer zij onderworpen zijn aan Verordening (EU) 2018/1725. De reden daarvoor is dat een coherente aanpak van de bescherming van persoonsgegevens in de hele Unie en van het vrije verkeer van persoonsgegevens binnen de Unie, vereist dat de gegevensbeschermingsregels van Verordening (EU) 2016/679, die van toepassing zijn op de overheidssector in de lidstaten, en de gegevensbeschermingsregels van Verordening (EU) 2018/1725, die van toepassing zijn op de instellingen, organen en instanties van de Unie, zoveel mogelijk op elkaar zijn afgestemd. |
| --- | --- |

(2)

Op de betrekkingen tussen de verwerkingsverantwoordelijken en de gegevensverwerkers die onderworpen zijn aan Verordening (EU) 2016/679 moet dezelfde reeks standaardcontractbepalingen van toepassing zijn, ook wanneer zij onderworpen zijn aan Verordening (EU) 2018/1725. De reden daarvoor is dat een coherente aanpak van de bescherming van persoonsgegevens in de hele Unie en van het vrije verkeer van persoonsgegevens binnen de Unie, vereist dat de gegevensbeschermingsregels van Verordening (EU) 2016/679, die van toepassing zijn op de overheidssector in de lidstaten, en de gegevensbeschermingsregels van Verordening (EU) 2018/1725, die van toepassing zijn op de instellingen, organen en instanties van de Unie, zoveel mogelijk op elkaar zijn afgestemd.

| (3) | Om ervoor te zorgen dat aan de vereisten van de Verordeningen (EU) 2016/679 en (EU) 2018/1725 wordt voldaan, mag de verwerkingsverantwoordelijke, wanneer hij verwerkingsactiviteiten aan een verwerker toevertrouwt, alleen gebruikmaken van verwerkers die voldoende garanties bieden — met name wat betreft deskundigheid, betrouwbaarheid en middelen — voor de uitvoering van technische en organisatorische maatregelen die voldoen aan de vereisten van Verordening (EU) 2016/679 en Verordening (EU) 2018/1725, onder meer met het oog op de beveiliging van de verwerking. |
| --- | --- |

(3)

Om ervoor te zorgen dat aan de vereisten van de Verordeningen (EU) 2016/679 en (EU) 2018/1725 wordt voldaan, mag de verwerkingsverantwoordelijke, wanneer hij verwerkingsactiviteiten aan een verwerker toevertrouwt, alleen gebruikmaken van verwerkers die voldoende garanties bieden — met name wat betreft deskundigheid, betrouwbaarheid en middelen — voor de uitvoering van technische en organisatorische maatregelen die voldoen aan de vereisten van Verordening (EU) 2016/679 en Verordening (EU) 2018/1725, onder meer met het oog op de beveiliging van de verwerking.

| (4) | De verwerking door een verwerker moet worden geregeld in een overeenkomst of een andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin de in artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 of artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725 genoemde elementen zijn opgenomen. Deze overeenkomst of handeling moet schriftelijk worden vastgelegd, wat ook in elektronische vorm kan plaatsvinden. |
| --- | --- |

(4)

De verwerking door een verwerker moet worden geregeld in een overeenkomst of een andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin de in artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 of artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725 genoemde elementen zijn opgenomen. Deze overeenkomst of handeling moet schriftelijk worden vastgelegd, wat ook in elektronische vorm kan plaatsvinden.

| (5) | Overeenkomstig artikel 28, lid 6, van Verordening (EU) 2016/679 en artikel 29, lid 6, van Verordening (EU) 2018/1725 kunnen de verwerkingsverantwoordelijke en de verwerker ervoor kiezen om een individuele overeenkomst te sluiten die de verplichte elementen bevat die zijn vastgelegd in respectievelijk artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 en artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725, dan wel geheel of gedeeltelijk gebruik te maken van standaardcontractbepalingen die door de Commissie zijn vastgesteld overeenkomstig artikel 28, lid 7, van Verordening (EU) 2016/679 of artikel 29, lid 7, van Verordening (EU) 2018/1725. |
| --- | --- |

(5)

Overeenkomstig artikel 28, lid 6, van Verordening (EU) 2016/679 en artikel 29, lid 6, van Verordening (EU) 2018/1725 kunnen de verwerkingsverantwoordelijke en de verwerker ervoor kiezen om een individuele overeenkomst te sluiten die de verplichte elementen bevat die zijn vastgelegd in respectievelijk artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 en artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725, dan wel geheel of gedeeltelijk gebruik te maken van standaardcontractbepalingen die door de Commissie zijn vastgesteld overeenkomstig artikel 28, lid 7, van Verordening (EU) 2016/679 of artikel 29, lid 7, van Verordening (EU) 2018/1725.

| (6) | Het moet de verwerkingsverantwoordelijke en de verwerker vrijstaan om de standaardcontractbepalingen waarin dit besluit voorziet, op te nemen in een bredere overeenkomst en om andere bepalingen of aanvullende waarborgen toe te voegen, mits deze niet direct of indirect in strijd zijn met de standaardcontractbepalingen of afbreuk doen aan de grondrechten of fundamentele vrijheden van betrokkenen. Het gebruik van de standaardcontractbepalingen doet geen afbreuk aan eventuele contractuele verplichtingen van de verwerkingsverantwoordelijke en/of de verwerker om ervoor te zorgen dat de toepasselijke voorrechten en immuniteiten worden geëerbiedigd. |
| --- | --- |

(6)

Het moet de verwerkingsverantwoordelijke en de verwerker vrijstaan om de standaardcontractbepalingen waarin dit besluit voorziet, op te nemen in een bredere overeenkomst en om andere bepalingen of aanvullende waarborgen toe te voegen, mits deze niet direct of indirect in strijd zijn met de standaardcontractbepalingen of afbreuk doen aan de grondrechten of fundamentele vrijheden van betrokkenen. Het gebruik van de standaardcontractbepalingen doet geen afbreuk aan eventuele contractuele verplichtingen van de verwerkingsverantwoordelijke en/of de verwerker om ervoor te zorgen dat de toepasselijke voorrechten en immuniteiten worden geëerbiedigd.

| (7) | De standaardcontractbepalingen moeten zowel materiële als procedurele regels omvatten. Overeenkomstig artikel 28, lid 3, van Verordening (EU) 2016/679 en artikel 29, lid 3, van Verordening (EU) 2018/1725, moeten de standaardcontractbepalingen ook voorschrijven dat de verwerkingsverantwoordelijke en de verwerker het onderwerp en de duur van de verwerking, de aard en het doel daarvan, de betrokken soort persoonsgegevens, de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke omschrijven. |
| --- | --- |

(7)

De standaardcontractbepalingen moeten zowel materiële als procedurele regels omvatten. Overeenkomstig artikel 28, lid 3, van Verordening (EU) 2016/679 en artikel 29, lid 3, van Verordening (EU) 2018/1725, moeten de standaardcontractbepalingen ook voorschrijven dat de verwerkingsverantwoordelijke en de verwerker het onderwerp en de duur van de verwerking, de aard en het doel daarvan, de betrokken soort persoonsgegevens, de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke omschrijven.

| (8) | Overeenkomstig artikel 28, lid 3, van Verordening (EU) 2016/679 en artikel 29, lid 3, van Verordening (EU) 2018/1725 moet de verwerker de verwerkingsverantwoordelijke onmiddellijk in kennis stellen indien naar zijn mening een instructie van de verwerkingsverantwoordelijke inbreuk oplevert op Verordening (EU) 2016/679 of Verordening (EU) 2018/1725 of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming. |
| --- | --- |

(8)

Overeenkomstig artikel 28, lid 3, van Verordening (EU) 2016/679 en artikel 29, lid 3, van Verordening (EU) 2018/1725 moet de verwerker de verwerkingsverantwoordelijke onmiddellijk in kennis stellen indien naar zijn mening een instructie van de verwerkingsverantwoordelijke inbreuk oplevert op Verordening (EU) 2016/679 of Verordening (EU) 2018/1725 of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming.

| (9) | Indien een verwerker een andere verwerker in dienst neemt om specifieke activiteiten uit te voeren, moeten de specifieke eisen als bedoeld in artikel 28, leden 2 en 4, van Verordening (EU) 2016/679 of artikel 29, leden 2 en 4, van Verordening (EU) 2018/1725, van toepassing zijn. Met name is een voorafgaande, specifieke of algemene, schriftelijke toestemming vereist. Ongeacht of deze voorafgaande toestemming specifiek of algemeen is, moet de eerste verwerker een lijst van de andere verwerkers bijhouden. |
| --- | --- |

(9)

Indien een verwerker een andere verwerker in dienst neemt om specifieke activiteiten uit te voeren, moeten de specifieke eisen als bedoeld in artikel 28, leden 2 en 4, van Verordening (EU) 2016/679 of artikel 29, leden 2 en 4, van Verordening (EU) 2018/1725, van toepassing zijn. Met name is een voorafgaande, specifieke of algemene, schriftelijke toestemming vereist. Ongeacht of deze voorafgaande toestemming specifiek of algemeen is, moet de eerste verwerker een lijst van de andere verwerkers bijhouden.

| (10) | Om te voldoen aan de vereisten van artikel 46, lid 1, van Verordening (EU) 2016/679 heeft de Commissie overeenkomstig artikel 46, lid 2, punt c), van Verordening (EU) 2016/679 standaardcontractbepalingen vastgesteld. Die bepalingen voldoen ook aan de vereisten van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 voor de doorgifte van gegevens van verwerkingsverantwoordelijken die onder Verordening (EU) 2016/679 vallen aan verwerkers buiten het territoriale toepassingsgebied van die verordening of van verwerkers die onder Verordening (EU) 2016/679 vallen aan subverwerkers buiten het territoriale toepassingsgebied van die verordening. Deze standaardcontractbepalingen kunnen niet worden gebruikt als standaardcontractbepalingen voor de toepassing van hoofdstuk V van Verordening (EU) 2016/679. |
| --- | --- |

(10)

Om te voldoen aan de vereisten van artikel 46, lid 1, van Verordening (EU) 2016/679 heeft de Commissie overeenkomstig artikel 46, lid 2, punt c), van Verordening (EU) 2016/679 standaardcontractbepalingen vastgesteld. Die bepalingen voldoen ook aan de vereisten van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 voor de doorgifte van gegevens van verwerkingsverantwoordelijken die onder Verordening (EU) 2016/679 vallen aan verwerkers buiten het territoriale toepassingsgebied van die verordening of van verwerkers die onder Verordening (EU) 2016/679 vallen aan subverwerkers buiten het territoriale toepassingsgebied van die verordening. Deze standaardcontractbepalingen kunnen niet worden gebruikt als standaardcontractbepalingen voor de toepassing van hoofdstuk V van Verordening (EU) 2016/679.

| (11) | Derden moeten gedurende de gehele looptijd van de overeenkomst partij kunnen worden bij de standaardcontractbepalingen. |
| --- | --- |

(11)

Derden moeten gedurende de gehele looptijd van de overeenkomst partij kunnen worden bij de standaardcontractbepalingen.

| (12) | De werking van de standaardcontractbepalingen moet worden geëvalueerd in het kader van de periodieke evaluatie van Verordening (EU) 2016/679 als bedoeld in artikel 97 van die verordening. |
| --- | --- |

(12)

De werking van de standaardcontractbepalingen moet worden geëvalueerd in het kader van de periodieke evaluatie van Verordening (EU) 2016/679 als bedoeld in artikel 97 van die verordening.

| (13) | De Europese Toezichthouder voor gegevensbescherming en het Europees Comité voor gegevensbescherming zijn geraadpleegd overeenkomstig artikel 42, leden 1 en 2, van Verordening (EU) 2018/1725 en hebben op 14 januari 2021 een gezamenlijk advies (3) uitgebracht, waarmee bij de opstelling van dit besluit rekening is gehouden. |
| --- | --- |

(13)

De Europese Toezichthouder voor gegevensbescherming en het Europees Comité voor gegevensbescherming zijn geraadpleegd overeenkomstig artikel 42, leden 1 en 2, van Verordening (EU) 2018/1725 en hebben op 14 januari 2021 een gezamenlijk advies (3) uitgebracht, waarmee bij de opstelling van dit besluit rekening is gehouden.

| (14) | De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 93 van Verordening (EU) 2016/679 en artikel 96, lid 2, van Verordening (EU) 2018/1725 ingestelde Comité,] |
| --- | --- |

(14)

De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 93 van Verordening (EU) 2016/679 en artikel 96, lid 2, van Verordening (EU) 2018/1725 ingestelde Comité,]

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

Artikel 1

De in de bijlage opgenomen standaardcontractbepalingen voldoen aan de vereisten voor overeenkomsten tussen verwerkingsverantwoordelijken en verwerkers in artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 en in artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725.

Artikel 2

De in de bijlage opgenomen standaardcontractbepalingen kunnen worden gebruikt in overeenkomsten tussen een verwerkingsverantwoordelijke en een verwerker die namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt.

Artikel 3

De Commissie evalueert de praktische toepassing van de standaardcontractbepalingen in de bijlage op basis van alle beschikbare informatie in het kader van de periodieke evaluatie als bedoeld in artikel 97 van Verordening (EU) 2016/679.

Artikel 4

Dit besluit treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Gedaan te Brussel, 4 juni 2021.

Voor de Commissie

De voorzitter

Ursula VON DER LEYEN

---

(1)  
  PB L 119 van 4.5.2016, blz. 1.

1

(2)  
  PB L 295 van 21.11.2018, blz. 39.

2

(3)  Gezamenlijk advies nr. 1/2021 van de EDPB en de EDPS over het uitvoeringsbesluit van de Commissie betreffende standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers voor de aangelegenheden als bedoeld in artikel 28, lid 7, van Verordening (EU) 2016/679 en artikel 29, lid 7, van Verordening (EU) 2018/1725.

3

---

BIJLAGE

Standaardcontractbepalingen

AFDELING I

Bepaling 1

Doel en toepassingsgebied

| a) | Het doel van deze standaardcontractbepalingen (hierna “de bepalingen” genoemd) is te zorgen voor de naleving van [toepasselijke optie kiezen: OPTIE 1: artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming)]/[OPTIE 2: Artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG]. |
| --- | --- |

a)

Het doel van deze standaardcontractbepalingen (hierna “de bepalingen” genoemd) is te zorgen voor de naleving van [toepasselijke optie kiezen: OPTIE 1: artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming)]/[OPTIE 2: Artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG].

| b) | De in bijlage I vermelde verwerkingsverantwoordelijken en verwerkers hebben met deze bepalingen ingestemd teneinde te zorgen voor de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 en/of artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725. |
| --- | --- |

b)

De in bijlage I vermelde verwerkingsverantwoordelijken en verwerkers hebben met deze bepalingen ingestemd teneinde te zorgen voor de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 en/of artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725.

| c) | Deze bepalingen zijn van toepassing op de verwerking van persoonsgegevens als gespecificeerd in bijlage II. |
| --- | --- |

c)

Deze bepalingen zijn van toepassing op de verwerking van persoonsgegevens als gespecificeerd in bijlage II.

| d) | De bijlagen I tot en met IV maken integrerend deel uit van de bepalingen. |
| --- | --- |

d)

De bijlagen I tot en met IV maken integrerend deel uit van de bepalingen.

| e) | Deze bepalingen laten de verplichtingen die op de verwerkingsverantwoordelijke rusten krachtens Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 onverlet. |
| --- | --- |

e)

Deze bepalingen laten de verplichtingen die op de verwerkingsverantwoordelijke rusten krachtens Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 onverlet.

| f) | Deze bepalingen waarborgen op zichzelf niet de naleving van verplichtingen in verband met internationale doorgiften overeenkomstig hoofdstuk V van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725. |
| --- | --- |

f)

Deze bepalingen waarborgen op zichzelf niet de naleving van verplichtingen in verband met internationale doorgiften overeenkomstig hoofdstuk V van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725.

Bepaling 2

Onveranderlijkheid van de bepalingen

| a) | De partijen verbinden zich ertoe de bepalingen niet te wijzigen, tenzij om informatie aan de bijlagen toe te voegen of de daarin vervatte informatie bij te werken. |
| --- | --- |

a)

De partijen verbinden zich ertoe de bepalingen niet te wijzigen, tenzij om informatie aan de bijlagen toe te voegen of de daarin vervatte informatie bij te werken.

| b) | Dit belet de partijen niet om de in deze bepalingen neergelegde standaardcontractbepalingen op te nemen in een bredere overeenkomst, of om andere bepalingen of aanvullende waarborgen toe te voegen, mits deze niet direct of indirect in strijd zijn met de bepalingen of afbreuk doen aan de grondrechten of fundamentele vrijheden van betrokkenen. |
| --- | --- |

b)

Dit belet de partijen niet om de in deze bepalingen neergelegde standaardcontractbepalingen op te nemen in een bredere overeenkomst, of om andere bepalingen of aanvullende waarborgen toe te voegen, mits deze niet direct of indirect in strijd zijn met de bepalingen of afbreuk doen aan de grondrechten of fundamentele vrijheden van betrokkenen.

Bepaling 3

Interpretatie

| a) | Wanneer in deze bepalingen de termen worden gebruikt die zijn gedefinieerd in Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725, hebben die termen dezelfde betekenis als in die verordening. |
| --- | --- |

a)

Wanneer in deze bepalingen de termen worden gebruikt die zijn gedefinieerd in Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725, hebben die termen dezelfde betekenis als in die verordening.

| b) | Deze bepalingen moeten worden gelezen en geïnterpreteerd in het licht van de bepalingen van Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725. |
| --- | --- |

b)

Deze bepalingen moeten worden gelezen en geïnterpreteerd in het licht van de bepalingen van Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725.

| c) | Deze bepalingen mogen niet worden geïnterpreteerd op een wijze die indruist tegen de rechten en verplichtingen waarin Verordening (EU) 2016/679/Verordening (EU) 2018/1725 voorziet of op een wijze die afbreuk doet aan de grondrechten of fundamentele vrijheden van de betrokkenen. |
| --- | --- |

c)

Deze bepalingen mogen niet worden geïnterpreteerd op een wijze die indruist tegen de rechten en verplichtingen waarin Verordening (EU) 2016/679/Verordening (EU) 2018/1725 voorziet of op een wijze die afbreuk doet aan de grondrechten of fundamentele vrijheden van de betrokkenen.

Bepaling 4

Hiërarchie

In geval van tegenstrijdigheid tussen deze standaardcontractbepalingen en de bepalingen van gerelateerde overeenkomsten tussen de partijen die reeds bestaan op het tijdstip waarop met deze standaardcontractbepalingen wordt ingestemd of die na dat tijdstip worden gesloten, prevaleren deze standaardcontractbepalingen.

Bepaling 5 — Facultatief

Docking-bepaling

| a) | Elke entiteit die geen partij deze bepalingen is, kan, met instemming van alle partijen, te allen tijde tot deze bepalingen toetreden als verwerkingsverantwoordelijke of verwerker door de bijlagen in te vullen en bijlage I te ondertekenen. |
| --- | --- |

a)

Elke entiteit die geen partij deze bepalingen is, kan, met instemming van alle partijen, te allen tijde tot deze bepalingen toetreden als verwerkingsverantwoordelijke of verwerker door de bijlagen in te vullen en bijlage I te ondertekenen.

| b) | Wanneer de in punt a) bedoelde bijlagen zijn ingevuld en ondertekend, wordt de toetredende partij als een partij bij deze bepalingen behandeld en heeft zij de rechten en verplichtingen van een verwerkingsverantwoordelijke of verwerker, al naar gelang zij in bijlage I is aangeduid. |
| --- | --- |

b)

Wanneer de in punt a) bedoelde bijlagen zijn ingevuld en ondertekend, wordt de toetredende partij als een partij bij deze bepalingen behandeld en heeft zij de rechten en verplichtingen van een verwerkingsverantwoordelijke of verwerker, al naar gelang zij in bijlage I is aangeduid.

| c) | Voor de toetredende entiteit vloeien uit deze bepalingen geen rechten of verplichtingen voort met betrekking tot de periode voordat zij partij werd. |
| --- | --- |

c)

Voor de toetredende entiteit vloeien uit deze bepalingen geen rechten of verplichtingen voort met betrekking tot de periode voordat zij partij werd.

AFDELING II

VERPLICHTINGEN VAN PARTIJEN

Bepaling 6

Beschrijving van de verwerking(en)

De bijzonderheden van de verwerkingen, en met name de categorieën persoonsgegevens en de doeleinden van de verwerking waarvoor de persoonsgegevens namens de verwerkingsverantwoordelijke worden verwerkt, zijn gespecificeerd in bijlage II.

Bepaling 7

Verplichtingen van de partijen

7.1.   Instructies

| a) | De verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, tenzij een op de verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht. In dat geval stelt de verwerker de verwerkingsverantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij de wetgeving dit om gewichtige redenen van algemeen belang verbiedt. De verwerkingsverantwoordelijke kan ook tijdens de verwerking van persoonsgegevens steeds verdere instructies geven. Deze instructies worden altijd schriftelijk vastgelegd. |
| --- | --- |

a)

De verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, tenzij een op de verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht. In dat geval stelt de verwerker de verwerkingsverantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij de wetgeving dit om gewichtige redenen van algemeen belang verbiedt. De verwerkingsverantwoordelijke kan ook tijdens de verwerking van persoonsgegevens steeds verdere instructies geven. Deze instructies worden altijd schriftelijk vastgelegd.

| b) | De verwerker stelt de verwerkingsverantwoordelijke onmiddellijk in kennis als de instructies van de verwerkingsverantwoordelijke naar het oordeel van de verwerker inbreuk maken op Verordening (EU) 2016/679/Verordening (EU) 2018/1725 of de toepasselijke gegevensbeschermingsbepalingen van de Unie of de lidstaten. |
| --- | --- |

b)

De verwerker stelt de verwerkingsverantwoordelijke onmiddellijk in kennis als de instructies van de verwerkingsverantwoordelijke naar het oordeel van de verwerker inbreuk maken op Verordening (EU) 2016/679/Verordening (EU) 2018/1725 of de toepasselijke gegevensbeschermingsbepalingen van de Unie of de lidstaten.

7.2.   Doelbinding

De verwerker verwerkt de persoonsgegevens uitsluitend voor het specifieke doel of de specifieke doeleinden van de verwerking, zoals beschreven in bijlage II, tenzij hij verdere instructies van de verwerkingsverantwoordelijke krijgt.

7.3.   Doel van de verwerking van persoonsgegevens

Verwerking door de verwerker vindt slechts plaats gedurende de in bijlage II vastgestelde tijdspanne.

7.4.   Beveiliging van de verwerking

| a) | De verwerker treft ten minste de in bijlage III gespecificeerde technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen. Dit houdt onder meer in dat de gegevens worden beschermd tegen een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot de gegevens, hetzij per ongeluk hetzij onrechtmatig (inbreuk in verband met persoonsgegevens). Bij de beoordeling van het passende beveiligingsniveau houden de partijen naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, de reikwijdte, de context en de doeleinden van de verwerking en de risico’s voor de betrokkenen. |
| --- | --- |

a)

De verwerker treft ten minste de in bijlage III gespecificeerde technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen. Dit houdt onder meer in dat de gegevens worden beschermd tegen een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot de gegevens, hetzij per ongeluk hetzij onrechtmatig (inbreuk in verband met persoonsgegevens). Bij de beoordeling van het passende beveiligingsniveau houden de partijen naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, de reikwijdte, de context en de doeleinden van de verwerking en de risico’s voor de betrokkenen.

| b) | De verwerker verleent zijn personeel slechts toegang tot de persoonsgegevens die worden verwerkt voor zover dat strikt noodzakelijk is voor de uitvoering, het beheer en de monitoring van de overeenkomst. De verwerker waarborgt dat de tot het verwerken van de ontvangen persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden. |
| --- | --- |

b)

De verwerker verleent zijn personeel slechts toegang tot de persoonsgegevens die worden verwerkt voor zover dat strikt noodzakelijk is voor de uitvoering, het beheer en de monitoring van de overeenkomst. De verwerker waarborgt dat de tot het verwerken van de ontvangen persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.

7.5.   Gevoelige gegevens

Indien de verwerking betrekking heeft op persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, of betrekking heeft op genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (hierna “gevoelige gegevens” genoemd), voorziet de verwerker in specifieke beperkingen en/of aanvullende waarborgen.

7.6.   Documentatie en naleving

| a) | De partijen kunnen aantonen dat aan deze bepalingen is voldaan. |
| --- | --- |

a)

De partijen kunnen aantonen dat aan deze bepalingen is voldaan.

| b) | De verwerker behandelt verzoeken van de verwerkingsverantwoordelijke inzake de verwerking van gegevens overeenkomstig deze bepalingen onverwijld en adequaat. |
| --- | --- |

b)

De verwerker behandelt verzoeken van de verwerkingsverantwoordelijke inzake de verwerking van gegevens overeenkomstig deze bepalingen onverwijld en adequaat.

| c) | De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat is voldaan aan de in deze bepalingen vastgestelde verplichtingen die rechtstreeks voortvloeien uit Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725. Op verzoek van de verwerkingsverantwoordelijke staat de verwerker ook regelmatig, of indien er aanwijzingen van niet-naleving zijn, audits toe van de onder deze bepalingen vallende verwerkingsactiviteiten en draagt de verwerker aan die audits bij. Bij het nemen van een beslissing over een toetsing of audit kan de verwerkingsverantwoordelijke rekening houden met relevante certificeringen van de verwerker. |
| --- | --- |

c)

De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat is voldaan aan de in deze bepalingen vastgestelde verplichtingen die rechtstreeks voortvloeien uit Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725. Op verzoek van de verwerkingsverantwoordelijke staat de verwerker ook regelmatig, of indien er aanwijzingen van niet-naleving zijn, audits toe van de onder deze bepalingen vallende verwerkingsactiviteiten en draagt de verwerker aan die audits bij. Bij het nemen van een beslissing over een toetsing of audit kan de verwerkingsverantwoordelijke rekening houden met relevante certificeringen van de verwerker.

| d) | De verwerkingsverantwoordelijke kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke auditor daartoe opdracht te geven. De audits kunnen ook inspecties in de bedrijfsruimten of fysieke faciliteiten van de verwerker omvatten en worden, in voorkomend geval, tijdig aangekondigd. |
| --- | --- |

d)

De verwerkingsverantwoordelijke kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke auditor daartoe opdracht te geven. De audits kunnen ook inspecties in de bedrijfsruimten of fysieke faciliteiten van de verwerker omvatten en worden, in voorkomend geval, tijdig aangekondigd.

| e) | De partijen stellen de in deze bepaling bedoelde informatie, met inbegrip van de resultaten van eventuele audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit/autoriteiten. |
| --- | --- |

e)

De partijen stellen de in deze bepaling bedoelde informatie, met inbegrip van de resultaten van eventuele audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit/autoriteiten.

7.7.   Gebruik van subverwerkers

| a) | OPTIE 1: VOORAFGAANDE SPECIFIEKE TOESTEMMING: De verwerker mag geen van de verwerkingen die hij overeenkomstig deze bepalingen namens de verwerkingsverantwoordelijke verricht, zonder voorafgaande specifieke schriftelijke toestemming van de verwerkingsverantwoordelijke uitbesteden aan een subverwerker. De verwerker dient het verzoek om specifieke toestemming ten minste [SPECIFY TIME PERIOD] vóór de aanstelling van de betrokken subverwerker in, samen met de informatie die nodig is om de verwerkingsverantwoordelijke in staat te stellen een besluit te nemen over de toestemming. De lijst van door de verwerkingsverantwoordelijke erkende subverwerkers is opgenomen in bijlage IV. De partijen zorgen ervoor dat bijlage IV steeds is bijgewerkt.
  OPTIE 2: ALGEMENE SCHRIFTELIJKE TOESTEMMING: De verwerker heeft de algemene toestemming van de verwerkingsverantwoordelijke om subverwerkers in dienst te nemen die op een overeengekomen lijst staan. De verwerker stelt de verwerkingsverantwoordelijke ten minste [SPECIFY TIME PERIOD] van tevoren specifiek schriftelijk in kennis van voorgenomen wijzigingen van die lijst door toevoeging of vervanging van subverwerkers, zodat de verwerkingsverantwoordelijke voldoende tijd heeft om vóór de indienstneming van de betrokken subverwerker(s) bezwaar te kunnen maken tegen dergelijke wijzigingen. De verwerker verstrekt de verwerkingsverantwoordelijke de informatie die nodig is om deze laatste in staat te stellen zijn recht van bezwaar uit te oefenen. |
| --- | --- |

a)

OPTIE 1: VOORAFGAANDE SPECIFIEKE TOESTEMMING: De verwerker mag geen van de verwerkingen die hij overeenkomstig deze bepalingen namens de verwerkingsverantwoordelijke verricht, zonder voorafgaande specifieke schriftelijke toestemming van de verwerkingsverantwoordelijke uitbesteden aan een subverwerker. De verwerker dient het verzoek om specifieke toestemming ten minste [SPECIFY TIME PERIOD] vóór de aanstelling van de betrokken subverwerker in, samen met de informatie die nodig is om de verwerkingsverantwoordelijke in staat te stellen een besluit te nemen over de toestemming. De lijst van door de verwerkingsverantwoordelijke erkende subverwerkers is opgenomen in bijlage IV. De partijen zorgen ervoor dat bijlage IV steeds is bijgewerkt.

OPTIE 2: ALGEMENE SCHRIFTELIJKE TOESTEMMING: De verwerker heeft de algemene toestemming van de verwerkingsverantwoordelijke om subverwerkers in dienst te nemen die op een overeengekomen lijst staan. De verwerker stelt de verwerkingsverantwoordelijke ten minste [SPECIFY TIME PERIOD] van tevoren specifiek schriftelijk in kennis van voorgenomen wijzigingen van die lijst door toevoeging of vervanging van subverwerkers, zodat de verwerkingsverantwoordelijke voldoende tijd heeft om vóór de indienstneming van de betrokken subverwerker(s) bezwaar te kunnen maken tegen dergelijke wijzigingen. De verwerker verstrekt de verwerkingsverantwoordelijke de informatie die nodig is om deze laatste in staat te stellen zijn recht van bezwaar uit te oefenen.

| b) | Wanneer de verwerker een subverwerker in dienst neemt voor de uitvoering van specifieke verwerkingen (namens de verwerkingsverantwoordelijke), doet hij dit door middel van een overeenkomst die de subverwerker in wezen dezelfde verplichtingen inzake gegevensbescherming oplegt als die welke op grond van deze bepalingen aan de verwerker worden opgelegd. De verwerker zorgt ervoor dat de subverwerker voldoet aan de verplichtingen die krachtens deze bepalingen en Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 op de verwerker rusten. |
| --- | --- |

b)

Wanneer de verwerker een subverwerker in dienst neemt voor de uitvoering van specifieke verwerkingen (namens de verwerkingsverantwoordelijke), doet hij dit door middel van een overeenkomst die de subverwerker in wezen dezelfde verplichtingen inzake gegevensbescherming oplegt als die welke op grond van deze bepalingen aan de verwerker worden opgelegd. De verwerker zorgt ervoor dat de subverwerker voldoet aan de verplichtingen die krachtens deze bepalingen en Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 op de verwerker rusten.

| c) | Op verzoek van de verwerkingsverantwoordelijke verstrekt de verwerker de verwerkingsverantwoordelijke een kopie van een dergelijke subverwerkingsovereenkomst en van alle latere wijzigingen daarvan. Voor zover nodig ter bescherming van bedrijfsgeheimen of andere vertrouwelijke informatie, met inbegrip van persoonsgegevens, kan de verwerker de tekst van de overeenkomst bewerken alvorens de kopie te delen. |
| --- | --- |

c)

Op verzoek van de verwerkingsverantwoordelijke verstrekt de verwerker de verwerkingsverantwoordelijke een kopie van een dergelijke subverwerkingsovereenkomst en van alle latere wijzigingen daarvan. Voor zover nodig ter bescherming van bedrijfsgeheimen of andere vertrouwelijke informatie, met inbegrip van persoonsgegevens, kan de verwerker de tekst van de overeenkomst bewerken alvorens de kopie te delen.

| d) | De verwerker blijft ten opzichte van de verwerkingsverantwoordelijke volledig verantwoordelijk voor de uitvoering van de verplichtingen van de subverwerker overeenkomstig zijn overeenkomst met de verwerker. De verwerker stelt de verwerkingsverantwoordelijke in kennis van elk verzuim van de subverwerker om zijn contractuele verplichtingen na te komen. |
| --- | --- |

d)

De verwerker blijft ten opzichte van de verwerkingsverantwoordelijke volledig verantwoordelijk voor de uitvoering van de verplichtingen van de subverwerker overeenkomstig zijn overeenkomst met de verwerker. De verwerker stelt de verwerkingsverantwoordelijke in kennis van elk verzuim van de subverwerker om zijn contractuele verplichtingen na te komen.

| e) | De verwerker komt met de subverwerker een derdenbeding overeen waarbij — ingeval de verwerker feitelijk is verdwenen, rechtens is opgehouden te bestaan of insolvent is geworden — de verwerkingsverantwoordelijke het recht heeft de overeenkomst met de subverwerker te beëindigen en de subverwerker te gelasten de persoonsgegevens te wissen of terug te geven. |
| --- | --- |

e)

De verwerker komt met de subverwerker een derdenbeding overeen waarbij — ingeval de verwerker feitelijk is verdwenen, rechtens is opgehouden te bestaan of insolvent is geworden — de verwerkingsverantwoordelijke het recht heeft de overeenkomst met de subverwerker te beëindigen en de subverwerker te gelasten de persoonsgegevens te wissen of terug te geven.

