Een nieuwe klant meldt zich. Er komt een e-mail binnen met een naam, telefoonnummer en een korte uitleg van het probleem. Die gegevens gaan misschien direct in Outlook, Gmail, een CRM-systeem, een notitie-app, een WhatsApp-gesprek met een collega of simpelweg in een map op de laptop.
Op dat moment draait het al om verwerken van persoonsgegevens. Niet pas als een bedrijf grote databestanden analyseert. Niet pas als er marketingsoftware aan te pas komt. Gewoon bij het opslaan, doorsturen of terugzoeken van klantinformatie begint de AVG al mee te kijken. Voor veel MKB-ondernemers en zzp'ers is dat precies het punt waarop verwarring ontstaat. Het voelt klein. De wet ziet het breed.
Deze gids houdt het praktisch. Geen juridisch rookgordijn, maar heldere keuzes, herkenbare voorbeelden en de uitzonderingen die voor kleine ondernemingen echt verschil maken.
Inhoudsopgave
- U heeft een nieuwe klant en nu begint de AVG
- Wat is het verwerken van persoonsgegevens precies
- De juridische spelregels grondslagen en rollen
- Uw verplichtingen als ondernemer
- De rechten van uw klanten en hoe u ermee omgaat
- Praktische AVG checklist voor MKB en ZZP
- Veelgestelde vragen over gegevensverwerking
U heeft een nieuwe klant en nu begint de AVG
Een zzp'er krijgt een eerste aanvraag binnen. De klant stuurt een naam, e-mailadres en een paar bijlagen mee. Daarna volgt vaak een heel normale reeks handelingen: opslaan in de mailbox, een herinnering in de agenda zetten, gegevens in een klantenbestand noteren en misschien een collega of boekhouder informeren.
Dat voelt administratief. Juridisch is het al meer dan dat. Zodra een ondernemer gegevens van een herkenbare persoon noteert, bewaart of gebruikt, valt dat onder de AVG. Dat geldt dus ook voor iets ogenschijnlijk onschuldigs als “even deze mail bewaren voor later”.
Het begint vaak kleiner dan gedacht
Veel ondernemers zoeken privacyrisico's in grote systemen. In de praktijk zit het risico vaak in kleine routines:
- Mailboxgebruik: klantmails blijven jarenlang staan zonder duidelijke reden.
- WhatsApp-contact: een telefoonnummer en dossierdetails worden gedeeld in een groepschat.
- Losse notities: een medewerker bewaart klantinformatie in een eigen notitie-app of spreadsheet.
- Doorsturen: een aanvraag gaat zonder nadenken naar een externe partij.
Een bedrijf hoeft geen techplatform te zijn om privacyregels te raken. Een inbox, smartphone en gedeelde map zijn al genoeg.
De ernst daarvan zit niet alleen in de wetstekst, maar ook in de mogelijke gevolgen. De Autoriteit Persoonsgegevens kan bij ernstige AVG-overtredingen een boete opleggen van maximaal €20 miljoen of 4% van de wereldwijde jaaromzet, zoals staat op de uitlegpagina van de Autoriteit Persoonsgegevens over de AVG in het kort.
Urgentie zonder paniek
Voor een MKB-ondernemer is de les simpel. De AVG vraagt niet om een eigen juridische afdeling. De AVG vraagt om bewust handelen. Wie weet welke gegevens binnenkomen, waarom ze worden bewaard en met wie ze worden gedeeld, staat al veel sterker.
Een praktische vuistregel helpt. Zodra een ondernemer denkt: “handig om dit even te bewaren”, is de volgende vraag: “mag dat, is het nodig en is het goed beveiligd?” Dat is de kern van zorgvuldig verwerken van persoonsgegevens.
Wat is het verwerken van persoonsgegevens precies
De term klinkt technisch, maar de wet bedoelt hem juist heel breed. Verwerken is niet alleen analyseren of doorverkopen van data. Het is bijna alles wat een organisatie met persoonsgegevens doet.
De wettelijke definitie is ruim. De AVG noemt onder meer verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, wissen en vernietigen, zoals te lezen is in de Nederlandse wettekst van de AVG.
