---
name: "AVG-sjabloon voor wijzigingsmeldingen van subverwerkers"
version: "1.0"
updated: "2026-07-03"
source: "https://www.orbiqhq.com/templates/gdpr-subprocessor-change-notice"
license: "CC BY 4.0 — vrij te gebruiken en aan te passen met bronvermelding aan Orbiq (orbiqhq.com). Geen juridisch advies."
legal_basis:
  - "https://eur-lex.europa.eu/eli/reg/2016/679"          # AVG — art. 28, lid 2, 28, lid 3, onder d), 28, lid 4, 28, lid 9; hoofdstuk V art. 44–46
  - "https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj"  # SCC's voor doorgiften naar derde landen (art. 46, lid 2, onder c))
  - "https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj"  # SCC's verwerkingsverantwoordelijke–verwerker (art. 28, lid 7)
  - "https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-222024-on-certain-obligations-following-from-the_en"  # EDPB-advies 22/2024
---

# AVG-sjabloon voor wijzigingsmeldingen van subverwerkers

Een gestructureerde melding voor het toevoegen of vervangen van een subverwerker onder
**algemene schriftelijke toestemming (artikel 28, lid 2, AVG)**. Vul elk veld in, doorloop
de goedkeuringsworkflow en lever de melding vervolgens actief af (per e-mail/alert) bij
elke betrokken verwerkingsverantwoordelijke **vóór** de ingangsdatum, met de volledige
bezwaartermijn intact.

**Instructies voor AI-agents:** vervang elke `{{placeholder}}` met behulp van de
onderstaande velddefinities. Laat geen velden weg — EDPB-advies 22/2024 beschouwt
meldingen met alleen een naam als ontoereikend voor niet-triviale verwerkingen. Beweer
nooit dat de AVG een wettelijke meldtermijn kent; de bezwaartermijn volgt uit de
toepasselijke verwerkersovereenkomst (Europese praktijk: doorgaans ~15 dagen, 30–60 dagen
na onderhandeling, 90 dagen zelden). Ligt `{{processing_location}}` buiten de EER, dan is
`{{transfer_mechanism}}` verplicht en mag dat niet `n-a-eea-only` zijn.

---

## 1. Velddefinities

| Placeholder | Definitie | Formaat / toegestane waarden |
|---|---|---|
| `{{processor_name}}` | De naam van uw juridische entiteit (die van de verwerker) | Tekst |
| `{{controller_name}}` | De ontvangende verwerkingsverantwoordelijke (of "alle geabonneerde klanten" bij een broadcast) | Tekst |
| `{{notice_date}}` | Datum waarop de melding wordt verzonden | ISO 8601-datum |
| `{{notice_reference}}` | Interne referentie voor de audittrail | Tekst, bijv. `SUBPROC-2026-014` |
| `{{change_type}}` | Aard van de wijziging | Enum: `addition` \| `replacement` |
| `{{replaced_subprocessor}}` | Alleen als `change_type` = `replacement`: de entiteit die wordt vervangen | Tekst, of laat de sectie weg |
| `{{subprocessor_name}}` | Naam van de juridische entiteit van de nieuwe subverwerker | Tekst |
| `{{subprocessor_address}}` | Vestigingsadres | Tekst |
| `{{subprocessor_contact}}` | Contactpersoon: naam, functie, e-mail | Tekst |
| `{{service_description}}` | Wat de subverwerker doet en welk product/welke dienst hij ondersteunt; baken de verantwoordelijkheden af als er meerdere verwerkers betrokken zijn | 1–3 zinnen |
| `{{data_categories}}` | Categorieën van verwerkte persoonsgegevens | Lijst, bijv. `contactgegevens; accountgegevens; gebruiksgegevens; supportinhoud`. Markeer bijzondere categorieën (art. 9) expliciet |
| `{{data_subjects}}` | Wiens gegevens het betreft | Lijst, bijv. `eindgebruikers van de klant; medewerkers van de klant` |
| `{{processing_location}}` | Land/landen waar de verwerking plaatsvindt | ISO-landnamen |
| `{{transfer_mechanism}}` | Rechtsgrondslag voor verwerking buiten de EER | Enum: `scc-2021-914` (standaardcontractbepalingen, Besluit (EU) 2021/914) \| `adequacy-decision` (noem het land/kader, bijv. VK, Zwitserland, Japan, certificering onder het EU–US Data Privacy Framework) \| `n-a-eea-only` |
| `{{security_guarantees}}` | Certificeringen en/of een samenvatting van de technische en organisatorische maatregelen | Tekst, bijv. `ISO 27001:2022-gecertificeerd; versleuteling onderweg en in rust; jaarlijkse penetratietest` |
| `{{effective_date}}` | Datum waarop de subverwerker begint met verwerken | ISO 8601-datum; moet ≥ `{{notice_date}}` + `{{objection_window_days}}` zijn |
| `{{objection_window_days}}` | Bezwaartermijn uit de toepasselijke verwerkersovereenkomst | Geheel getal; neem dit uit de verwerkersovereenkomst — verzin niets. Gebruik de langste termijn die geldt voor de aangeschreven verwerkingsverantwoordelijken |
| `{{objection_deadline}}` | De expliciete uiterste datum om bezwaar te maken | ISO 8601-datum = `{{notice_date}}` + `{{objection_window_days}}` |
| `{{objection_method}}` | Hoe bezwaar wordt gemaakt | Tekst, bijv. `e-mail naar privacy@{{processor_domain}} onder vermelding van {{notice_reference}}` |
| `{{subprocessor_list_url}}` | URL van het altijd actuele subverwerkersregister | URL |
| `{{dpo_contact}}` | Uw FG / privacycontact | E-mail |