7.8.   Internationale doorgiften

| a) | Doorgifte van gegevens aan een derde land of een internationale organisatie door de verwerker geschiedt uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke of om te voldoen aan een specifieke eis uit hoofde van het Unierecht of het lidstatelijke recht waaraan de verwerker is onderworpen, en vindt plaats in overeenstemming met hoofdstuk V van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725. |
| --- | --- |

a)

Doorgifte van gegevens aan een derde land of een internationale organisatie door de verwerker geschiedt uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke of om te voldoen aan een specifieke eis uit hoofde van het Unierecht of het lidstatelijke recht waaraan de verwerker is onderworpen, en vindt plaats in overeenstemming met hoofdstuk V van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725.

| b) | De verwerkingsverantwoordelijke stemt ermee in dat wanneer de verwerker overeenkomstig bepaling 7.7 een subverwerker in dienst neemt voor het uitvoeren van specifieke verwerkingen (namens de verwerkingsverantwoordelijke) en die verwerkingen een doorgifte van persoonsgegevens in de zin van hoofdstuk V van Verordening (EU) 2016/679 inhouden, de verwerker en de subverwerker de naleving van hoofdstuk V van Verordening (EU) 2016/679 kunnen waarborgen door gebruik te maken van standaardcontractbepalingen die door de Commissie zijn vastgesteld overeenkomstig artikel 46, lid 2, van Verordening (EU) 2016/679, mits aan de voorwaarden voor het gebruik van die standaardcontractbepalingen is voldaan. |
| --- | --- |

b)

De verwerkingsverantwoordelijke stemt ermee in dat wanneer de verwerker overeenkomstig bepaling 7.7 een subverwerker in dienst neemt voor het uitvoeren van specifieke verwerkingen (namens de verwerkingsverantwoordelijke) en die verwerkingen een doorgifte van persoonsgegevens in de zin van hoofdstuk V van Verordening (EU) 2016/679 inhouden, de verwerker en de subverwerker de naleving van hoofdstuk V van Verordening (EU) 2016/679 kunnen waarborgen door gebruik te maken van standaardcontractbepalingen die door de Commissie zijn vastgesteld overeenkomstig artikel 46, lid 2, van Verordening (EU) 2016/679, mits aan de voorwaarden voor het gebruik van die standaardcontractbepalingen is voldaan.

Bepaling 8

Bijstand aan de verwerkingsverantwoordelijke

| a) | De verwerker stelt de verwerkingsverantwoordelijke onverwijld in kennis van elk verzoek dat hij van de betrokkene heeft ontvangen. De verwerker antwoordt niet zelf op het verzoek, tenzij de verwerkingsverantwoordelijke daartoe toestemming heeft gegeven. |
| --- | --- |

a)

De verwerker stelt de verwerkingsverantwoordelijke onverwijld in kennis van elk verzoek dat hij van de betrokkene heeft ontvangen. De verwerker antwoordt niet zelf op het verzoek, tenzij de verwerkingsverantwoordelijke daartoe toestemming heeft gegeven.

| b) | De verwerker staat de verwerkingsverantwoordelijke bij bij het vervullen van zijn verplichtingen om te reageren op verzoeken van betrokkenen tot uitoefening van hun rechten, en houdt daarbij rekening met de aard van de verwerking. Bij het nakomen van zijn verplichtingen uit hoofde van de punten a) en b) volgt de verwerker de instructies van de verwerkingsverantwoordelijke. |
| --- | --- |

b)

De verwerker staat de verwerkingsverantwoordelijke bij bij het vervullen van zijn verplichtingen om te reageren op verzoeken van betrokkenen tot uitoefening van hun rechten, en houdt daarbij rekening met de aard van de verwerking. Bij het nakomen van zijn verplichtingen uit hoofde van de punten a) en b) volgt de verwerker de instructies van de verwerkingsverantwoordelijke.

| c) | De verwerker heeft niet alleen de verplichting de verwerkingsverantwoordelijke bij te staan overeenkomstig bepaling 8, punt b), maar staat de verwerkingsverantwoordelijke ook bij bij het waarborgen van de naleving van de volgende verplichtingen, waarbij rekening wordt gehouden met de aard van de gegevensverwerking en de informatie waarover de verwerker beschikt:






  1) | de verplichting om een beoordeling uit te voeren van het effect van de beoogde verwerkingen op de bescherming van persoonsgegevens (een “gegevensbeschermingseffectbeoordeling”) wanneer een bepaalde soort verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen; |
| --- | --- | --- |

c)

De verwerker heeft niet alleen de verplichting de verwerkingsverantwoordelijke bij te staan overeenkomstig bepaling 8, punt b), maar staat de verwerkingsverantwoordelijke ook bij bij het waarborgen van de naleving van de volgende verplichtingen, waarbij rekening wordt gehouden met de aard van de gegevensverwerking en de informatie waarover de verwerker beschikt:

1)

de verplichting om een beoordeling uit te voeren van het effect van de beoogde verwerkingen op de bescherming van persoonsgegevens (een “gegevensbeschermingseffectbeoordeling”) wanneer een bepaalde soort verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen;

| 2) | de verplichting om de bevoegde toezichthoudende autoriteit/autoriteiten voorafgaand aan de verwerking te raadplegen wanneer uit een gegevensbeschermingseffectbeoordeling blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om dat risico te beperken; |
| --- | --- |

2)

de verplichting om de bevoegde toezichthoudende autoriteit/autoriteiten voorafgaand aan de verwerking te raadplegen wanneer uit een gegevensbeschermingseffectbeoordeling blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om dat risico te beperken;

| 3) | de verplichting om ervoor te zorgen dat persoonsgegevens accuraat en actueel zijn, door de verwerkingsverantwoordelijke onverwijld in te lichten wanneer de verwerker ervan kennis heeft gekregen dat de gegevens die hij verwerkt onjuist of achterhaald zijn; |
| --- | --- |

3)

de verplichting om ervoor te zorgen dat persoonsgegevens accuraat en actueel zijn, door de verwerkingsverantwoordelijke onverwijld in te lichten wanneer de verwerker ervan kennis heeft gekregen dat de gegevens die hij verwerkt onjuist of achterhaald zijn;

| 4) | de verplichtingen in [OPTIE 1] artikel 32 van Verordening (EU) 2016/679/[OPTIE 2] de artikelen 33 en 36 tot en met 38 van Verordening (EU) 2018/1725. |
| --- | --- |

4)

de verplichtingen in [OPTIE 1] artikel 32 van Verordening (EU) 2016/679/[OPTIE 2] de artikelen 33 en 36 tot en met 38 van Verordening (EU) 2018/1725.

| d) | De partijen stellen in bijlage III de passende technische en organisatorische maatregelen vast op grond waarvan de verwerker de verwerkingsverantwoordelijke bij de toepassing van deze bepaling moet bijstaan, alsmede de omvang en de omvang van de vereiste bijstand. |
| --- | --- |

d)

De partijen stellen in bijlage III de passende technische en organisatorische maatregelen vast op grond waarvan de verwerker de verwerkingsverantwoordelijke bij de toepassing van deze bepaling moet bijstaan, alsmede de omvang en de omvang van de vereiste bijstand.

Bepaling 9

Kennisgeving van een inbreuk in verband met persoonsgegevens

In het geval van een inbreuk in verband met persoonsgegevens werkt de verwerker samen met de verwerkingsverantwoordelijke en staat hij hem bij opdat de verwerkingsverantwoordelijke kan voldoen aan zijn verplichtingen uit hoofde van de artikelen 33 en 34 van Verordening (EU) 2016/679 of de artikelen 34 en 35 van Verordening (EU) 2018/1725, indien van toepassing, waarbij rekening wordt gehouden met de aard van de verwerking en de informatie waarover de verwerker beschikt.

9.1.   Inbreuk in verband met gegevens die door de verwerkingsverantwoordelijke worden verwerkt

In geval van een inbreuk in verband met persoonsgegevens die door de verwerkingsverantwoordelijke worden verwerkt, staat de verwerker de verwerkingsverantwoordelijke bij:

| a) | bij het zonder onnodige vertraging melden van de inbreuk in verband met persoonsgegevens aan de bevoegde toezichthoudende autoriteit/autoriteiten nadat de verwerkingsverantwoordelijke er kennis van heeft gekregen, indien relevant /(tenzij het onwaarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen); |
| --- | --- |

a)

bij het zonder onnodige vertraging melden van de inbreuk in verband met persoonsgegevens aan de bevoegde toezichthoudende autoriteit/autoriteiten nadat de verwerkingsverantwoordelijke er kennis van heeft gekregen, indien relevant /(tenzij het onwaarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen);

| b) | bij het verkrijgen van onderstaande informatie die overeenkomstig [OPTIE 1] artikel 33, lid 3, van Verordening (EU) 2016/679/ [OPTIE 2] artikel 34, lid 3, van Verordening (EU) 2018/1725 in de kennisgeving van de verwerkingsverantwoordelijke moet worden vermeld en ten minste omvat:






  1) | de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie; |
| --- | --- | --- |

b)

bij het verkrijgen van onderstaande informatie die overeenkomstig [OPTIE 1] artikel 33, lid 3, van Verordening (EU) 2016/679/ [OPTIE 2] artikel 34, lid 3, van Verordening (EU) 2018/1725 in de kennisgeving van de verwerkingsverantwoordelijke moet worden vermeld en ten minste omvat:

1)

de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie;

| 2) | de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens; |
| --- | --- |

2)

de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;

| 3) | de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan. |
| --- | --- |

3)

de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.

Indien en voor zover al deze informatie niet op hetzelfde moment kan worden verstrekt, bevat de oorspronkelijke kennisgeving de dan beschikbare informatie en wordt verdere informatie vervolgens onverwijld verstrekt zodra deze beschikbaar is;

| c) | bij het naleven, overeenkomstig [OPTIE 1] artikel 34 van Verordening (EU) 2016/679/[OPTIE 2] artikel 35 van Verordening (EU) 2018/1725, van de verplichting om de betrokkene de inbreuk in verband met persoonsgegevens onverwijld mee te delen, wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. |
| --- | --- |

c)

bij het naleven, overeenkomstig [OPTIE 1] artikel 34 van Verordening (EU) 2016/679/[OPTIE 2] artikel 35 van Verordening (EU) 2018/1725, van de verplichting om de betrokkene de inbreuk in verband met persoonsgegevens onverwijld mee te delen, wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

9.2.   Inbreuk in verband met gegevens die door de verwerker worden verwerkt

In geval van een inbreuk in verband met persoonsgegevens die door de verwerker worden verwerkt, stelt de verwerker, nadat hij kennis heeft gekregen van de inbreuk, de verwerkingsverantwoordelijke daarvan onverwijld in kennis. Deze kennisgeving bevat ten minste:

| a) | een beschrijving van de aard van de inbreuk (waar mogelijk onder vermelding van de categorieën betrokkenen en gegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en gegevensregisters in kwestie); |
| --- | --- |

a)

een beschrijving van de aard van de inbreuk (waar mogelijk onder vermelding van de categorieën betrokkenen en gegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en gegevensregisters in kwestie);

| b) | de gegevens van een contactpunt waar meer informatie over de inbreuk in verband met persoonsgegevens kan worden verkregen; |
| --- | --- |

b)

de gegevens van een contactpunt waar meer informatie over de inbreuk in verband met persoonsgegevens kan worden verkregen;

| c) | de waarschijnlijke gevolgen van de inbreuk en de maatregelen die zijn genomen of worden voorgesteld om deze aan te pakken, onder meer om de mogelijke negatieve gevolgen ervan te beperken. |
| --- | --- |

c)

de waarschijnlijke gevolgen van de inbreuk en de maatregelen die zijn genomen of worden voorgesteld om deze aan te pakken, onder meer om de mogelijke negatieve gevolgen ervan te beperken.

Indien en voor zover al deze informatie niet op hetzelfde moment kan worden verstrekt, bevat de oorspronkelijke kennisgeving de dan beschikbare informatie en wordt verdere informatie vervolgens onverwijld verstrekt zodra deze beschikbaar is.

De partijen vermelden in bijlage III alle andere elementen die door de verwerker moeten worden verstrekt wanneer hij de verwerkingsverantwoordelijke bijstaat bij de naleving van de verplichtingen van de verwerkingsverantwoordelijke uit hoofde van de [OPTIE 1] de artikelen 33 en 34 van Verordening (EU) 2016/679/[OPTIE 2] de artikelen 34 en 35 van Verordening (EU) 2018/1725.

AFDELING III

SLOTBEPALINGEN

Bepaling 10

Niet-naleving van de bepalingen en beëindiging

| a) | Onverminderd eventuele bepalingen van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 kan de verwerkingsverantwoordelijke, ingeval de verwerker zijn verplichtingen uit hoofde van deze bepalingen niet nakomt, de verwerker opdracht geven de verwerking van persoonsgegevens op te schorten totdat deze aan deze bepalingen voldoet of de overeenkomst wordt beëindigd. Wanneer de verwerker om welke reden dan ook niet aan deze bepalingen kan voldoen, stelt hij de verwerkingsverantwoordelijke daarvan onverwijld in kennis. |
| --- | --- |

a)

Onverminderd eventuele bepalingen van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 kan de verwerkingsverantwoordelijke, ingeval de verwerker zijn verplichtingen uit hoofde van deze bepalingen niet nakomt, de verwerker opdracht geven de verwerking van persoonsgegevens op te schorten totdat deze aan deze bepalingen voldoet of de overeenkomst wordt beëindigd. Wanneer de verwerker om welke reden dan ook niet aan deze bepalingen kan voldoen, stelt hij de verwerkingsverantwoordelijke daarvan onverwijld in kennis.

| b) | De verwerkingsverantwoordelijke heeft het recht de overeenkomst te beëindigen voor zover deze de verwerking van persoonsgegevens overeenkomstig deze bepalingen betreft, indien:






  1) | de verwerkingsverantwoordelijke de verwerking van persoonsgegevens door de verwerker overeenkomstig punt a) heeft opgeschort en de naleving van deze bepalingen niet binnen een redelijke termijn en in elk geval binnen één maand na de opschorting wordt hervat; |
| --- | --- | --- |

b)

De verwerkingsverantwoordelijke heeft het recht de overeenkomst te beëindigen voor zover deze de verwerking van persoonsgegevens overeenkomstig deze bepalingen betreft, indien:

1)

de verwerkingsverantwoordelijke de verwerking van persoonsgegevens door de verwerker overeenkomstig punt a) heeft opgeschort en de naleving van deze bepalingen niet binnen een redelijke termijn en in elk geval binnen één maand na de opschorting wordt hervat;

| 2) | de verwerker deze bepalingen of zijn verplichtingen uit hoofde van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 wezenlijk of voortdurend schendt; |
| --- | --- |

2)

de verwerker deze bepalingen of zijn verplichtingen uit hoofde van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 wezenlijk of voortdurend schendt;

| 3) | de verwerker niet voldoet aan een bindend besluit van een bevoegde rechter of de bevoegde toezichthoudende autoriteit/autoriteiten met betrekking tot zijn verplichtingen uit hoofde van deze bepalingen of Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725. |
| --- | --- |

3)

de verwerker niet voldoet aan een bindend besluit van een bevoegde rechter of de bevoegde toezichthoudende autoriteit/autoriteiten met betrekking tot zijn verplichtingen uit hoofde van deze bepalingen of Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725.

| c) | De verwerker heeft het recht de overeenkomst op te zeggen voor zover het daarbij gaat om de verwerking van persoonsgegevens krachtens deze bepalingen, indien de verwerkingsverantwoordelijke, nadat de verwerker hem er overeenkomstig bepaling 7.1, punt b), van in kennis heeft gesteld dat zijn instructies inbreuk maken op de toepasselijke wettelijke vereisten, aandringt op naleving van de instructies. |
| --- | --- |

c)

De verwerker heeft het recht de overeenkomst op te zeggen voor zover het daarbij gaat om de verwerking van persoonsgegevens krachtens deze bepalingen, indien de verwerkingsverantwoordelijke, nadat de verwerker hem er overeenkomstig bepaling 7.1, punt b), van in kennis heeft gesteld dat zijn instructies inbreuk maken op de toepasselijke wettelijke vereisten, aandringt op naleving van de instructies.

| d) | Na de beëindiging van de overeenkomst wist de verwerker, naar keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens die namens de verwerkingsverantwoordelijke zijn verwerkt en bevestigt hij tegenover de verwerkingsverantwoordelijke dat hij dit heeft gedaan, of zendt hij alle persoonsgegevens terug aan de verwerkingsverantwoordelijke en verwijdert hij bestaande kopieën, tenzij het Unierecht of het lidstatelijke recht de opslag van de persoonsgegevens voorschrijft. Totdat de gegevens zijn gewist of teruggeven, blijft de verwerker ervoor zorgen dat deze bepalingen worden nageleefd. |
| --- | --- |

d)

Na de beëindiging van de overeenkomst wist de verwerker, naar keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens die namens de verwerkingsverantwoordelijke zijn verwerkt en bevestigt hij tegenover de verwerkingsverantwoordelijke dat hij dit heeft gedaan, of zendt hij alle persoonsgegevens terug aan de verwerkingsverantwoordelijke en verwijdert hij bestaande kopieën, tenzij het Unierecht of het lidstatelijke recht de opslag van de persoonsgegevens voorschrijft. Totdat de gegevens zijn gewist of teruggeven, blijft de verwerker ervoor zorgen dat deze bepalingen worden nageleefd.

---

BIJLAGE I

Lijst van partijen

Verwerkingsverantwoordelijk(n):
  [Identiteit en contactgegevens van de verwerkingsverantwoordelijke(n) en, in voorkomend geval, van de functionaris voor gegevensbescherming van de verwerkingsverantwoordelijke]

| 1. | Naam: ... |
| --- | --- |

1.

Naam: ...

| | Adres: ... |
| --- | --- |

Adres: ...

| | Naam, functie en contactgegevens van de contactpersoon: ... |
| --- | --- |

Naam, functie en contactgegevens van de contactpersoon: ...

| | Ondertekening en toetredingsdatum: ... |
| --- | --- |

Ondertekening en toetredingsdatum: ...

| 2. | |
| --- | --- |

2.

...

Verwerker(s)
  [Identiteit en contactgegevens van de verwerker(s) en, in voorkomend geval, van de functionaris voor gegevensbescherming van de verwerker]

| 1. | Naam: ... |
| --- | --- |

1.

Naam: ...

| | Adres: ... |
| --- | --- |

Adres: ...

| | Naam, functie en contactgegevens van de contactpersoon: ... |
| --- | --- |

Naam, functie en contactgegevens van de contactpersoon: ...

| | Ondertekening en toetredingsdatum: ... |
| --- | --- |

Ondertekening en toetredingsdatum: ...

| 2. | |
| --- | --- |

2.

...

---

BIJLAGE II

Beschrijving van de verwerking

Categorieën betrokkenen van wie persoonsgegevens worden verwerkt

...

Categorieën verwerkte persoonsgegevens

...

Verwerkte gevoelige gegevens (indien van toepassing) en toegepaste beperkingen of waarborgen die ten volle rekening houden met de aard van de gegevens en de betrokken risico’s, zoals strikte doelbinding, toegangsbeperkingen (met inbegrip van toegang voor enkel personeel dat een gespecialiseerde opleiding heeft gevolgd), het bijhouden van een register inzake de toegang tot de gegevens, beperkingen voor verdere doorgifte of aanvullende beveiligingsmaatregelen.

...

Aard van de verwerking

...

Doeleinde(n) waarvoor de persoonsgegevens namens de verwerkingsverantwoordelijke worden verwerkt

...

Duur van de verwerking

...

...

Voor verwerking door (sub)verwerkers, ook het voorwerp, de aard en de duur van de verwerking vermelden.

---

BIJLAGE III

Technische en organisatorische maatregelen, met inbegrip van technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen

TOELICHTING:

De technische en organisatorische maatregelen moeten concreet en niet in algemene termen worden beschreven.

Beschrijving van de door de verwerker(s) genomen technische en organisatorische beveiligingsmaatregelen (met inbegrip van eventuele relevante certificeringen) om een passend beveiligingsniveau te waarborgen, rekening houdend met de aard, de reikwijdte, de context en het doel van de verwerking, alsmede met de risico’s voor de rechten en vrijheden van natuurlijke personen. Voorbeelden van mogelijke maatregelen:

| | maatregelen inzake pseudonimisering en versleuteling van persoonsgegevens; |
| --- | --- |

maatregelen inzake pseudonimisering en versleuteling van persoonsgegevens;

| | maatregelen die op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en -diensten garanderen; |
| --- | --- |

maatregelen die op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en -diensten garanderen;

| | maatregelen die het vermogen garanderen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen; |
| --- | --- |

maatregelen die het vermogen garanderen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen;

| | processen voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking; |
| --- | --- |

processen voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking;

| | maatregelen voor de identificatie en autorisatie van gebruikers; |
| --- | --- |

maatregelen voor de identificatie en autorisatie van gebruikers;

| | maatregelen ter bescherming van gegevens tijdens de doorgifte; |
| --- | --- |

maatregelen ter bescherming van gegevens tijdens de doorgifte;

| | maatregelen voor de bescherming van gegevens tijdens de opslag; |
| --- | --- |

maatregelen voor de bescherming van gegevens tijdens de opslag;

| | maatregelen ter waarborging van de fysieke beveiliging van de locaties waar persoonsgegevens worden verwerkt; |
| --- | --- |

maatregelen ter waarborging van de fysieke beveiliging van de locaties waar persoonsgegevens worden verwerkt;

| | maatregelen om ervoor te zorgen dat incidenten worden geregistreerd; |
| --- | --- |

maatregelen om ervoor te zorgen dat incidenten worden geregistreerd;

| | maatregelen om de systeemconfiguratie, met inbegrip van de standaardinstelling, te waarborgen; |
| --- | --- |

maatregelen om de systeemconfiguratie, met inbegrip van de standaardinstelling, te waarborgen;

| | maatregelen voor interne governance en beheer op het gebied van IT en IT-beveiliging; |
| --- | --- |

maatregelen voor interne governance en beheer op het gebied van IT en IT-beveiliging;

| | maatregelen voor certificering/waarborging van processen en producten; |
| --- | --- |

maatregelen voor certificering/waarborging van processen en producten;

| | maatregelen om gegevensminimalisering te waarborgen; |
| --- | --- |

maatregelen om gegevensminimalisering te waarborgen;

| | maatregelen om de kwaliteit van de gegevens te waarborgen; |
| --- | --- |

maatregelen om de kwaliteit van de gegevens te waarborgen;

| | maatregelen om te zorgen voor beperkte bewaring van gegevens; |
| --- | --- |

maatregelen om te zorgen voor beperkte bewaring van gegevens;

| | maatregelen ter waarborging van de verantwoordingsplicht; |
| --- | --- |

maatregelen ter waarborging van de verantwoordingsplicht;

| | maatregelen om gegevensoverdraagbaarheid mogelijk te maken en voor wissing te zorgen. |
| --- | --- |

maatregelen om gegevensoverdraagbaarheid mogelijk te maken en voor wissing te zorgen.

Beschrijf voor overdrachten aan (sub)verwerkers ook de specifieke technische en organisatorische maatregelen die de (sub)verwerker moet nemen om de verwerkingsverantwoordelijke bijstand te kunnen verlenen.

Beschrijving van de specifieke technische en organisatorische maatregelen die de verwerker moet nemen om de verwerkingsverantwoordelijke bijstand te kunnen verlenen.

---

BIJLAGE IV

Lijst van subverwerkers

TOELICHTING:

Deze bijlage moet worden aangevuld in geval van specifieke toestemming voor uitbesteding aan subverwerkers (bepaling 7.7, punt a), optie 1).

De verwerkingsverantwoordelijke heeft toestemming gegeven voor uitbesteding aan de volgende subverwerkers:

| 1. | Naam: ... |
| --- | --- |

1.

Naam: ...

| | Adres: ... |
| --- | --- |

Adres: ...

| | Naam, functie en contactgegevens van de contactpersoon: ... |
| --- | --- |

Naam, functie en contactgegevens van de contactpersoon: ...

| | Beschrijving van de verwerking (met inbegrip van een duidelijke afbakening van de verantwoordelijkheden ingeval er toestemming is voor uitbesteding aan meerdere subverwerkers): ... |
| --- | --- |

Beschrijving van de verwerking (met inbegrip van een duidelijke afbakening van de verantwoordelijkheden ingeval er toestemming is voor uitbesteding aan meerdere subverwerkers): ...

| 2. | ... |
| --- | --- |

2.

...

---

| 7.6.2021 | NL | Publicatieblad van de Europese Unie | L 199/31 |
| --- | --- | --- | --- |

7.6.2021

NL

Publicatieblad van de Europese Unie

L 199/31

---

UITVOERINGSBESLUIT (EU) 2021/914 VAN DE COMMISSIE

van 4 juni 2021

betreffende standaardcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad

(Voor de EER relevante tekst)

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (AVG, algemene verordening gegevensbescherming) (1), en met name artikel 28, lid 7, en artikel 46, lid 2, punt c),

Overwegende hetgeen volgt:

| (1) | De technologische ontwikkelingen vergemakkelijken de grensoverschrijdende gegevensstromen die nodig zijn voor de uitbreiding van de internationale samenwerking en de internationale handel. Tegelijkertijd is het noodzakelijk ervoor te zorgen dat het beschermingsniveau van natuurlijke personen dat door Verordening (EU) 2016/679 wordt gewaarborgd niet wordt ondermijnd wanneer er persoonsgegevens naar derde landen worden doorgegeven, ook in gevallen van verdere doorgiften (2). De bepalingen inzake gegevensdoorgifte in hoofdstuk V van Verordening (EU) 2016/679 zijn bedoeld om de continuïteit van dat hoge beschermingsniveau te waarborgen wanneer er persoonsgegevens naar een derde land worden doorgegeven (3). |
| --- | --- |

(1)

De technologische ontwikkelingen vergemakkelijken de grensoverschrijdende gegevensstromen die nodig zijn voor de uitbreiding van de internationale samenwerking en de internationale handel. Tegelijkertijd is het noodzakelijk ervoor te zorgen dat het beschermingsniveau van natuurlijke personen dat door Verordening (EU) 2016/679 wordt gewaarborgd niet wordt ondermijnd wanneer er persoonsgegevens naar derde landen worden doorgegeven, ook in gevallen van verdere doorgiften (2). De bepalingen inzake gegevensdoorgifte in hoofdstuk V van Verordening (EU) 2016/679 zijn bedoeld om de continuïteit van dat hoge beschermingsniveau te waarborgen wanneer er persoonsgegevens naar een derde land worden doorgegeven (3).

| (2) | Overeenkomstig artikel 46, lid 1, van Verordening (EU) 2016/679 mag een doorgifte van persoonsgegevens naar een derde land door een verwerkingsverantwoordelijke of een verwerker bij ontstentenis van een adequaatheidsbesluit van de Commissie uit hoofde van artikel 45, lid 3, alleen plaatsvinden indien zij passende waarborgen bieden en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken. Die waarborgen kunnen worden geboden door standaardbepalingen inzake gegevensbescherming die door de Commissie overeenkomstig artikel 46, lid 2, punt c), zijn vastgesteld. |
| --- | --- |

(2)

Overeenkomstig artikel 46, lid 1, van Verordening (EU) 2016/679 mag een doorgifte van persoonsgegevens naar een derde land door een verwerkingsverantwoordelijke of een verwerker bij ontstentenis van een adequaatheidsbesluit van de Commissie uit hoofde van artikel 45, lid 3, alleen plaatsvinden indien zij passende waarborgen bieden en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken. Die waarborgen kunnen worden geboden door standaardbepalingen inzake gegevensbescherming die door de Commissie overeenkomstig artikel 46, lid 2, punt c), zijn vastgesteld.

| (3) | De rol van standaardcontractbepalingen is beperkt tot het garanderen van passende gegevensbeschermingswaarborgen voor internationale doorgiften van gegevens. Het staat de verwerkingsverantwoordelijke of verwerker die de persoonsgegevens naar een derde land doorgeeft (de “gegevensexporteur”) en de verwerkingsverantwoordelijke of verwerker die de persoonsgegevens ontvangt (de “gegevensimporteur”) derhalve vrij om die standaardcontractbepalingen in een breder contract op te nemen en om andere bepalingen of meer waarborgen toe te voegen, op voorwaarde dat deze niet direct of indirect in strijd zijn met de standaardcontractbepalingen en geen afbreuk doen aan de grondrechten of fundamentele vrijheden van de betrokkenen. Verwerkingsverantwoordelijken en verwerkers worden aangemoedigd om door middel van contractuele verplichtingen meer waarborgen te bieden in aanvulling op de standaardcontractbepalingen (4). Het gebruik van de standaardcontractbepalingen doet geen afbreuk aan eventuele contractuele verplichtingen van de gegevensexporteur en/of de gegevensimporteur om te waarborgen dat toepasselijke voorrechten en immuniteiten in acht worden genomen. |
| --- | --- |

(3)

De rol van standaardcontractbepalingen is beperkt tot het garanderen van passende gegevensbeschermingswaarborgen voor internationale doorgiften van gegevens. Het staat de verwerkingsverantwoordelijke of verwerker die de persoonsgegevens naar een derde land doorgeeft (de “gegevensexporteur”) en de verwerkingsverantwoordelijke of verwerker die de persoonsgegevens ontvangt (de “gegevensimporteur”) derhalve vrij om die standaardcontractbepalingen in een breder contract op te nemen en om andere bepalingen of meer waarborgen toe te voegen, op voorwaarde dat deze niet direct of indirect in strijd zijn met de standaardcontractbepalingen en geen afbreuk doen aan de grondrechten of fundamentele vrijheden van de betrokkenen. Verwerkingsverantwoordelijken en verwerkers worden aangemoedigd om door middel van contractuele verplichtingen meer waarborgen te bieden in aanvulling op de standaardcontractbepalingen (4). Het gebruik van de standaardcontractbepalingen doet geen afbreuk aan eventuele contractuele verplichtingen van de gegevensexporteur en/of de gegevensimporteur om te waarborgen dat toepasselijke voorrechten en immuniteiten in acht worden genomen.

| (4) | De gegevensexporteur maakt niet alleen gebruik van standaardcontractbepalingen om overeenkomstig artikel 46, lid 1, van Verordening (EU) 2016/679 passende waarborgen voor doorgiften te bieden, maar moet ook zijn algemene verantwoordelijkheden als verwerkingsverantwoordelijke of verwerker nakomen krachtens Verordening (EU) 2016/679. Die verantwoordelijkheden omvatten een verplichting van de verwerkingsverantwoordelijke om aan de betrokkenen informatie te verstrekken over het feit dat hij voornemens is hun persoonsgegevens door te geven aan een derde land krachtens artikel 13, lid 1, punt f), en artikel 14, lid 1, punt f), van Verordening (EU) 2016/679. In geval van doorgiften krachtens artikel 46 van Verordening (EU) 2016/679 moet dergelijke informatie een verwijzing naar de passende waarborgen bevatten en vermelden hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. |
| --- | --- |

(4)

De gegevensexporteur maakt niet alleen gebruik van standaardcontractbepalingen om overeenkomstig artikel 46, lid 1, van Verordening (EU) 2016/679 passende waarborgen voor doorgiften te bieden, maar moet ook zijn algemene verantwoordelijkheden als verwerkingsverantwoordelijke of verwerker nakomen krachtens Verordening (EU) 2016/679. Die verantwoordelijkheden omvatten een verplichting van de verwerkingsverantwoordelijke om aan de betrokkenen informatie te verstrekken over het feit dat hij voornemens is hun persoonsgegevens door te geven aan een derde land krachtens artikel 13, lid 1, punt f), en artikel 14, lid 1, punt f), van Verordening (EU) 2016/679. In geval van doorgiften krachtens artikel 46 van Verordening (EU) 2016/679 moet dergelijke informatie een verwijzing naar de passende waarborgen bevatten en vermelden hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.

| (5) | Beschikking 2001/497/EG (5) en Besluit 2010/87/EU (6) van de Commissie bevatten standaardcontractbepalingen om de doorgifte van persoonsgegevens te vergemakkelijken van een in de Unie gevestigde verwerkingsverantwoordelijke naar een in een derde land gevestigde verwerkingsverantwoordelijke of verwerker die geen passend beschermingsniveau biedt. Die beschikking en dat besluit zijn gebaseerd op Richtlijn 95/46/EG van het Europees Parlement en de Raad (7). |
| --- | --- |

(5)

Beschikking 2001/497/EG (5) en Besluit 2010/87/EU (6) van de Commissie bevatten standaardcontractbepalingen om de doorgifte van persoonsgegevens te vergemakkelijken van een in de Unie gevestigde verwerkingsverantwoordelijke naar een in een derde land gevestigde verwerkingsverantwoordelijke of verwerker die geen passend beschermingsniveau biedt. Die beschikking en dat besluit zijn gebaseerd op Richtlijn 95/46/EG van het Europees Parlement en de Raad (7).

