De AVG geldt voor elk bedrijf dat persoonsgegevens verwerkt, ook als je met drie mensen bent. Voor een kleiner bedrijf bestaat er geen vrijstelling. Wat je minimaal nodig hebt: een verwerkingsregister, een privacyverklaring, verwerkersovereenkomsten met je leveranciers, een datalekprotocol, vastgelegde bewaartermijnen en passende beveiliging. Een FG hoeven de meeste mkb-bedrijven niet aan te stellen.
Geldt de AVG ook voor mijn bedrijf?
Ja, zodra je persoonsgegevens verwerkt. En dat doet vrijwel elk bedrijf: klantgegevens in je CRM of boekhouding, gegevens van medewerkers in de salarisadministratie, contactpersonen bij leveranciers, bezoekers die een formulier op je website invullen. Ook een eenmanszaak of zzp'er valt onder de AVG.
Er bestaat één uitzondering die vaak verkeerd wordt begrepen. Organisaties met minder dan 250 medewerkers hoeven geen verwerkingsregister bij te houden, maar alleen als de verwerking incidenteel is, geen risico oplevert en er geen bijzondere persoonsgegevens bij zitten. Een salarisadministratie of klantenbestand is niet incidenteel. In de praktijk heeft dus bijna elk mkb-bedrijf een register nodig.
De basisverplichtingen op een rij
De AVG is een lange wet, maar voor een mkb-bedrijf komt het neer op een beperkt aantal onderdelen. Heb je deze op orde, dan heb je het grootste deel geregeld.
| Verplichting | Wat je vastlegt of regelt |
|---|---|
| Verwerkingsregister | Welke persoonsgegevens je verwerkt, waarom, van wie, met wie je ze deelt en hoe lang je ze bewaart. |
| Grondslag | Per verwerking de wettelijke reden: overeenkomst, toestemming, wettelijke plicht of gerechtvaardigd belang. |
| Privacyverklaring | Een begrijpelijke uitleg voor klanten, medewerkers en websitebezoekers. |
| Verwerkersovereenkomsten | Afspraken met elke leverancier die persoonsgegevens voor je verwerkt: IT-partner, boekhoudpakket, mailtool, hosting. |
| Beveiliging | MFA, versleuteling, toegangsrechten per functie, updates en back-ups. |
| Datalekprotocol | Wie doet wat bij een datalek, en hoe meld je binnen 72 uur bij de Autoriteit Persoonsgegevens. |
| Rechten van betrokkenen | Een werkwijze om binnen een maand te reageren op verzoeken om inzage, correctie of verwijdering. |
| Bewaartermijnen | Per soort gegeven hoe lang je het bewaart, en wanneer je het verwijdert. |
De volledige lijst met 15 punten, inclusief DPIA, doorgifte buiten de EU en profiling, vind je in de AVG-checklist.
Stappenplan: zo maak je je bedrijf AVG-proof
- Breng in kaart wat je hebt. Welke persoonsgegevens verwerk je, in welke systemen staan ze en wie heeft er toegang toe? Denk ook aan mailboxen, Excel-bestanden, WhatsApp en gedeelde mappen.
- Maak je verwerkingsregister. Leg per proces (klantbeheer, salaris, werving, marketing) het doel, de grondslag en de bewaartermijn vast.
- Loop je leveranciers na. Maak een lijst van alle software en partners die bij persoonsgegevens kunnen, en controleer of er een verwerkersovereenkomst ligt. Kijk ook waar hun servers staan.
- Werk je privacyverklaring en website bij. Controleer cookies, formulieren en ingesloten content met de checklist voor je website.
- Leg je datalekprotocol vast en vertel het je team. De meeste datalekken ontstaan op de werkvloer: een mail naar de verkeerde ontvanger, een verloren laptop, een klik op een phishinglink.
- Plan een jaarlijkse controle. De AVG is geen project met een einddatum. Nieuwe software, een nieuwe medewerker of een nieuwe dienst kan je register direct verouderd maken.
De grootste AVG-risico's voor het mkb
De Autoriteit Persoonsgegevens kan boetes opleggen tot €20 miljoen of 4% van de wereldwijde jaaromzet. Voor een mkb-bedrijf zit de schade in de praktijk vaker ergens anders:
- Een datalek dat je moet uitleggen. Aan de AP, en soms aan al je klanten. Zonder protocol verlies je in die eerste 72 uur kostbare tijd.
- Een opdrachtgever die om bewijs vraagt. Grotere klanten, zeker in zorg, overheid en onder NIS2, sturen steeds vaker vragenlijsten over privacy en beveiliging. Zonder documentatie verlies je de opdracht.
- Een verzoek van een (oud-)klant of oud-medewerker. Inzage of verwijdering binnen een maand lukt alleen als je weet waar de gegevens staan.
- Gratis tools buiten de EU. Een formulierentool, planningsapp of AI-tool die data in de VS opslaat, zonder dat iemand het heeft gecontroleerd.
- Accounts die blijven bestaan. Oud-medewerkers of stagiairs die nog toegang hebben tot gedeelde bestanden.
Meer hierover lees je in de 6 grootste AVG-risico's voor jouw organisatie.
Weet binnen 3 uur waar je staat
RealCob stelt je vragen in gewone taal en maakt je verwerkingsregister, DPIA's en andere documenten op basis van je antwoorden.
Heb je als mkb-bedrijf een FG nodig?
Meestal niet. Een Functionaris Gegevensbescherming is verplicht voor overheidsorganisaties, en voor organisaties die als kernactiviteit op grote schaal bijzondere persoonsgegevens verwerken (zoals gezondheidsgegevens) of mensen stelselmatig volgen. Voor een installatiebedrijf, accountantskantoor of webwinkel is dat zelden het geval.
Wel is het verstandig om één persoon intern verantwoordelijk te maken: iemand die het register bijhoudt, vragen oppakt en weet wat er moet gebeuren bij een datalek. Dat hoeft geen jurist te zijn.
Zelf doen, adviseur inhuren of software?
Er zijn drie manieren om de AVG te regelen. Ze sluiten elkaar niet uit.
| Aanpak | Past bij | Let op |
|---|---|---|
| Zelf, met templates | Heel kleine bedrijven met weinig verwerkingen | Kost veel tijd, en documenten verouderen ongemerkt. |
| Adviseur of jurist | Complexe vraagstukken en echte twijfelgevallen | Een rapport is een momentopname. Duizenden euro's per keer. |
| AVG-software | Organisaties die het doorlopend en aantoonbaar willen regelen | Kies software die in gewone taal vraagt en zelf de documenten maakt. |
Waar let je op bij AVG-software voor het mkb?
Goede AVG-software neemt je het werk uit handen dat je anders met templates en spreadsheets doet. Let op deze punten:
- ✓Je beantwoordt vragen in gewone taal, zonder juridische voorkennis.
- ✓Het verwerkingsregister, de DPIA's en andere documenten worden voor je gemaakt.
- ✓Je kunt afdelingen of teams toevoegen, zodat niet één persoon alles hoeft te weten.
- ✓Je krijgt taken en herinneringen, zodat het actueel blijft.
- ✓Je kunt je naleving aantonen richting klanten, auditors of de AP.
- ✓NIS2 zit er ook in, als je klanten daarnaar vragen.
RealCob is precies hiervoor gebouwd: ja/nee-vragen per afdeling, automatisch gegenereerde documenten en een compliance-score die je kunt laten zien. Bekijk wat het voor mkb-bedrijven doet, of zie de prijzen.