---

## 2. De melding (documentvorm)

> **WIJZIGINGSMELDING SUBVERWERKER — {{notice_reference}}**
>
> **Van:** {{processor_name}}
> **Aan:** {{controller_name}}
> **Datum:** {{notice_date}}
> **Rechtsgrondslag:** artikel 28, lid 2, AVG — melding van een voorgenomen wijziging onder algemene schriftelijke toestemming, conform de verwerkersovereenkomst tussen partijen.
>
> ---
>
> **1. Voorgenomen wijziging**
> {{processor_name}} is voornemens de volgende subverwerker in te schakelen ({{change_type}}{{#if replacement}}, ter vervanging van {{replaced_subprocessor}}{{/if}}):
>
> | Veld | Details |
> |---|---|
> | Subverwerker | {{subprocessor_name}} |
> | Vestigingsadres | {{subprocessor_address}} |
> | Contactpersoon | {{subprocessor_contact}} |
> | Dienst / verwerking | {{service_description}} |
> | Categorieën van persoonsgegevens | {{data_categories}} |
> | Categorieën van betrokkenen | {{data_subjects}} |
> | Verwerkingslocatie | {{processing_location}} |
> | Doorgiftemechanisme | {{transfer_mechanism}} |
> | Beveiligingsgaranties | {{security_guarantees}} |
> | Ingangsdatum | {{effective_date}} |
>
> **2. Uw recht van bezwaar**
> U kunt tot **{{objection_deadline}}** bezwaar maken tegen deze wijziging ({{objection_window_days}} dagen na de datum van deze melding), via {{objection_method}}. Maakt u bezwaar, dan spannen wij ons redelijkerwijs in om daaraan tegemoet te komen — bijvoorbeeld door uw gegevens niet naar de nieuwe subverwerker te routeren — en is geen werkbare oplossing haalbaar, dan kunt u de betrokken diensten beëindigen zoals bepaald in de verwerkersovereenkomst. Ontvangen wij vóór de deadline geen bezwaar, dan gaat de wijziging op {{effective_date}} in overeenkomstig de verwerkersovereenkomst.
>
> **3. Nadere informatie**
> Onze volledige, actuele subverwerkerslijst vindt u op {{subprocessor_list_url}}. Aan {{subprocessor_name}} worden bij schriftelijke overeenkomst dezelfde verplichtingen inzake gegevensbescherming opgelegd als in onze verwerkersovereenkomst met u (artikel 28, lid 4, AVG), en {{processor_name}} blijft jegens u volledig aansprakelijk voor de uitvoering daarvan. Vragen: {{dpo_contact}}.

