AVG-checklist voor bedrijven: Alles wat u moet weten

PRIVACY & AVG · BIJGEWERKT JULI 2026

Een AVG-boete kan oplopen tot 20 miljoen euro of 4% van je wereldwijde jaaromzet, en de Autoriteit Persoonsgegevens (AP) hoeft niet te wachten op een klacht om onderzoek te doen. Toch heeft de meerderheid van de Nederlandse MKB-bedrijven geen actueel verwerkingsregister, geen verwerkersovereenkomsten met leveranciers en geen procedure voor als er iets misgaat met klantgegevens. Deze checklist zet de 11 stappen op een rij die er echt toe doen, inclusief wat er in 2026 verandert door een Europees voorstel om de regeldruk voor kleinere bedrijven te verlagen.

Geldt de AVG ook voor mijn kleine bedrijf?

Ja, ongeacht je bedrijfsgrootte. De Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR) geldt voor iedere organisatie die persoonsgegevens verwerkt: van een eenmanszaak met een klantenbestand in een Excel-sheet tot een beursgenoteerd concern. Er is geen ondergrens qua omzet of personeel waaronder je bent vrijgesteld. Wat wél verschilt per bedrijfsgrootte, is de omvang van je verplichtingen: een zzp’er met vijftig klanten in een boekhoudpakket heeft een ander risicoprofiel dan een webshop die duizenden betaalgegevens per maand verwerkt.

De AVG draait om vier basisprincipes die je als toetssteen kunt gebruiken bij elke beslissing over gegevens: verzamel niet meer dan nodig (dataminimalisatie), gebruik gegevens alleen voor het doel waarvoor je ze verzamelde (doelbinding), bewaar ze niet langer dan nodig (opslagbeperking), en zorg dat je kunt aantonen dat je je aan de regels houdt (verantwoordingsplicht). Deze checklist is opgebouwd rond die verantwoordingsplicht: niet alleen de regels naleven, maar het ook kunnen bewijzen als de AP langskomt.

Voor de volledige uitleg van de AVG in Nederland, inclusief de rechten van je klanten, hebben we een aparte gids geschreven. Dit artikel focust specifiek op wat jij als ondernemer moet regelen.

Welke persoonsgegevens verwerkt jouw bedrijf eigenlijk?

De eerste stap is geen juridische, maar een praktische: in kaart brengen wélke gegevens je verzamelt, waarom, en waar ze terechtkomen. De meeste ondernemers onderschatten dit: het gaat niet alleen om je CRM-systeem, maar ook om de contactformulieren op je website, de cc’tjes in je mailbox, de camerabeelden bij je bedrijfsingang en de loonstroken die je boekhouder beheert.

Werk per categorie drie vragen af: welke specifieke gegevens verzamel je, wat is het doel, en hoe lang bewaar je ze? Die drie kolommen vormen meteen de basis van je verwerkingsregister, de volgende stap.

Moet je nog een verwerkingsregister bijhouden in 2026?

Op dit moment: ja, in beginsel wel. Artikel 30 van de AVG verplicht een verwerkingsregister voor elke organisatie met 250 of meer werknemers, én voor kleinere organisaties zodra hun verwerkingen een risico vormen voor de rechten van betrokkenen, niet incidenteel zijn, of bijzondere persoonsgegevens betreffen (gezondheid, ras, geloof, biometrie). In de praktijk raakt dat bijna elk bedrijf dat personeel in dienst heeft, klantprofielen bijhoudt of trackingcookies gebruikt: die uitzondering is kleiner dan hij klinkt.

Een verwerkingsregister hoeft geen ingewikkeld document te zijn. Voor een MKB-bedrijf volstaat een spreadsheet met per verwerking: het doel, de categorieën gegevens en betrokkenen, wie er toegang toe heeft, of gegevens naar derden of buiten de EU gaan, de bewaartermijn, en de beveiligingsmaatregelen. Het is tegelijk je interne bewijs richting de AP dat je weet wat er in je organisatie gebeurt met persoonsgegevens.

Wanneer heb je een verwerkersovereenkomst nodig?

Zodra een externe partij namens jou persoonsgegevens verwerkt, ben je verplicht een verwerkersovereenkomst te sluiten. Denk aan je hostingprovider, je e-mailmarketingtool, je boekhoudsoftware, je salarisadministratie of een extern callcenter. Jij blijft de verwerkingsverantwoordelijke; de verwerker mag alleen doen wat jij opdraagt, en moet passende beveiligingsmaatregelen treffen.

De meeste grote softwarepartijen (Google Workspace, Microsoft 365, Mailchimp, Exact) bieden een standaard verwerkersovereenkomst aan die je zelf kunt afsluiten via hun beheerpaneel. Ga na welke leveranciers toegang hebben tot persoonsgegevens en controleer of er voor elk van hen een ondertekende verwerkersovereenkomst ligt, inclusief afspraken over datalekken, subverwerkers en doorgifte buiten de EU.