| (6) | Op grond van artikel 46, lid 5, van Verordening (EU) 2016/679 blijven Beschikking 2001/497/EG en Besluit 2010/87/EU, geldig totdat zij bij een overeenkomstig artikel 46, lid 2, van die verordening vastgesteld besluit van de Commissie, indien nodig, worden gewijzigd, vervangen of ingetrokken. De standaardcontractbepalingen in de beschikking en het besluit dienden te worden geactualiseerd in het licht van nieuwe vereisten in Verordening (EU) 2016/679. Bovendien hebben zich, sinds de beschikkingen en besluiten werden goedgekeurd, belangrijke ontwikkelingen voorgedaan in de digitale economie, met het wijdverbreide gebruik van nieuwe en complexere verwerkingsactiviteiten waarbij dikwijls diverse gegevensimporteurs en -exporteurs betrokken zijn en er vaak sprake is van lange en ingewikkelde verwerkingsketens en van evoluerende zakelijke relaties. Dit vraagt om een modernisering van de standaardcontractbepalingen om die ontwikkelingen beter te kunnen weerspiegelen, door verdere verwerkings- en doorgiftesituaties te bestrijken en door een flexibelere aanpak te hanteren, bijvoorbeeld wat betreft het aantal partijen dat tot de overeenkomst kan toetreden. |
| --- | --- |

(6)

Op grond van artikel 46, lid 5, van Verordening (EU) 2016/679 blijven Beschikking 2001/497/EG en Besluit 2010/87/EU, geldig totdat zij bij een overeenkomstig artikel 46, lid 2, van die verordening vastgesteld besluit van de Commissie, indien nodig, worden gewijzigd, vervangen of ingetrokken. De standaardcontractbepalingen in de beschikking en het besluit dienden te worden geactualiseerd in het licht van nieuwe vereisten in Verordening (EU) 2016/679. Bovendien hebben zich, sinds de beschikkingen en besluiten werden goedgekeurd, belangrijke ontwikkelingen voorgedaan in de digitale economie, met het wijdverbreide gebruik van nieuwe en complexere verwerkingsactiviteiten waarbij dikwijls diverse gegevensimporteurs en -exporteurs betrokken zijn en er vaak sprake is van lange en ingewikkelde verwerkingsketens en van evoluerende zakelijke relaties. Dit vraagt om een modernisering van de standaardcontractbepalingen om die ontwikkelingen beter te kunnen weerspiegelen, door verdere verwerkings- en doorgiftesituaties te bestrijken en door een flexibelere aanpak te hanteren, bijvoorbeeld wat betreft het aantal partijen dat tot de overeenkomst kan toetreden.

| (7) | Een verwerkingsverantwoordelijke of verwerker kan de in bijlage A bij dit besluit genoemde standaardcontractbepalingen gebruiken om passende waarborgen te bieden in de zin van artikel 46, lid 1, van Verordening (EU) 2016/679 voor de doorgifte van persoonsgegevens aan een in een derde land gevestigde verwerkingsverantwoordelijke of verwerker, onverminderd de interpretatie van het begrip internationale doorgifte in Verordening (EU) 2016/679. De standaardcontractbepalingen mogen alleen voor dergelijke doorgiften worden gebruikt voor zover de verwerking door de importeur niet binnen de werkingssfeer van Verordening (EU) 2016/679 valt. Dit geldt ook voor de doorgifte van persoonsgegevens door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker, voor zover de verwerking onder Verordening (EU) 2016/679 valt overeenkomstig artikel 3, lid 2, van die verordening, omdat die verwerking verband houdt met het aanbieden van goederen of diensten aan betrokkenen in de Unie of met het controleren van het gedrag van de betrokkenen, voor zover dit in de Unie plaatsvindt. |
| --- | --- |

(7)

Een verwerkingsverantwoordelijke of verwerker kan de in bijlage A bij dit besluit genoemde standaardcontractbepalingen gebruiken om passende waarborgen te bieden in de zin van artikel 46, lid 1, van Verordening (EU) 2016/679 voor de doorgifte van persoonsgegevens aan een in een derde land gevestigde verwerkingsverantwoordelijke of verwerker, onverminderd de interpretatie van het begrip internationale doorgifte in Verordening (EU) 2016/679. De standaardcontractbepalingen mogen alleen voor dergelijke doorgiften worden gebruikt voor zover de verwerking door de importeur niet binnen de werkingssfeer van Verordening (EU) 2016/679 valt. Dit geldt ook voor de doorgifte van persoonsgegevens door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker, voor zover de verwerking onder Verordening (EU) 2016/679 valt overeenkomstig artikel 3, lid 2, van die verordening, omdat die verwerking verband houdt met het aanbieden van goederen of diensten aan betrokkenen in de Unie of met het controleren van het gedrag van de betrokkenen, voor zover dit in de Unie plaatsvindt.

| (8) | Gezien de algemene aanpassing van Verordening (EU) 2016/679 en Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (8) moet het mogelijk zijn de standaardcontractbepalingen ook te gebruiken in de context van een in artikel 29, lid 4, van Verordening (EU) 2018/1725 bedoelde overeenkomst voor de doorgifte van persoonsgegevens aan een subverwerker in een derde land door een verwerker die geen instelling of orgaan van de Unie is, maar die onder Verordening (EU) 2016/679 valt en persoonsgegevens verwerkt namens een instelling of orgaan van de Unie overeenkomstig artikel 29 van Verordening (EU) 2018/1725. Indien in de overeenkomst dezelfde verplichtingen inzake gegevensbescherming zijn opgenomen als in de overeenkomst of andere rechtshandeling tussen de verwerkingsverantwoordelijke en de verwerker overeenkomstig artikel 29, lid 3, van Verordening (EU) 2018/1725, met name door afdoende garanties met betrekking tot technische en organisatorische maatregelen te bieden opdat de verwerking aan het bepaalde in die verordening zou voldoen, wordt hiermee naleving van artikel 29, lid 4, van Verordening (EU) 2018/1725 gewaarborgd. Dat is met name het geval wanneer de verwerkingsverantwoordelijke en de verwerker gebruikmaken van de standaardcontractbepalingen in het uitvoeringsbesluit van de Commissie betreffende standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers krachtens artikel 28, lid 7, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad en artikel 29, lid 7, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (9). |
| --- | --- |

(8)

Gezien de algemene aanpassing van Verordening (EU) 2016/679 en Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (8) moet het mogelijk zijn de standaardcontractbepalingen ook te gebruiken in de context van een in artikel 29, lid 4, van Verordening (EU) 2018/1725 bedoelde overeenkomst voor de doorgifte van persoonsgegevens aan een subverwerker in een derde land door een verwerker die geen instelling of orgaan van de Unie is, maar die onder Verordening (EU) 2016/679 valt en persoonsgegevens verwerkt namens een instelling of orgaan van de Unie overeenkomstig artikel 29 van Verordening (EU) 2018/1725. Indien in de overeenkomst dezelfde verplichtingen inzake gegevensbescherming zijn opgenomen als in de overeenkomst of andere rechtshandeling tussen de verwerkingsverantwoordelijke en de verwerker overeenkomstig artikel 29, lid 3, van Verordening (EU) 2018/1725, met name door afdoende garanties met betrekking tot technische en organisatorische maatregelen te bieden opdat de verwerking aan het bepaalde in die verordening zou voldoen, wordt hiermee naleving van artikel 29, lid 4, van Verordening (EU) 2018/1725 gewaarborgd. Dat is met name het geval wanneer de verwerkingsverantwoordelijke en de verwerker gebruikmaken van de standaardcontractbepalingen in het uitvoeringsbesluit van de Commissie betreffende standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers krachtens artikel 28, lid 7, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad en artikel 29, lid 7, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (9).

| (9) | Wanneer de verwerking gegevensdoorgiften betreft van verwerkingsverantwoordelijken die onder Verordening (EU) 2016/679 vallen aan verwerkers buiten het territoriale toepassingsgebied ervan of van verwerkers die onder Verordening (EU) 2016/679 vallen aan subverwerkers buiten het territoriale toepassingsgebied ervan, zouden de in de bijlage bij dit besluit opgenomen standaardcontractbepalingen het ook mogelijk moeten maken om aan de vereisten in artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 te voldoen. |
| --- | --- |

(9)

Wanneer de verwerking gegevensdoorgiften betreft van verwerkingsverantwoordelijken die onder Verordening (EU) 2016/679 vallen aan verwerkers buiten het territoriale toepassingsgebied ervan of van verwerkers die onder Verordening (EU) 2016/679 vallen aan subverwerkers buiten het territoriale toepassingsgebied ervan, zouden de in de bijlage bij dit besluit opgenomen standaardcontractbepalingen het ook mogelijk moeten maken om aan de vereisten in artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 te voldoen.

| (10) | Met de in de bijlage bij dit besluit opgenomen standaardcontractbepalingen worden algemene bepalingen gecombineerd met een modulaire aanpak, zodat er rekening wordt gehouden met verschillende doorgiftescenario’s en met de complexiteit van moderne verwerkingsketens. Naast de algemene bepalingen dienen verwerkingsverantwoordelijken en verwerkers de module te kiezen die op hun situatie van toepassing is, teneinde hun verplichtingen op grond van de standaardcontractbepalingen te kunnen afstemmen op hun rol en verantwoordelijkheden in verband met de gegevensverwerking in kwestie. Het zou voor meer dan twee partijen mogelijk moeten zijn om zich aan de standaardcontractbepalingen te houden. Bovendien dient het meer verwerkingsverantwoordelijken en verwerkers te worden toegestaan om als gegevensexporteurs of -importeurs toegang te krijgen tot de standaardcontractbepalingen gedurende de levenscyclus van de overeenkomst waarvan ze deel uitmaken. |
| --- | --- |

(10)

Met de in de bijlage bij dit besluit opgenomen standaardcontractbepalingen worden algemene bepalingen gecombineerd met een modulaire aanpak, zodat er rekening wordt gehouden met verschillende doorgiftescenario’s en met de complexiteit van moderne verwerkingsketens. Naast de algemene bepalingen dienen verwerkingsverantwoordelijken en verwerkers de module te kiezen die op hun situatie van toepassing is, teneinde hun verplichtingen op grond van de standaardcontractbepalingen te kunnen afstemmen op hun rol en verantwoordelijkheden in verband met de gegevensverwerking in kwestie. Het zou voor meer dan twee partijen mogelijk moeten zijn om zich aan de standaardcontractbepalingen te houden. Bovendien dient het meer verwerkingsverantwoordelijken en verwerkers te worden toegestaan om als gegevensexporteurs of -importeurs toegang te krijgen tot de standaardcontractbepalingen gedurende de levenscyclus van de overeenkomst waarvan ze deel uitmaken.

| (11) | Om passende waarborgen te bieden, moeten de standaardcontractbepalingen ervoor zorgen dat voor de op die basis doorgegeven persoonsgegevens een beschermingsniveau wordt geboden dat in wezen hetzelfde is als het niveau dat binnen de Unie wordt gewaarborgd (10). Met het oog op transparantie van de verwerking dienen betrokkenen een kopie van de standaardcontractbepalingen te ontvangen. Ze dienen met name in kennis te worden gesteld van de categorieën verwerkte persoonsgegevens, van het recht om een kopie van de standaardcontractbepalingen te verkrijgen en van eventuele verdere doorgiften. Verdere doorgiften door de gegevensimporteur aan een derde partij in een ander derde land dienen alleen te worden toegestaan indien de derde partij de standaardcontractbepalingen aanvaardt, indien de continuïteit van de bescherming op een andere wijze wordt gewaarborgd of ingeval van specifieke situaties, zoals wanneer er sprake is van de uitdrukkelijke en geïnformeerde toestemming van de betrokkene. |
| --- | --- |

(11)

Om passende waarborgen te bieden, moeten de standaardcontractbepalingen ervoor zorgen dat voor de op die basis doorgegeven persoonsgegevens een beschermingsniveau wordt geboden dat in wezen hetzelfde is als het niveau dat binnen de Unie wordt gewaarborgd (10). Met het oog op transparantie van de verwerking dienen betrokkenen een kopie van de standaardcontractbepalingen te ontvangen. Ze dienen met name in kennis te worden gesteld van de categorieën verwerkte persoonsgegevens, van het recht om een kopie van de standaardcontractbepalingen te verkrijgen en van eventuele verdere doorgiften. Verdere doorgiften door de gegevensimporteur aan een derde partij in een ander derde land dienen alleen te worden toegestaan indien de derde partij de standaardcontractbepalingen aanvaardt, indien de continuïteit van de bescherming op een andere wijze wordt gewaarborgd of ingeval van specifieke situaties, zoals wanneer er sprake is van de uitdrukkelijke en geïnformeerde toestemming van de betrokkene.

| (12) | Betrokkenen moeten, enkele uitzonderingen daargelaten, met name wat betreft bepaalde verplichtingen die uitsluitend betrekking hebben op de relatie tussen de gegevensexporteur en de gegevensimporteur, de mogelijkheid hebben om zich als derde-begunstigden op de standaardcontractbepalingen te beroepen en deze waar nodig te doen gelden. Hoewel de partijen zelf het recht van een van de lidstaten waarbij de standaardcontractbepalingen worden geregeld moeten kunnen kiezen, moet dat recht derhalve in de rechten van derde-begunstigden voorzien. Om individueel verhaal te vergemakkelijken, moeten de standaardcontractbepalingen de gegevensimporteur ertoe verplichten betrokkenen op de hoogte te brengen van een contactpunt en klachten of verzoeken onverwijld af te handelen. Bij een geschil tussen de gegevensimporteur en een betrokkene die zich als een derde-begunstigde op zijn of haar rechten beroept, moet de betrokkene een klacht bij de bevoegde toezichthoudende autoriteit kunnen indienen of het geschil kunnen voorleggen aan de bevoegde rechtbanken in de EU. |
| --- | --- |

(12)

Betrokkenen moeten, enkele uitzonderingen daargelaten, met name wat betreft bepaalde verplichtingen die uitsluitend betrekking hebben op de relatie tussen de gegevensexporteur en de gegevensimporteur, de mogelijkheid hebben om zich als derde-begunstigden op de standaardcontractbepalingen te beroepen en deze waar nodig te doen gelden. Hoewel de partijen zelf het recht van een van de lidstaten waarbij de standaardcontractbepalingen worden geregeld moeten kunnen kiezen, moet dat recht derhalve in de rechten van derde-begunstigden voorzien. Om individueel verhaal te vergemakkelijken, moeten de standaardcontractbepalingen de gegevensimporteur ertoe verplichten betrokkenen op de hoogte te brengen van een contactpunt en klachten of verzoeken onverwijld af te handelen. Bij een geschil tussen de gegevensimporteur en een betrokkene die zich als een derde-begunstigde op zijn of haar rechten beroept, moet de betrokkene een klacht bij de bevoegde toezichthoudende autoriteit kunnen indienen of het geschil kunnen voorleggen aan de bevoegde rechtbanken in de EU.

| (13) | Om te garanderen dat een beslissing daadwerkelijk ten uitvoer wordt gelegd, moet de gegevensimporteur ertoe worden verplicht de bevoegdheid van die autoriteit en die gerechten te aanvaarden en zich te verbinden tot naleving van bindende besluiten krachtens het toepasselijke recht van de lidstaat. De gegevensimporteur moet er in het bijzonder mee instemmen vragen te beantwoorden, zich aan audits te onderwerpen en zich aan de door de toezichthoudende autoriteit vastgestelde maatregelen te houden, waaronder corrigerende en compenserende maatregelen. Daarnaast moet de gegevensimporteur de optie hebben om betrokkenen de mogelijkheid te bieden zich gratis tot een onafhankelijk orgaan voor geschillenbeslechting te wenden. Overeenkomstig artikel 80, lid 1, van Verordening (EU) 2016/679 moeten betrokkenen het recht hebben zich indien gewenst door verenigingen of andere organen te laten vertegenwoordigen in geschillen tegen de gegevensimporteur. |
| --- | --- |

(13)

Om te garanderen dat een beslissing daadwerkelijk ten uitvoer wordt gelegd, moet de gegevensimporteur ertoe worden verplicht de bevoegdheid van die autoriteit en die gerechten te aanvaarden en zich te verbinden tot naleving van bindende besluiten krachtens het toepasselijke recht van de lidstaat. De gegevensimporteur moet er in het bijzonder mee instemmen vragen te beantwoorden, zich aan audits te onderwerpen en zich aan de door de toezichthoudende autoriteit vastgestelde maatregelen te houden, waaronder corrigerende en compenserende maatregelen. Daarnaast moet de gegevensimporteur de optie hebben om betrokkenen de mogelijkheid te bieden zich gratis tot een onafhankelijk orgaan voor geschillenbeslechting te wenden. Overeenkomstig artikel 80, lid 1, van Verordening (EU) 2016/679 moeten betrokkenen het recht hebben zich indien gewenst door verenigingen of andere organen te laten vertegenwoordigen in geschillen tegen de gegevensimporteur.

| (14) | De standaardcontractbepalingen moeten voorzien in regels betreffende aansprakelijkheid tussen de partijen en met betrekking tot betrokkenen, en regels betreffende schadeloosstelling tussen de partijen. Wanneer de betrokkene materiële of immateriële schade lijdt als gevolg van een inbreuk op de rechten van de derde-begunstigde op grond van de standaardcontractbepalingen, moet hij of zij recht hebben op vergoeding. Dit mag geen afbreuk doen aan de aansprakelijkheid op grond van Verordening (EU) 2016/679. |
| --- | --- |

(14)

De standaardcontractbepalingen moeten voorzien in regels betreffende aansprakelijkheid tussen de partijen en met betrekking tot betrokkenen, en regels betreffende schadeloosstelling tussen de partijen. Wanneer de betrokkene materiële of immateriële schade lijdt als gevolg van een inbreuk op de rechten van de derde-begunstigde op grond van de standaardcontractbepalingen, moet hij of zij recht hebben op vergoeding. Dit mag geen afbreuk doen aan de aansprakelijkheid op grond van Verordening (EU) 2016/679.

| (15) | Bij een doorgifte aan een gegevensimporteur die optreedt als een verwerker of subverwerker, moet aan specifieke vereisten worden voldaan overeenkomstig artikel 28, lid 3, van Verordening (EU) 2016/679. De standaardcontractbepalingen dienen de gegevensimporteur ertoe te verplichten alle informatie ter beschikking te stellen die nodig is om naleving van de in de bepalingen opgenomen verplichtingen aan te tonen en om audits van zijn verwerkingsactiviteiten door de gegevensexporteur mogelijk te maken en daaraan bij te dragen. Met betrekking tot de indienstneming van een subverwerker door de gegevensimporteur overeenkomstig artikel 28, leden 2 en 4, van Verordening (EU) 2016/679, moet in de standaardcontractbepalingen met name de procedure voor algemene of specifieke toestemming van de gegevensexporteur uiteen worden gezet, en een schriftelijke overeenkomst met de subverwerker worden vereist die hetzelfde beschermingsniveau waarborgt als de bepalingen. |
| --- | --- |

(15)

Bij een doorgifte aan een gegevensimporteur die optreedt als een verwerker of subverwerker, moet aan specifieke vereisten worden voldaan overeenkomstig artikel 28, lid 3, van Verordening (EU) 2016/679. De standaardcontractbepalingen dienen de gegevensimporteur ertoe te verplichten alle informatie ter beschikking te stellen die nodig is om naleving van de in de bepalingen opgenomen verplichtingen aan te tonen en om audits van zijn verwerkingsactiviteiten door de gegevensexporteur mogelijk te maken en daaraan bij te dragen. Met betrekking tot de indienstneming van een subverwerker door de gegevensimporteur overeenkomstig artikel 28, leden 2 en 4, van Verordening (EU) 2016/679, moet in de standaardcontractbepalingen met name de procedure voor algemene of specifieke toestemming van de gegevensexporteur uiteen worden gezet, en een schriftelijke overeenkomst met de subverwerker worden vereist die hetzelfde beschermingsniveau waarborgt als de bepalingen.

| (16) | De standaardcontractbepalingen moeten in verschillende waarborgen voorzien die de specifieke situatie betreffen van een doorgifte van persoonsgegevens door een verwerker in de Unie aan zijn verwerkingsverantwoordelijke in een derde land, die in overeenstemming zijn met de beperkte, op zichzelf staande verplichtingen voor verwerkers krachtens Verordening (EU) 2016/679. In de standaardcontractbepalingen moet in het bijzonder van de verwerker worden geëist dat hij het derde land in kennis stelt indien hij niet in staat is zijn instructies op te volgen, ook als die instructies een inbreuk zouden vormen op de wetgeving inzake gegevensbescherming van de Unie, en van de verwerkingsverantwoordelijke eisen dat hij zich onthoudt van acties die de verwerker zouden verhinderen om zijn verplichtingen op grond van Verordening (EU) 2016/679 na te komen. De modelcontractbepalingen moeten de partijen er tevens toe verplichten elkaar bij te staan bij het beantwoorden van vragen en het afhandelen van verzoeken van betrokkenen op grond van het lokale recht dat op de gegevensimporteur van toepassing is of, voor gegevensverwerking in de Unie, op grond van Verordening (EU) 2016/679. Wanneer de verwerker in de Unie de persoonsgegevens die zijn ontvangen van de verwerkingsverantwoordelijke in het derde land combineert met door de verwerker in de Unie verzamelde persoonsgegevens, moeten bijkomende vereisten om eventuele gevolgen van de wetgeving van het derde land van bestemming voor de naleving door de verwerkingsverantwoordelijke van de bepalingen gelden, met name wat betreft de wijze waarop moet worden omgegaan met bindende verzoeken van overheidsinstanties in het derde land om verstrekking van de doorgegeven persoonsgegevens. Omgekeerd zijn die vereisten niet gerechtvaardigd wanneer de uitbesteding slechts betrekking heeft op de verwerking en teruggave van persoonsgegevens die zijn ontvangen van de verwerkingsverantwoordelijke en die in elk geval onderworpen zijn en blijven aan de jurisdictie van het derde land in kwestie. |
| --- | --- |

(16)

De standaardcontractbepalingen moeten in verschillende waarborgen voorzien die de specifieke situatie betreffen van een doorgifte van persoonsgegevens door een verwerker in de Unie aan zijn verwerkingsverantwoordelijke in een derde land, die in overeenstemming zijn met de beperkte, op zichzelf staande verplichtingen voor verwerkers krachtens Verordening (EU) 2016/679. In de standaardcontractbepalingen moet in het bijzonder van de verwerker worden geëist dat hij het derde land in kennis stelt indien hij niet in staat is zijn instructies op te volgen, ook als die instructies een inbreuk zouden vormen op de wetgeving inzake gegevensbescherming van de Unie, en van de verwerkingsverantwoordelijke eisen dat hij zich onthoudt van acties die de verwerker zouden verhinderen om zijn verplichtingen op grond van Verordening (EU) 2016/679 na te komen. De modelcontractbepalingen moeten de partijen er tevens toe verplichten elkaar bij te staan bij het beantwoorden van vragen en het afhandelen van verzoeken van betrokkenen op grond van het lokale recht dat op de gegevensimporteur van toepassing is of, voor gegevensverwerking in de Unie, op grond van Verordening (EU) 2016/679. Wanneer de verwerker in de Unie de persoonsgegevens die zijn ontvangen van de verwerkingsverantwoordelijke in het derde land combineert met door de verwerker in de Unie verzamelde persoonsgegevens, moeten bijkomende vereisten om eventuele gevolgen van de wetgeving van het derde land van bestemming voor de naleving door de verwerkingsverantwoordelijke van de bepalingen gelden, met name wat betreft de wijze waarop moet worden omgegaan met bindende verzoeken van overheidsinstanties in het derde land om verstrekking van de doorgegeven persoonsgegevens. Omgekeerd zijn die vereisten niet gerechtvaardigd wanneer de uitbesteding slechts betrekking heeft op de verwerking en teruggave van persoonsgegevens die zijn ontvangen van de verwerkingsverantwoordelijke en die in elk geval onderworpen zijn en blijven aan de jurisdictie van het derde land in kwestie.

| (17) | De partijen moeten in staat zijn naleving van de standaardcontractbepalingen aan te tonen. De gegevensimporteur moet er met name toe worden verplicht een correcte documentatie bij te houden voor de verwerkingsactiviteiten die onder zijn verantwoordelijkheid vallen en om de gegevensexporteur onverwijld in kennis te stellen indien hij om welke reden dan ook niet in staat is aan de bepalingen te voldoen. De gegevensexporteur moet de doorgifte op zijn beurt opschorten en, in de meest ernstige gevallen, het recht hebben de overeenkomst te beëindigen, voor zover deze betrekking heeft op de verwerking van persoonsgegevens op grond van de standaardcontractbepalingen, wanneer de gegevensimporteur inbreuk maakt op de bepalingen of niet in staat is eraan te voldoen. Er moeten specifieke regels gelden indien lokale wetgeving van invloed is op de naleving van de bepalingen. Persoonsgegevens die voorafgaand aan de beëindiging van de overeenkomst zijn doorgegeven en eventuele kopieën daarvan moeten, naargelang de wens van de gegevensexporteur, aan de gegevensexporteur worden terugbezorgd of worden vernietigd. |
| --- | --- |

(17)

De partijen moeten in staat zijn naleving van de standaardcontractbepalingen aan te tonen. De gegevensimporteur moet er met name toe worden verplicht een correcte documentatie bij te houden voor de verwerkingsactiviteiten die onder zijn verantwoordelijkheid vallen en om de gegevensexporteur onverwijld in kennis te stellen indien hij om welke reden dan ook niet in staat is aan de bepalingen te voldoen. De gegevensexporteur moet de doorgifte op zijn beurt opschorten en, in de meest ernstige gevallen, het recht hebben de overeenkomst te beëindigen, voor zover deze betrekking heeft op de verwerking van persoonsgegevens op grond van de standaardcontractbepalingen, wanneer de gegevensimporteur inbreuk maakt op de bepalingen of niet in staat is eraan te voldoen. Er moeten specifieke regels gelden indien lokale wetgeving van invloed is op de naleving van de bepalingen. Persoonsgegevens die voorafgaand aan de beëindiging van de overeenkomst zijn doorgegeven en eventuele kopieën daarvan moeten, naargelang de wens van de gegevensexporteur, aan de gegevensexporteur worden terugbezorgd of worden vernietigd.

| (18) | De standaardcontractbepalingen moeten voorzien in specifieke waarborgen, in het bijzonder in het licht van de rechtspraak van het Hof van Justitie (11). De bedoeling is eventuele effecten van de wetgeving van het derde land van bestemming op de naleving door de gegevensimporteur van de bepalingen aan te pakken, met name wat betreft de wijze waarop moet worden omgegaan met de bindende verzoeken van overheidsinstanties in dat land om verstrekking van de doorgegeven persoonsgegevens. |
| --- | --- |

(18)

De standaardcontractbepalingen moeten voorzien in specifieke waarborgen, in het bijzonder in het licht van de rechtspraak van het Hof van Justitie (11). De bedoeling is eventuele effecten van de wetgeving van het derde land van bestemming op de naleving door de gegevensimporteur van de bepalingen aan te pakken, met name wat betreft de wijze waarop moet worden omgegaan met de bindende verzoeken van overheidsinstanties in dat land om verstrekking van de doorgegeven persoonsgegevens.

| (19) | De doorgifte en verwerking van persoonsgegevens op grond van standaardcontractbepalingen mogen niet plaatsvinden indien de wetten en praktijken van het derde land van bestemming de gegevensimporteur beletten om aan de bepalingen te voldoen. In deze context mogen wetten en praktijken die de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigen en die niet verder gaan dan hetgeen in een democratische samenleving noodzakelijk en evenredig is om een van de in artikel 23, lid 1, van Verordening (EU) 2016/679 genoemde doelstellingen te waarborgen, niet in tegenspraak met de standaardcontractbepalingen worden geacht. De partijen moeten garanderen dat zij, op het moment waarop zij instemmen met de standaardcontractbepalingen, geen reden hebben om aan te nemen dat de wetten en praktijken die op de gegevensimporteur van toepassing zijn niet in overeenstemming zijn met deze vereisten. |
| --- | --- |

(19)

De doorgifte en verwerking van persoonsgegevens op grond van standaardcontractbepalingen mogen niet plaatsvinden indien de wetten en praktijken van het derde land van bestemming de gegevensimporteur beletten om aan de bepalingen te voldoen. In deze context mogen wetten en praktijken die de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigen en die niet verder gaan dan hetgeen in een democratische samenleving noodzakelijk en evenredig is om een van de in artikel 23, lid 1, van Verordening (EU) 2016/679 genoemde doelstellingen te waarborgen, niet in tegenspraak met de standaardcontractbepalingen worden geacht. De partijen moeten garanderen dat zij, op het moment waarop zij instemmen met de standaardcontractbepalingen, geen reden hebben om aan te nemen dat de wetten en praktijken die op de gegevensimporteur van toepassing zijn niet in overeenstemming zijn met deze vereisten.

| (20) | De partijen moeten met name rekening houden met de specifieke omstandigheden van de doorgifte (zoals de inhoud en de duur van de overeenkomst, de aard van de door te geven gegevens, het soort ontvanger, het doel van de verwerking), de wetten en praktijken van het derde land van bestemming die van belang zijn in het licht van de omstandigheden van de doorgifte en eventuele waarborgen die zijn ingesteld als aanvulling op de waarborgen op grond van de standaardcontractbepalingen (met inbegrip van relevante contractuele, technische en organisatorische maatregelen die van toepassing zijn op de toezending en verwerking van persoonsgegevens in het land van bestemming). Wat betreft het effect van die wetten en praktijken op de naleving van de standaardcontractbepalingen kunnen verschillende elementen worden beschouwd als onderdeel van een algemene beoordeling, met inbegrip van betrouwbare informatie over de toepassing van het recht in de praktijk (zoals jurisprudentie en verslagen van onafhankelijke toezichtsinstanties), het bestaan of het ontbreken van verzoeken in dezelfde sector en, onder strikte voorwaarden, de gedocumenteerde praktijkervaring van de gegevensexporteur en/of de gegevensimporteur. |
| --- | --- |

(20)

De partijen moeten met name rekening houden met de specifieke omstandigheden van de doorgifte (zoals de inhoud en de duur van de overeenkomst, de aard van de door te geven gegevens, het soort ontvanger, het doel van de verwerking), de wetten en praktijken van het derde land van bestemming die van belang zijn in het licht van de omstandigheden van de doorgifte en eventuele waarborgen die zijn ingesteld als aanvulling op de waarborgen op grond van de standaardcontractbepalingen (met inbegrip van relevante contractuele, technische en organisatorische maatregelen die van toepassing zijn op de toezending en verwerking van persoonsgegevens in het land van bestemming). Wat betreft het effect van die wetten en praktijken op de naleving van de standaardcontractbepalingen kunnen verschillende elementen worden beschouwd als onderdeel van een algemene beoordeling, met inbegrip van betrouwbare informatie over de toepassing van het recht in de praktijk (zoals jurisprudentie en verslagen van onafhankelijke toezichtsinstanties), het bestaan of het ontbreken van verzoeken in dezelfde sector en, onder strikte voorwaarden, de gedocumenteerde praktijkervaring van de gegevensexporteur en/of de gegevensimporteur.

| (21) | De gegevensimporteur moet de gegevensexporteur in kennis stellen indien hij, na te hebben ingestemd met de standaardcontractbepalingen, reden heeft om aan te nemen dat hij niet in staat is aan de standaardcontractbepalingen te voldoen. Indien de gegevensexporteur een dergelijke kennisgeving ontvangt of op een andere wijze verneemt dat de gegevensimporteur niet langer in staat is aan de standaardcontractbepalingen te voldoen, moet hij passende maatregelen vaststellen om de situatie aan te pakken, indien nodig in overleg met de bevoegde toezichthoudende autoriteit. Dergelijke maatregelen kunnen aanvullende maatregelen zijn die door de gegevensexporteur en/of gegevensimporteur zijn vastgesteld, zoals technische of organisatorische maatregelen om beveiliging en vertrouwelijkheid te waarborgen. De gegevensexporteur moet ertoe worden verplicht de doorgifte op te schorten indien hij van mening is dat er geen passende waarborgen kunnen worden gegarandeerd of indien de bevoegde toezichthoudende autoriteit daartoe opdracht heeft gegeven. |
| --- | --- |

(21)

De gegevensimporteur moet de gegevensexporteur in kennis stellen indien hij, na te hebben ingestemd met de standaardcontractbepalingen, reden heeft om aan te nemen dat hij niet in staat is aan de standaardcontractbepalingen te voldoen. Indien de gegevensexporteur een dergelijke kennisgeving ontvangt of op een andere wijze verneemt dat de gegevensimporteur niet langer in staat is aan de standaardcontractbepalingen te voldoen, moet hij passende maatregelen vaststellen om de situatie aan te pakken, indien nodig in overleg met de bevoegde toezichthoudende autoriteit. Dergelijke maatregelen kunnen aanvullende maatregelen zijn die door de gegevensexporteur en/of gegevensimporteur zijn vastgesteld, zoals technische of organisatorische maatregelen om beveiliging en vertrouwelijkheid te waarborgen. De gegevensexporteur moet ertoe worden verplicht de doorgifte op te schorten indien hij van mening is dat er geen passende waarborgen kunnen worden gegarandeerd of indien de bevoegde toezichthoudende autoriteit daartoe opdracht heeft gegeven.