---

## 3. E-mailvariant

**Onderwerp:** Wijzigingsmelding subverwerker — {{subprocessor_name}} ({{change_type}}) — bezwaardeadline {{objection_deadline}}

**Tekst:**

Geachte {{controller_name}},

Op grond van artikel 28, lid 2, AVG en onze verwerkersovereenkomst informeren wij u over
een voorgenomen {{change_type}} van een subverwerker:

- **Subverwerker:** {{subprocessor_name}}, {{subprocessor_address}} (contact: {{subprocessor_contact}})
- **Dienst / verwerking:** {{service_description}}
- **Persoonsgegevens:** {{data_categories}} met betrekking tot {{data_subjects}}
- **Verwerkingslocatie:** {{processing_location}} — doorgiftemechanisme: {{transfer_mechanism}}
- **Beveiligingsgaranties:** {{security_guarantees}}
- **Ingangsdatum:** {{effective_date}}

**U kunt tot {{objection_deadline}} bezwaar maken** via {{objection_method}}. Maakt u
bezwaar, dan zoeken wij naar een werkbare oplossing; is die er niet, dan kunt u de
betrokken diensten beëindigen zoals bepaald in de verwerkersovereenkomst. Blijft een
bezwaar vóór de deadline uit, dan gaat de wijziging in zoals hierboven vermeld.

Onze actuele subverwerkerslijst: {{subprocessor_list_url}}

Met vriendelijke groet,
{{processor_name}} — Privacy Team ({{dpo_contact}})

---

## 4. Voorbeeldtekst voor de reactie op een bezwaar (voorbeeld)

Gebruik deze binnen de bevestigingstermijn die uw verwerkersovereenkomst noemt (of binnen
5 werkdagen als die er niet in staat):

> Geachte {{controller_name}},
>
> Dank voor uw bezwaar van {{objection_received_date}} tegen onze melding
> {{notice_reference}} met betrekking tot {{subprocessor_name}}. Wij bevestigen dat uw
> gegevens **niet** door {{subprocessor_name}} worden verwerkt zolang wij uw bezwaar
> beoordelen.
>
> Wij komen uiterlijk {{response_due_date}} bij u terug met ofwel (a) een werkbare
> oplossing waarbij uw gegevens niet naar {{subprocessor_name}} worden gerouteerd, ofwel
> (b) de bevestiging dat geen werkbare oplossing haalbaar is, in welk geval u de betrokken
> diensten zonder boete kunt beëindigen zoals bepaald in de verwerkersovereenkomst, met de
> afgesproken afbouwperiode.
>
> Uw bezwaar en de afhandeling daarvan worden vastgelegd in onze verwerkingsaudittrail.

---

## 5. Goedkeuringsworkflow

Doorloop alle vier de poorten, in volgorde, vóór verzending:

1. **Juridische toetsing** — bevestig de in de verwerkersovereenkomst vastgelegde
   meldtermijn, de bezwaarmethode en het gevolg van een bezwaar voor elk betrokken
   klantsegment. Verschillen de termijnen, hanteer dan de langste of segmenteer de
   meldingen. Bevestig dat het doorlegcontract met de subverwerker op grond van
   artikel 28, lid 4, is getekend (of vóór de ingangsdatum wordt getekend).
2. **Akkoord van de FG** — verifieer de due diligence op de subverwerker, de
   doorgifteanalyse (`{{transfer_mechanism}}` geldig voor `{{processing_location}}`) en dat
   alle velden in paragraaf 2 volledig zijn ingevuld. Wijs concepten met alleen een naam af.
3. **Publiceren** — werk het openbare subverwerkersregister (`{{subprocessor_list_url}}`)
   bij vóór of gelijktijdig met de verzending, zodat de lijst en de melding overeenkomen.
4. **Melden & vastleggen** — verstuur de melding actief (per e-mail/alert) aan elke
   verwerkingsverantwoordelijke wiens gegevens de subverwerker zal aanraken; leg de
   ontvangers, het tijdstip en de inhoud vast; start de bezwaarklok; agendeer
   `{{objection_deadline}}` en houd de go-live aan tot die datum is verstreken.