Wat moet je doen als er een datalek gebeurt?

Een datalek is elke inbreuk waarbij persoonsgegevens verloren gaan, worden gestolen of onbedoeld toegankelijk worden voor onbevoegden: een gehackte database, een verkeerd geadresseerde e-mail met een klantenbestand als bijlage, een gestolen laptop zonder versleuteling, of een medewerker die per ongeluk facturen naar de verkeerde persoon stuurt.

Zodra je een meldplichtig datalek ontdekt, ben je verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens via het meldloket datalekken. Die 72 uur telt in alle uren, dus ook in het weekend. Meldplichtig is een lek als het een risico oplevert voor de rechten en vrijheden van de betrokkenen, wat het geval is bij grote hoeveelheden gegevens óf bij gevoelige gegevens zoals gezondheids- of financiële data. Bij een hoog risico moet je bovendien de betrokkenen zelf informeren, niet alleen de toezichthouder.

Een uitgebreidere stap-voor-stap uitleg, inclusief voorbeeldteksten voor de melding, vind je in ons artikel over wat je precies moet doen bij een datalek.

Heb je een Functionaris Gegevensbescherming nodig?

Een Functionaris Gegevensbescherming (FG, in het Engels DPO) is verplicht in drie situaties: je bent een overheidsinstantie, je kernactiviteit bestaat uit grootschalige, regelmatige en systematische monitoring van personen (bijvoorbeeld profilering voor gerichte advertenties op grote schaal), of je kernactiviteit bestaat uit grootschalige verwerking van bijzondere persoonsgegevens (gezondheidsdata, biometrie, strafrechtelijke gegevens).

Voor de meeste zzp’ers en kleine MKB-bedrijven is een verplichte FG niet aan de orde. Dat betekent niet dat niemand verantwoordelijk is: wijs intern altijd één persoon aan die het overzicht bewaakt over gegevensverwerking, ook als het geen formele FG-rol is. Grotere organisaties met veel klantdata of een zorgcomponent doen er goed aan dit uit te laten zoeken door een jurist, want de grens tussen “wel” en “niet verplicht” is casuïstisch.

Wat kost het als je de AVG niet naleeft?

De AVG kent twee boetecategorieën, en de AP werkt sinds 2024 met vaste boetebeleidsregels die bandbreedtes per overtreding vastleggen. De uiteindelijke boete hangt af van de ernst, de duur, het aantal getroffen personen en of het om een eerste overtreding gaat.

Belangrijker dan de kans op een boete is vaak de praktische schade: een datalek dat naar buiten komt, kost klantvertrouwen en soms een claim van gedupeerden. Steeds vaker bundelen gedupeerden van een groot datalek zich in een collectieve schadeclaim tegen het bedrijf dat de gegevens liet lekken. Hoe dat precies werkt, lees je in ons artikel over hoe een massaclaim tegen een bedrijf werkt.

Wat als jouw bedrijf zelf slachtoffer wordt van een datalek bij een leverancier?

Compliance werkt twee kanten op. Je bent zelf verantwoordelijk voor de gegevens die je verwerkt, maar je bent ook klant bij grote techleveranciers (cloudopslag, marketingtools, socialmediaplatforms) die op hun beurt de AVG moeten naleven. Als zo’n leverancier op grote schaal persoonsgegevens laat lekken of onrechtmatig verwerkt, ontstaat er soms een collectieve claim namens de gedupeerden, waarin ook jouw klantgegevens of jouw eigen bedrijfsgegevens kunnen zitten.

Los van je rol als ondernemer kun je als privépersoon ook kiezen om zo’n zaak actief mee te financieren via een procescertificaat, in plaats van alleen als gedupeerde aan te sluiten. SOMI biedt dit aan voor collectieve privacyclaims tegen grote techbedrijven. Dat is geen belegging met vast rendement: je financiert een rechtszaak mee en deelt alleen mee in de opbrengst als die zaak wint of wordt geschikt.

Voor je eigen klanten geldt hetzelfde principe in de omgekeerde richting: als jij zelf een datalek veroorzaakt, kunnen gedupeerde klanten zich op dezelfde manier verenigen tegen jouw bedrijf. Dat is precies waarom de eerdere stappen in deze checklist, van verwerkingsregister tot verwerkersovereenkomst, niet alleen een wettelijke plicht zijn, maar ook praktische risicobeperking.

De 11 stappen samengevat

Onderstaande lijst is bewust kort en actiegericht, zodat je hem kunt gebruiken als werkelijke checklist naast je verwerkingsregister.

Wil je precies weten welke rechten je klanten kunnen inroepen, en hoe je daar als bedrijf op moet reageren? Lees onze uitleg van AVG-rechten van betrokkenen, van inzage tot bezwaar.