De wet kijkt breder dan veel ondernemers denken
Een bruikbare vergelijking is die van een bibliothecaris. Die verzamelt boeken, zet ze op volgorde, leent ze uit, zoekt ze terug en haalt ze soms uit de collectie. Bij persoonsgegevens werkt het net zo. Elke handeling telt mee.
Concreet zijn dit veelvoorkomende vormen van verwerken van persoonsgegevens in een klein bedrijf:
| Handeling | Praktijkvoorbeeld |
|---|---|
| Verzamelen | naam en e-mailadres via een contactformulier ontvangen |
| Opslaan | klantgegevens bewaren in Gmail, Outlook of een CRM |
| Gebruiken | een offerte opstellen op basis van aangeleverde informatie |
| Delen | gegevens doorsturen naar een boekhouder of softwareleverancier |
| Ordenen | klanten labelen op onderwerp, status of type opdracht |
| Wissen | oude gegevens verwijderen uit een map of systeem |
Daarom vallen niet alleen naam en adres onder de AVG. Ook een e-mailadres, telefoonnummer, foto, IP-adres of klantnotitie kan een persoonsgegeven zijn als een persoon ermee herkenbaar wordt.
Praktische regel: als een bestand of bericht terug te herleiden is tot een persoon, moet een ondernemer het behandelen alsof de AVG van toepassing is.
Gewone en bijzondere persoonsgegevens
Niet alle gegevens zijn juridisch even zwaar. Er is een verschil tussen gewone persoonsgegevens en bijzondere persoonsgegevens.
Gewone persoonsgegevens zijn bijvoorbeeld naam, e-mailadres of factuurgegevens. Bijzondere persoonsgegevens gaan een stuk verder. Denk aan gezondheidsinformatie of strafrechtelijke gegevens. Voor die categorie gelden strengere regels. De hoofdregel is dat verwerking daarvan in principe verboden is, tenzij een specifieke uitzondering uit de AVG van toepassing is.
Dat onderscheid is voor kleine ondernemers belangrijk. Een coach, arbodienst, jurist, mediator of verhuurder kan sneller dan gedacht met gevoelige informatie te maken krijgen. Een losse opmerking in een dossier als “klant is ziek” of “er loopt een strafzaak” is juridisch niet neutraal. Het kan het dossier meteen in een zwaardere categorie plaatsen.
De juridische spelregels grondslagen en rollen
Een ondernemer mag persoonsgegevens niet verwerken omdat het handig is. Er moet een grondslag zijn. Dat is de wettelijke reden waarom verwerking mag.
Daarnaast moet duidelijk zijn welke pet iemand op heeft. Bepaalt een ondernemer zelf waarom en hoe gegevens worden gebruikt, of verwerkt een externe partij die gegevens alleen in opdracht?
Wanneer mag verwerking eigenlijk
De AVG kent zes grondslagen. In gewone MKB-taal zien die er zo uit:
- Toestemming. Een nieuwsbriefinschrijving is het klassieke voorbeeld. Iemand meldt zich vrijwillig aan en moet zich ook weer eenvoudig kunnen afmelden.
- Uitvoering van een overeenkomst. Een webshop heeft een afleveradres nodig om een bestelling te bezorgen.
- Wettelijke verplichting. Een ondernemer moet bepaalde gegevens bewaren voor fiscale of administratieve plichten.
- Vitaal belang. Dit speelt vooral in uitzonderlijke noodsituaties.
- Taak van algemeen belang of openbaar gezag. Dit is vooral relevant voor overheden en publieke instanties.
- Gerechtvaardigd belang. Dit is in de praktijk vaak de lastigste en tegelijk meest gebruikte grondslag buiten pure toestemming of contractuitvoering.
Voor juridische dienstverlening is vooral die laatste relevant. De Autoriteit Persoonsgegevens legt uit dat een beroep op gerechtvaardigd belang een gedocumenteerde afweging vraagt via een zogeheten three-part test: doel, noodzaak en belangenafweging. Dat staat op de pagina van de Autoriteit Persoonsgegevens over grondslagen van de AVG.
