De school stelt het doel (onderwijs/zorgbegeleiding) en de middelen (parnassys, bepaalde server waarop wordt gewerkt) van de verwerking van de persoonsgegevens van de zorgleerling vast. De orthopedagoog verwerkt vervolgens ten behoeve van de school persoonsgegevens van de zorgleerling. Als de externe niét ondergeschikt is aan de opdrachtgever, dan is de externe een verwerker en moet er een verwerkingsovereenkomst worden gesloten. Als de externe wél ondergeschikt is aan de school, dan valt die onder de verantwoordelijkheid van de school (en is de externe dus ook geen verwerker).

Wat moet je dus doen?
Check de overeenkomst van opdracht die de externe sluit met de opdrachtgever. Blijkt daaruit dat de externe met de uitvoering van zijn werkzaamheden niet ondergeschikt is aan de opdrachtgever? – dit wordt vaak zo afgesproken met het oog op voorkomen van verkapt dienstverband (fiscale wetgeving) – dan is de conclusie: externe is verwerker en een verwerkersovereenkomst is nodig. Blijkt echter dat de externe in de uitvoering van zijn taken toch ondergeschikt is aan de opdrachtgever? Dan is de externe geen verwerker en hoef je geen verwerkersovereenkomst te sluiten.

NB. De geldstroom maakt niet uit voor de vraag wie verantwoordelijke is en wie verwerker. Het gaat in de AVG om de vraag: wie stelt het doel en de middelen vast voor de verwerking van de persoonsgegevens en wie verwerkt vervolgens die persoonsgegevens.