Geldt de AVG ook voor mijn bedrijf?
Ja, in nagenoeg alle gevallen wel. De Algemene Verordening Gegevensbescherming kent geen drempel voor omzet, personeel of sector. Zodra uw bedrijf persoonsgegevens verwerkt, zoals namen, e-mailadressen of loongegevens, is de verordening op die verwerking van toepassing. Dat geldt voor een eenmanszaak met één klant evengoed als voor een installatiebedrijf met vijftig medewerkers.
Het verschil met regelingen als NIS2, de CSRD of de VSME-standaard is dat die wel werken met drempels voor bedrijfsgrootte of sector. De AVG werkt anders: niet de omvang van uw bedrijf is bepalend, maar de vraag of er persoonsgegevens worden verwerkt en op welke manier. Daardoor raakt de AVG in de praktijk vrijwel elk bedrijf, ook al voelt dat niet altijd zo.
Wat de verordening onder persoonsgegevens verstaat
De AVG onderscheidt persoonsgegevens als alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Dat is breder dan veel ondernemers denken. Een adreslijst van klanten, een personeelsdossier, een sollicitatiebrief die nog in de mailbox staat, of camerabeelden bij de ingang: het valt er allemaal onder. Zelfs een zzp'er die alleen facturen met naam en adres verstuurt, verwerkt al persoonsgegevens.
De verordening maakt daarbij onderscheid tussen de verwerkingsverantwoordelijke, die bepaalt waarom en hoe gegevens worden verwerkt, en de verwerker, die dat namens een ander doet. Een salarisadministratiekantoor is bijvoorbeeld verwerker voor de loongegevens van uw personeel, terwijl u zelf verwerkingsverantwoordelijke bent. Welke rol op uw bedrijf van toepassing is, en welke verplichtingen daarbij horen, is iets wat per situatie verschilt en waarover de toezichthouder en een jurist uitsluitsel kunnen geven.
Waarom dit onderwerp in de vragenlijst van uw klant terugkomt
Afnemers vragen hun leveranciers steeds vaker niet alleen naar duurzaamheid of cyberveiligheid, maar ook naar de omgang met persoonsgegevens. Dat gebeurt bijvoorbeeld wanneer u namens uw klant gegevens van diens medewerkers of eindklanten verwerkt, of wanneer u toegang heeft tot systemen waarin dat soort gegevens staat. In dat geval wil de afnemer weten of er een verwerkersovereenkomst is, of er een register van verwerkingen wordt bijgehouden, en hoe een datalek wordt gemeld.
Deze vragen overlappen vaak met de cyberveiligheidsvragenlijst, omdat informatiebeveiliging en gegevensbescherming in de praktijk dicht bij elkaar liggen. Een bedrijf dat voor klanten software of administratieve diensten levert, krijgt die vragen eerder dan een installatiebedrijf dat vooral fysiek werk uitvoert. Wie dit soort vragen herhaaldelijk tegenkomt in verschillende formats van verschillende klanten, kan in de kennisbank per onderwerp nalezen wat de achtergrond van zo'n vraag is en waar de officiële tekst te vinden is.
Wat dit in de praktijk betekent
Of de AVG specifiek verplichtingen oplegt zoals een functionaris gegevensbescherming, een verwerkersovereenkomst of een verwerkingsregister, hangt af van de aard en omvang van de verwerking binnen uw bedrijf. Dat is geen vraag die in algemene zin te beantwoorden is; de verordening zelf en de richtsnoeren van de nationale toezichthouder geven daarvoor de criteria. Voor de meeste MKB-bedrijven is het startpunt simpel: in kaart brengen welke persoonsgegevens er worden verwerkt, van wie, en met welk doel.
Dat overzicht is ook bruikbaar wanneer een afnemer ernaar vraagt. Bewaar documenten zoals een verwerkersovereenkomst of een privacyverklaring op een vaste plek, zodat u ze niet telkens opnieuw hoeft te zoeken. Hoe dat in zijn werk gaat binnen één ketendossier, en hoe de gegevens die daarin staan worden beveiligd, leest u op de pagina over hoe gegevens en privacy worden beschermd.
Wilt u eerst zien welke vragenlijsten en onderwerpen voor uw bedrijf relevant zijn, inclusief de vraag of gegevensbescherming daarbij een rol speelt? Doe de gratis check in een paar vragen voor een eerste indicatie, of lees in de antwoorden op veelgestelde vragen hoe andere ondernemers dit aanpakken. Voor de eigen situatie blijft het verstandig om bij twijfel de bevoegde toezichthouder of een jurist te raadplegen.