Wie is verantwoordelijk en wie voert uit
Een tweede veelgemaakte fout is het door elkaar halen van verwerkingsverantwoordelijke en verwerker.
Een korte vergelijking helpt:
| Rol | Wat doet deze partij |
|---|---|
| Verwerkingsverantwoordelijke | bepaalt het doel en de middelen van de verwerking |
| Verwerker | verwerkt gegevens namens de verantwoordelijke |
Een administratiekantoor dat eigen klantgegevens gebruikt voor facturatie is meestal zelf verwerkingsverantwoordelijke. Maar hetzelfde kantoor kan verwerker zijn als het in opdracht van een klant persoonsgegevens verwerkt volgens instructies van die klant.
Denk aan herkenbare partijen in het MKB:
- De ondernemer zelf bepaalt vaak waarom klantgegevens worden verzameld.
- Een hostingpartij bewaart gegevens technisch, maar doet dat namens de ondernemer.
- E-mailsoftware verwerkt adressen en verzendgegevens in opdracht.
- Een boekhouder kan soms verwerker zijn, maar soms ook zelfstandig verantwoordelijke, afhankelijk van de situatie.
Als een externe partij alleen uitvoert wat een ondernemer opdraagt, is een verwerkersrelatie waarschijnlijk. Bepaalt die partij zelf het doel van de gegevens, dan ligt dat anders.
Dit onderscheid is niet academisch. Het bepaalt wie informatie moet geven, wie keuzes moet documenteren en met wie contractuele afspraken nodig zijn.
Uw verplichtingen als ondernemer
De AVG is voor kleine ondernemingen vooral een beheertaak. Niet alles hoeft tegelijk perfect, maar een paar onderdelen moeten wel op orde zijn. Wie persoonsgegevens verwerkt, moet kunnen uitleggen wat er gebeurt, waarom dat gebeurt en welke bescherming is ingebouwd.
Wat direct geregeld moet zijn
Een ondernemer doet er verstandig aan om te beginnen met de basisdocumenten en afspraken.
- Verwerkersovereenkomsten: als softwareleveranciers, hostingpartijen of maildiensten namens de ondernemer persoonsgegevens verwerken, horen daar schriftelijke afspraken bij.
- Privacyverklaring: een website, intakeformulier of klantproces moet helder uitleggen welke gegevens worden gebruikt en waarom.
- Interne werkwijze: medewerkers moeten weten waar gegevens thuishoren en waar juist niet. Geen klantdossiers in privé-mailboxen of losse apps zonder beleid.
Wie voorbeelden wil vergelijken, kan kijken hoe andere organisaties hun informatie structureren. De website data privacy information van Tiqqo laat goed zien hoe een privacyverklaring onderwerpen als doeleinden, delen van gegevens en rechten van betrokkenen ordent. Voor een eigen organisatie blijft maatwerk nodig.
Ook een eigen privacyverklaring moet praktisch leesbaar zijn. Een voorbeeld van hoe zo'n pagina toegankelijk kan worden ingericht staat in het privacybeleid van deze organisatie.
Wanneer een register of DPIA nodig is
Veel kleine bedrijven denken dat een verwerkingsregister altijd verplicht is. Dat klopt niet. Voor organisaties met minder dan 250 werknemers geldt volgens de uitleg van de Autoriteit Persoonsgegevens over de verantwoordingsplicht dat een verwerkingsregister alleen verplicht is als sprake is van een hoog risico, niet-incidentele verwerking of verwerking van bijzondere persoonsgegevens.
Dat is voor veel zzp'ers een opluchting, maar geen vrijstelling van gezond beheer. Ook zonder registerplicht moet een ondernemer kunnen uitleggen welke verwerkingen plaatsvinden en waarom.
Een DPIA komt in beeld bij verwerkingen met een hoog privacyrisico. Denk aan dossiers met gezondheidsinformatie of strafrechtelijke gegevens. Zo'n beoordeling dwingt een ondernemer om risico's vooraf in kaart te brengen en maatregelen te nemen voordat de verwerking start.