| (22) | Indien mogelijk moet de gegevensimporteur de gegevensexporteur en de betrokkene in kennis stellen als hij een wettelijk bindend verzoek ontvangt van een overheidsinstantie (met inbegrip van gerechtelijke instanties) ontvangt krachtens het recht van het land van bestemming voor de verstrekking van persoonsgegevens die worden doorgegeven overeenkomstig de standaardcontractbepalingen. Hij moet ze eveneens in kennis stellen als hij verneemt dat deze overheidsinstanties directe inzage hebben gekregen in deze persoonsgegevens, overeenkomstig het recht van het derde land van bestemming. Indien de gegevensimporteur, alle mogelijke inspanningen ten spijt, de gegevensexporteur en/of de betrokkene niet van specifieke verzoeken om verstrekking in kennis kan stellen, moet hij de gegevensexporteur zo veel mogelijk relevante informatie over de verzoeken verstrekken. Bovendien moet de gegevensimporteur de gegevensexporteur regelmatig informatie in geaggregeerde vorm doen toekomen. De gegevensimporteur moet er tevens toe worden verplicht alle ontvangen verzoeken om verstrekking en de daarop gegeven antwoorden te documenteren en die informatie op verzoek ter beschikking van de gegevensexporteur of de bevoegde toezichthoudende autoriteit, of beide, te stellen. Indien de gegevensimporteur na een wettigheidstoetsing van een dergelijk verzoek krachtens het recht van het land van bestemming tot de conclusie komt dat er gegronde redenen bestaan om aan te nemen dat het verzoek onrechtmatig is krachtens het recht van het derde land van bestemming, dan moet hij dit betwisten, in voorkomend geval onder andere door de beschikbare beroepsmogelijkheden optimaal te benutten. Indien de gegevensimporteur niet langer in staat is aan de standaardcontractbepalingen te voldoen, moet hij geval de gegevensexporteur daarvan in kennis stellen, ook wanneer dit het gevolg is van een verzoek om verstrekking. |
| --- | --- |

(22)

Indien mogelijk moet de gegevensimporteur de gegevensexporteur en de betrokkene in kennis stellen als hij een wettelijk bindend verzoek ontvangt van een overheidsinstantie (met inbegrip van gerechtelijke instanties) ontvangt krachtens het recht van het land van bestemming voor de verstrekking van persoonsgegevens die worden doorgegeven overeenkomstig de standaardcontractbepalingen. Hij moet ze eveneens in kennis stellen als hij verneemt dat deze overheidsinstanties directe inzage hebben gekregen in deze persoonsgegevens, overeenkomstig het recht van het derde land van bestemming. Indien de gegevensimporteur, alle mogelijke inspanningen ten spijt, de gegevensexporteur en/of de betrokkene niet van specifieke verzoeken om verstrekking in kennis kan stellen, moet hij de gegevensexporteur zo veel mogelijk relevante informatie over de verzoeken verstrekken. Bovendien moet de gegevensimporteur de gegevensexporteur regelmatig informatie in geaggregeerde vorm doen toekomen. De gegevensimporteur moet er tevens toe worden verplicht alle ontvangen verzoeken om verstrekking en de daarop gegeven antwoorden te documenteren en die informatie op verzoek ter beschikking van de gegevensexporteur of de bevoegde toezichthoudende autoriteit, of beide, te stellen. Indien de gegevensimporteur na een wettigheidstoetsing van een dergelijk verzoek krachtens het recht van het land van bestemming tot de conclusie komt dat er gegronde redenen bestaan om aan te nemen dat het verzoek onrechtmatig is krachtens het recht van het derde land van bestemming, dan moet hij dit betwisten, in voorkomend geval onder andere door de beschikbare beroepsmogelijkheden optimaal te benutten. Indien de gegevensimporteur niet langer in staat is aan de standaardcontractbepalingen te voldoen, moet hij geval de gegevensexporteur daarvan in kennis stellen, ook wanneer dit het gevolg is van een verzoek om verstrekking.

| (23) | Aangezien de behoeften van belanghebbenden, de technologie en de verwerkingen kunnen veranderen, moet de Commissie de werking van de standaardcontractbepalingen evalueren in het licht van de opgedane ervaring, in het kader van de periodieke evaluatie van Verordening (EU) 2016/679 zoals bedoeld in artikel 97 van die verordening. |
| --- | --- |

(23)

Aangezien de behoeften van belanghebbenden, de technologie en de verwerkingen kunnen veranderen, moet de Commissie de werking van de standaardcontractbepalingen evalueren in het licht van de opgedane ervaring, in het kader van de periodieke evaluatie van Verordening (EU) 2016/679 zoals bedoeld in artikel 97 van die verordening.

| (24) | Beschikking 2001/497/EG en Besluit 2010/87/EU moeten drie maanden na de inwerkingtreding van dit besluit worden ingetrokken. Gegevensexporteurs en gegevensimporteurs kunnen voor de toepassing van artikel 46, lid 1, van Verordening (EU) 2016/679 gedurende die periode echter nog steeds gebruikmaken van de in Beschikking 2001/497/EG en Besluit 2010/87/EU opgenomen standaardcontractbepalingen. Gedurende een bijkomende periode van vijftien maanden moeten gegevensexporteurs en gegevensimporteurs, voor de toepassing van artikel 46, lid 1, van Verordening (EU) 2016/679 de in Beschikking 2001/497/EG en Besluit 2010/87/EU opgenomen standaardcontractbepalingen kunnen blijven gebruiken voor de uitvoering van vóór de datum van intrekking van die besluiten tussen hen gesloten overeenkomsten, mits de verwerkingen die het voorwerp zijn van de overeenkomst ongewijzigd blijven en de toepassing van deze standaardcontractbepalingen garandeert dat de doorgifte van persoonsgegevens onderworpen is aan passende waarborgen in de zin van artikel 46, lid 1, van Verordening (EU) 2016/679. Bij relevante wijzigingen van de overeenkomst moet de gegevensexporteur ertoe verplicht worden om zich op een nieuwe grond te baseren voor gegevensdoorgiften uit hoofde van de overeenkomst, met name door de bestaande standaardcontractbepalingen te vervangen door de in de bijlage bij dit besluit opgenomen standaardcontractbepalingen. Hetzelfde moet gelden voor elke uitbesteding aan een (sub)verwerker van onder de overeenkomst vallende verwerkingsverrichtingen. |
| --- | --- |

(24)

Beschikking 2001/497/EG en Besluit 2010/87/EU moeten drie maanden na de inwerkingtreding van dit besluit worden ingetrokken. Gegevensexporteurs en gegevensimporteurs kunnen voor de toepassing van artikel 46, lid 1, van Verordening (EU) 2016/679 gedurende die periode echter nog steeds gebruikmaken van de in Beschikking 2001/497/EG en Besluit 2010/87/EU opgenomen standaardcontractbepalingen. Gedurende een bijkomende periode van vijftien maanden moeten gegevensexporteurs en gegevensimporteurs, voor de toepassing van artikel 46, lid 1, van Verordening (EU) 2016/679 de in Beschikking 2001/497/EG en Besluit 2010/87/EU opgenomen standaardcontractbepalingen kunnen blijven gebruiken voor de uitvoering van vóór de datum van intrekking van die besluiten tussen hen gesloten overeenkomsten, mits de verwerkingen die het voorwerp zijn van de overeenkomst ongewijzigd blijven en de toepassing van deze standaardcontractbepalingen garandeert dat de doorgifte van persoonsgegevens onderworpen is aan passende waarborgen in de zin van artikel 46, lid 1, van Verordening (EU) 2016/679. Bij relevante wijzigingen van de overeenkomst moet de gegevensexporteur ertoe verplicht worden om zich op een nieuwe grond te baseren voor gegevensdoorgiften uit hoofde van de overeenkomst, met name door de bestaande standaardcontractbepalingen te vervangen door de in de bijlage bij dit besluit opgenomen standaardcontractbepalingen. Hetzelfde moet gelden voor elke uitbesteding aan een (sub)verwerker van onder de overeenkomst vallende verwerkingsverrichtingen.

| (25) | De Europese Toezichthouder voor gegevensbescherming en het Europees Comité voor gegevensbescherming zijn overeenkomstig artikel 42, leden 1 en 2, van Verordening (EU) 2018/1725 geraadpleegd en hebben op 14 januari 2021 een gezamenlijk advies (12) uitgebracht dat bij de voorbereiding van dit besluit in aanmerking is genomen. |
| --- | --- |

(25)

De Europese Toezichthouder voor gegevensbescherming en het Europees Comité voor gegevensbescherming zijn overeenkomstig artikel 42, leden 1 en 2, van Verordening (EU) 2018/1725 geraadpleegd en hebben op 14 januari 2021 een gezamenlijk advies (12) uitgebracht dat bij de voorbereiding van dit besluit in aanmerking is genomen.

| (26) | De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 93 van Verordening (EU) 2016/679 ingestelde comité. |
| --- | --- |

(26)

De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 93 van Verordening (EU) 2016/679 ingestelde comité.

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

Artikel 1

1.   De in de bijlage opgenomen standaardcontractbepalingen worden geacht passende waarborgen te bieden in de zin van artikel 46, leden 1 en 2, punt c), van Verordening (EU) 2016/679 voor de doorgifte door een verwerkingsverantwoordelijke of een verwerker van wie de verwerking van persoonsgegevens onder die verordening valt (gegevensexporteur) aan een verwerkingsverantwoordelijke of (sub)verwerker van wie de verwerking van de gegevens niet onder die verordening valt (gegevensimporteur).

2.   In de standaardcontractbepalingen worden ook de rechten en verplichtingen van verwerkingsverantwoordelijken en verwerkers vastgesteld met betrekking tot de aangelegenheden in artikel 28, leden 3 en 4, van Verordening (EU) 2016/679, voor wat de doorgifte van persoonsgegevens van een verwerkingsverantwoordelijke aan een verwerker, of van een verwerker aan een subverwerker betreft.

Artikel 2

Indien de bevoegde autoriteiten van de lidstaten bevoegdheden tot het nemen van corrigerende maatregelen overeenkomstig artikel 58 van Verordening (EU) 2016/679 uitoefenen wanneer de gegevensimporteur onder wetten of praktijken in het derde land van bestemming valt of komt te vallen die hem verhinderen aan de in de bijlage opgenomen standaardcontractbepalingen te voldoen, met de opschorting van of een verbod op gegevensdoorgiften naar derde landen tot gevolg, stelt de betrokken lidstaat de Commissie daarvan onverwijld in kennis, waarna de Commissie de andere lidstaten hiervan in kennis stelt.

Artikel 3

De Commissie evalueert de praktische toepassing van de in de bijlage opgenomen standaardcontractbepalingen op basis van alle beschikbare informatie in het kader van de periodieke evaluatie krachtens artikel 97 van Verordening (EU) 2016/679.

Artikel 4

1.   Dit besluit treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

2.   Beschikking 2001/497/EC wordt ingetrokken met ingang vanaf 27 september 2021.

3.   Besluit 2010/87/EU wordt ingetrokken met ingang vanaf 27 september 2021.

4.   Overeenkomsten die werden gesloten voor 27 september 2021 op basis van Beschikking 2001/497/EG of Besluit 2010/87/EU zullen worden geacht gepaste waarborgen te bieden in de betekenis van artikel 46, lid 1, van Verordening (EU) 2016/679 tot 27 december 2022, mits de verwerkingsverrichtingen die het voorwerp zijn van de overeenkomst onveranderd blijven en de toepassing van die bepalingen garandeert dat de doorgifte van persoonsgegevens onderworpen is aan passende waarborgen.

Gedaan te Brussel, 4 juni 2021.

Voor de Commissie

De voorzitter

Ursula VON DER LEYEN

---

(1)  
  PB L 119 van 4.5.2016, blz. 1.

1

(2)  Artikel 44 van Verordening (EU) 2016/679.

2

(3)  Zie ook het arrest van het Hof van Justitie van 16 juli 2020, Data Protection Commissioner tegen Facebook Ireland Ltd en Maximillian Schrems (“Schrems II”), ECLI:EU:C:2020:559, punt 93.

3

(4)  Overweging 109 van Verordening (EU) 2016/679.

4

(5)  Beschikking 2001/497/EG van de Commissie van 15 juni 2001 betreffende standaardcontractbepalingen voor de doorgifte van persoonsgegevens aan derde landen krachtens Richtlijn 95/46/EG (PB L 181 van 4.7.2001, blz. 19).

5

(6)  Besluit 2010/87/EU van de Commissie van 5 februari 2010 betreffende standaardcontractbepalingen voor de doorgifte van persoonsgegevens aan in derde landen gevestigde verwerkers krachtens Richtlijn 95/46/EG van het Europees Parlement en de Raad (PB L 39 van 12.2.2010, blz. 5).

6

(7)  Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281 van 23.11.1995, blz. 31).

7

(8)  Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39); zie overweging 5.

8

(9)  C(2021)3701.

9

(10)  
  Schrems II, punten 96 en 103. Zie ook Verordening (EU) 2016/679, overwegingen 108 en 114.

10

Schrems II

(11)  
  Schrems II.

11

Schrems II

(12)  Gezamenlijk advies nr. 2/2021 van het EDPB en de EDPS over het uitvoeringsbesluit van de Europese Commissie betreffende standaardcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen voor de aangelegenheden in artikel 46, lid 2, punt c), van Verordening (EU) 2016/679.

12

---

BIJLAGE

STANDAARDCONTRACTBEPALINGEN

AFDELING I

Bepaling 1

Doel en toepassingsgebied

| a) | Deze standaardcontractbepalingen hebben tot doel de naleving van de in Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (AVG, algemene verordening gegevensbescherming) (1) bepaalde vereisten te garanderen voor de doorgifte van persoonsgegevens naar een derde land. |
| --- | --- |

a)

Deze standaardcontractbepalingen hebben tot doel de naleving van de in Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (AVG, algemene verordening gegevensbescherming) (1) bepaalde vereisten te garanderen voor de doorgifte van persoonsgegevens naar een derde land.

| b) | De partijen:






  i) | de natuurlijke of rechtspersonen en de overheidsinstellingen, -organen en -instanties (hierna “entiteiten” genoemd) die de in bijlage I.A bedoelde persoonsgegevens doorgeven (“gegevensexporteur”), en |
| --- | --- | --- |

b)

De partijen:

i)

de natuurlijke of rechtspersonen en de overheidsinstellingen, -organen en -instanties (hierna “entiteiten” genoemd) die de in bijlage I.A bedoelde persoonsgegevens doorgeven (“gegevensexporteur”), en

| ii) | de entiteiten in een derde land die de persoonsgegevens van de gegevensexporteur ontvangen, direct of indirect via een andere entiteit die ook partij is bij deze bepalingen, zoals opgenomen in bijlage I.A (hierna “gegevensimporteur” genoemd) |
| --- | --- |

ii)

de entiteiten in een derde land die de persoonsgegevens van de gegevensexporteur ontvangen, direct of indirect via een andere entiteit die ook partij is bij deze bepalingen, zoals opgenomen in bijlage I.A (hierna “gegevensimporteur” genoemd)

zijn deze standaardcontractbepalingen (hierna: “bepalingen” genoemd) overeengekomen.

| c) | Deze bepalingen zijn van toepassing op de doorgifte van persoonsgegevens zoals opgenomen in bijlage Annex I.B. |
| --- | --- |

c)

Deze bepalingen zijn van toepassing op de doorgifte van persoonsgegevens zoals opgenomen in bijlage Annex I.B.

| d) | Het aanhangsel bij deze bepalingen dat de daarin genoemde bijlagen bevat, maakt integraal deel uit van deze bepalingen. |
| --- | --- |

d)

Het aanhangsel bij deze bepalingen dat de daarin genoemde bijlagen bevat, maakt integraal deel uit van deze bepalingen.

Bepaling 2

Effect en onveranderlijkheid van de bepalingen

| a) | In deze bepalingen worden passende waarborgen vastgesteld, met inbegrip van afdwingbare rechten van betrokkenen en doeltreffende rechtsmiddelen, overeenkomstig artikel 46, lid 1, en artikel 46, lid 2, punt c), van Verordening (EU) 2016/679 alsook, met betrekking tot gegevensdoorgiften van verwerkingsverantwoordelijken aan verwerkers en/of van verwerkers aan verwerkers, standaardcontractbepalingen overeenkomstig artikel 28, lid 7, van Verordening (EU) 2016/679, mits deze niet worden gewijzigd, behalve om de geschikte module(s) te selecteren of om informatie in het aanhangsel toe te voegen of te wijzigen. Dit houdt niet in dat de partijen de in deze bepalingen neergelegde standaardcontractbepalingen niet in een bredere overeenkomst mogen opnemen en/of andere bepalingen of extra waarborgen mogen toevoegen, mits deze niet direct of indirect in tegenspraak zijn met deze bepalingen en geen afbreuk doen aan de grondrechten of de fundamentele vrijheden van de betrokkenen. |
| --- | --- |

a)

In deze bepalingen worden passende waarborgen vastgesteld, met inbegrip van afdwingbare rechten van betrokkenen en doeltreffende rechtsmiddelen, overeenkomstig artikel 46, lid 1, en artikel 46, lid 2, punt c), van Verordening (EU) 2016/679 alsook, met betrekking tot gegevensdoorgiften van verwerkingsverantwoordelijken aan verwerkers en/of van verwerkers aan verwerkers, standaardcontractbepalingen overeenkomstig artikel 28, lid 7, van Verordening (EU) 2016/679, mits deze niet worden gewijzigd, behalve om de geschikte module(s) te selecteren of om informatie in het aanhangsel toe te voegen of te wijzigen. Dit houdt niet in dat de partijen de in deze bepalingen neergelegde standaardcontractbepalingen niet in een bredere overeenkomst mogen opnemen en/of andere bepalingen of extra waarborgen mogen toevoegen, mits deze niet direct of indirect in tegenspraak zijn met deze bepalingen en geen afbreuk doen aan de grondrechten of de fundamentele vrijheden van de betrokkenen.

| b) | Deze bepalingen doen geen afbreuk aan de krachtens Verordening (EU) 2016/679 op de gegevensexporteur rustende verplichtingen. |
| --- | --- |

b)

Deze bepalingen doen geen afbreuk aan de krachtens Verordening (EU) 2016/679 op de gegevensexporteur rustende verplichtingen.

Bepaling 3

Derde-begunstigden

| a) | Betrokkenen mogen zich als derde-begunstigden op deze bepalingen beroepen en deze doen gelden tegen de gegevensexporteur en/of de gegevensimporteur, met de volgende uitzonderingen:






  i) | Bepaling 1, bepaling 2, bepaling 3, bepaling 6, bepaling 7; |
| --- | --- | --- |

a)

Betrokkenen mogen zich als derde-begunstigden op deze bepalingen beroepen en deze doen gelden tegen de gegevensexporteur en/of de gegevensimporteur, met de volgende uitzonderingen:

i)

Bepaling 1, bepaling 2, bepaling 3, bepaling 6, bepaling 7;

| ii) | Bepaling 8 — module een: Bepaling 8.5, punt e) en bepaling 8.9, punt b); Module twee: Bepaling 8.1, punt b), bepaling 8.9, punten a), c), d) en e); Module drie: Bepaling 8.1, punten a), c) en d) en bepaling 8.9, punten a), c), d), e), f) en g); Module vier: Bepaling 8.1, punt b) en bepaling 8.3, punt b); |
| --- | --- |

ii)

Bepaling 8 — module een: Bepaling 8.5, punt e) en bepaling 8.9, punt b); Module twee: Bepaling 8.1, punt b), bepaling 8.9, punten a), c), d) en e); Module drie: Bepaling 8.1, punten a), c) en d) en bepaling 8.9, punten a), c), d), e), f) en g); Module vier: Bepaling 8.1, punt b) en bepaling 8.3, punt b);

| iii) | Bepaling 9 — module twee: Bepaling 9, punten a), c), d) en e); Module drie: Bepaling 9, punten a), c), d) en e); |
| --- | --- |

iii)

Bepaling 9 — module twee: Bepaling 9, punten a), c), d) en e); Module drie: Bepaling 9, punten a), c), d) en e);

| iv) | Bepaling 12 — module een: Bepaling 12, punten a) en d); Modulen twee en drie: Bepaling 12, punten a), d) en f); |
| --- | --- |

iv)

Bepaling 12 — module een: Bepaling 12, punten a) en d); Modulen twee en drie: Bepaling 12, punten a), d) en f);

| v) | Bepaling 13; |
| --- | --- |

v)

Bepaling 13;

| vi) | Bepaling 15.1, punten c), d) en e); |
| --- | --- |

vi)

Bepaling 15.1, punten c), d) en e);

| vii) | Bepaling 16, punt e); |
| --- | --- |

vii)

Bepaling 16, punt e);

| viii) | Bepaling 18 — modulen een, twee en drie: Bepaling 18, punten a) en b); Module vier: Bepaling 18. |
| --- | --- |

viii)

Bepaling 18 — modulen een, twee en drie: Bepaling 18, punten a) en b); Module vier: Bepaling 18.

| b) | Punt a) doet geen afbreuk aan de rechten van betrokkenen krachtens Verordening (EU) 2016/679. |
| --- | --- |

b)

Punt a) doet geen afbreuk aan de rechten van betrokkenen krachtens Verordening (EU) 2016/679.

Bepaling 4

Interpretatie

| a) | Wanneer in deze bepalingen in Verordening (EU) 2016/679 gedefinieerde termen worden gebruikt, hebben die termen dezelfde betekenis als in die verordening. |
| --- | --- |

a)

Wanneer in deze bepalingen in Verordening (EU) 2016/679 gedefinieerde termen worden gebruikt, hebben die termen dezelfde betekenis als in die verordening.

| b) | Deze bepalingen worden gelezen en geïnterpreteerd in het licht van de bepalingen van Verordening (EU) 2016/679. |
| --- | --- |

b)

Deze bepalingen worden gelezen en geïnterpreteerd in het licht van de bepalingen van Verordening (EU) 2016/679.

| c) | Deze bepalingen worden niet geïnterpreteerd op een wijze die in tegenspraak is met de in Verordening (EU) 2016/679 vastgestelde rechten en verplichtingen. |
| --- | --- |

c)

Deze bepalingen worden niet geïnterpreteerd op een wijze die in tegenspraak is met de in Verordening (EU) 2016/679 vastgestelde rechten en verplichtingen.

Bepaling 5

Hiërarchie

In geval van tegenspraak tussen deze bepalingen en de bepalingen van aanverwante overeenkomsten tussen de partijen die bestonden ten tijde van het overeenkomen van deze bepalingen of die daarna werden gesloten, hebben deze bepalingen voorrang.

Bepaling 6

Beschrijving van de doorgifte(n)

De details van de doorgifte(n), en in het bijzonder de categorieën van persoonsgegevens die worden doorgegeven en het doel waarvoor zij worden doorgegeven, worden in bijlage I.B nader gespecificeerd.

Bepaling 7 — Facultatief

Docking-bepaling

| a) | Een entiteit die geen partij is bij deze bepalingen mag, met het akkoord van de partijen, te allen tijde tot deze bepalingen toetreden, hetzij als gegevensexporteur, hetzij als gegevensimporteur, door het aanhangsel in te vullen en bijlage I.A te ondertekenen. |
| --- | --- |

a)

Een entiteit die geen partij is bij deze bepalingen mag, met het akkoord van de partijen, te allen tijde tot deze bepalingen toetreden, hetzij als gegevensexporteur, hetzij als gegevensimporteur, door het aanhangsel in te vullen en bijlage I.A te ondertekenen.

| b) | Als de toetredende entiteit het aanhangsel heeft ingevuld en bijlage I.A heeft ondertekend, wordt zij een partij bij deze bepalingen en krijgt zij de rechten en verplichtingen van een gegevensexporteur of een gegevensimporteur in overeenstemming met haar benoeming in bijlage I.A. |
| --- | --- |

b)

Als de toetredende entiteit het aanhangsel heeft ingevuld en bijlage I.A heeft ondertekend, wordt zij een partij bij deze bepalingen en krijgt zij de rechten en verplichtingen van een gegevensexporteur of een gegevensimporteur in overeenstemming met haar benoeming in bijlage I.A.

| c) | De toetredende entiteit heeft geen rechten of verplichtingen uit hoofde van deze bepalingen uit de periode voordat zij partij werd. |
| --- | --- |

c)

De toetredende entiteit heeft geen rechten of verplichtingen uit hoofde van deze bepalingen uit de periode voordat zij partij werd.

AFDELING II — VERPLICHTINGEN VAN DE PARTIJEN

Bepaling 8

Waarborgen inzake gegevensbescherming

De gegevensexporteur garandeert dat hij redelijke inspanningen heeft geleverd om te bepalen of de gegevensimporteur, door de uitvoering van passende technische en organisatorische maatregelen, in staat is zijn verplichtingen uit hoofde van deze bepalingen na te komen.

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

8.1.   Doelbinding

De gegevensimporteur verwerkt de persoonsgegevens alleen voor het specifieke doel van de doorgifte, zoals opgenomen in bijlage I.B. Hij mag de persoonsgegevens alleen voor een ander doeleinde verwerken:

| i) | indien hij voorafgaande toestemming van de betrokkene heeft verkregen; |
| --- | --- |

i)

indien hij voorafgaande toestemming van de betrokkene heeft verkregen;

| ii) | indien dat noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een rechtsvordering in de context van bepaalde administratieve, regelgevings- of gerechtelijke procedures, of |
| --- | --- |

ii)

indien dat noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een rechtsvordering in de context van bepaalde administratieve, regelgevings- of gerechtelijke procedures, of

| iii) | indien dat noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen. |
| --- | --- |

iii)

indien dat noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen.

8.2.   Transparantie

| a) | Teneinde betrokkenen in staat te stellen hun rechten op een doeltreffende wijze uit te oefenen overeenkomstig bepaling 10, stelt de gegevensimporteur hen rechtstreeks of via de gegevensexporteur in kennis van:






  i) | zijn identiteit en contactgegevens; |
| --- | --- | --- |

a)

Teneinde betrokkenen in staat te stellen hun rechten op een doeltreffende wijze uit te oefenen overeenkomstig bepaling 10, stelt de gegevensimporteur hen rechtstreeks of via de gegevensexporteur in kennis van:

i)

zijn identiteit en contactgegevens;

| ii) | de categorieën van verwerkte persoonsgegevens; |
| --- | --- |

ii)

de categorieën van verwerkte persoonsgegevens;

| iii) | het recht om een kopie van deze bepalingen te verkrijgen; |
| --- | --- |

iii)

het recht om een kopie van deze bepalingen te verkrijgen;

| iv) | wanneer hij voornemens is de persoonsgegevens verder door te geven aan een derde partij, van de ontvanger of categorieën van ontvangers (zo nodig om nuttige informatie te verstrekken), van het doel van een dergelijke verdere doorgifte en van de grond daarvoor overeenkomstig bepaling 8.7. |
| --- | --- |

iv)

wanneer hij voornemens is de persoonsgegevens verder door te geven aan een derde partij, van de ontvanger of categorieën van ontvangers (zo nodig om nuttige informatie te verstrekken), van het doel van een dergelijke verdere doorgifte en van de grond daarvoor overeenkomstig bepaling 8.7.

| b) | Punt a) is niet van toepassing wanneer de betrokkene reeds over de informatie beschikt, ook wanneer die informatie al door de gegevensexporteur is verstrekt, of indien het verstrekken van de informatie onmogelijk blijkt te zijn of een onevenredige inspanning van de gegevensimporteur zou vergen. In het laatste geval maakt de gegevensimporteur de informatie, voor zover mogelijk, openbaar. |
| --- | --- |

b)

Punt a) is niet van toepassing wanneer de betrokkene reeds over de informatie beschikt, ook wanneer die informatie al door de gegevensexporteur is verstrekt, of indien het verstrekken van de informatie onmogelijk blijkt te zijn of een onevenredige inspanning van de gegevensimporteur zou vergen. In het laatste geval maakt de gegevensimporteur de informatie, voor zover mogelijk, openbaar.

| c) | De partijen maken op verzoek een kopie van deze bepalingen, met inbegrip van het door de partijen ingevulde aanhangsel, dat gratis beschikbaar is voor de betrokkene. Voor zover dit noodzakelijk is om bedrijfsgeheimen of andere vertrouwelijke informatie, waaronder persoonsgegevens, te beschermen, mogen de partijen een gedeelte van de tekst van het aanhangsel redigeren voordat zij een kopie delen. Zij moeten daarbij evenwel een relevante samenvatting verstrekken indien de betrokkene anders de inhoud ervan niet zou kunnen begrijpen of zijn/haar rechten niet zou kunnen uitoefenen. Op verzoek delen de partijen de betrokkene de redenen voor het redigeren mee, voor zover mogelijk zonder de geredigeerde informatie te onthullen. |
| --- | --- |

c)

De partijen maken op verzoek een kopie van deze bepalingen, met inbegrip van het door de partijen ingevulde aanhangsel, dat gratis beschikbaar is voor de betrokkene. Voor zover dit noodzakelijk is om bedrijfsgeheimen of andere vertrouwelijke informatie, waaronder persoonsgegevens, te beschermen, mogen de partijen een gedeelte van de tekst van het aanhangsel redigeren voordat zij een kopie delen. Zij moeten daarbij evenwel een relevante samenvatting verstrekken indien de betrokkene anders de inhoud ervan niet zou kunnen begrijpen of zijn/haar rechten niet zou kunnen uitoefenen. Op verzoek delen de partijen de betrokkene de redenen voor het redigeren mee, voor zover mogelijk zonder de geredigeerde informatie te onthullen.

| d) | De punten a) tot en met c) doen geen afbreuk aan de verplichtingen van de gegevensexporteur op grond van de artikelen 13 en 14 van Verordening (EU) 2016/679. |
| --- | --- |

d)

De punten a) tot en met c) doen geen afbreuk aan de verplichtingen van de gegevensexporteur op grond van de artikelen 13 en 14 van Verordening (EU) 2016/679.

8.3.   Nauwkeurigheid en gegevensminimalisering

| a) | Elke partij ziet erop toe dat de persoonsgegevens juist en, waar nodig, actueel zijn. De gegevensimporteur neemt alle redelijke maatregelen om ervoor te zorgen dat, met betrekking tot het doel van de verwerking, onjuiste persoonsgegevens onverwijld worden gewist of gerectificeerd. |
| --- | --- |

a)

Elke partij ziet erop toe dat de persoonsgegevens juist en, waar nodig, actueel zijn. De gegevensimporteur neemt alle redelijke maatregelen om ervoor te zorgen dat, met betrekking tot het doel van de verwerking, onjuiste persoonsgegevens onverwijld worden gewist of gerectificeerd.

| b) | Indien een van de partijen te weten komt dat de persoonsgegevens die zij heeft doorgegeven of ontvangen onjuist of verouderd zijn, stelt zij de andere partij daarvan onverwijld in kennis. |
| --- | --- |

b)

Indien een van de partijen te weten komt dat de persoonsgegevens die zij heeft doorgegeven of ontvangen onjuist of verouderd zijn, stelt zij de andere partij daarvan onverwijld in kennis.

| c) | De gegevensimporteur ziet erop toe dat de persoonsgegevens juist, relevant en beperkt zijn tot wat noodzakelijk is in verband met het doel van de verwerking. |
| --- | --- |

c)

De gegevensimporteur ziet erop toe dat de persoonsgegevens juist, relevant en beperkt zijn tot wat noodzakelijk is in verband met het doel van de verwerking.

8.4.   Opslagbeperking

De gegevensimporteur bewaart de persoonsgegevens niet langer dan noodzakelijk is voor het doel waarvoor zij worden verwerkt. Om naleving van deze verplichting te waarborgen, neemt hij passende technische of organisatorische maatregelen, zoals het wissen of anonimiseren (2) van de gegevens en alle backups na afloop van de bewaartermijn.