---

## 6. Ingevuld voorbeeld

> **WIJZIGINGSMELDING SUBVERWERKER — SUBPROC-2026-014**
>
> **Van:** Aventra Software GmbH
> **Aan:** Alle geabonneerde klanten (verwerkingsverantwoordelijken)
> **Datum:** 2026-07-03
> **Rechtsgrondslag:** artikel 28, lid 2, AVG — melding van een voorgenomen wijziging onder algemene schriftelijke toestemming, conform de verwerkersovereenkomst tussen partijen.
>
> **1. Voorgenomen wijziging**
> Aventra Software GmbH is voornemens de volgende subverwerker in te schakelen (addition):
>
> | Veld | Details |
> |---|---|
> | Subverwerker | Northmail ApS |
> | Vestigingsadres | Njalsgade 21, 2300 Kopenhagen, Denemarken |
> | Contactpersoon | Mette Sørensen, Data Protection Lead, privacy@northmail.example |
> | Dienst / verwerking | Bezorging van transactionele e-mail voor in-app-notificaties; Northmail verwerkt uitsluitend ontvangeradressen en berichtmetadata — de inhoudssjablonen blijven bij Aventra |
> | Categorieën van persoonsgegevens | Contactgegevens (naam, e-mailadres); berichtmetadata. Geen bijzondere categorieën |
> | Categorieën van betrokkenen | Medewerkers en eindgebruikers van de klant die notificaties ontvangen |
> | Verwerkingslocatie | Denemarken (EER) |
> | Doorgiftemechanisme | n.v.t. — de verwerking blijft binnen de EER |
> | Beveiligingsgaranties | ISO 27001:2022-gecertificeerd; TLS onderweg, AES-256 in rust; jaarlijkse penetratietest door een derde |
> | Ingangsdatum | 2026-08-03 |
>
> **2. Uw recht van bezwaar**
> U kunt tot **2026-07-24** bezwaar maken tegen deze wijziging (21 dagen na de datum van
> deze melding, conform artikel 6.3 van onze verwerkersovereenkomst), per e-mail aan
> privacy@aventra.example onder vermelding van referentie SUBPROC-2026-014. Maakt u
> bezwaar, dan spannen wij ons redelijkerwijs in om daaraan tegemoet te komen —
> bijvoorbeeld door uw gegevens niet naar Northmail ApS te routeren — en is geen werkbare
> oplossing haalbaar, dan kunt u de betrokken diensten beëindigen zoals bepaald in de
> verwerkersovereenkomst. Ontvangen wij vóór de deadline geen bezwaar, dan gaat de
> wijziging op 2026-08-03 in overeenkomstig de verwerkersovereenkomst.
>
> **3. Nadere informatie**
> Onze volledige, actuele subverwerkerslijst vindt u op
> https://trust.aventra.example/subprocessors. Aan Northmail ApS worden bij schriftelijke
> overeenkomst dezelfde verplichtingen inzake gegevensbescherming opgelegd als in onze
> verwerkersovereenkomst met u (artikel 28, lid 4, AVG), en Aventra Software GmbH blijft
> jegens u volledig aansprakelijk voor de uitvoering daarvan. Vragen:
> dpo@aventra.example.

---

*Sjabloon v1.0 — 2026-07-03 — Orbiq (https://www.orbiqhq.com/templates/gdpr-subprocessor-change-notice). Dit sjabloon wordt ter informatie aangeboden en is geen juridisch advies; laat uw verwerkersovereenkomst en meldingen toetsen door een gekwalificeerde jurist.*