Een korte uitleg in beeld helpt vaak meer dan een memo. Daarom staat hieronder een heldere videouitleg over de praktijk van AVG-verplichtingen.
Datalekken en standaardinstellingen
Beveiliging gaat niet alleen over antivirussoftware. Het gaat ook over keuzes in de dagelijkse inrichting.
- Sterke toegangsbescherming: gebruik sterke wachtwoorden en waar mogelijk twee-factor-authenticatie.
- Beperkte toegang: niet elke medewerker hoeft elk dossier te kunnen zien.
- Bewaartermijnen: gegevens blijven niet onbeperkt bestaan “voor de zekerheid”.
- Privacy by default: systemen moeten standaard alleen tonen en verzamelen wat strikt nodig is.
Bij een datalek met hoog risico geldt een strakke termijn. De melding aan de toezichthouder moet dan direct en binnen 72 uur na ontdekking plaatsvinden, zoals de Autoriteit Persoonsgegevens toelicht op de eerder genoemde pagina over grondslagen en verplichtingen. Dat vraagt om een interne procedure. Wie beslist? Wie onderzoekt? Wie meldt?
Een datalekprocedure hoeft niet ingewikkeld te zijn. Zonder procedure ontstaat juist chaos op het moment dat snelheid nodig is.
De rechten van uw klanten en hoe u ermee omgaat
Klanten zijn niet passief zodra hun gegevens in een systeem staan. Zij houden rechten. Dat is voor ondernemers soms een lastige gedachte, maar zakelijk gezien is het ook een kans. Een bedrijf dat snel, helder en respectvol reageert op privacyvragen, oogt professioneel.
Dat belang is in Nederland extra zichtbaar. In 2023 beschermde 92 procent van de Nederlandse bevolking tussen 16 en 75 jaar actief de eigen online persoonsgegevens, het hoogste percentage in de EU, volgens het CBS over online bescherming van persoonsgegevens. Privacybewustzijn is dus geen nicheonderwerp.
Waarom dit ook gewoon goede service is
De bekendste rechten zijn:
- Recht op inzage: welke gegevens heeft het bedrijf precies?
- Recht op rectificatie: wat fout is, moet aangepast kunnen worden.
- Recht op verwijdering: in bepaalde gevallen moet informatie weg.
- Recht op overdraagbaarheid: gegevens moeten soms overdraagbaar beschikbaar komen.
- Recht op bezwaar: vooral relevant bij verwerkingen op basis van gerechtvaardigd belang.
Een goed privacybeleid helpt om verwachtingen duidelijk te maken. De APPHAUS privacy policy is een bruikbaar voorbeeld van hoe organisaties rechten van betrokkenen en contactmogelijkheden overzichtelijk beschrijven.
Een verwijderverzoek stap voor stap
Een oud-klant mailt met de vraag om alle gegevens te wissen. Dan helpt een vaste volgorde:
- Verifieer de identiteit. Niet elk verzoek mag blind worden uitgevoerd.
- Zoek de gegevens op. Denk aan mailbox, CRM, facturatie, cloudopslag en gedeelde mappen.
- Beoordeel of wissen volledig mag. Soms moeten bepaalde gegevens nog bewaard blijven vanwege een wettelijke plicht.
- Voer de verwijdering uit waar dat kan.
- Bevestig helder wat is verwijderd en wat niet, met reden.
Wie dit netjes afhandelt, wint vertrouwen. Wie vaag of defensief reageert, vergroot juist het risico op irritatie en klachten.
Praktische AVG checklist voor MKB en ZZP
De meeste ondernemers hebben geen behoefte aan een dik compliance-handboek. Ze hebben behoefte aan een werkbare lijst. Deze checklist maakt verwerken van persoonsgegevens beheersbaar zonder juridisch theater.
Werkbare checklist voor de eerste ronde
- Breng alle plekken in kaart. Zoek niet alleen in het CRM. Kijk ook in Outlook, Gmail, Excel, Google Drive, Dropbox, factuursoftware, agenda's en telefoons.
