Staat mag resellers zonder toegang tot persoonsgegevens niet verplichten tot

In deze procedures staat het aanbestedingsproces van de Staat der Nederlanden centraal, waarbij SoftwareONE bezwaar maakt tegen de voorwaarden die worden gesteld aan resellers. De Staat stelt dat resellers verplicht zijn een verwerkingsovereenkomst te sluiten met deelnemers die persoonsgegevens verwerken, zelfs als de reseller zelf geen toegang heeft tot die persoonsgegevens. Verder is er een eis van onbeperkte aansprakelijkheid voor schendingen van de AVG. SoftwareONE vindt deze voorwaarden disproportioneel en heeft een kort geding aangespannen tegen de Staat om de gunningsbeslissingen van de aanbestedingen tegen te houden. Zie uitgebreid r.o. 4.8 e.v. inzake de proportionaliteit van de constructie. Interessant is bijvoorbeeld overweging 4.10 waarin staat dat : “SoftwareOne heeft in deze procedures voldoende aannemelijk gemaakt dat de reseller het risico van het niet naleven van een verwerkersovereenkomst niet of nauwelijks kan beheersen in de gevallen waarin de reseller geen toegang heeft tot de persoonsgegevens en de vendor persoonsgegevens van de deelnemer verwerkt.

SoftwareOne heeft er dat verband op gewezen dat de reseller in dat geval zelf geen persoonsgegevens verwerkt, daarbij ook geen enkele feitelijke betrokkenheid heeft, geen toegang heeft tot de software en services waarop de persoonsgegevens worden bewaard en geen toegang heeft tot de persoonsgegevens die met het gebruik van de software (door de deelnemer) worden verwerkt. De reseller heeft daardoor geen controle of invloed op: 1) hoe de deelnemer gebruik maakt van haar gebruiksrecht en 2) hoe de persoonsgegevens bij de vendor worden verwerkt, en dus ook niet op het naleven van de verwerkersovereenkomst.“ In r.o. 4.12 wordt ook uitgebreid stilgestaan bij de vraag of de onbeperkte aansprakelijkheid kan worden gehandhaafd, dat is niet zo. Kortom, de voorzieningenrechter oordeelt dat de voorwaarden dat de reseller een verwerkingsovereenkomst moet sluiten en dat de reseller onbeperkt aansprakelijk is voor schendingen van de AVG disproportioneel zijn. Dit houdt in dat de gunningsbeslissingen in de aanbestedingen niet in stand kunnen blijven en dat de Staat wordt verboden om de opdrachten definitief te gunnen (zie r.o. 4.13).