8.5.   Beveiliging van de verwerking

| a) | De gegevensimporteur en, tijdens de toezending, ook de gegevensexporteur, neemt passende technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen, met inbegrip van bescherming tegen een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking of toegang (“inbreuk in verband met persoonsgegevens”). Bij het beoordelen van het passende beveiligingsniveau houden zij naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, reikwijdte, context en doeleinden van de verwerking, en met de risico’s die de verwerking met zich meebrengt voor de betrokkene. De partijen overwegen met name gebruik te maken van encryptie of pseudonimisering, ook tijdens toezending, waarbij het doel van de verwerking op die manier kan worden verwezenlijkt. |
| --- | --- |

a)

De gegevensimporteur en, tijdens de toezending, ook de gegevensexporteur, neemt passende technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen, met inbegrip van bescherming tegen een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking of toegang (“inbreuk in verband met persoonsgegevens”). Bij het beoordelen van het passende beveiligingsniveau houden zij naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, reikwijdte, context en doeleinden van de verwerking, en met de risico’s die de verwerking met zich meebrengt voor de betrokkene. De partijen overwegen met name gebruik te maken van encryptie of pseudonimisering, ook tijdens toezending, waarbij het doel van de verwerking op die manier kan worden verwezenlijkt.

| b) | De partijen zijn de in bijlage II bedoelde technische en organisatorische maatregelen overeengekomen. De gegevensimporteur voert regelmatig controles uit om ervoor te zorgen dat deze maatregelen een passend beveiligingsniveau blijven bieden. |
| --- | --- |

b)

De partijen zijn de in bijlage II bedoelde technische en organisatorische maatregelen overeengekomen. De gegevensimporteur voert regelmatig controles uit om ervoor te zorgen dat deze maatregelen een passend beveiligingsniveau blijven bieden.

| c) | De gegevensimporteur waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden. |
| --- | --- |

c)

De gegevensimporteur waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.

| d) | Bij een inbreuk in verband met persoonsgegevens die betrekking heeft op persoonsgegevens die op grond van deze bepalingen door de gegevensimporteur worden verwerkt, neemt de gegevensimporteur passende maatregelen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder maatregelen om mogelijke negatieve gevolgen te beperken. |
| --- | --- |

d)

Bij een inbreuk in verband met persoonsgegevens die betrekking heeft op persoonsgegevens die op grond van deze bepalingen door de gegevensimporteur worden verwerkt, neemt de gegevensimporteur passende maatregelen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder maatregelen om mogelijke negatieve gevolgen te beperken.

| e) | Bij een inbreuk in verband met persoonsgegevens die waarschijnlijk risico’s voor de rechten en vrijheden van natuurlijke personen met zich meebrengt, stelt de gegevensimporteur zowel de gegevensexporteur als de bevoegde toezichthoudende autoriteit krachtens bepaling 13 hiervan onverwijld in kennis. Een dergelijke kennisgeving bevat i) een beschrijving van de aard van de inbreuk (waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie), ii) de waarschijnlijke gevolgen ervan, iii) de maatregelen die zijn voorgesteld of genomen om de inbreuk aan te pakken en iv) de gegevens van een contactpunt bij wie meer informatie kan worden verkregen. Voor zover het voor de gegevensimporteur niet mogelijk is om alle informatie gelijktijdig te verstrekken, mag hij dit zonder onredelijke vertraging in stappen doen. |
| --- | --- |

e)

Bij een inbreuk in verband met persoonsgegevens die waarschijnlijk risico’s voor de rechten en vrijheden van natuurlijke personen met zich meebrengt, stelt de gegevensimporteur zowel de gegevensexporteur als de bevoegde toezichthoudende autoriteit krachtens bepaling 13 hiervan onverwijld in kennis. Een dergelijke kennisgeving bevat i) een beschrijving van de aard van de inbreuk (waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie), ii) de waarschijnlijke gevolgen ervan, iii) de maatregelen die zijn voorgesteld of genomen om de inbreuk aan te pakken en iv) de gegevens van een contactpunt bij wie meer informatie kan worden verkregen. Voor zover het voor de gegevensimporteur niet mogelijk is om alle informatie gelijktijdig te verstrekken, mag hij dit zonder onredelijke vertraging in stappen doen.

| f) | Bij een inbreuk in verband met persoonsgegevens die waarschijnlijk grote risico’s voor de rechten en vrijheden van natuurlijke personen met zich meebrengt, stelt de gegevensimporteur tevens onverwijld de betrokkenen van de inbreuk in verband met persoonsgegevens en van de aard daarvan in kennis, indien nodig in samenwerking met de gegevensexporteur, samen met de in punt e), ii) tot en met iv), bedoelde informatie, tenzij de gegevensimporteur maatregelen heeft genomen om het risico voor de rechten of vrijheden van natuurlijke personen aanzienlijk te beperken of deze kennisgeving onredelijke inspanningen zou vergen. In het laatste geval doet de gegevensimporteur in plaats daarvan een openbare mededeling of neemt hij een soortgelijke maatregel om het publiek van de inbreuk in verband met persoonsgegevens op de hoogte te brengen. |
| --- | --- |

f)

Bij een inbreuk in verband met persoonsgegevens die waarschijnlijk grote risico’s voor de rechten en vrijheden van natuurlijke personen met zich meebrengt, stelt de gegevensimporteur tevens onverwijld de betrokkenen van de inbreuk in verband met persoonsgegevens en van de aard daarvan in kennis, indien nodig in samenwerking met de gegevensexporteur, samen met de in punt e), ii) tot en met iv), bedoelde informatie, tenzij de gegevensimporteur maatregelen heeft genomen om het risico voor de rechten of vrijheden van natuurlijke personen aanzienlijk te beperken of deze kennisgeving onredelijke inspanningen zou vergen. In het laatste geval doet de gegevensimporteur in plaats daarvan een openbare mededeling of neemt hij een soortgelijke maatregel om het publiek van de inbreuk in verband met persoonsgegevens op de hoogte te brengen.

| g) | De gegevensimporteur documenteert alle relevante feiten omtrent de inbreuk in verband met persoonsgegevens, waaronder de effecten daarvan en de genomen corrigerende maatregelen, en houdt daarvan een register bij. |
| --- | --- |

g)

De gegevensimporteur documenteert alle relevante feiten omtrent de inbreuk in verband met persoonsgegevens, waaronder de effecten daarvan en de genomen corrigerende maatregelen, en houdt daarvan een register bij.

8.6.   Gevoelige gegevens

Indien de doorgifte persoonsgegevens betreft waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond, genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid, of gegevens betreffende strafrechtelijke veroordelingen of strafbare feiten (hierna “gevoelige gegevens” genoemd) blijken, past de gegevensimporteur bepaalde beperkingen en/of extra waarborgen toe die aan de specifieke aard van de gegevens en de bijbehorende risico’s zijn aangepast. Dit kunnen onder andere beperkingen zijn die worden opgelegd aan personeel dat toegang heeft tot de persoonsgegevens, of aanvullende beveiligingsmaatregelen (zoals pseudonimisering) en/of aanvullende beperkingen met betrekking tot verdere verstrekking.

8.7.   Verdere doorgiften

De gegevensimporteur verstrekt de persoonsgegevens niet aan een derde partij die is gevestigd buiten de Europese Unie (3) (in hetzelfde land als de gegevensimporteur of in een ander derde land; hierna “verdere doorgifte” genoemd), tenzij de derde partij aan deze bepalingen is gebonden of ermee instemt daaraan gebonden te zijn, op grond van de juiste module. Anders mag een verdere doorgifte door de gegevensimporteur alleen plaatsvinden indien:

| i) | die naar een land is dat profiteert van een adequaatheidsbesluit overeenkomstig artikel 45 van Verordening (EU) 2016/679 waar de verdere doorgifte onder valt; |
| --- | --- |

i)

die naar een land is dat profiteert van een adequaatheidsbesluit overeenkomstig artikel 45 van Verordening (EU) 2016/679 waar de verdere doorgifte onder valt;

| ii) | de derde partij anderszins voor passende waarborgen overeenkomstig artikel 46 of 47 van Verordening (EU) 2016/679 zorgt met betrekking tot de verwerking in kwestie; |
| --- | --- |

ii)

de derde partij anderszins voor passende waarborgen overeenkomstig artikel 46 of 47 van Verordening (EU) 2016/679 zorgt met betrekking tot de verwerking in kwestie;

| iii) | de derde partij met de gegevensimporteur een bindend instrument aangaat waarmee hetzelfde gegevensbeschermingsniveau als krachtens deze bepalingen wordt gewaarborgd en de gegevensimporteur een kopie van deze waarborgen aan de gegevensexporteur doet toekomen; |
| --- | --- |

iii)

de derde partij met de gegevensimporteur een bindend instrument aangaat waarmee hetzelfde gegevensbeschermingsniveau als krachtens deze bepalingen wordt gewaarborgd en de gegevensimporteur een kopie van deze waarborgen aan de gegevensexporteur doet toekomen;

| iv) | dat noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een rechtsvordering in de context van bepaalde administratieve, regelgevings- of gerechtelijke procedures; |
| --- | --- |

iv)

dat noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een rechtsvordering in de context van bepaalde administratieve, regelgevings- of gerechtelijke procedures;

| v) | dat noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen, of, |
| --- | --- |

v)

dat noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen, of,

| vi) | wanneer geen van de andere voorwaarden is vervuld, de gegevensimporteur uitdrukkelijke toestemming heeft verkregen voor een verdere doorgifte in een specifieke situatie van de betrokkene, nadat hij hem/haar in kennis heeft gesteld over het doel ervan, over de identiteit van de ontvanger en over de mogelijke risico’s van een dergelijke doorgifte aan hem/haar als gevolg van het ontbreken van passende waarborgen inzake gegevensbescherming. In dit geval informeert de gegevensimporteur de gegevensexporteur en zendt hij, op verzoek van deze laatste, hem een kopie van de aan de betrokkene verstrekte informatie. |
| --- | --- |

vi)

wanneer geen van de andere voorwaarden is vervuld, de gegevensimporteur uitdrukkelijke toestemming heeft verkregen voor een verdere doorgifte in een specifieke situatie van de betrokkene, nadat hij hem/haar in kennis heeft gesteld over het doel ervan, over de identiteit van de ontvanger en over de mogelijke risico’s van een dergelijke doorgifte aan hem/haar als gevolg van het ontbreken van passende waarborgen inzake gegevensbescherming. In dit geval informeert de gegevensimporteur de gegevensexporteur en zendt hij, op verzoek van deze laatste, hem een kopie van de aan de betrokkene verstrekte informatie.

Verdere doorgiften mogen alleen plaatsvinden indien de gegevensimporteur zich aan alle overige waarborgen krachtens deze bepalingen houdt, met name doelbinding.

8.8.   Verwerking onder gezag van de gegevensimporteur

De gegevensimporteur ziet erop toe dat eenieder die onder zijn gezag handelt, met inbegrip van verwerkers, de gegevens uitsluitend volgens zijn opdracht verwerkt.

8.9.   Documentatie en naleving

| a) | Elke partij moet de naleving van zijn verplichtingen op grond van deze bepalingen kunnen aantonen. De gegevensimporteur houdt verwerkingsactiviteiten die onder zijn verantwoordelijkheid hebben plaatsgevonden naar behoren bij. |
| --- | --- |

a)

Elke partij moet de naleving van zijn verplichtingen op grond van deze bepalingen kunnen aantonen. De gegevensimporteur houdt verwerkingsactiviteiten die onder zijn verantwoordelijkheid hebben plaatsgevonden naar behoren bij.

| b) | De gegevensimporteur stelt deze documenten op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit. |
| --- | --- |

b)

De gegevensimporteur stelt deze documenten op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit.

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

8.1.   Instructies

| a) | De gegevensimporteur verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de gegevensexporteur. De gegevensexporteur mag dergelijke instructies geven gedurende de duur van de overeenkomst. |
| --- | --- |

a)

De gegevensimporteur verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de gegevensexporteur. De gegevensexporteur mag dergelijke instructies geven gedurende de duur van de overeenkomst.

| b) | De gegevensimporteur stelt de gegevensexporteur onmiddellijk in kennis indien hij niet in staat is deze instructies op te volgen. |
| --- | --- |

b)

De gegevensimporteur stelt de gegevensexporteur onmiddellijk in kennis indien hij niet in staat is deze instructies op te volgen.

8.2.   Doelbinding

De gegevensimporteur verwerkt de persoonsgegevens alleen voor het specifieke doel van de doorgifte, zoals opgenomen bijlage I.B, tenzij op basis van verdere instructies van de gegevensexporteur.

8.3.   Transparantie

De gegevensexporteur maakt op verzoek een kopie van deze bepalingen, met inbegrip van het door de partijen ingevulde aanhangsel, dat gratis beschikbaar is voor de betrokkene. Voor zover dit noodzakelijk is om bedrijfsgeheimen of andere vertrouwelijke informatie, waaronder de in bijlage II beschreven maatregelen en persoonsgegevens, te beschermen, mag de gegevensexporteur een gedeelte van de tekst van het aanhangsel bij deze bepalingen redigeren voordat hij een kopie deelt, maar hij moet daarbij een relevante samenvatting verstrekken indien de betrokkene anders de inhoud ervan niet zou kunnen begrijpen of zijn/haar rechten niet zou kunnen uitoefenen. Op verzoek delen de partijen de betrokkene de redenen voor het redigeren mee, voor zover mogelijk zonder de geredigeerde informatie te onthullen. Deze bepaling doet geen afbreuk aan de verplichtingen van de gegevensexporteur op grond van de artikelen 13 en 14 van Verordening (EU) 2016/679.

8.4.   Nauwkeurigheid

Indien de gegevensimporteur te weten komt dat de persoonsgegevens die hij heeft ontvangen onjuist of verouderd zijn, stelt hij de gegevensexporteur daarvan onverwijld in kennis. In dit geval werkt de gegevensimporteur samen met de gegevensexporteur om de gegevens te wissen of te rectificeren.

8.5.   Duur van verwerking en wissing of terugbezorging van gegevens

Verwerking door de gegevensimporteur vindt alleen plaats voor de in bijlage I.B opgegeven duur. Na afloop van de verrichting van de verwerkingsdiensten wist de gegevensimporteur, naargelang de wens van de gegevensexporteur, alle namens de gegevensexporteur verwerkte persoonsgegevens en verzekert hij de gegevensexporteur dat hij dat heeft gedaan, of geeft hij de gegevensexporteur alle namens hem verwerkte persoonsgegevens terug en verwijdert bestaande kopieën. Totdat de gegevens zijn gewist of teruggezonden, blijft de gegevensimporteur ervoor zorgen dat aan deze bepalingen wordt voldaan. In geval van lokaal recht dat op de gegevensimporteur van toepassing is en op basis waarvan teruggave of wissing van de doorgegeven persoonsgegevens verboden is, garandeert de gegevensimporteur dat hij deze bepalingen zal blijven naleven en de persoonsgegevens alleen zal verwerken voor zover en zolang dat naar dat lokaal recht is vereist. Dit doet geen afbreuk aan bepaling 14, met name het vereiste voor de gegevensimporteur krachtens bepaling 14, punt e), om de gegevensexporteur gedurende de hele looptijd van de overeenkomst in kennis te stellen als hij redenen heeft om aan te nemen dat hij onder wetten of praktijken valt of is komen te vallen die niet overeenstemmen met de vereisten uit hoofde van bepaling 14, punt a).

8.6.   Beveiliging van de verwerking

| a) | De gegevensimporteur en, tijdens de toezending, ook de gegevensexporteur, neemt passende technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen, met inbegrip van bescherming tegen een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot die gegevens (hierna “inbreuk in verband met persoonsgegevens” genoemd). Bij het beoordelen van het passende beveiligingsniveau houden de partijen naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, reikwijdte, context en doeleinden van de verwerking, en met de risico’s die de verwerking met zich meebrengt voor de betrokkenen. De partijen overwegen met name gebruik te maken van encryptie of pseudonimisering, ook tijdens toezending, waarbij het doel van de verwerking op die manier kan worden verwezenlijkt. Bij pseudonimisering blijven de aanvullende gegevens voor het koppelen van de persoonsgegevens aan een bepaalde betrokkene waar mogelijk onder de exclusieve controle van de gegevensexporteur. Bij de naleving van zijn verplichting uit hoofde van dit punt voert de gegevensimporteur ten minste de in bijlage II vastgestelde technische en organisatorische maatregelen uit. De gegevensimporteur voert regelmatig controles uit om ervoor te zorgen dat deze maatregelen een passend beveiligingsniveau blijven bieden. |
| --- | --- |

a)

De gegevensimporteur en, tijdens de toezending, ook de gegevensexporteur, neemt passende technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen, met inbegrip van bescherming tegen een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot die gegevens (hierna “inbreuk in verband met persoonsgegevens” genoemd). Bij het beoordelen van het passende beveiligingsniveau houden de partijen naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, reikwijdte, context en doeleinden van de verwerking, en met de risico’s die de verwerking met zich meebrengt voor de betrokkenen. De partijen overwegen met name gebruik te maken van encryptie of pseudonimisering, ook tijdens toezending, waarbij het doel van de verwerking op die manier kan worden verwezenlijkt. Bij pseudonimisering blijven de aanvullende gegevens voor het koppelen van de persoonsgegevens aan een bepaalde betrokkene waar mogelijk onder de exclusieve controle van de gegevensexporteur. Bij de naleving van zijn verplichting uit hoofde van dit punt voert de gegevensimporteur ten minste de in bijlage II vastgestelde technische en organisatorische maatregelen uit. De gegevensimporteur voert regelmatig controles uit om ervoor te zorgen dat deze maatregelen een passend beveiligingsniveau blijven bieden.

| b) | De gegevensimporteur verleent zijn personeel alleen toegang tot de persoonsgegevens voor zover dit strikt noodzakelijk is voor de uitvoering, het beheer en de follow-up van de overeenkomst. Hij waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden. |
| --- | --- |

b)

De gegevensimporteur verleent zijn personeel alleen toegang tot de persoonsgegevens voor zover dit strikt noodzakelijk is voor de uitvoering, het beheer en de follow-up van de overeenkomst. Hij waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.

| c) | Bij een inbreuk in verband met persoonsgegevens met betrekking tot persoonsgegevens die op grond van deze bepalingen door de gegevensimporteur worden verwerkt, neemt de gegevensimporteur passende maatregelen om de inbreuk aan te pakken, waaronder maatregelen om de negatieve gevolgen ervan te beperken. Nadat de gegevensimporteur kennis heeft genomen van de inbreuk, stelt hij ook de gegevensexporteur daarvan onverwijld in kennis. Een dergelijke kennisgeving bevat de gegevens van een contactpunt bij wie meer informatie kan worden verkregen, een beschrijving van de aard van de inbreuk waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie), de waarschijnlijke gevolgen ervan en de maatregelen die zijn voorgesteld of genomen om de inbreuk aan te pakken waaronder, in voorkomend geval, maatregelen om mogelijke negatieve gevolgen te beperken. Wanneer en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, bevat de initiële kennisgeving de op dat moment beschikbare informatie en zal verdere informatie, zodra die beschikbaar is, vervolgens onverwijld worden verstrekt. |
| --- | --- |

c)

Bij een inbreuk in verband met persoonsgegevens met betrekking tot persoonsgegevens die op grond van deze bepalingen door de gegevensimporteur worden verwerkt, neemt de gegevensimporteur passende maatregelen om de inbreuk aan te pakken, waaronder maatregelen om de negatieve gevolgen ervan te beperken. Nadat de gegevensimporteur kennis heeft genomen van de inbreuk, stelt hij ook de gegevensexporteur daarvan onverwijld in kennis. Een dergelijke kennisgeving bevat de gegevens van een contactpunt bij wie meer informatie kan worden verkregen, een beschrijving van de aard van de inbreuk waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie), de waarschijnlijke gevolgen ervan en de maatregelen die zijn voorgesteld of genomen om de inbreuk aan te pakken waaronder, in voorkomend geval, maatregelen om mogelijke negatieve gevolgen te beperken. Wanneer en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, bevat de initiële kennisgeving de op dat moment beschikbare informatie en zal verdere informatie, zodra die beschikbaar is, vervolgens onverwijld worden verstrekt.

| d) | Rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, werkt de gegevensimporteur samen met en verleent hij bijstand aan de gegevensexporteur om deze in staat te stellen zijn verplichtingen krachtens Verordening (EU) 2016/679 na te komen, met name om de bevoegde toezichthoudende autoriteit en de getroffen betrokkenen in kennis te stellen. |
| --- | --- |

d)

Rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, werkt de gegevensimporteur samen met en verleent hij bijstand aan de gegevensexporteur om deze in staat te stellen zijn verplichtingen krachtens Verordening (EU) 2016/679 na te komen, met name om de bevoegde toezichthoudende autoriteit en de getroffen betrokkenen in kennis te stellen.

8.7.   Gevoelige gegevens

Indien de doorgifte persoonsgegevens betreft waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond, genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid, of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (hierna “gevoelige gegevens” genoemd) blijken, past de gegevensimporteur de in bijlage I.B omschreven specifieke beperkingen en/of extra waarborgen toe.

8.8.   Verdere doorgiften

De gegevensimporteur verstrekt de persoonsgegevens uitsluitend aan een derde partij na schriftelijke instructies van de gegevensexporteur. Bovendien worden de gegevens alleen aan een derde partij verstrekt die is gevestigd buiten de Europese Unie (4) (in hetzelfde land als de gegevensimporteur of in een ander derde land; hierna “verdere doorgifte” genoemd), indien de derde partij aan deze bepalingen is gebonden of ermee instemt daaraan gebonden te zijn, op grond van de juiste module, of indien:

| i) | de verdere doorgifte naar een land is dat profiteert van een adequaatheidsbesluit overeenkomstig artikel 45 van Verordening (EU) 2016/679 waar de verdere doorgifte onder valt; |
| --- | --- |

i)

de verdere doorgifte naar een land is dat profiteert van een adequaatheidsbesluit overeenkomstig artikel 45 van Verordening (EU) 2016/679 waar de verdere doorgifte onder valt;

| ii) | de derde partij anderszins voor passende waarborgen overeenkomstig artikel 46 of 47 van Verordening (EU) 2016/679 zorgt met betrekking tot de verwerking in kwestie; |
| --- | --- |

ii)

de derde partij anderszins voor passende waarborgen overeenkomstig artikel 46 of 47 van Verordening (EU) 2016/679 zorgt met betrekking tot de verwerking in kwestie;

| iii) | de verdere doorgifte noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een rechtsvordering in de context van bepaalde administratieve, regelgevings- of gerechtelijke procedures, of |
| --- | --- |

iii)

de verdere doorgifte noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een rechtsvordering in de context van bepaalde administratieve, regelgevings- of gerechtelijke procedures, of

| iv) | de verdere doorgifte noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen. |
| --- | --- |

iv)

de verdere doorgifte noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen.

Verdere doorgiften mogen alleen plaatsvinden indien de gegevensimporteur zich aan alle overige waarborgen krachtens deze bepalingen houdt, met name doelbinding.

8.9.   Documentatie en naleving

| a) | De gegevensimporteur handelt vragen van de gegevensexporteur in verband met de verwerking op grond van deze bepalingen onverwijld en op passende wijze af. |
| --- | --- |

a)

De gegevensimporteur handelt vragen van de gegevensexporteur in verband met de verwerking op grond van deze bepalingen onverwijld en op passende wijze af.

| b) | De partijen moeten de naleving van deze bepalingen kunnen aantonen. De gegevensimporteur houdt met name passende documentatie bij over de verwerkingsactiviteiten die onder zijn verantwoordelijkheid namens de gegevensexporteur hebben plaatsgevonden. |
| --- | --- |

b)

De partijen moeten de naleving van deze bepalingen kunnen aantonen. De gegevensimporteur houdt met name passende documentatie bij over de verwerkingsactiviteiten die onder zijn verantwoordelijkheid namens de gegevensexporteur hebben plaatsgevonden.

| c) | Op verzoek van de gegevensexporteur stelt de gegevensimporteur de gegevensexporteur alle informatie ter beschikking die nodig is om naleving van de in deze bepalingen vastgestelde verplichtingen aan te tonen, audits van de onder deze bepalingen vallende verwerkingsactiviteiten mogelijk te maken en eraan bij te dragen, en dit met redelijke tussenpozen of wanneer er aanwijzingen van niet-naleving zijn. Bij het nemen van een besluit over een toetsing of audit kan de gegevensexporteur rekening houden met relevante certificeringen waarover de gegevensimporteur beschikt. |
| --- | --- |

c)

Op verzoek van de gegevensexporteur stelt de gegevensimporteur de gegevensexporteur alle informatie ter beschikking die nodig is om naleving van de in deze bepalingen vastgestelde verplichtingen aan te tonen, audits van de onder deze bepalingen vallende verwerkingsactiviteiten mogelijk te maken en eraan bij te dragen, en dit met redelijke tussenpozen of wanneer er aanwijzingen van niet-naleving zijn. Bij het nemen van een besluit over een toetsing of audit kan de gegevensexporteur rekening houden met relevante certificeringen waarover de gegevensimporteur beschikt.

| d) | De gegevensexporteur kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke controleur daartoe te machtigen. Audits kunnen inspecties in de bedrijfsruimten of de fysieke voorzieningen van de gegevensimporteur omvatten en worden, in voorkomend geval, uitgevoerd met een redelijke aankondiging vooraf. |
| --- | --- |

d)

De gegevensexporteur kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke controleur daartoe te machtigen. Audits kunnen inspecties in de bedrijfsruimten of de fysieke voorzieningen van de gegevensimporteur omvatten en worden, in voorkomend geval, uitgevoerd met een redelijke aankondiging vooraf.

| e) | De partijen stellen de in de punten b) en c) bedoelde informatie, met inbegrip van de resultaten van eventuele audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit. |
| --- | --- |

e)

De partijen stellen de in de punten b) en c) bedoelde informatie, met inbegrip van de resultaten van eventuele audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit.

MODULE DRIE: Doorgifte tussen twee verwerkers

8.1.   Instructies

| a) | De gegevensexporteur heeft de gegevensimporteur ervan in kennis gesteld dat hij als verwerker optreedt op basis van instructies van zijn verwerkingsverantwoordelijke(n), die de gegevensexporteur voorafgaand aan de verwerking ter beschikking zal stellen van de gegevensimporteur. |
| --- | --- |

a)

De gegevensexporteur heeft de gegevensimporteur ervan in kennis gesteld dat hij als verwerker optreedt op basis van instructies van zijn verwerkingsverantwoordelijke(n), die de gegevensexporteur voorafgaand aan de verwerking ter beschikking zal stellen van de gegevensimporteur.

| b) | De gegevensimporteur verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, zoals door de gegevensexporteur meegedeeld aan de gegevensimporteur, en van eventuele bijkomende schriftelijke instructies van de gegevensexporteur. Dergelijke bijkomende instructies zijn niet in tegenspraak met de instructies van de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke of de gegevensexporteur kan gedurende de duur van de overeenkomst verdere schriftelijke instructies met betrekking tot de gegevensverwerking geven. |
| --- | --- |

b)

De gegevensimporteur verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, zoals door de gegevensexporteur meegedeeld aan de gegevensimporteur, en van eventuele bijkomende schriftelijke instructies van de gegevensexporteur. Dergelijke bijkomende instructies zijn niet in tegenspraak met de instructies van de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke of de gegevensexporteur kan gedurende de duur van de overeenkomst verdere schriftelijke instructies met betrekking tot de gegevensverwerking geven.

| c) | De gegevensimporteur stelt de gegevensexporteur onmiddellijk in kennis indien hij niet in staat is deze instructies op te volgen. Indien de gegevensimporteur niet in staat is de instructies van de verwerkingsverantwoordelijke te volgen, stelt de gegevensexporteur de verwerkingsverantwoordelijke daarvan onverwijld in kennis. |
| --- | --- |

c)

De gegevensimporteur stelt de gegevensexporteur onmiddellijk in kennis indien hij niet in staat is deze instructies op te volgen. Indien de gegevensimporteur niet in staat is de instructies van de verwerkingsverantwoordelijke te volgen, stelt de gegevensexporteur de verwerkingsverantwoordelijke daarvan onverwijld in kennis.

| d) | De gegevensexporteur garandeert dat hij de gegevensimporteur dezelfde verplichtingen inzake gegevensbescherming heeft opgelegd als die welke zijn vastgelegd in de overeenkomst of andere rechtshandeling krachtens Unierecht of lidstatelijk recht tussen de verwerkingsverantwoordelijke en de gegevensexporteur (5). |
| --- | --- |

d)

De gegevensexporteur garandeert dat hij de gegevensimporteur dezelfde verplichtingen inzake gegevensbescherming heeft opgelegd als die welke zijn vastgelegd in de overeenkomst of andere rechtshandeling krachtens Unierecht of lidstatelijk recht tussen de verwerkingsverantwoordelijke en de gegevensexporteur (5).

8.2.   Doelbinding

De gegevensimporteur verwerkt de persoonsgegevens alleen voor het specifieke doel van de doorgifte, zoals opgenomen in bijlage I.B, tenzij op basis van verdere instructies van de verwerkingsverantwoordelijke, zoals door de gegevensexporteur meegedeeld aan de gegevensimporteur, of van de gegevensexporteur.

8.3.   Transparantie

De gegevensexporteur maakt op verzoek een kopie van deze bepalingen, met inbegrip van het door de partijen ingevulde aanhangsel, dat gratis beschikbaar is voor de betrokkene. Voor zover dit noodzakelijk is om bedrijfsgeheimen of andere vertrouwelijke informatie, waaronder persoonsgegevens, te beschermen, mogen gegevensimporteurs een gedeelte van de tekst van het aanhangsel redigeren voordat zij een kopie delen. Zij moeten daarbij evenwel een relevante samenvatting verstrekken indien de betrokkene anders de inhoud ervan niet zou kunnen begrijpen of zijn/haar rechten niet zou kunnen uitoefenen. Op verzoek delen de partijen de betrokkene de redenen voor het redigeren mee, voor zover mogelijk zonder de geredigeerde informatie te onthullen.

8.4.   Nauwkeurigheid

Indien de gegevensimporteur te weten komt dat de persoonsgegevens die hij heeft ontvangen onjuist of verouderd zijn, stelt hij de gegevensexporteur daarvan onverwijld in kennis. In dit geval werkt de gegevensimporteur samen met de gegevensexporteur om de gegevens te rectificeren of te wissen.

8.5.   Duur van verwerking en wissing of terugbezorging van gegevens

Verwerking door de gegevensimporteur vindt alleen plaats voor de in bijlage I.B opgegeven duur. Na afloop van de verrichting van de verwerkingsdiensten wist de gegevensimporteur, naargelang de wens van de gegevensexporteur, alle namens de verwerkingsverantwoordelijke verwerkte persoonsgegevens en verzekert hij de gegevensexporteur ervan dat hij dat heeft gedaan, of hij geeft de gegevensexporteur alle namens hem verwerkte persoonsgegevens terug en verwijdert bestaande kopieën. Totdat de gegevens zijn gewist of teruggezonden, blijft de gegevensimporteur ervoor zorgen dat aan deze bepalingen wordt voldaan. In geval van lokaal recht dat op de gegevensimporteur van toepassing is en op basis waarvan teruggave of wissing van de doorgegeven persoonsgegevens verboden is, garandeert de gegevensimporteur dat hij deze bepalingen zal blijven naleven en de persoonsgegevens alleen zal verwerken voor zover en zolang dat naar dat lokaal recht is vereist. Dit doet geen afbreuk aan bepaling 14, met name het vereiste voor de gegevensimporteur krachtens bepaling 14, punt e), om de gegevensexporteur gedurende de hele looptijd van de overeenkomst in kennis te stellen als hij redenen heeft om aan te nemen dat hij onder wetten of praktijken valt of is komen te vallen die niet overeenstemmen met de vereisten uit hoofde van bepaling 14, punt a).

8.6.   Beveiliging van de verwerking

| a) | De gegevensimporteur en, tijdens de toezending, ook de gegevensexporteur, neemt passende technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen, met inbegrip van bescherming tegen een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot die gegevens (hierna “inbreuk in verband met persoonsgegevens” genoemd). Bij het beoordelen van het passende beveiligingsniveau houden zij naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, reikwijdte, context en doeleinden van de verwerking, en met de risico’s die de verwerking met zich meebrengt voor de betrokkene. De partijen overwegen met name gebruik te maken van encryptie of pseudonimisering, ook tijdens toezending, waarbij het doel van de verwerking op die manier kan worden verwezenlijkt. Bij pseudonimisering blijven de aanvullende gegevens voor het koppelen van de persoonsgegevens aan een bepaalde betrokkene waar mogelijk onder de exclusieve controle van de gegevensexporteur of de verwerkingsverantwoordelijke. Bij de naleving van zijn verplichting uit hoofde van dit punt voert de gegevensimporteur ten minste de in bijlage II vastgestelde technische en organisatorische maatregelen uit. De gegevensimporteur voert regelmatig controles uit om ervoor te zorgen dat deze maatregelen een passend beveiligingsniveau blijven bieden. |
| --- | --- |

a)

De gegevensimporteur en, tijdens de toezending, ook de gegevensexporteur, neemt passende technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen, met inbegrip van bescherming tegen een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot die gegevens (hierna “inbreuk in verband met persoonsgegevens” genoemd). Bij het beoordelen van het passende beveiligingsniveau houden zij naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, reikwijdte, context en doeleinden van de verwerking, en met de risico’s die de verwerking met zich meebrengt voor de betrokkene. De partijen overwegen met name gebruik te maken van encryptie of pseudonimisering, ook tijdens toezending, waarbij het doel van de verwerking op die manier kan worden verwezenlijkt. Bij pseudonimisering blijven de aanvullende gegevens voor het koppelen van de persoonsgegevens aan een bepaalde betrokkene waar mogelijk onder de exclusieve controle van de gegevensexporteur of de verwerkingsverantwoordelijke. Bij de naleving van zijn verplichting uit hoofde van dit punt voert de gegevensimporteur ten minste de in bijlage II vastgestelde technische en organisatorische maatregelen uit. De gegevensimporteur voert regelmatig controles uit om ervoor te zorgen dat deze maatregelen een passend beveiligingsniveau blijven bieden.

| b) | De gegevensimporteur verleent zijn personeel alleen toegang tot de gegevens voor zover dit strikt noodzakelijk is voor de uitvoering, het beheer en de follow-up van de overeenkomst. Hij waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden. |
| --- | --- |

b)

De gegevensimporteur verleent zijn personeel alleen toegang tot de gegevens voor zover dit strikt noodzakelijk is voor de uitvoering, het beheer en de follow-up van de overeenkomst. Hij waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.

| c) | Bij een inbreuk in verband met persoonsgegevens met betrekking tot persoonsgegevens die op grond van deze bepalingen door de gegevensimporteur worden verwerkt, neemt de gegevensimporteur passende maatregelen om de inbreuk aan te pakken, waaronder maatregelen om de negatieve gevolgen ervan te beperken. Nadat de gegevensimporteur kennis heeft genomen van de inbreuk, stelt hij ook de gegevensexporteur en, in voorkomend geval en voor zover mogelijk, de verwerkingsverantwoordelijke daarvan onverwijld in kennis. Een dergelijke kennisgeving bevat de gegevens van een contactpunt bij wie meer informatie kan worden verkregen, een beschrijving van de aard van de inbreuk (waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie), de waarschijnlijke gevolgen ervan en de maatregelen die zijn voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder maatregelen om mogelijke negatieve gevolgen te beperken. Wanneer en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, bevat de initiële kennisgeving de op dat moment beschikbare informatie en zal verdere informatie, zodra die beschikbaar is, vervolgens onverwijld worden verstrekt. |
| --- | --- |

c)

Bij een inbreuk in verband met persoonsgegevens met betrekking tot persoonsgegevens die op grond van deze bepalingen door de gegevensimporteur worden verwerkt, neemt de gegevensimporteur passende maatregelen om de inbreuk aan te pakken, waaronder maatregelen om de negatieve gevolgen ervan te beperken. Nadat de gegevensimporteur kennis heeft genomen van de inbreuk, stelt hij ook de gegevensexporteur en, in voorkomend geval en voor zover mogelijk, de verwerkingsverantwoordelijke daarvan onverwijld in kennis. Een dergelijke kennisgeving bevat de gegevens van een contactpunt bij wie meer informatie kan worden verkregen, een beschrijving van de aard van de inbreuk (waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie), de waarschijnlijke gevolgen ervan en de maatregelen die zijn voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder maatregelen om mogelijke negatieve gevolgen te beperken. Wanneer en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, bevat de initiële kennisgeving de op dat moment beschikbare informatie en zal verdere informatie, zodra die beschikbaar is, vervolgens onverwijld worden verstrekt.

| d) | Rekening houdend met de aard van de verwerking en met de hem ter beschikking staande informatie, werkt de gegevensimporteur samen met en verleent hij bijstand aan de gegevensexporteur om deze in staat te stellen zijn verplichtingen krachtens Verordening (EU) 2016/679 na te komen, met name om zijn verwerkingsverantwoordelijke in kennis te stellen opdat deze op zijn beurt de bevoegde toezichthoudende autoriteit en de getroffen betrokkenen in kennis zou kunnen stellen. |
| --- | --- |

d)

Rekening houdend met de aard van de verwerking en met de hem ter beschikking staande informatie, werkt de gegevensimporteur samen met en verleent hij bijstand aan de gegevensexporteur om deze in staat te stellen zijn verplichtingen krachtens Verordening (EU) 2016/679 na te komen, met name om zijn verwerkingsverantwoordelijke in kennis te stellen opdat deze op zijn beurt de bevoegde toezichthoudende autoriteit en de getroffen betrokkenen in kennis zou kunnen stellen.