- Schrijf per gegevenssoort op waarom die nodig is. Een afleveradres heeft een andere reden dan een nieuwsbriefadres. Dat onderscheid voorkomt rommelig beleid.
- Controleer externe partijen. Hosting, cloudopslag, boekhouding, e-mailtools en formuliertools verdienen een aparte check op afspraken en beveiliging.
- Ruim oude gegevens op. Veel bedrijven bewaren vooral omdat niemand ooit heeft besloten om op te schonen.
- Zet een eenvoudige procedure op voor verzoeken van klanten. Eén intern stappenplan is vaak al genoeg om rust te brengen.
- Controleer de website. Contactformulieren, cookies, nieuwsbriefblokken en privacyteksten moeten op elkaar aansluiten.
Voor ondernemers die willen zien hoe een modern privacybeleid digitaal wordt gepresenteerd, biedt het Privacybeleid van Products.ai een bruikbaar referentiepunt voor structuur en helderheid.
Wat vaak misgaat in kleine organisaties
Kleine organisaties lopen zelden vast op ingewikkelde juridische theorie. Ze lopen vast op dagelijkse gewoontes.
Een paar terugkerende valkuilen:
| Situatie | Waarom dit misgaat | Praktische oplossing |
|---|---|---|
| Alles bewaren | niemand bepaalt bewaartermijnen | plan vaste opschoonmomenten |
| Te veel toegang | collega's kunnen overal bij | werk met rollen en beperkte rechten |
| Privé-apps gebruiken | geen controle op opslag en delen | gebruik zakelijke kanalen |
| Onduidelijke formulieren | klanten weten niet wat er gebeurt | zet doel en gebruik helder bij het formulier |
Een ondernemer hoeft niet alles juridisch uit te schrijven om te starten. Dit is vaak genoeg voor de eerste maand:
- Maak een lijst van systemen.
- Markeer welke persoonsgegevens daarin staan.
- Noteer per systeem wie toegang heeft.
- Check welke externe partijen namens het bedrijf werken.
- Werk de privacyverklaring bij.
- Spreek intern af wat er gebeurt bij een datalek of verwijderverzoek.
Die volgorde werkt omdat ze aansluit op de praktijk. Eerst overzicht. Dan pas verfijning.
Veelgestelde vragen over gegevensverwerking
Moet voor elke klant toestemming worden gevraagd
Nee. Toestemming is maar één mogelijke grondslag. Voor een offerte, opdracht of factuur is vaak geen toestemming nodig als de verwerking nodig is voor de dienstverlening of een wettelijke plicht.
Valt een B2B-contactpersoon ook onder de AVG
Ja, meestal wel. Een zakelijk e-mailadres dat naar een persoon herleidbaar is, blijft een persoonsgegeven.
Een ondernemer heeft alleen een nieuwsbrieflijst. Is dat ook verwerken van persoonsgegevens
Ja. Het opslaan, beheren en gebruiken van e-mailadressen voor nieuwsbrieven is ook verwerken van persoonsgegevens. Daarbij moet duidelijk zijn op welke grondslag die lijst wordt gebruikt.
Mag een ondernemer klantgegevens via WhatsApp bespreken
Dat kan risicovol zijn. Zeker als er gevoelige informatie, dossierdetails of meerdere ontvangers in beeld zijn. De veilige vraag is steeds of dit kanaal echt nodig is, voldoende beveiligd is en past binnen het interne beleid.
Moet elk klein bedrijf een volledig privacydossier hebben
Niet per se. Kleine ondernemingen mogen praktisch werken, zolang de basis klopt. Denk aan een duidelijke grondslag, passende beveiliging, heldere informatie en een werkbare procedure voor verzoeken en incidenten.
Wie als ondernemer of particulier met een privacyvraag, geschil of dossier zit, heeft vaak meer aan helder juridisch advies dan aan nog een algemene uitlegpagina. Legal1 ondersteunt bij concrete vragen over gegevensgebruik, aansprakelijkheid, contracten en conflicten, met laagdrempelige en praktische juridische hulp.