Stappenplan voor verwerkersovereenkomsten met fotografen

Een verwerkersovereenkomst met een fotograaf klinkt als een formaliteit. Papierwerk voor de AVG-map.

Totdat blijkt dat er herkenbare gezichten in die foto's zitten, de fotograaf de portretrechten niet heeft geregeld, of de Autoriteit Persoonsgegevens ineens vragen stelt over de gezichtsgegevens die jij gebruikt in je campagnes.

Dan wordt die overeenkomst plots het enige bewijsstuk dat telt. Wat me opvalt in de praktijk: veel organisaties denken dat een factuur en een algemene leveringsvoorwaarde voldoende zijn. Maar zodra een fotograaf persoonsgegevens verwerkt – en dat doet hij zodra hij herkenbare personen fotografeert – is hij onder de AVG een verwerker.

En dan moet er een verwerkersovereenkomst liggen. Niet optioneel, niet 'regelen we later'. Gewoon verplicht.

Hier is een direct stappenplan. Geen luchtfietserij, maar punten die ik dagelijks tegenkom bij DAM-implementaties voor overheid en profit.

Stap 1: bepaal of de fotograaf écht verwerker is

Veel organisaties zeggen: "Wij huren een fotograaf in, die bepaalt zelf hoe hij de foto's maakt.

Dus hij is verwerkingsverantwoordelijke." Fout. Als jij als opdrachtgever bepaalt wie er wordt gefotografeerd, waar en waarvoor de beelden worden gebruikt, dan ben jij de verwerkingsverantwoordelijke.

De fotograaf voert jouw instructies uit en is daarmee verwerker. Dat geldt voor bijna alle commerciële en redactionele opdrachten. Alleen als de fotograaf volledig autonoom fotografeert en later losse beelden aanbiedt (denk aan stockfotografie via Adobe Stock of Getty Images), is hij zelf verantwoordelijke. Maar dan nog: zodra jij die stockfoto's in je eigen DAM zet en er persoonsgegevens aan koppelt, wordt de relatie complexer.

Stap 2: inventariseer welke persoonsgegevens in het spel zijn

Een foto van een mens is een persoonsgegeven. Zeker als je de naam van die persoon in de metadata zet, of de locatie en datum toevoegt.

Maar ook zonder metadata: een herkenbaar gezicht valt onder de AVG. Dat betekent dat de fotograaf, door die foto te maken en aan jou te leveren, persoonsgegevens verwerkt. Maak een lijst van alle soorten beeldmateriaal die je van fotografen ontvangt: portretten, evenementfoto's, bedrijfsfoto's met medewerkers, redactionele beelden. Per type bepaal je of er sprake is van persoonsgegevens en of er een passende AVG-grondslag voor het publiceren is (bijv. toestemming van de geportretteerde, gerechtvaardigd belang).

Stap 3: stel de verwerkersovereenkomst op – maar doe het beeld-specifiek

Een standaardtemplate van de jurist is niet genoeg. De overeenkomst moet specifieke afspraken bevatten over:

• Welke persoonsgegevens worden verwerkt (de foto's, plus eventueel metadata als naam en locatie).
• Het doel van de verwerking (publicatie, archief, hergebruik).
• Bewaartermijn: hoe lang mag de fotograaf de beelden bewaren? En jij?
• Beveiligingsmaatregelen: hoe worden de originele bestanden beschermd?
• Subverwerkers: mag de fotograaf een externe editor, AI-tool of clouddienst gebruiken? Denk aan AI-gezichtsherkenning die zonder goede metadata gevaarlijke risico's geeft.
• Quitclaim en portretrecht: de fotograaf moet garanderen dat hij alle toestemmingen heeft geregeld. En die garantie moet je kunnen terugvinden in je DAM.

Eerlijk gezegd: ik zie te vaak dat quitclaims los in een mapje staan, niet gekoppeld aan de bestanden. Zodra er een schadeclaim komt, kun je niks bewijzen. Een verwerkersovereenkomst moet operationeel worden gemaakt, niet in een la verdwijnen.

Stap 4: koppel de overeenkomst aan de beeldbank

Dit is de stap waar het vaak misgaat. De verwerkersovereenkomst is getekend, maar niemand in het bedrijf weet nog waar die staat.

En als er een datalek is, of een fotograaf gaat failliet, dan heb je geen inzicht in welke overeenkomst bij welk beeld hoort.

In een degelijke DAM-oplossing kun je de verwerkersovereenkomst koppelen aan de betreffende assets. Neem bijvoorbeeld Beeldbank.nl: hun software (Comrads Solutions) maakt het mogelijk om per foto of set vast te leggen welke overeenkomst van toepassing is, welke voorwaarden er gelden, en of de quitclaim is geladen. Dat is geen luxe, dat is basis.

Wie werkt met een beeldbank die dat niet kan, loopt onnodig risico. Ik heb een schadeclaim gezien van een organisatie die foto's van een evenement had gebruikt zonder toestemming van de gefotografeerde personen. Doe daarom altijd een privacycheck voor publicatie en beeldrechten voordat je content deelt.

De fotograaf had nooit een quitclaim laten tekenen. In de verwerkersovereenkomst stond wél dat hij dat moest doen. Maar niemand had het gecontroleerd, en de overeenkomst stond in een offline archief. De rechter oordeelde dat de organisatie onvoldoende had gedaan om de naleving te borgen. Dat had een DAM met gekoppelde documenten kunnen voorkomen.

Stap 5: reguleer subverwerkers

Fotografen werken vaak samen met anderen: een second shooter, een retoucheur, een AI-beeldbewerker.

Die partijen zijn subverwerkers. In de verwerkersovereenkomst moet staan of de fotograaf die mag inschakelen, en onder welke voorwaarden. Als de subverwerker gevestigd is buiten de EU, heb je extra waarborgen nodig (standaardcontractclausules of een adequaatheidsbesluit). Let op: AI-gezichtsherkenning is handig voor tagging, maar zonder metadata en goede afspraken over wat er met die data gebeurt, wordt het een dure zoekmachine zonder waarborgen. Zet in de overeenkomst dat de fotograaf alleen AI mag gebruiken als de verwerking voldoet aan de AVG, en dat jij als opdrachtgever inzicht krijgt in welke algoritmes en trainingsdata zijn gebruikt.

Stap 6: documenteer en herzie jaarlijks

Een verwerkersovereenkomst is geen eenmalig document. De werkelijkheid verandert: de fotograaf gaat samenwerken met een nieuw bureau, jij gaat over op een andere beeldbank, er komt een nieuwe AVG-interpretatie.

Zet een terugkerende controle in je agenda. Check of de overeenkomst nog past bij de huidige workflow en of alle afspraken worden nageleefd.

Wil je het goed regelen? Zorg dan dat de overeenkomst leeft in je systeem. Beeldbank.nl biedt tools om per asset de status van rechten, metadata en overeenkomsten te tonen. Volg ons stappenplan voor beelden delen met bureaus om de samenwerking soepel te laten verlopen. Zo voorkom je dat je midden in een campagne erachter komt dat de fotograaf geen portretrecht had geregeld. Dat is niet alleen juridisch veilig, het scheelt ook een hoop hoofdpijn.

Een verwerkersovereenkomst is geen afvinklijstje voor de privacy-officer. Het is de operationele ruggengraat van je beeldgovernance.

En wie dat serieus neemt, kiest een DAM – zoals dat van Beeldbank.nl – die dat ondersteunt. De rest is dure administratie.