8.7.   Gevoelige gegevens

Indien de doorgifte persoonsgegevens betreft waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond, genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid, of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (hierna “gevoelige gegevens” genoemd) blijken, past de gegevensimporteur de in bijlage I.B vermelde specifieke beperkingen en/of extra waarborgen toe.

8.8.   Verdere doorgiften

De gegevensimporteur verstrekt de persoonsgegevens uitsluitend aan een derde partij op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, zoals door de gegevensexporteur meegedeeld aan de gegevensimporteur. Bovendien worden de gegevens alleen aan een derde partij verstrekt die is gevestigd buiten de Europese Unie (6) (in hetzelfde land als de gegevensimporteur of in een ander derde land; hierna “verdere doorgifte” genoemd), indien de derde partij aan deze bepalingen is gebonden of ermee instemt daaraan gebonden te zijn, op grond van de juiste module, of indien:

| i) | de verdere doorgifte naar een land is dat profiteert van een adequaatheidsbesluit overeenkomstig artikel 45 van Verordening (EU) 2016/679 waar de verdere doorgifte onder valt; |
| --- | --- |

i)

de verdere doorgifte naar een land is dat profiteert van een adequaatheidsbesluit overeenkomstig artikel 45 van Verordening (EU) 2016/679 waar de verdere doorgifte onder valt;

| ii) | de derde partij anderszins voor passende waarborgen overeenkomstig artikel 46 of 47 van Verordening (EU) 2016/679 zorgt; |
| --- | --- |

ii)

de derde partij anderszins voor passende waarborgen overeenkomstig artikel 46 of 47 van Verordening (EU) 2016/679 zorgt;

| iii) | de verdere doorgifte noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een rechtsvordering in de context van bepaalde administratieve, regelgevings- of gerechtelijke procedures, of |
| --- | --- |

iii)

de verdere doorgifte noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een rechtsvordering in de context van bepaalde administratieve, regelgevings- of gerechtelijke procedures, of

| iv) | de verdere doorgifte noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen. |
| --- | --- |

iv)

de verdere doorgifte noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen.

Verdere doorgiften mogen alleen plaatsvinden indien de gegevensimporteur zich aan alle overige waarborgen krachtens deze bepalingen houdt, met name doelbinding.

8.9.   Documentatie en naleving

| a) | De gegevensimporteur handelt vragen van de gegevensexporteur of de verwerkingsverantwoordelijke in verband met de verwerking op grond van deze bepalingen onverwijld en op passende wijze af. |
| --- | --- |

a)

De gegevensimporteur handelt vragen van de gegevensexporteur of de verwerkingsverantwoordelijke in verband met de verwerking op grond van deze bepalingen onverwijld en op passende wijze af.

| b) | De partijen moeten de naleving van deze bepalingen kunnen aantonen. De gegevensimporteur houdt met name passende documentatie bij over de verwerkingsactiviteiten die onder zijn verantwoordelijkheid namens de verwerkingsverantwoordelijke hebben plaatsgevonden. |
| --- | --- |

b)

De partijen moeten de naleving van deze bepalingen kunnen aantonen. De gegevensimporteur houdt met name passende documentatie bij over de verwerkingsactiviteiten die onder zijn verantwoordelijkheid namens de verwerkingsverantwoordelijke hebben plaatsgevonden.

| c) | De gegevensimporteur stelt alle informatie die nodig is om naleving van de in deze bepalingen vastgestelde verplichtingen aan te tonen ter beschikking van de gegevensexporteur, die de informatie aan de verwerkingsverantwoordelijke doet toekomen. |
| --- | --- |

c)

De gegevensimporteur stelt alle informatie die nodig is om naleving van de in deze bepalingen vastgestelde verplichtingen aan te tonen ter beschikking van de gegevensexporteur, die de informatie aan de verwerkingsverantwoordelijke doet toekomen.

| d) | De gegevensimporteur maakt audits door de gegevensexporteur van de onder deze bepalingen vallende verwerkingsactiviteiten mogelijk en draagt eraan bij, en dit met redelijke tussenpozen of wanneer er aanwijzingen van niet-naleving zijn. Hetzelfde geldt wanneer de gegevensexporteur op basis van instructies van de verwerkingsverantwoordelijke om een audit verzoekt. Bij het nemen van een besluit over een audit, kan de gegevensexporteur rekening houden met relevante certificeringen waarover de gegevensimporteur beschikt. |
| --- | --- |

d)

De gegevensimporteur maakt audits door de gegevensexporteur van de onder deze bepalingen vallende verwerkingsactiviteiten mogelijk en draagt eraan bij, en dit met redelijke tussenpozen of wanneer er aanwijzingen van niet-naleving zijn. Hetzelfde geldt wanneer de gegevensexporteur op basis van instructies van de verwerkingsverantwoordelijke om een audit verzoekt. Bij het nemen van een besluit over een audit, kan de gegevensexporteur rekening houden met relevante certificeringen waarover de gegevensimporteur beschikt.

| e) | Wanneer de audit wordt uitgevoerd op basis van instructies van de verwerkingsverantwoordelijke, stelt de gegevensexporteur de resultaten ter beschikking van de verwerkingsverantwoordelijke. |
| --- | --- |

e)

Wanneer de audit wordt uitgevoerd op basis van instructies van de verwerkingsverantwoordelijke, stelt de gegevensexporteur de resultaten ter beschikking van de verwerkingsverantwoordelijke.

| f) | De gegevensexporteur kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke controleur daartoe te machtigen. Audits kunnen inspecties in de bedrijfsruimten of de fysieke voorzieningen van de gegevensimporteur omvatten en worden, in voorkomend geval, uitgevoerd met een redelijke aankondiging vooraf. |
| --- | --- |

f)

De gegevensexporteur kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke controleur daartoe te machtigen. Audits kunnen inspecties in de bedrijfsruimten of de fysieke voorzieningen van de gegevensimporteur omvatten en worden, in voorkomend geval, uitgevoerd met een redelijke aankondiging vooraf.

| g) | De partijen stellen de in de punten b) en c) bedoelde informatie, met inbegrip van de resultaten van eventuele audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit. |
| --- | --- |

g)

De partijen stellen de in de punten b) en c) bedoelde informatie, met inbegrip van de resultaten van eventuele audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit.

MODULE VIER: Doorgifte tussen verwerker en verwerkingsverantwoordelijke

8.1.   Instructies

| a) | De gegevensexporteur verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de gegevensimporteur die als zijn verwerkingsverantwoordelijke optreedt. |
| --- | --- |

a)

De gegevensexporteur verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de gegevensimporteur die als zijn verwerkingsverantwoordelijke optreedt.

| b) | De gegevensexporteur brengt de gegevensimporteur onmiddellijk op de hoogte indien hij niet in staat is die instructies op te volgen, onder meer als die instructies in tegenspraak zijn met Verordening (EU) 2016/679 of andere wetgeving inzake gegevensbescherming van de Unie of de desbetreffende lidstaat. |
| --- | --- |

b)

De gegevensexporteur brengt de gegevensimporteur onmiddellijk op de hoogte indien hij niet in staat is die instructies op te volgen, onder meer als die instructies in tegenspraak zijn met Verordening (EU) 2016/679 of andere wetgeving inzake gegevensbescherming van de Unie of de desbetreffende lidstaat.

| c) | De gegevensimporteur onthoudt zich van acties die de gegevensexporteur zouden verhinderen om zijn verplichtingen op grond van Verordening (EU) 2016/679 na te komen, ook in het kader van de indienstneming van een andere verwerker of met betrekking tot samenwerking met bevoegde toezichthoudende autoriteiten. |
| --- | --- |

c)

De gegevensimporteur onthoudt zich van acties die de gegevensexporteur zouden verhinderen om zijn verplichtingen op grond van Verordening (EU) 2016/679 na te komen, ook in het kader van de indienstneming van een andere verwerker of met betrekking tot samenwerking met bevoegde toezichthoudende autoriteiten.

| d) | Na afloop van de verrichting van de verwerkingsdiensten wist de gegevensexporteur, naargelang de wens van de gegevensimporteur, alle namens de gegevensimporteur verwerkte persoonsgegevens en verzekert hij de gegevensimporteur ervan dat hij dat heeft gedaan, of geeft hij de gegevensimporteur alle namens hem verwerkte persoonsgegevens terug en verwijdert hij bestaande kopieën. |
| --- | --- |

d)

Na afloop van de verrichting van de verwerkingsdiensten wist de gegevensexporteur, naargelang de wens van de gegevensimporteur, alle namens de gegevensimporteur verwerkte persoonsgegevens en verzekert hij de gegevensimporteur ervan dat hij dat heeft gedaan, of geeft hij de gegevensimporteur alle namens hem verwerkte persoonsgegevens terug en verwijdert hij bestaande kopieën.

8.2.   Beveiliging van de verwerking

| a) | De partijen nemen passende technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen, ook tijdens de toezending en met inbegrip van bescherming tegen een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking of toegang (hierna “inbreuk in verband met persoonsgegevens” genoemd). Bij het beoordelen van het passende beveiligingsniveau houden zij naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard van de persoonsgegevens (7), de aard, reikwijdte, context en doeleinden van de verwerking, en met de risico’s die de verwerking met zich meebrengt voor de betrokkenen, en nemen zij in het bijzonder het gebruik van versleuteling of pseudonimisering in overweging, onder andere tijdens de toezending, indien het doel van de verwerking op die manier kan worden verwezenlijkt. |
| --- | --- |

a)

De partijen nemen passende technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen, ook tijdens de toezending en met inbegrip van bescherming tegen een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking of toegang (hierna “inbreuk in verband met persoonsgegevens” genoemd). Bij het beoordelen van het passende beveiligingsniveau houden zij naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard van de persoonsgegevens (7), de aard, reikwijdte, context en doeleinden van de verwerking, en met de risico’s die de verwerking met zich meebrengt voor de betrokkenen, en nemen zij in het bijzonder het gebruik van versleuteling of pseudonimisering in overweging, onder andere tijdens de toezending, indien het doel van de verwerking op die manier kan worden verwezenlijkt.

| b) | De gegevensexporteur verleent bijstand aan de gegevensimporteur om passende beveiliging van de gegevens overeenkomstig punt a) te waarborgen. Bij een inbreuk in verband met persoonsgegevens met betrekking tot de krachtens deze bepalingen door de gegevensexporteur verwerkte persoonsgegevens, stelt de gegevensexporteur de gegevensimporteur onverwijld in kennis nadat hij er kennis van heeft genomen, en staat hij de gegevensimporteur bij met het aanpakken van de inbreuk. |
| --- | --- |

b)

De gegevensexporteur verleent bijstand aan de gegevensimporteur om passende beveiliging van de gegevens overeenkomstig punt a) te waarborgen. Bij een inbreuk in verband met persoonsgegevens met betrekking tot de krachtens deze bepalingen door de gegevensexporteur verwerkte persoonsgegevens, stelt de gegevensexporteur de gegevensimporteur onverwijld in kennis nadat hij er kennis van heeft genomen, en staat hij de gegevensimporteur bij met het aanpakken van de inbreuk.

| c) | De gegevensexporteur waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden. |
| --- | --- |

c)

De gegevensexporteur waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.

8.3.   Documentatie en naleving

| a) | De partijen moeten de naleving van deze bepalingen kunnen aantonen. |
| --- | --- |

a)

De partijen moeten de naleving van deze bepalingen kunnen aantonen.

| b) | De gegevensexporteur stelt de gegevensimporteur alle informatie ter beschikking die nodig is om de naleving van zijn verplichtingen uit hoofde van deze bepalingen aan te tonen en om audits mogelijk te maken en eraan bij te dragen. |
| --- | --- |

b)

De gegevensexporteur stelt de gegevensimporteur alle informatie ter beschikking die nodig is om de naleving van zijn verplichtingen uit hoofde van deze bepalingen aan te tonen en om audits mogelijk te maken en eraan bij te dragen.

Bepaling 9

Gebruik van subverwerkers

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

| a) | OPTIE 1: SPECIFIEKE VOORAFGAANDE TOESTEMMING De gegevensimporteur besteedt geen van zijn krachtens deze bepalingen namens de gegevensexporteur uitgevoerde verwerkingsactiviteiten uit aan een subverwerker zonder de voorafgaande specifieke schriftelijke toestemming van de gegevensexporteur. De gegevensimporteur dient het verzoek om specifieke toestemming tenminste [termijn opgeven] voordat de subverwerker in dienst wordt genomen in, samen met de informatie die de gegevensexporteur nodig heeft om een besluit te nemen over de toestemming. De lijst van de reeds door de gegevensexporteur gemachtigde subverwerkers is te vinden in bijlage III. De partijen werken bijlage III bij.
  OPTIE 2: ALGEMENE SCHRIFTELIJKE TOESTEMMING De gegevensimporteur heeft algemene toestemming van de gegevensexporteur om subverwerkers van een overeengekomen lijst in dienst te nemen. De gegevensimporteur stelt de gegevensexporteur ten minste [termijn opgeven] van tevoren specifiek schriftelijk in kennis van beoogde veranderingen van die lijst door middel van de toevoeging of vervanging van subverwerkers zodat de gegevensexporteur voldoende tijd krijgt om bezwaar tegen die veranderingen te maken voordat de subverwerker(s) in dienst wordt/worden genomen. De gegevensimporteur verstrekt de gegevensexporteur de informatie die deze nodig heeft om zijn recht om bezwaar te maken uit te oefenen. |
| --- | --- |

a)

OPTIE 1: SPECIFIEKE VOORAFGAANDE TOESTEMMING De gegevensimporteur besteedt geen van zijn krachtens deze bepalingen namens de gegevensexporteur uitgevoerde verwerkingsactiviteiten uit aan een subverwerker zonder de voorafgaande specifieke schriftelijke toestemming van de gegevensexporteur. De gegevensimporteur dient het verzoek om specifieke toestemming tenminste [termijn opgeven] voordat de subverwerker in dienst wordt genomen in, samen met de informatie die de gegevensexporteur nodig heeft om een besluit te nemen over de toestemming. De lijst van de reeds door de gegevensexporteur gemachtigde subverwerkers is te vinden in bijlage III. De partijen werken bijlage III bij.

OPTIE 2: ALGEMENE SCHRIFTELIJKE TOESTEMMING De gegevensimporteur heeft algemene toestemming van de gegevensexporteur om subverwerkers van een overeengekomen lijst in dienst te nemen. De gegevensimporteur stelt de gegevensexporteur ten minste [termijn opgeven] van tevoren specifiek schriftelijk in kennis van beoogde veranderingen van die lijst door middel van de toevoeging of vervanging van subverwerkers zodat de gegevensexporteur voldoende tijd krijgt om bezwaar tegen die veranderingen te maken voordat de subverwerker(s) in dienst wordt/worden genomen. De gegevensimporteur verstrekt de gegevensexporteur de informatie die deze nodig heeft om zijn recht om bezwaar te maken uit te oefenen.

| b) | Wanneer de gegevensimporteur een subverwerker in dienst neemt voor het uitvoeren van specifieke verwerkingsactiviteiten (namens de gegevensexporteur), dan doet hij dit door middel van een schriftelijke overeenkomst die, wat de inhoud betreft, voorziet in dezelfde verplichtingen inzake gegevensbescherming als die waaraan de gegevensimporteur krachtens deze bepalingen is gebonden, onder meer wat betreft de rechten ten behoeve van derden voor betrokkenen (8). De partijen komen overeen dat de gegevensimporteur zijn verplichtingen uit hoofde van bepaling 8.8 nakomt door deze bepaling na te leven. De gegevensimporteur zorgt ervoor dat de subverwerker zich houdt aan de verplichtingen waaraan de gegevensimporteur overeenkomstig deze bepalingen is gebonden. |
| --- | --- |

b)

Wanneer de gegevensimporteur een subverwerker in dienst neemt voor het uitvoeren van specifieke verwerkingsactiviteiten (namens de gegevensexporteur), dan doet hij dit door middel van een schriftelijke overeenkomst die, wat de inhoud betreft, voorziet in dezelfde verplichtingen inzake gegevensbescherming als die waaraan de gegevensimporteur krachtens deze bepalingen is gebonden, onder meer wat betreft de rechten ten behoeve van derden voor betrokkenen (8). De partijen komen overeen dat de gegevensimporteur zijn verplichtingen uit hoofde van bepaling 8.8 nakomt door deze bepaling na te leven. De gegevensimporteur zorgt ervoor dat de subverwerker zich houdt aan de verplichtingen waaraan de gegevensimporteur overeenkomstig deze bepalingen is gebonden.

| c) | De gegevensimporteur verstrekt op verzoek van de gegevensexporteur een kopie van die overeenkomst met de subverwerker en van eventuele daaropvolgende wijzigingen aan de gegevensexporteur. Voor zover dit noodzakelijk is om bedrijfsgeheimen of andere vertrouwelijke informatie, waaronder persoonsgegevens, te beschermen, mag de gegevensimporteur de tekst van de overeenkomst redigeren voordat hij een kopie deelt. |
| --- | --- |

c)

De gegevensimporteur verstrekt op verzoek van de gegevensexporteur een kopie van die overeenkomst met de subverwerker en van eventuele daaropvolgende wijzigingen aan de gegevensexporteur. Voor zover dit noodzakelijk is om bedrijfsgeheimen of andere vertrouwelijke informatie, waaronder persoonsgegevens, te beschermen, mag de gegevensimporteur de tekst van de overeenkomst redigeren voordat hij een kopie deelt.

| d) | De gegevensimporteur blijft ten aanzien van de gegevensexporteur volledig verantwoordelijk voor het nakomen van zijn verplichtingen door de subverwerker uit hoofde van zijn overeenkomst met de gegevensimporteur. De gegevensimporteur stelt de gegevensexporteur in kennis van elke niet-nakoming door de subverwerker van zijn verplichtingen uit hoofde van die overeenkomst. |
| --- | --- |

d)

De gegevensimporteur blijft ten aanzien van de gegevensexporteur volledig verantwoordelijk voor het nakomen van zijn verplichtingen door de subverwerker uit hoofde van zijn overeenkomst met de gegevensimporteur. De gegevensimporteur stelt de gegevensexporteur in kennis van elke niet-nakoming door de subverwerker van zijn verplichtingen uit hoofde van die overeenkomst.

| e) | De gegevensimporteur komt een derdenbeding overeen met de subverwerker waarbij de gegevensexporteur, in geval de gegevensimporteur feitelijk is verdwenen, rechtens is opgehouden te bestaan of failliet is gegaan, het recht heeft de overeenkomst met de subverwerker te beëindigen en de subverwerker op te dragen de persoonsgegevens te wissen of terug te geven. |
| --- | --- |

e)

De gegevensimporteur komt een derdenbeding overeen met de subverwerker waarbij de gegevensexporteur, in geval de gegevensimporteur feitelijk is verdwenen, rechtens is opgehouden te bestaan of failliet is gegaan, het recht heeft de overeenkomst met de subverwerker te beëindigen en de subverwerker op te dragen de persoonsgegevens te wissen of terug te geven.

MODULE DRIE: Doorgifte tussen twee verwerkers

| a) | OPTIE 1: SPECIFIEKE VOORAFGAANDE TOESTEMMING De gegevensimporteur besteedt zijn krachtens deze bepalingen namens de gegevensexporteur uitgevoerde verwerkingsactiviteiten niet uit aan een subverwerker zonder de voorafgaande specifieke schriftelijke toestemming van de verwerkingsverantwoordelijke. De gegevensimporteur dient het verzoek om specifieke toestemming tenminste [termijn opgeven] voordat de subverwerker in dienst wordt genomen in, samen met de informatie die de verwerkingsverantwoordelijke nodig heeft om een besluit te nemen over de toestemming. De gegevensimporteur brengt de gegevensexporteur op de hoogte van een dergelijke indienstneming. De lijst van de reeds door de verwerkingsverantwoordelijke gemachtigde subverwerkers is te vinden in bijlage III. De partijen werken bijlage III bij.
  OPTIE 2: ALGEMENE SCHRIFTELIJKE TOESTEMMING De gegevensimporteur heeft algemene toestemming van de verwerkingsverantwoordelijke om subverwerkers van een overeengekomen lijst in dienst te nemen. De gegevensimporteur stelt de verwerkingsverantwoordelijke ten minste [termijn opgeven] van tevoren specifiek schriftelijk in kennis van beoogde veranderingen van die lijst door middel van de toevoeging of vervanging van subverwerkers en geeft de verwerkingsverantwoordelijke daarbij voldoende tijd om bezwaar tegen die veranderingen te maken voordat de subverwerker in dienst wordt genomen. De gegevensimporteur verstrekt de verwerkingsverantwoordelijke de informatie die deze nodig heeft om zijn recht om bezwaar te maken uit te oefenen. De gegevensimporteur brengt de gegevensexporteur op de hoogte van de indienstneming van de subverwerker. |
| --- | --- |

a)

OPTIE 1: SPECIFIEKE VOORAFGAANDE TOESTEMMING De gegevensimporteur besteedt zijn krachtens deze bepalingen namens de gegevensexporteur uitgevoerde verwerkingsactiviteiten niet uit aan een subverwerker zonder de voorafgaande specifieke schriftelijke toestemming van de verwerkingsverantwoordelijke. De gegevensimporteur dient het verzoek om specifieke toestemming tenminste [termijn opgeven] voordat de subverwerker in dienst wordt genomen in, samen met de informatie die de verwerkingsverantwoordelijke nodig heeft om een besluit te nemen over de toestemming. De gegevensimporteur brengt de gegevensexporteur op de hoogte van een dergelijke indienstneming. De lijst van de reeds door de verwerkingsverantwoordelijke gemachtigde subverwerkers is te vinden in bijlage III. De partijen werken bijlage III bij.

OPTIE 2: ALGEMENE SCHRIFTELIJKE TOESTEMMING De gegevensimporteur heeft algemene toestemming van de verwerkingsverantwoordelijke om subverwerkers van een overeengekomen lijst in dienst te nemen. De gegevensimporteur stelt de verwerkingsverantwoordelijke ten minste [termijn opgeven] van tevoren specifiek schriftelijk in kennis van beoogde veranderingen van die lijst door middel van de toevoeging of vervanging van subverwerkers en geeft de verwerkingsverantwoordelijke daarbij voldoende tijd om bezwaar tegen die veranderingen te maken voordat de subverwerker in dienst wordt genomen. De gegevensimporteur verstrekt de verwerkingsverantwoordelijke de informatie die deze nodig heeft om zijn recht om bezwaar te maken uit te oefenen. De gegevensimporteur brengt de gegevensexporteur op de hoogte van de indienstneming van de subverwerker.

| b) | Wanneer de gegevensimporteur een subverwerker in dienst neemt voor het uitvoeren van specifieke verwerkingsactiviteiten (namens de verwerkingsverantwoordelijke), dan doet hij dit door middel van een schriftelijke overeenkomst die, wat de inhoud betreft, voorziet in dezelfde verplichtingen inzake gegevensbescherming als die waaraan de gegevensimporteur krachtens deze bepalingen is gebonden, onder meer wat betreft de rechten ten behoeve van derden voor betrokkenen (9). De partijen komen overeen dat de gegevensimporteur zijn verplichtingen uit hoofde van bepaling 8.8 nakomt door deze bepaling na te leven. De gegevensimporteur zorgt ervoor dat de subverwerker zich houdt aan de verplichtingen waaraan de gegevensimporteur overeenkomstig deze bepalingen is gebonden. |
| --- | --- |

b)

Wanneer de gegevensimporteur een subverwerker in dienst neemt voor het uitvoeren van specifieke verwerkingsactiviteiten (namens de verwerkingsverantwoordelijke), dan doet hij dit door middel van een schriftelijke overeenkomst die, wat de inhoud betreft, voorziet in dezelfde verplichtingen inzake gegevensbescherming als die waaraan de gegevensimporteur krachtens deze bepalingen is gebonden, onder meer wat betreft de rechten ten behoeve van derden voor betrokkenen (9). De partijen komen overeen dat de gegevensimporteur zijn verplichtingen uit hoofde van bepaling 8.8 nakomt door deze bepaling na te leven. De gegevensimporteur zorgt ervoor dat de subverwerker zich houdt aan de verplichtingen waaraan de gegevensimporteur overeenkomstig deze bepalingen is gebonden.

| c) | De gegevensimporteur verstrekt op verzoek van de gegevensexporteur of van de verwerkingsverantwoordelijke een kopie van die overeenkomst met de subverwerker en van eventuele daaropvolgende wijzigingen. Voor zover dit noodzakelijk is om bedrijfsgeheimen of andere vertrouwelijke informatie, waaronder persoonsgegevens, te beschermen, mag de gegevensimporteur de tekst van de overeenkomst redigeren voordat hij een kopie deelt. |
| --- | --- |

c)

De gegevensimporteur verstrekt op verzoek van de gegevensexporteur of van de verwerkingsverantwoordelijke een kopie van die overeenkomst met de subverwerker en van eventuele daaropvolgende wijzigingen. Voor zover dit noodzakelijk is om bedrijfsgeheimen of andere vertrouwelijke informatie, waaronder persoonsgegevens, te beschermen, mag de gegevensimporteur de tekst van de overeenkomst redigeren voordat hij een kopie deelt.

| d) | De gegevensimporteur blijft ten aanzien van de gegevensexporteur volledig verantwoordelijk voor het nakomen van zijn verplichtingen door de subverwerker uit hoofde van zijn overeenkomst met de gegevensimporteur. De gegevensimporteur stelt de gegevensexporteur in kennis van elke niet-nakoming door de subverwerker van zijn verplichtingen uit hoofde van die overeenkomst. |
| --- | --- |

d)

De gegevensimporteur blijft ten aanzien van de gegevensexporteur volledig verantwoordelijk voor het nakomen van zijn verplichtingen door de subverwerker uit hoofde van zijn overeenkomst met de gegevensimporteur. De gegevensimporteur stelt de gegevensexporteur in kennis van elke niet-nakoming door de subverwerker van zijn verplichtingen uit hoofde van die overeenkomst.

| e) | De gegevensimporteur komt een derdenbeding overeen met de subverwerker waarbij de gegevensexporteur, in geval de gegevensimporteur feitelijk is verdwenen, rechtens is opgehouden te bestaan of failliet is gegaan, het recht heeft de overeenkomst met de subverwerker te beëindigen en de subverwerker op te dragen de persoonsgegevens te wissen of terug te geven. |
| --- | --- |

e)

De gegevensimporteur komt een derdenbeding overeen met de subverwerker waarbij de gegevensexporteur, in geval de gegevensimporteur feitelijk is verdwenen, rechtens is opgehouden te bestaan of failliet is gegaan, het recht heeft de overeenkomst met de subverwerker te beëindigen en de subverwerker op te dragen de persoonsgegevens te wissen of terug te geven.

Bepaling 10

De rechten van betrokkenen

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

| a) | De gegevensimporteur handelt, in voorkomend geval met behulp van de gegevensexporteur, onverwijld en uiterlijk binnen één maand na ontvangst van de vraag of het verzoek, vragen en verzoeken af die hij van een betrokkene ontvangt in verband met de verwerking van zijn/haar persoonsgegevens en met de uitoefening van zijn/haar rechten uit hoofde van deze bepalingen. (10) De gegevensimporteur neemt passende maatregelen om de afhandeling van die vragen en verzoeken en de uitoefening van de rechten van betrokkenen te vergemakkelijken. De informatie die aan de betrokkene wordt verstrekt, is in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal opgesteld. |
| --- | --- |

a)

De gegevensimporteur handelt, in voorkomend geval met behulp van de gegevensexporteur, onverwijld en uiterlijk binnen één maand na ontvangst van de vraag of het verzoek, vragen en verzoeken af die hij van een betrokkene ontvangt in verband met de verwerking van zijn/haar persoonsgegevens en met de uitoefening van zijn/haar rechten uit hoofde van deze bepalingen. (10) De gegevensimporteur neemt passende maatregelen om de afhandeling van die vragen en verzoeken en de uitoefening van de rechten van betrokkenen te vergemakkelijken. De informatie die aan de betrokkene wordt verstrekt, is in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal opgesteld.

| b) | Op verzoek van de betrokkene zal de gegevensimporteur met name kosteloos:






  i) | de betrokkene de bevestiging geven dat zijn/haar persoonsgegevens al dan niet worden verwerkt en, wanneer dat het geval is, een kopie van zijn/haar gegevens en van de in bijlage I opgenomen informatie verstrekken; indien persoonsgegevens verder zijn of zullen worden doorgegeven, informatie verstrekken over ontvangers of categorieën van ontvangers (indien nodig om nuttige informatie te verstrekken) aan wie de persoonsgegevens verder zijn of zullen worden doorgegeven, over het doel van dergelijke verdere doorgiften en over de grond daarvoor overeenkomstig bepaling 8.7; en informatie verstrekken over het recht een klacht in te dienen bij een toezichthoudende autoriteit overeenkomstig bepaling 12, punt c), i); |
| --- | --- | --- |

b)

Op verzoek van de betrokkene zal de gegevensimporteur met name kosteloos:

i)

de betrokkene de bevestiging geven dat zijn/haar persoonsgegevens al dan niet worden verwerkt en, wanneer dat het geval is, een kopie van zijn/haar gegevens en van de in bijlage I opgenomen informatie verstrekken; indien persoonsgegevens verder zijn of zullen worden doorgegeven, informatie verstrekken over ontvangers of categorieën van ontvangers (indien nodig om nuttige informatie te verstrekken) aan wie de persoonsgegevens verder zijn of zullen worden doorgegeven, over het doel van dergelijke verdere doorgiften en over de grond daarvoor overeenkomstig bepaling 8.7; en informatie verstrekken over het recht een klacht in te dienen bij een toezichthoudende autoriteit overeenkomstig bepaling 12, punt c), i);

| ii) | onjuiste of onvolledige gegevens van de betrokkene rectificeren; |
| --- | --- |

ii)

onjuiste of onvolledige gegevens van de betrokkene rectificeren;

| iii) | persoonsgegevens van de betrokkene wissen als die gegevens worden of zijn verwerkt in strijd met enige van deze bepalingen ter waarborging van rechten ten behoeve van derden, of wanneer de betrokkene de toestemming intrekt waarop de verwerking is gebaseerd. |
| --- | --- |

iii)

persoonsgegevens van de betrokkene wissen als die gegevens worden of zijn verwerkt in strijd met enige van deze bepalingen ter waarborging van rechten ten behoeve van derden, of wanneer de betrokkene de toestemming intrekt waarop de verwerking is gebaseerd.

| c) | Wanneer de gegevensimporteur de persoonsgegevens verwerkt ten behoeve van direct marketing, stopt hij met de verwerking voor dat doeleinde indien de betrokkene er bezwaar tegen maakt. |
| --- | --- |

c)

Wanneer de gegevensimporteur de persoonsgegevens verwerkt ten behoeve van direct marketing, stopt hij met de verwerking voor dat doeleinde indien de betrokkene er bezwaar tegen maakt.

| d) | De gegevensimporteur neemt geen besluit dat uitsluitend op een geautomatiseerde verwerking van de doorgegeven persoonsgegevens berust (hierna “geautomatiseerd besluit” genoemd), waaraan rechtsgevolgen voor de betrokkene zouden zijn verbonden of die hem/haar eveneens verregaand zou treffen, tenzij met uitdrukkelijke toestemming van de betrokkene of als dat is toestaan krachtens de wetgeving van het land van bestemming, mits in dergelijke wetgeving passende maatregelen zijn vastgelegd om de rechten en legitieme belangen van betrokkenen te waarborgen. In dit geval zal de gegevensimporteur, in voorkomend geval in samenwerking met de gegevensexporteur:






  i) | de betrokkene informeren over het beoogde geautomatiseerde besluit, de verwachte gevolgen en de gedachte erachter, en |
| --- | --- | --- |

d)

De gegevensimporteur neemt geen besluit dat uitsluitend op een geautomatiseerde verwerking van de doorgegeven persoonsgegevens berust (hierna “geautomatiseerd besluit” genoemd), waaraan rechtsgevolgen voor de betrokkene zouden zijn verbonden of die hem/haar eveneens verregaand zou treffen, tenzij met uitdrukkelijke toestemming van de betrokkene of als dat is toestaan krachtens de wetgeving van het land van bestemming, mits in dergelijke wetgeving passende maatregelen zijn vastgelegd om de rechten en legitieme belangen van betrokkenen te waarborgen. In dit geval zal de gegevensimporteur, in voorkomend geval in samenwerking met de gegevensexporteur:

i)

de betrokkene informeren over het beoogde geautomatiseerde besluit, de verwachte gevolgen en de gedachte erachter, en

| ii) | passende waarborgen bieden, ten minste door de betrokkene in staat te stellen het besluit te betwisten, zijn/haar standpunt kenbaar te maken en toetsing door een mens te verkrijgen. |
| --- | --- |

ii)

passende waarborgen bieden, ten minste door de betrokkene in staat te stellen het besluit te betwisten, zijn/haar standpunt kenbaar te maken en toetsing door een mens te verkrijgen.

| e) | Wanneer verzoeken van een betrokkene buitensporig zijn, met name vanwege het herhaalde karakter ervan, mag de gegevensimporteur ofwel een redelijke vergoeding in rekening brengen met het oog op de administratieve kosten van het inwilligen van het verzoek, ofwel weigeren om op het verzoek in te gaan. |
| --- | --- |

e)

Wanneer verzoeken van een betrokkene buitensporig zijn, met name vanwege het herhaalde karakter ervan, mag de gegevensimporteur ofwel een redelijke vergoeding in rekening brengen met het oog op de administratieve kosten van het inwilligen van het verzoek, ofwel weigeren om op het verzoek in te gaan.

| f) | De gegevensimporteur mag een verzoek van een betrokkene weigeren als die weigering is toegestaan uit hoofde van de wetgeving van het land van bestemming en in een democratische samenleving noodzakelijk en evenredig is om een van de in artikel 23, lid 1, van Verordening (EU) 2016/679 genoemde doelstellingen te beschermen. |
| --- | --- |

f)

De gegevensimporteur mag een verzoek van een betrokkene weigeren als die weigering is toegestaan uit hoofde van de wetgeving van het land van bestemming en in een democratische samenleving noodzakelijk en evenredig is om een van de in artikel 23, lid 1, van Verordening (EU) 2016/679 genoemde doelstellingen te beschermen.

| g) | Als de gegevensimporteur voornemens is een verzoek van een betrokkene te weigeren, stelt hij de betrokkene in kennis van de redenen voor die weigering en van de mogelijkheid om een klacht in te dienen bij de bevoegde toezichthoudende autoriteit en/of beroep in rechte in te stellen. |
| --- | --- |

g)

Als de gegevensimporteur voornemens is een verzoek van een betrokkene te weigeren, stelt hij de betrokkene in kennis van de redenen voor die weigering en van de mogelijkheid om een klacht in te dienen bij de bevoegde toezichthoudende autoriteit en/of beroep in rechte in te stellen.

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

| a) | De gegevensimporteur stelt de gegevensexporteur onverwijld in kennis van alle verzoeken die hij van een betrokkene heeft ontvangen. Hij reageert zelf niet op dat verzoek, tenzij dit door de gegevensexporteur is toegestaan. |
| --- | --- |

a)

De gegevensimporteur stelt de gegevensexporteur onverwijld in kennis van alle verzoeken die hij van een betrokkene heeft ontvangen. Hij reageert zelf niet op dat verzoek, tenzij dit door de gegevensexporteur is toegestaan.

| b) | De gegevensimporteur verleent de gegevensexporteur bijstand bij het nakomen van zijn verplichtingen om te reageren op de verzoeken van betrokkenen voor de uitoefening van hun rechten uit hoofde van Verordening (EU) 2016/679. In dit verband stellen de partijen in bijlage II de passende technische en organisatorische maatregelen vast, rekening houdend met de aard van de verwerking op basis waarvan de bijstand wordt verleend, alsook de reikwijdte en de omvang van de vereiste bijstand. |
| --- | --- |

b)

De gegevensimporteur verleent de gegevensexporteur bijstand bij het nakomen van zijn verplichtingen om te reageren op de verzoeken van betrokkenen voor de uitoefening van hun rechten uit hoofde van Verordening (EU) 2016/679. In dit verband stellen de partijen in bijlage II de passende technische en organisatorische maatregelen vast, rekening houdend met de aard van de verwerking op basis waarvan de bijstand wordt verleend, alsook de reikwijdte en de omvang van de vereiste bijstand.

| c) | Bij het nakomen van zijn verplichtingen uit hoofde van de punten a) en b), houdt de gegevensimporteur zich aan de instructies van de gegevensexporteur. |
| --- | --- |

c)

Bij het nakomen van zijn verplichtingen uit hoofde van de punten a) en b), houdt de gegevensimporteur zich aan de instructies van de gegevensexporteur.

MODULE DRIE: Doorgifte tussen twee verwerkers

| a) | De gegevensimporteur stelt de gegevensexporteur, en in voorkomend geval de verwerkingsverantwoordelijke, onverwijld in kennis van de verzoeken die hij van een betrokkene heeft ontvangen, zonder op die verzoeken te reageren, tenzij dat hem door de verwerkingsverantwoordelijke is toegestaan. |
| --- | --- |

a)

De gegevensimporteur stelt de gegevensexporteur, en in voorkomend geval de verwerkingsverantwoordelijke, onverwijld in kennis van de verzoeken die hij van een betrokkene heeft ontvangen, zonder op die verzoeken te reageren, tenzij dat hem door de verwerkingsverantwoordelijke is toegestaan.

| b) | De gegevensimporteur verleent de verwerkingsverantwoordelijke, in voorkomend geval in samenwerking met de gegevensexporteur, bijstand bij het nakomen van zijn verplichtingen om te reageren op de verzoeken van betrokkenen voor de uitoefening van hun rechten uit hoofde van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725, voor zover van toepassing. In dit verband stellen de partijen in bijlage II de passende technische en organisatorische maatregelen vast, rekening houdend met de aard van de verwerking op basis waarvan de bijstand wordt verleend, alsook de reikwijdte en de omvang van de vereiste bijstand. |
| --- | --- |

b)

De gegevensimporteur verleent de verwerkingsverantwoordelijke, in voorkomend geval in samenwerking met de gegevensexporteur, bijstand bij het nakomen van zijn verplichtingen om te reageren op de verzoeken van betrokkenen voor de uitoefening van hun rechten uit hoofde van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725, voor zover van toepassing. In dit verband stellen de partijen in bijlage II de passende technische en organisatorische maatregelen vast, rekening houdend met de aard van de verwerking op basis waarvan de bijstand wordt verleend, alsook de reikwijdte en de omvang van de vereiste bijstand.

| c) | Bij het nakomen van zijn verplichtingen uit hoofde van de punten a) en b), houdt de gegevensimporteur zich aan de instructies van de verwerkingsverantwoordelijke, zoals meegedeeld door de gegevensexporteur. |
| --- | --- |

c)

Bij het nakomen van zijn verplichtingen uit hoofde van de punten a) en b), houdt de gegevensimporteur zich aan de instructies van de verwerkingsverantwoordelijke, zoals meegedeeld door de gegevensexporteur.

MODULE VIER: Doorgifte tussen verwerker en verwerkingsverantwoordelijke

De partijen staan elkaar bij met het beantwoorden van vragen en het afhandelen van verzoeken van betrokkenen op grond van het lokale recht dat op de gegevensimporteur van toepassing is of, voor gegevensverwerking door de gegevensexporteur in de Europese Unie, op grond van Verordening (EU) 2016/679.

Bepaling 11

Verhaal

| a) | De gegevensimporteur brengt betrokkenen via een individuele mededeling of op zijn website, in een transparant en gemakkelijk toegankelijk formaat, op de hoogte van een contactpunt dat gemachtigd is om klachten af te handelen. Hij handelt klachten die hij van een betrokkene ontvangt onverwijld af.
  [OPTIE: De gegevensimporteur stemt ermee in dat betrokkenen klachten ook bij een onafhankelijk orgaan voor geschillenbeslechting mogen indienen (11), zonder kosten voor de betrokkene. Hij brengt de betrokkenen, op de in punt a) genoemde wijze, op de hoogte van een dergelijk verhaalmechanisme en laat hen weten dat zij niet verplicht zijn daarvan gebruik te maken, of om een bepaalde volgorde aan te houden om verhaal te halen.] |
| --- | --- |

a)

De gegevensimporteur brengt betrokkenen via een individuele mededeling of op zijn website, in een transparant en gemakkelijk toegankelijk formaat, op de hoogte van een contactpunt dat gemachtigd is om klachten af te handelen. Hij handelt klachten die hij van een betrokkene ontvangt onverwijld af.

[OPTIE: De gegevensimporteur stemt ermee in dat betrokkenen klachten ook bij een onafhankelijk orgaan voor geschillenbeslechting mogen indienen (11), zonder kosten voor de betrokkene. Hij brengt de betrokkenen, op de in punt a) genoemde wijze, op de hoogte van een dergelijk verhaalmechanisme en laat hen weten dat zij niet verplicht zijn daarvan gebruik te maken, of om een bepaalde volgorde aan te houden om verhaal te halen.]

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

| b) | Bij een geschil tussen een betrokkene en een van de partijen met betrekking tot de naleving van deze bepalingen, doet die partij al het mogelijke om de kwestie tijdig in der minne te schikken. De partijen houden elkaar op de hoogte van dergelijke geschillen en werken, in voorkomend geval, samen om ze te beslechten. |
| --- | --- |

b)

Bij een geschil tussen een betrokkene en een van de partijen met betrekking tot de naleving van deze bepalingen, doet die partij al het mogelijke om de kwestie tijdig in der minne te schikken. De partijen houden elkaar op de hoogte van dergelijke geschillen en werken, in voorkomend geval, samen om ze te beslechten.

| c) | Wanneer de betrokkene zich overeenkomstig bepaling 3 op een recht ten behoeve van derden beroept, aanvaardt de gegevensimporteur het besluit van de betrokkene om:






  i) | een klacht in te dienen bij de toezichthoudende autoriteit in de lidstaat waar hij/zij gewoonlijk verblijft of werkt, of de bevoegde toezichthoudende autoriteit krachtens bepaling 13; |
| --- | --- | --- |

c)

Wanneer de betrokkene zich overeenkomstig bepaling 3 op een recht ten behoeve van derden beroept, aanvaardt de gegevensimporteur het besluit van de betrokkene om:

i)

een klacht in te dienen bij de toezichthoudende autoriteit in de lidstaat waar hij/zij gewoonlijk verblijft of werkt, of de bevoegde toezichthoudende autoriteit krachtens bepaling 13;

| ii) | het geschil voor te leggen aan de bevoegde gerechten in de zin van bepaling 18. |
| --- | --- |

ii)

het geschil voor te leggen aan de bevoegde gerechten in de zin van bepaling 18.

| d) | De partijen aanvaarden dat de betrokkene vertegenwoordigd kan worden door een orgaan, organisatie of vereniging zonder winstoogmerk onder de in artikel 80, lid 1, van Verordening (EU) 2016/679 vermelde voorwaarden. |
| --- | --- |

d)

De partijen aanvaarden dat de betrokkene vertegenwoordigd kan worden door een orgaan, organisatie of vereniging zonder winstoogmerk onder de in artikel 80, lid 1, van Verordening (EU) 2016/679 vermelde voorwaarden.

| e) | De gegevensimporteur schikt zich naar een besluit dat uit hoofde van het toepasselijke recht van de Europese Unie/de lidstaat bindend is. |
| --- | --- |

e)

De gegevensimporteur schikt zich naar een besluit dat uit hoofde van het toepasselijke recht van de Europese Unie/de lidstaat bindend is.

| f) | De gegevensimporteur stemt ermee in dat de keuze van de betrokkene geen afbreuk doet aan zijn/haar materiële en formele rechten om overeenkomstig de geldende wetgeving verhaal te zoeken. |
| --- | --- |

f)

De gegevensimporteur stemt ermee in dat de keuze van de betrokkene geen afbreuk doet aan zijn/haar materiële en formele rechten om overeenkomstig de geldende wetgeving verhaal te zoeken.

Bepaling 12

Aansprakelijkheid

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE VIER: Doorgifte tussen verwerker en verwerkingsverantwoordelijke

| a) | Elke partij is ten aanzien van de andere partij(en) aansprakelijk voor schade die hij de andere partij(en) berokkent door inbreuken op deze bepalingen. |
| --- | --- |

a)

Elke partij is ten aanzien van de andere partij(en) aansprakelijk voor schade die hij de andere partij(en) berokkent door inbreuken op deze bepalingen.

| b) | Elke partij is ten aanzien van de betrokkene aansprakelijk, en de betrokkene heeft het recht een vergoeding te verkrijgen, voor materiële of immateriële schade die de partij aan de betrokkene berokkent door de rechten ten behoeve van derden uit hoofde van deze bepalingen te schenden. Dit doet geen afbreuk aan de aansprakelijkheid van de gegevensexporteur op grond van Verordening (EU) 2016/679. |
| --- | --- |

b)

Elke partij is ten aanzien van de betrokkene aansprakelijk, en de betrokkene heeft het recht een vergoeding te verkrijgen, voor materiële of immateriële schade die de partij aan de betrokkene berokkent door de rechten ten behoeve van derden uit hoofde van deze bepalingen te schenden. Dit doet geen afbreuk aan de aansprakelijkheid van de gegevensexporteur op grond van Verordening (EU) 2016/679.

| c) | Wanneer meerdere partijen verantwoordelijk zijn voor schade die als gevolg van schendingen van deze bepalingen aan de betrokkene is berokkend, zijn alle verantwoordelijke partijen hoofdelijk aansprakelijk en heeft de betrokkene het recht om voor de rechter een procedure tegen deze partijen in te stellen. |
| --- | --- |

c)

Wanneer meerdere partijen verantwoordelijk zijn voor schade die als gevolg van schendingen van deze bepalingen aan de betrokkene is berokkend, zijn alle verantwoordelijke partijen hoofdelijk aansprakelijk en heeft de betrokkene het recht om voor de rechter een procedure tegen deze partijen in te stellen.

| d) | De partijen komen overeen dat als een van de partijen op grond van punt c) aansprakelijk wordt gesteld, deze partij het recht heeft om op de andere partij(en) het deel van de schadevergoeding te verhalen dat overeenkomt met zijn/hun deel van de aansprakelijkheid voor de schade. |
| --- | --- |

d)

De partijen komen overeen dat als een van de partijen op grond van punt c) aansprakelijk wordt gesteld, deze partij het recht heeft om op de andere partij(en) het deel van de schadevergoeding te verhalen dat overeenkomt met zijn/hun deel van de aansprakelijkheid voor de schade.

| e) | De gegevensimporteur mag zich niet op het gedrag van een verwerker of subverwerker beroepen om zich aan zijn eigen aansprakelijkheid te onttrekken. |
| --- | --- |

e)

De gegevensimporteur mag zich niet op het gedrag van een verwerker of subverwerker beroepen om zich aan zijn eigen aansprakelijkheid te onttrekken.

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

| a) | Elke partij is ten aanzien van de andere partij(en) aansprakelijk voor schade die hij de andere partij(en) berokkent door inbreuken op deze bepalingen. |
| --- | --- |

a)

Elke partij is ten aanzien van de andere partij(en) aansprakelijk voor schade die hij de andere partij(en) berokkent door inbreuken op deze bepalingen.

| b) | De gegevensimporteur is ten aanzien van de betrokkene aansprakelijk en de betrokkene heeft het recht een vergoeding te verkrijgen voor materiële of immateriële schade die de gegevensimporteur of zijn subverwerker aan de betrokkene berokkent door de rechten ten behoeve van derden uit hoofde van deze bepalingen te schenden. |
| --- | --- |

b)

De gegevensimporteur is ten aanzien van de betrokkene aansprakelijk en de betrokkene heeft het recht een vergoeding te verkrijgen voor materiële of immateriële schade die de gegevensimporteur of zijn subverwerker aan de betrokkene berokkent door de rechten ten behoeve van derden uit hoofde van deze bepalingen te schenden.

| c) | Niettegenstaande punt b) is de gegevensexporteur ten aanzien van de betrokkene aansprakelijk en heeft de betrokkene het recht een vergoeding te verkrijgen voor materiële of immateriële schade die de gegevensexporteur of de gegevensimporteur (of zijn subverwerker) aan de betrokkene berokkent door de rechten ten behoeve van derden uit hoofde van deze bepalingen te schenden. Dit doet geen afbreuk aan de aansprakelijkheid van de gegevensexporteur en, wanneer de gegevensexporteur een verwerker is die namens een verwerkingsverantwoordelijke optreedt, aan de aansprakelijkheid van de verwerkingsverantwoordelijke uit hoofde van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725, indien van toepassing. |
| --- | --- |

c)

Niettegenstaande punt b) is de gegevensexporteur ten aanzien van de betrokkene aansprakelijk en heeft de betrokkene het recht een vergoeding te verkrijgen voor materiële of immateriële schade die de gegevensexporteur of de gegevensimporteur (of zijn subverwerker) aan de betrokkene berokkent door de rechten ten behoeve van derden uit hoofde van deze bepalingen te schenden. Dit doet geen afbreuk aan de aansprakelijkheid van de gegevensexporteur en, wanneer de gegevensexporteur een verwerker is die namens een verwerkingsverantwoordelijke optreedt, aan de aansprakelijkheid van de verwerkingsverantwoordelijke uit hoofde van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725, indien van toepassing.

| d) | De partijen komen overeen dat als de gegevensexporteur op grond van punt c) aansprakelijk wordt gesteld voor door de gegevensimporteur (of zijn subverwerker) berokkende schade, hij het recht heeft om op de gegevensimporteur het deel van de schadevergoeding te verhalen dat overeenkomt met de aansprakelijkheid van de gegevensimporteur voor de schade. |
| --- | --- |

d)

De partijen komen overeen dat als de gegevensexporteur op grond van punt c) aansprakelijk wordt gesteld voor door de gegevensimporteur (of zijn subverwerker) berokkende schade, hij het recht heeft om op de gegevensimporteur het deel van de schadevergoeding te verhalen dat overeenkomt met de aansprakelijkheid van de gegevensimporteur voor de schade.

| e) | Wanneer meerdere partijen verantwoordelijk zijn voor schade die als gevolg van schendingen van deze bepalingen aan de betrokkene is berokkend, zijn alle verantwoordelijke partijen hoofdelijk aansprakelijk en heeft de betrokkene het recht om voor de rechter een procedure tegen deze partijen in te stellen. |
| --- | --- |

e)

Wanneer meerdere partijen verantwoordelijk zijn voor schade die als gevolg van schendingen van deze bepalingen aan de betrokkene is berokkend, zijn alle verantwoordelijke partijen hoofdelijk aansprakelijk en heeft de betrokkene het recht om voor de rechter een procedure tegen deze partijen in te stellen.

| f) | De partijen komen overeen dat als een van de partijen op grond van punt e) aansprakelijk wordt gesteld, deze partij het recht heeft om op de andere partij(en) het deel van de schadevergoeding te verhalen dat overeenkomt met zijn/hun deel van de aansprakelijkheid voor de schade. |
| --- | --- |

f)

De partijen komen overeen dat als een van de partijen op grond van punt e) aansprakelijk wordt gesteld, deze partij het recht heeft om op de andere partij(en) het deel van de schadevergoeding te verhalen dat overeenkomt met zijn/hun deel van de aansprakelijkheid voor de schade.

| g) | De gegevensimporteur mag zich niet op het gedrag van een subverwerker beroepen om zich aan zijn eigen aansprakelijkheid te onttrekken. |
| --- | --- |

g)

De gegevensimporteur mag zich niet op het gedrag van een subverwerker beroepen om zich aan zijn eigen aansprakelijkheid te onttrekken.

Bepaling 13

Toezicht

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

| a) | [Wanneer de gegevensexporteur in een EU-lidstaat is gevestigd:] De toezichthoudende autoriteit die erop toeziet dat de gegevensexporteur Verordening (EU) 2016/679 naleeft met betrekking tot de gegevensdoorgifte, zoals aangegeven in bijlage I.C, treedt op als de bevoegde toezichthoudende autoriteit.
  [Wanneer de gegevensexporteur niet in een EU-lidstaat is gevestigd, maar overeenkomstig artikel 3, lid 2, van Verordening (EU) 2016/679 onder het territoriale toepassingsgebied van die verordening valt en een vertegenwoordiger heeft aangewezen overeenkomstig artikel 27, lid 1, van Verordening (EU) 2016/679:] De toezichthoudende autoriteit van de lidstaat waar de vertegenwoordiger in de zin van artikel 27, lid 1, van Verordening (EU) 2016/679 is gevestigd, zoals aangegeven in bijlage I.C, treedt op als de bevoegde toezichthoudende autoriteit.
  [Wanneer de gegevensexporteur niet in een EU-lidstaat is gevestigd, maar overeenkomstig artikel 3, lid 2, van Verordening (EU) 2016/679 onder het territoriale toepassingsgebied van die verordening valt, zonder echter een vertegenwoordiger te hebben aangewezen overeenkomstig artikel 27, lid 2, van Verordening (EU) 2016/679:] De toezichthoudende autoriteit van een van de lidstaten waar de betrokkenen wier persoonsgegevens krachtens deze bepalingen worden verwerkt in verband met het aanbieden van goederen of diensten aan hen, of wier gedrag wordt gecontroleerd, zijn gevestigd, zoals aangegeven in bijlage I.C, treedt op als de bevoegde toezichthoudende autoriteit. |
| --- | --- |

a)

[Wanneer de gegevensexporteur in een EU-lidstaat is gevestigd:] De toezichthoudende autoriteit die erop toeziet dat de gegevensexporteur Verordening (EU) 2016/679 naleeft met betrekking tot de gegevensdoorgifte, zoals aangegeven in bijlage I.C, treedt op als de bevoegde toezichthoudende autoriteit.

[Wanneer de gegevensexporteur niet in een EU-lidstaat is gevestigd, maar overeenkomstig artikel 3, lid 2, van Verordening (EU) 2016/679 onder het territoriale toepassingsgebied van die verordening valt en een vertegenwoordiger heeft aangewezen overeenkomstig artikel 27, lid 1, van Verordening (EU) 2016/679:] De toezichthoudende autoriteit van de lidstaat waar de vertegenwoordiger in de zin van artikel 27, lid 1, van Verordening (EU) 2016/679 is gevestigd, zoals aangegeven in bijlage I.C, treedt op als de bevoegde toezichthoudende autoriteit.

[Wanneer de gegevensexporteur niet in een EU-lidstaat is gevestigd, maar overeenkomstig artikel 3, lid 2, van Verordening (EU) 2016/679 onder het territoriale toepassingsgebied van die verordening valt, zonder echter een vertegenwoordiger te hebben aangewezen overeenkomstig artikel 27, lid 2, van Verordening (EU) 2016/679:] De toezichthoudende autoriteit van een van de lidstaten waar de betrokkenen wier persoonsgegevens krachtens deze bepalingen worden verwerkt in verband met het aanbieden van goederen of diensten aan hen, of wier gedrag wordt gecontroleerd, zijn gevestigd, zoals aangegeven in bijlage I.C, treedt op als de bevoegde toezichthoudende autoriteit.

| b) | De gegevensimporteur stemt ermee in zich te onderwerpen aan de jurisdictie van en samen te werken met de bevoegde toezichthoudende autoriteit in procedures gericht op het waarborgen van de naleving van deze bepalingen. De gegevensimporteur stemt er in het bijzonder mee in vragen te beantwoorden, zich aan audits te onderwerpen en zich aan de door de toezichthoudende autoriteit vastgestelde maatregelen te houden, waaronder corrigerende en compenserende maatregelen. Hij geeft de toezichthoudende autoriteit schriftelijke bevestiging dat de noodzakelijke maatregelen zijn genomen. |
| --- | --- |

b)

De gegevensimporteur stemt ermee in zich te onderwerpen aan de jurisdictie van en samen te werken met de bevoegde toezichthoudende autoriteit in procedures gericht op het waarborgen van de naleving van deze bepalingen. De gegevensimporteur stemt er in het bijzonder mee in vragen te beantwoorden, zich aan audits te onderwerpen en zich aan de door de toezichthoudende autoriteit vastgestelde maatregelen te houden, waaronder corrigerende en compenserende maatregelen. Hij geeft de toezichthoudende autoriteit schriftelijke bevestiging dat de noodzakelijke maatregelen zijn genomen.

AFDELING III — LOKALE WETTEN EN VERPLICHTINGEN IN GEVAL VAN TOEGANG DOOR OVERHEIDSINSTANTIES

Bepaling 14

Lokale wetten en praktijken met gevolgen voor de naleving van de bepalingen

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

MODULE VIER: Doorgifte tussen verwerker en verwerkingsverantwoordelijke
  (als de verwerker in de Europese Unie de persoonsgegevens die zijn ontvangen van de verwerkingsverantwoordelijke in het derde land combineert met door de verwerker in de Europese Unie verzamelde persoonsgegevens)

| a) | De partijen garanderen dat zij geen reden hebben om aan te nemen dat de wetten en praktijken in het derde land van bestemming die van toepassing zijn op de verwerking van de persoonsgegevens door de gegevensimporteur, met inbegrip van vereisten om persoonsgegevens te verstrekken of maatregelen die toegang door overheidsinstanties toestaan, de gegevensimporteur verhinderen zijn verplichtingen uit hoofde van deze bepalingen na te komen. Hierbij wordt ervan uitgegaan dat wetten en praktijken waarmee de wezenlijke inhoud van de grondrechten en fundamentele vrijheden wordt geëerbiedigd en die niet verder gaan dan hetgeen in een democratische samenleving noodzakelijk en evenredig is om een van de in artikel 23, lid 1, van Verordening (EU) 2016/679 genoemde doelstellingen te waarborgen, niet in tegenspraak zijn met deze bepalingen. |
| --- | --- |

a)

De partijen garanderen dat zij geen reden hebben om aan te nemen dat de wetten en praktijken in het derde land van bestemming die van toepassing zijn op de verwerking van de persoonsgegevens door de gegevensimporteur, met inbegrip van vereisten om persoonsgegevens te verstrekken of maatregelen die toegang door overheidsinstanties toestaan, de gegevensimporteur verhinderen zijn verplichtingen uit hoofde van deze bepalingen na te komen. Hierbij wordt ervan uitgegaan dat wetten en praktijken waarmee de wezenlijke inhoud van de grondrechten en fundamentele vrijheden wordt geëerbiedigd en die niet verder gaan dan hetgeen in een democratische samenleving noodzakelijk en evenredig is om een van de in artikel 23, lid 1, van Verordening (EU) 2016/679 genoemde doelstellingen te waarborgen, niet in tegenspraak zijn met deze bepalingen.

| b) | De partijen verklaren dat zij bij het bieden van de in punt a) bedoelde garantie met name de volgende elementen naar behoren in aanmerking hebben genomen:






  i) | de specifieke omstandigheden van de doorgifte, waaronder de lengte van de verwerkingsketen, het aantal betrokken actoren en de kanalen die voor de toezending zijn gebruikt; voorgenomen verdere doorgiften; het soort ontvanger; het doel van de verwerking; de categorieën en het formaat van de doorgegeven persoonsgegevens; de economische sector waarin de doorgifte plaatsvindt; de opslagplaats van de doorgegeven gegevens; |
| --- | --- | --- |

b)

De partijen verklaren dat zij bij het bieden van de in punt a) bedoelde garantie met name de volgende elementen naar behoren in aanmerking hebben genomen:

i)

de specifieke omstandigheden van de doorgifte, waaronder de lengte van de verwerkingsketen, het aantal betrokken actoren en de kanalen die voor de toezending zijn gebruikt; voorgenomen verdere doorgiften; het soort ontvanger; het doel van de verwerking; de categorieën en het formaat van de doorgegeven persoonsgegevens; de economische sector waarin de doorgifte plaatsvindt; de opslagplaats van de doorgegeven gegevens;

| ii) | de wetten en praktijken van het derde land van bestemming — waaronder de wetten en praktijken die vereisen om gegevens aan overheidsinstanties te verstrekken of toegang door dergelijke instanties toestaan — die van belang zijn in het licht van de specifieke omstandigheden van de doorgifte, en de toepasselijke beperkingen en waarborgen (12); |
| --- | --- |

ii)

de wetten en praktijken van het derde land van bestemming — waaronder de wetten en praktijken die vereisen om gegevens aan overheidsinstanties te verstrekken of toegang door dergelijke instanties toestaan — die van belang zijn in het licht van de specifieke omstandigheden van de doorgifte, en de toepasselijke beperkingen en waarborgen (12);

| iii) | alle relevante contractuele, technische of organisatorische waarborgen die zijn ingesteld in aanvulling op de waarborgen uit hoofde van deze bepalingen, waaronder maatregelen die worden toegepast tijdens de toezending en op de verwerking van de persoonsgegevens in het land van bestemming. |
| --- | --- |

iii)

alle relevante contractuele, technische of organisatorische waarborgen die zijn ingesteld in aanvulling op de waarborgen uit hoofde van deze bepalingen, waaronder maatregelen die worden toegepast tijdens de toezending en op de verwerking van de persoonsgegevens in het land van bestemming.

| c) | De gegevensimporteur garandeert dat hij bij het uitvoeren van de beoordeling op grond van punt b) al het mogelijke heeft gedaan om de gegevensexporteur van relevante informatie te voorzien en stemt ermee in dat hij met de gegevensexporteur zal blijven samenwerken om naleving van deze bepalingen te waarborgen. |
| --- | --- |

c)

De gegevensimporteur garandeert dat hij bij het uitvoeren van de beoordeling op grond van punt b) al het mogelijke heeft gedaan om de gegevensexporteur van relevante informatie te voorzien en stemt ermee in dat hij met de gegevensexporteur zal blijven samenwerken om naleving van deze bepalingen te waarborgen.

| d) | De partijen komen overeen om de beoordeling uit hoofde van punt b) te documenteren en op verzoek ter beschikking te stellen van de bevoegde toezichthoudende autoriteit. |
| --- | --- |

d)

De partijen komen overeen om de beoordeling uit hoofde van punt b) te documenteren en op verzoek ter beschikking te stellen van de bevoegde toezichthoudende autoriteit.

| e) | De gegevensimporteur stemt ermee in de gegevensexporteur onverwijld in kennis te stellen indien hij, na deze bepalingen te zijn overeengekomen en voor de duur van de overeenkomst, redenen heeft om aan te nemen dat hij onder wetten of praktijken valt of is komen te vallen die niet overeenstemmen met de vereisten uit hoofde van punt a), onder meer ingevolge een wijziging van de wetten in het derde land of een maatregel (zoals een verzoek om verstrekking) die duidt op een toepassing van die wetten in de praktijk die niet overeenstemt met de vereisten in punt a). [Voor module drie: De gegevensexporteur zendt de kennisgeving door aan de verwerkingsverantwoordelijke.] |
| --- | --- |

e)

De gegevensimporteur stemt ermee in de gegevensexporteur onverwijld in kennis te stellen indien hij, na deze bepalingen te zijn overeengekomen en voor de duur van de overeenkomst, redenen heeft om aan te nemen dat hij onder wetten of praktijken valt of is komen te vallen die niet overeenstemmen met de vereisten uit hoofde van punt a), onder meer ingevolge een wijziging van de wetten in het derde land of een maatregel (zoals een verzoek om verstrekking) die duidt op een toepassing van die wetten in de praktijk die niet overeenstemt met de vereisten in punt a). [Voor module drie: De gegevensexporteur zendt de kennisgeving door aan de verwerkingsverantwoordelijke.]

| f) | Ingevolge een kennisgeving overeenkomstig punt e), of als de gegevensexporteur anderszins redenen heeft om aan te nemen dat de gegevensimporteur zijn verplichtingen uit hoofde van deze bepalingen niet langer kan nakomen, stelt de gegevensexporteur onverwijld passende maatregelen (bv. technische of organisatorische maatregelen om betrouwbaarheid en vertrouwelijkheid te waarborgen) vast die de gegevensexporteur en/of de gegevensimporteur moeten uitvoeren om de situatie aan te pakken, [voor module drie:, in voorkomend geval in overleg met de verwerkingsverantwoordelijke]. De gegevensexporteur schort de gegevensdoorgifte op als hij van mening is dat er geen passende waarborgen voor die doorgifte kunnen worden gegarandeerd, of op basis van instructies van [voor module drie: de verwerkingsverantwoordelijke of] de bevoegde toezichthoudende autoriteit hiertoe. In dit geval heeft de gegevensexporteur het recht om de overeenkomst te beëindigen, voor zover die betrekking heeft op de verwerking van persoonsgegevens uit hoofde van deze bepalingen. Indien er meer dan twee partijen bij de overeenkomst zijn betrokken, mag de gegevensexporteur zijn recht om de overeenkomst te beëindigen alleen uitoefenen met betrekking tot de betrokken partij, tenzij anderszins door de partijen is overeengekomen. Indien de overeenkomst overeenkomstig deze bepaling wordt beëindigd, is bepaling 16, punten d) en e), van toepassing. |
| --- | --- |

f)

Ingevolge een kennisgeving overeenkomstig punt e), of als de gegevensexporteur anderszins redenen heeft om aan te nemen dat de gegevensimporteur zijn verplichtingen uit hoofde van deze bepalingen niet langer kan nakomen, stelt de gegevensexporteur onverwijld passende maatregelen (bv. technische of organisatorische maatregelen om betrouwbaarheid en vertrouwelijkheid te waarborgen) vast die de gegevensexporteur en/of de gegevensimporteur moeten uitvoeren om de situatie aan te pakken, [voor module drie:, in voorkomend geval in overleg met de verwerkingsverantwoordelijke]. De gegevensexporteur schort de gegevensdoorgifte op als hij van mening is dat er geen passende waarborgen voor die doorgifte kunnen worden gegarandeerd, of op basis van instructies van [voor module drie: de verwerkingsverantwoordelijke of] de bevoegde toezichthoudende autoriteit hiertoe. In dit geval heeft de gegevensexporteur het recht om de overeenkomst te beëindigen, voor zover die betrekking heeft op de verwerking van persoonsgegevens uit hoofde van deze bepalingen. Indien er meer dan twee partijen bij de overeenkomst zijn betrokken, mag de gegevensexporteur zijn recht om de overeenkomst te beëindigen alleen uitoefenen met betrekking tot de betrokken partij, tenzij anderszins door de partijen is overeengekomen. Indien de overeenkomst overeenkomstig deze bepaling wordt beëindigd, is bepaling 16, punten d) en e), van toepassing.

Bepaling 15

Verplichtingen van de gegevensimporteur in geval van toegang door overheidsinstanties

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

MODULE VIER: Doorgifte tussen verwerker en verwerkingsverantwoordelijke
  (als de verwerker in de Europese Unie de persoonsgegevens die zijn ontvangen van de verwerkingsverantwoordelijke in het derde land combineert met door de verwerker in de Europese Unie verzamelde persoonsgegevens)

15.1.   Kennisgeving

| a) | De gegevensimporteur stemt er mee in de gegevensexporteur en, voor zover mogelijk, de betrokkene onverwijld in kennis te stellen (indien nodig met behulp van de gegevensexporteur) indien hij:






  i) | van een overheidsinstantie, met inbegrip van rechterlijke instanties, een juridisch bindend verzoek om verstrekking van overeenkomstig deze bepalingen doorgegeven persoonsgegevens ontvangt krachtens het recht van het land van bestemming; een dergelijke kennisgeving omvat informatie over de gevraagde persoonsgegevens, de verzoekende autoriteit, de rechtsgrondslag voor het verzoek en het gegeven antwoord, of |
| --- | --- | --- |

a)

De gegevensimporteur stemt er mee in de gegevensexporteur en, voor zover mogelijk, de betrokkene onverwijld in kennis te stellen (indien nodig met behulp van de gegevensexporteur) indien hij:

i)

van een overheidsinstantie, met inbegrip van rechterlijke instanties, een juridisch bindend verzoek om verstrekking van overeenkomstig deze bepalingen doorgegeven persoonsgegevens ontvangt krachtens het recht van het land van bestemming; een dergelijke kennisgeving omvat informatie over de gevraagde persoonsgegevens, de verzoekende autoriteit, de rechtsgrondslag voor het verzoek en het gegeven antwoord, of

| ii) | kennis heeft genomen van rechtstreekse toegang door overheidsinstanties tot de krachtens deze bepalingen doorgegeven persoonsgegevens in overeenstemming met de wetgeving van het land van bestemming; een dergelijke kennisgeving omvat alle informatie waarover de gegevensimporteur beschikt. |
| --- | --- |

ii)

kennis heeft genomen van rechtstreekse toegang door overheidsinstanties tot de krachtens deze bepalingen doorgegeven persoonsgegevens in overeenstemming met de wetgeving van het land van bestemming; een dergelijke kennisgeving omvat alle informatie waarover de gegevensimporteur beschikt.

[Voor module drie: De gegevensexporteur zendt de kennisgeving door aan de verwerkingsverantwoordelijke.]

| b) | Indien het de gegevensimporteur uit hoofde van de wetgeving van het land van bestemming verboden is om de gegevensexporteur en/of de betrokkene in kennis te stellen, stemt de gegevensimporteur ermee in al het mogelijke te doen om van het verbod te worden ontheven, teneinde zo spoedig mogelijk zo veel mogelijk informatie mee te delen. De gegevensimporteur stemt ermee in deze inspanningen te documenteren om ze op verzoek van de gegevensexporteur te kunnen aantonen. |
| --- | --- |

b)

Indien het de gegevensimporteur uit hoofde van de wetgeving van het land van bestemming verboden is om de gegevensexporteur en/of de betrokkene in kennis te stellen, stemt de gegevensimporteur ermee in al het mogelijke te doen om van het verbod te worden ontheven, teneinde zo spoedig mogelijk zo veel mogelijk informatie mee te delen. De gegevensimporteur stemt ermee in deze inspanningen te documenteren om ze op verzoek van de gegevensexporteur te kunnen aantonen.

| c) | Indien toegestaan uit hoofde van de wetgeving van het land van bestemming, stemt de gegevensimporteur ermee in de gegevensexporteur, met regelmatige tussenpozen gedurende de duur van de overeenkomst, met zo veel mogelijk relevante informatie over de ontvangen verzoeken (met name het aantal verzoeken, het soort gevraagde gegevens, de verzoekende autoriteit(en), of er verzoeken zijn betwist en wat de uitkomst daarvan was enz.) te doen toekomen. [Voor module drie: De gegevensexporteur zendt de informatie door aan de verwerkingsverantwoordelijke.] |
| --- | --- |

c)

Indien toegestaan uit hoofde van de wetgeving van het land van bestemming, stemt de gegevensimporteur ermee in de gegevensexporteur, met regelmatige tussenpozen gedurende de duur van de overeenkomst, met zo veel mogelijk relevante informatie over de ontvangen verzoeken (met name het aantal verzoeken, het soort gevraagde gegevens, de verzoekende autoriteit(en), of er verzoeken zijn betwist en wat de uitkomst daarvan was enz.) te doen toekomen. [Voor module drie: De gegevensexporteur zendt de informatie door aan de verwerkingsverantwoordelijke.]

| d) | De gegevensimporteur stemt ermee in de informatie overeenkomstig de punten a) tot en met c) te bewaren voor de duur van de overeenkomst en die op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit te stellen. |
| --- | --- |

d)

De gegevensimporteur stemt ermee in de informatie overeenkomstig de punten a) tot en met c) te bewaren voor de duur van de overeenkomst en die op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit te stellen.

| e) | De punten a) tot en met c) doen geen afbreuk aan de verplichting van de gegevensimporteur overeenkomstig bepaling 14, punt e), en bepaling 16 om de gegevensexporteur onverwijld in kennis te stellen wanneer hij niet in staat is deze bepalingen na te leven. |
| --- | --- |

e)

De punten a) tot en met c) doen geen afbreuk aan de verplichting van de gegevensimporteur overeenkomstig bepaling 14, punt e), en bepaling 16 om de gegevensexporteur onverwijld in kennis te stellen wanneer hij niet in staat is deze bepalingen na te leven.

15.2.   Wettigheidstoetsing en gegevensminimalisering

| a) | De gegevensimporteur stemt ermee in de wettigheid van het verzoek om verstrekking te toetsen, met name of die binnen de aan de verzoekende overheidsinstantie toegekende bevoegdheden blijft, en het verzoek te betwisten indien hij na een zorgvuldige beoordeling tot de conclusie komt dat er redelijke gronden zijn om aan te nemen dat het verzoek onwettig is krachtens de wetgeving van het land van bestemming, toepasselijke verplichtingen uit hoofde van het internationaal recht en beginselen van internationale courtoisie. Onder deze omstandigheden benut de gegevensimporteur de beroepsmogelijkheden. Bij het betwisten van een verzoek neemt de gegevensimporteur voorlopige maatregelen om de effecten van het verzoek op te schorten totdat de bevoegde rechterlijke instantie over de gegrondheid ervan heeft beslist. Hij verstrekt de gevraagde persoonsgegevens pas wanneer hij dat volgens de toepasselijke procedurevoorschriften moet doen. Deze vereisten doen geen afbreuk aan de verplichtingen van de gegevensimporteur krachtens bepaling 14, punt e). |
| --- | --- |

a)

De gegevensimporteur stemt ermee in de wettigheid van het verzoek om verstrekking te toetsen, met name of die binnen de aan de verzoekende overheidsinstantie toegekende bevoegdheden blijft, en het verzoek te betwisten indien hij na een zorgvuldige beoordeling tot de conclusie komt dat er redelijke gronden zijn om aan te nemen dat het verzoek onwettig is krachtens de wetgeving van het land van bestemming, toepasselijke verplichtingen uit hoofde van het internationaal recht en beginselen van internationale courtoisie. Onder deze omstandigheden benut de gegevensimporteur de beroepsmogelijkheden. Bij het betwisten van een verzoek neemt de gegevensimporteur voorlopige maatregelen om de effecten van het verzoek op te schorten totdat de bevoegde rechterlijke instantie over de gegrondheid ervan heeft beslist. Hij verstrekt de gevraagde persoonsgegevens pas wanneer hij dat volgens de toepasselijke procedurevoorschriften moet doen. Deze vereisten doen geen afbreuk aan de verplichtingen van de gegevensimporteur krachtens bepaling 14, punt e).

| b) | De gegevensimporteur stemt ermee in zijn juridische beoordeling en eventuele betwistingen van het verzoek om verstrekking te documenteren en, voor zover dit is toegestaan krachtens de wetgeving van het land van bestemming, de documentatie ter beschikking te stellen van de gegevensexporteur. Hij stelt deze documenten op verzoek ook ter beschikking van de bevoegde toezichthoudende autoriteit. [Voor module drie: De gegevensexporteur stelt de beoordeling ter beschikking van de verwerkingsverantwoordelijke.] |
| --- | --- |

b)

De gegevensimporteur stemt ermee in zijn juridische beoordeling en eventuele betwistingen van het verzoek om verstrekking te documenteren en, voor zover dit is toegestaan krachtens de wetgeving van het land van bestemming, de documentatie ter beschikking te stellen van de gegevensexporteur. Hij stelt deze documenten op verzoek ook ter beschikking van de bevoegde toezichthoudende autoriteit. [Voor module drie: De gegevensexporteur stelt de beoordeling ter beschikking van de verwerkingsverantwoordelijke.]

| c) | De gegevensimporteur stemt ermee in de toegestane minimale hoeveelheid informatie te verstrekken bij het beantwoorden van een verzoek om verstrekking, op basis van een redelijke interpretatie van het verzoek. |
| --- | --- |

c)

De gegevensimporteur stemt ermee in de toegestane minimale hoeveelheid informatie te verstrekken bij het beantwoorden van een verzoek om verstrekking, op basis van een redelijke interpretatie van het verzoek.

AFDELING IV — SLOTBEPALINGEN

Bepaling 16

Niet-naleving van de bepalingen en beëindiging

| a) | De gegevensimporteur stelt de gegevensexporteur onverwijld in kennis indien hij om wat voor reden dan ook niet in staat is deze bepalingen na te leven. |
| --- | --- |

a)

De gegevensimporteur stelt de gegevensexporteur onverwijld in kennis indien hij om wat voor reden dan ook niet in staat is deze bepalingen na te leven.

| b) | Indien de gegevensimporteur inbreuk maakt op deze bepalingen of niet in staat is deze bepalingen na te leven, schort de gegevensexporteur de doorgifte van persoonsgegevens aan de gegevensimporteur op totdat de naleving weer wordt gewaarborgd of totdat de overeenkomst wordt beëindigd. Dit doet geen afbreuk aan bepaling 14, punt f). |
| --- | --- |

b)

Indien de gegevensimporteur inbreuk maakt op deze bepalingen of niet in staat is deze bepalingen na te leven, schort de gegevensexporteur de doorgifte van persoonsgegevens aan de gegevensimporteur op totdat de naleving weer wordt gewaarborgd of totdat de overeenkomst wordt beëindigd. Dit doet geen afbreuk aan bepaling 14, punt f).

| c) | De gegevensexporteur heeft het recht de overeenkomst te beëindigen, voor zover die betrekking heeft op de verwerking van persoonsgegevens uit hoofde van deze bepalingen, wanneer:






  i) | de gegevensexporteur de doorgifte van persoonsgegevens naar de gegevensimporteur overeenkomstig punt b) heeft opgeschort en de bepalingen niet binnen een redelijke termijn en in elk geval binnen één maand na de opschorting weer worden nageleefd; |
| --- | --- | --- |

c)

De gegevensexporteur heeft het recht de overeenkomst te beëindigen, voor zover die betrekking heeft op de verwerking van persoonsgegevens uit hoofde van deze bepalingen, wanneer:

i)

de gegevensexporteur de doorgifte van persoonsgegevens naar de gegevensimporteur overeenkomstig punt b) heeft opgeschort en de bepalingen niet binnen een redelijke termijn en in elk geval binnen één maand na de opschorting weer worden nageleefd;

| ii) | de gegevensimporteur in belangrijke en voortdurende mate inbreuk maakt op deze bepalingen, of |
| --- | --- |

ii)

de gegevensimporteur in belangrijke en voortdurende mate inbreuk maakt op deze bepalingen, of

| iii) | de gegevensimporteur zich niet aan een bindend besluit van een bevoegd gerecht of een bevoegde autoriteit met betrekking tot zijn verplichtingen uit hoofde van deze bepalingen houdt. |
| --- | --- |

iii)

de gegevensimporteur zich niet aan een bindend besluit van een bevoegd gerecht of een bevoegde autoriteit met betrekking tot zijn verplichtingen uit hoofde van deze bepalingen houdt.

In deze gevallen stelt hij de bevoegde toezichthoudende autoriteit [voor module drie: en de verwerkingsverantwoordelijke] in kennis van die niet-naleving. Wanneer meer dan twee partijen bij de overeenkomst zijn betrokken, mag de gegevensexporteur zijn recht om de overeenkomst te beëindigen alleen uitoefenen met betrekking tot de betrokken partij, tenzij anderszins door de partijen is overeengekomen.

| d) | [Voor de modulen een, twee en drie: Persoonsgegevens die voorafgaand aan de beëindiging van de overeenkomst zijn doorgegeven overeenkomstig punt c) worden, naargelang de wens van de gegevensexporteur, onmiddellijk volledig aan de gegevensexporteur terugbezorgd of gewist. Hetzelfde geldt voor eventuele kopieën van de gegevens.] [Voor module vier: Door de gegevensexporteur in de Europese Unie verzamelde persoonsgegevens die voordat de overeenkomst werd beëindigd waren doorgegeven overeenkomstig punt c) worden onmiddellijk volledig gewist, met inbegrip van eventuele kopieën daarvan.] De gegevensimporteur verzekert de gegevensexporteur ervan dat de gegevens zijn gewist. Totdat de gegevens zijn gewist of teruggezonden, blijft de gegevensimporteur ervoor zorgen dat aan deze bepalingen wordt voldaan. In geval van lokaal recht dat op de gegevensimporteur van toepassing is en op basis waarvan teruggave of wissing van de doorgegeven persoonsgegevens verboden is, garandeert de gegevensimporteur dat hij deze bepalingen zal blijven naleven en de gegevens alleen zal verwerken voor zover en zolang dat naar dat lokaal recht is vereist. |
| --- | --- |

d)

[Voor de modulen een, twee en drie: Persoonsgegevens die voorafgaand aan de beëindiging van de overeenkomst zijn doorgegeven overeenkomstig punt c) worden, naargelang de wens van de gegevensexporteur, onmiddellijk volledig aan de gegevensexporteur terugbezorgd of gewist. Hetzelfde geldt voor eventuele kopieën van de gegevens.] [Voor module vier: Door de gegevensexporteur in de Europese Unie verzamelde persoonsgegevens die voordat de overeenkomst werd beëindigd waren doorgegeven overeenkomstig punt c) worden onmiddellijk volledig gewist, met inbegrip van eventuele kopieën daarvan.] De gegevensimporteur verzekert de gegevensexporteur ervan dat de gegevens zijn gewist. Totdat de gegevens zijn gewist of teruggezonden, blijft de gegevensimporteur ervoor zorgen dat aan deze bepalingen wordt voldaan. In geval van lokaal recht dat op de gegevensimporteur van toepassing is en op basis waarvan teruggave of wissing van de doorgegeven persoonsgegevens verboden is, garandeert de gegevensimporteur dat hij deze bepalingen zal blijven naleven en de gegevens alleen zal verwerken voor zover en zolang dat naar dat lokaal recht is vereist.

| e) | Elk van de partijen kan haar toestemming om aan deze bepalingen gebonden te zijn, intrekken wanneer i) de Europese Commissie een besluit overeenkomstig artikel 45, lid 3, van Verordening (EU) 2016/679 neemt dat betrekking heeft op de doorgifte van persoonsgegevens waarop deze bepalingen van toepassing zijn; of ii) Verordening (EU) 2016/679 onderdeel wordt van het rechtskader van het land waarnaar de persoonsgegevens worden doorgegeven. Dit doet geen afbreuk aan andere verplichtingen die van toepassing zijn op de desbetreffende verwerking op grond van Verordening (EU) 2016/679. |
| --- | --- |

e)

Elk van de partijen kan haar toestemming om aan deze bepalingen gebonden te zijn, intrekken wanneer i) de Europese Commissie een besluit overeenkomstig artikel 45, lid 3, van Verordening (EU) 2016/679 neemt dat betrekking heeft op de doorgifte van persoonsgegevens waarop deze bepalingen van toepassing zijn; of ii) Verordening (EU) 2016/679 onderdeel wordt van het rechtskader van het land waarnaar de persoonsgegevens worden doorgegeven. Dit doet geen afbreuk aan andere verplichtingen die van toepassing zijn op de desbetreffende verwerking op grond van Verordening (EU) 2016/679.

Bepaling 17

Toepasselijk recht

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

[OPTIE 1: Deze bepalingen worden geregeld door het recht van een van de EU-lidstaten, mits dat recht voorziet in rechten ten behoeve van derden. De partijen komen overeen dat dit het recht van _______ (lidstaat opgeven) is.]

[OPTIE 2 (voor de modulen twee en drie): Deze bepalingen worden geregeld door het recht van de EU-lidstaat waar de gegevensexporteur is gevestigd. Wanneer dat recht niet in rechten ten behoeve van derden voorziet, worden deze bepalingen geregeld door het recht van een andere EU-lidstaat dat wel in rechten ten behoeve van derden voorziet. De partijen komen overeen dat dit het recht van _______ (lidstaat opgeven) is.]

MODULE VIER: Doorgifte tussen verwerker en verwerkingsverantwoordelijke

Deze bepalingen worden geregeld door het recht van een land dat rechten ten behoeve van derden toestaat. De partijen komen overeen dat dit het recht van _______ (land opgeven) is.

Bepaling 18

Forum- en jurisdictiekeuze

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

| a) | Uit deze bepalingen voortvloeiende geschillen worden beslecht door de gerechten van een EU-lidstaat. |
| --- | --- |

a)

Uit deze bepalingen voortvloeiende geschillen worden beslecht door de gerechten van een EU-lidstaat.

| b) | De partijen komen overeen dat dit de gerechten van _______ (lidstaat opgeven) zijn. |
| --- | --- |

b)

De partijen komen overeen dat dit de gerechten van _______ (lidstaat opgeven) zijn.

| c) | Een betrokkene kan ook gerechtelijke procedures aanhangig maken tegen de gegevensexporteur en/of de gegevensimporteur bij de gerechten van de lidstaat waar hij/zij gewoonlijk verblijft. |
| --- | --- |

c)

Een betrokkene kan ook gerechtelijke procedures aanhangig maken tegen de gegevensexporteur en/of de gegevensimporteur bij de gerechten van de lidstaat waar hij/zij gewoonlijk verblijft.

| d) | De partijen komen overeen zich aan de jurisdictie van die gerechten te onderwerpen. |
| --- | --- |

d)

De partijen komen overeen zich aan de jurisdictie van die gerechten te onderwerpen.

MODULE VIER: Doorgifte tussen verwerker en verwerkingsverantwoordelijke

| | Uit deze bepalingen voortvloeiende geschillen worden beslecht door de gerechten van _____ (land opgeven). |
| --- | --- |

Uit deze bepalingen voortvloeiende geschillen worden beslecht door de gerechten van _____ (land opgeven).

---

(1)  Wanneer de gegevensexporteur een onder Verordening (EU) 2016/679 vallende verwerker is die namens een instelling of orgaan van de Unie optreedt als verwerkingsverantwoordelijke, garandeert de toepassing van deze bepalingen bij het in dienst nemen van een andere verwerker (subverwerker) die niet onder Verordening (EU) 2016/679 valt ook de naleving van artikel 29, lid 4, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39), voor zover deze bepalingen en de verplichtingen inzake gegevensbescherming zoals opgenomen in de overeenkomst of andere rechtshandeling tussen de verwerkingsverantwoordelijke en de verwerker overeenkomstig artikel 29, lid 3, van Verordening (EU) 2018/1725 op één lijn zijn gebracht. Dat is met name het geval wanneer de verwerkingsverantwoordelijke en de verwerker zich baseren op de in Besluit 2021/915 opgenomen standaardcontractbepalingen.

(2)  Dit vereist dat de gegevens op dusdanige wijze anoniem moeten worden gemaakt dat de persoon door niemand meer geïdentificeerd kan worden, overeenkomstig overweging 26 van Verordening (EU) 2016/679, en dat dit proces onomkeerbaar is.

(3)  De Overeenkomst betreffende de Europese Economische Ruimte (EER-overeenkomst) voorziet in de uitbreiding van de interne markt van de Europese Unie met de drie EER-staten IJsland, Liechtenstein en Noorwegen. De Uniewetgeving inzake gegevensbescherming, waaronder Verordening (EU) 2016/679, valt onder de EER-overeenkomst en is in bijlage XI daarbij opgenomen. Derhalve wordt een verstrekking door de gegevensimporteur aan een in de EER gevestigde derde partij voor de toepassing van deze bepalingen niet als een verdere doorgifte aangemerkt.

(4)  De Overeenkomst betreffende de Europese Economische Ruimte (EER-overeenkomst) voorziet in de uitbreiding van de interne markt van de Europese Unie met de drie EER-staten IJsland, Liechtenstein en Noorwegen. De Uniewetgeving inzake gegevensbescherming, waaronder Verordening (EU) 2016/679, valt onder de EER-overeenkomst en is in bijlage XI daarbij opgenomen. Derhalve wordt een verstrekking door de gegevensimporteur aan een in de EER gevestigde derde partij voor de toepassing van deze bepalingen niet als een verdere doorgifte aangemerkt.

(5)  Zie artikel 28, lid 4, van Verordening (EU) 2016/679 en, wanneer de verwerkingsverantwoordelijke een instelling of orgaan van de Europese Unie is, artikel 29, lid 4, van Verordening (EU) 2018/1725.

(6)  De Overeenkomst betreffende de Europese Economische Ruimte (EER-overeenkomst) voorziet in de uitbreiding van de interne markt van de Europese Unie met de drie EER-staten IJsland, Liechtenstein en Noorwegen. De Uniewetgeving inzake gegevensbescherming, waaronder Verordening (EU) 2016/679, valt onder de EER-overeenkomst en is in bijlage XI daarbij opgenomen. Derhalve wordt een verstrekking door de gegevensimporteur aan een in de EER gevestigde derde partij voor de toepassing van deze bepalingen niet als een verdere doorgifte aangemerkt.

(7)  Hieronder valt ook de vraag of de doorgifte en verdere verwerking persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid, of gegevens betreffende strafrechtelijke veroordelingen of strafbare feiten omvatten.

(8)  Aan dit vereiste kan worden voldaan door toetreding van de subverwerker tot deze bepalingen overeenkomstig de gepaste module, in overeenstemming met bepaling 7.

(9)  Aan dit vereiste kan worden voldaan door toetreding van de subverwerker tot deze bepalingen overeenkomstig de gepaste module, in overeenstemming met bepaling 7.

(10)  Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met maximaal twee maanden worden verlengd. De gegevensimporteur stelt de betrokkene naar behoren en onverwijld in kennis van een dergelijke verlenging.

(11)  De gegevensimporteur mag alleen onafhankelijke geschillenbeslechting via een arbitragecommissie aanbieden als hij gevestigd is in een land dat het Verdrag van New York over de erkenning en tenuitvoerlegging van buitenlandse scheidsrechterlijke uitspraken heeft geratificeerd.

(12)  Met betrekking tot het effect van dergelijke wetten en praktijken op de naleving van de bepalingen, kunnen verschillende elementen worden beschouwd als onderdeel van een algemene beoordeling. Het kan hierbij gaan om relevante en gedocumenteerde praktijkervaring met eerdere gevallen van verzoeken om verstrekking van overheidsinstanties, of het ontbreken van dergelijke verzoeken, gedurende een voldoende representatief tijdsbestek. Dit heeft met name betrekking op interne registers of andere documenten die doorlopend en met de nodige zorgvuldigheid zijn opgesteld en op seniormanagementniveau zijn gecertificeerd, mits deze informatie rechtmatig met derde partijen kan worden gedeeld. Indien van deze praktijkervaring wordt uitgegaan om te concluderen dat de gegevensimporteur niet gehinderd zal worden om deze bepalingen na te leven, moet die ervaring worden ondersteund door andere relevante objectieve elementen en dienen de partijen zorgvuldig na te gaan of deze elementen wat de betrouwbaarheid en representativiteit ervan betreft samen voldoende gewicht in de schaal leggen om deze conclusie te ondersteunen. De partijen moeten er met name rekening mee houden of hun praktijkervaring wordt bevestigd en niet wordt tegengesproken door openbaar beschikbare of anderszins toegankelijke betrouwbare informatie over het bestaan of het ontbreken van verzoeken binnen dezelfde sector en/of de toepassing van het recht in de praktijk, zoals jurisprudentie en verslagen van onafhankelijke toezichthoudende organen.

---

AANHANGSEL

TOELICHTING:

Het moet mogelijk zijn om de informatie die van toepassing is op elke doorgifte of categorie van doorgiften duidelijk te onderscheiden en, in dit verband, om de respectieve rol(len) van de partijen als gegevensexporteur(s) en/of gegevensimporteurs(s) te bepalen. Hiertoe is het niet noodzakelijkerwijs nodig om voor elke doorgifte/categorie van doorgiften en/of contractuele relatie afzonderlijke aanhangsels in te vullen en te ondertekenen wanneer deze transparantie ook met één aanhangsel kan worden gewaarborgd. Indien noodzakelijk om voldoende helderheid te verschaffen, dienen er echter wel afzonderlijke aanhangsels te worden gebruikt.

---

BIJLAGE I

A.   LIJST VAN PARTIJEN

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

MODULE VIER: Doorgifte tussen verwerker en verwerkingsverantwoordelijke

Gegevensexporteur(s): [Identiteit en contactgegevens van de gegevensexporteur(s) en, in voorkomend geval, van zijn/hun functionaris voor gegevensbescherming en/of de vertegenwoordiger in de Europese Unie]

| 1. | Naam: ...
  Adres: ...
  Naam, functie en contactgegevens van de contactpersoon: ...
  Activiteiten in verband met de overeenkomstig deze bepalingen doorgegeven gegevens: ...
  Handtekening en datum: ...
  Rol (verwerkingsverantwoordelijke/verwerker): ... |
| --- | --- |

1.

Adres: ...

Naam, functie en contactgegevens van de contactpersoon: ...

Activiteiten in verband met de overeenkomstig deze bepalingen doorgegeven gegevens: ...

Handtekening en datum: ...

Rol (verwerkingsverantwoordelijke/verwerker): ...

| 2. | ... |
| --- | --- |

2.

Gegevensimporteur(s): [Identiteit en contactgegevens van de gegevensimporteur(s), met inbegrip van eventuele contactpersonen die verantwoordelijk zijn voor gegevensbescherming]

| 1. | Naam: ...
  Adres: ...
  Naam, functie en contactgegevens van de contactpersoon: ...
  Activiteiten in verband met de overeenkomstig deze bepalingen doorgegeven gegevens: ...
  Handtekening en datum: ...
  Rol (verwerkingsverantwoordelijke/verwerker): ... |
| --- | --- |

1.

Adres: ...

Naam, functie en contactgegevens van de contactpersoon: ...

Activiteiten in verband met de overeenkomstig deze bepalingen doorgegeven gegevens: ...

Handtekening en datum: ...

Rol (verwerkingsverantwoordelijke/verwerker): ...

| 2. | ... |
| --- | --- |

2.

B.   BESCHRIJVING VAN DOORGIFTE

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

MODULE VIER: Doorgifte tussen verwerker en verwerkingsverantwoordelijke

Categorieën van betrokkenen wier persoonsgegevens worden doorgegeven

...

Categorieën van doorgegeven persoonsgegevens

...

Gevoelige gegevens die worden doorgegeven (indien van toepassing) en toegepaste beperkingen of waarborgen waarmee ten volle rekening wordt gehouden met de aard van de gegevens en de bijbehorende risico’s, zoals strikte beperking van het doel, toegangsbeperkingen (waaronder uitsluitend toegang voor personeelsleden die een gespecialiseerde opleiding hebben gevolgd), het in een register bijhouden van toegang tot de gegevens, beperkingen voor verdere doorgiften, of bijkomende beveiligingsmaatregelen.

...

De frequentie van de doorgifte (bv. of de gegevens eenmalig of continu worden doorgegeven).

...

Aard van de verwerking

...

Doeleind(en) van de gegevensdoorgifte en verdere verwerking

...

De periode gedurende welke de persoonsgegevens zullen worden bewaard, of indien dat niet mogelijk is, de criteria om die termijn te bepalen

...

Voor doorgiften aan (sub-)verwerkers ook het onderwerp, de aard en de duur van de verwerking opgeven

...

C.   BEVOEGDE TOEZICHTHOUDENDE AUTORITEIT

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

De bevoegde toezichthoudende autoriteiten identificeren in overeenstemming met bepaling 13

...

---

BIJLAGE II

TECHNISCHE EN ORGANISATORISCHE MAATREGELEN WAARONDER TECHNISCHE EN ORGANISATORISCHE MAATREGELEN OM DE BEVEILIGING VAN DE GEGEVENS TE WAARBORGEN

MODULE EEN: Doorgifte tussen twee verwerkingsverantwoordelijken

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

TOELICHTING:

De technische en organisatorische maatregelen moeten concreet (en niet op generieke wijze) worden beschreven. Zie ook de algemene opmerking op de eerste pagina van het aanhangsel, met name met betrekking tot de noodzaak om duidelijk aan te geven welke maatregelen op elke doorgifte/reeks doorgiften van toepassing zijn.

Beschrijving van de technische en organisatorische maatregelen die de gegevensimporteur(s) heeft/hebben genomen (met inbegrip van eventuele relevante certificeringen) om een passend beveiligingsniveau te waarborgen, rekening houdend met de aard, reikwijdte, context en doeleinden van de verwerking en met de risico’s voor de rechten en vrijheden van natuurlijke personen.

[Voorbeelden van mogelijke maatregelen:

Maatregelen betreffende de pseudonimisering en versleuteling van persoonsgegevens

Maatregelen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en -diensten te garanderen

Maatregelen om het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen te waarborgen

Procedures voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking

Maatregelen voor de identificatie en autorisatie van gebruikers

Maatregelen voor de bescherming van gegevens tijdens de toezending

Maatregelen voor de bescherming van gegevens tijdens de opslag

Maatregelen om de fysieke beveiliging van locaties waar persoonsgegevens worden verwerkt te waarborgen

Maatregelen om het opslaan van gebeurtenisinformatie te garanderen

Maatregelen om de systeemconfiguratie, waaronder de standaardconfiguratie, te beschermen

Maatregelen voor het bestuur en beheer van de interne IT en de IT-veiligheid

Maatregelen voor de certificering/garantie van processen en producten

Maatregelen om gegevensminimalisering te garanderen

Maatregelen om gegevenskwaliteit te waarborgen

Maatregelen om beperkte bewaring van gegevens te garanderen

Maatregelen om verantwoording te waarborgen

Maatregelen om gegevensoverdraagbaarheid mogelijk te maken en wissing te garanderen]

Voor doorgiften aan (sub-)verwerkers
  ook de specifieke technische en organisatorische maatregelen beschrijven die de (sub-)verwerker moet nemen om bijstand te kunnen verlenen aan de verwerkingsverantwoordelijke en, voor doorgiften van een verwerker aan een subverwerker, aan de gegevensexporteur

---

BIJLAGE III

LIJST VAN SUBVERWERKERS

MODULE TWEE: Doorgifte tussen verwerkingsverantwoordelijke en verwerker

MODULE DRIE: Doorgifte tussen twee verwerkers

TOELICHTING:

Deze bijlage moet bij specifieke toestemming van subverwerkers (bepaling 9, punt a), optie 1) worden ingevuld voor de modulen twee en drie.

De verwerkingsverantwoordelijke heeft het gebruik van de volgende subverwerkers toegestaan:

| 1. | Naam: ...
  Adres: ...
  Naam, functie en contactgegevens van de contactpersoon: ...
  Omschrijving van verwerking (met inbegrip van een duidelijke afbakening van verantwoordelijkheden indien meerdere subverwerkers zijn gemachtigd): ... |
| --- | --- |

1.

Adres: ...

Naam, functie en contactgegevens van de contactpersoon: ...

Omschrijving van verwerking (met inbegrip van een duidelijke afbakening van verantwoordelijkheden indien meerdere subverwerkers zijn gemachtigd): ...

| 2. | ... |
| --- | --- |

2.

---