Wat Betekent AVG

De AVG, ofwel Algemene Verordening Gegevensbescherming, is de Europese privacywet die regelt hoe organisaties met persoonsgegevens van klanten, medewerkers en bezoekers moeten omgaan. De verordening geldt sinds 25 mei 2018 in alle EU-lidstaten, dus ook in Nederland, en vervangt de oude Wet bescherming persoonsgegevens. Voor MKB-ondernemers betekent de AVG dat je toestemming moet vragen, duidelijk moet zijn over datagebruik en passende beveiligingsmaatregelen moet treffen.

Hoe werkt de AVG in de praktijk?

De AVG werkt volgens zes basisprincipes: rechtmatigheid, doelbinding, dataminimalisatie, juistheid, opslagbeperking en integriteit. In de praktijk betekent dit dat je alleen persoonsgegevens mag verzamelen als je daar een geldige grondslag voor hebt, bijvoorbeeld expliciete toestemming of een contractuele noodzaak. Je mag niet zomaar alle gegevens opslaan die je tegenkomt. Elk gegeven moet een duidelijk doel hebben en je moet kunnen uitleggen waarom je het nodig hebt. Zodra dat doel vervalt, moet je de gegevens verwijderen of anonimiseren. De Autoriteit Persoonsgegevens houdt toezicht op de naleving en kan bij overtredingen boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor MKB-bedrijven zijn de boetes doorgaans lager, maar kunnen nog steeds oplopen tot tienduizenden euro's.

Waarom de AVG ontstond en waarom het nu telt

Voor 2018 had elk Europees land eigen privacyregels, wat grensoverschrijdend zakendoen ingewikkeld maakte. Tegelijk groeiden databedrijven explosief en ontstonden er steeds meer datalekken. De Europese Unie wilde één uniforme standaard creëren die burgers meer controle geeft over hun eigen gegevens. In Nederland verving de AVG de Wet bescherming persoonsgegevens uit 2001, die niet was toegerust op moderne online diensten en cloud computing. Nu, jaren na invoering, blijft de AVG actueel omdat gegevensverwerking alleen maar toeneemt. Denk aan nieuwsbrieftools, CRM-systemen, analytics en chatbots. Elk systeem dat namen, e-mailadressen of gedragsdata verwerkt, valt onder de verordening.

Wat naleving van de AVG oplevert voor MKB-bedrijven

Goede AVG-naleving voorkomt niet alleen boetes, maar bouwt ook vertrouwen bij klanten. Bezoekers zien steeds vaker privacy als keuzecriterium, zeker in sectoren als zorg, financiën en juridische diensten. Een heldere privacy policy en een correct ingestelde cookiebanner tonen professionaliteit. Bovendien dwingt de AVG je om kritisch naar je datagebruik te kijken: welke gegevens heb je echt nodig en welke verzamel je uit gewoonte? Die opruiming maakt je systemen overzichtelijker en veiliger. Bij een nieuwe website of webshop is AVG-proof design vanaf dag één eenvoudiger en goedkoper dan achteraf repareren. In de praktijk zien we dat bedrijven die privacy serieus nemen minder last hebben van spamklachten, lagere bouncepercentages en betere conversies, omdat bezoekers zich veiliger voelen.

De AVG geldt voor vrijwel elke organisatie die persoonsgegevens verwerkt, maar de praktische invulling verschilt sterk per bedrijfstype en werkwijze. Een webshop met 500 klanten heeft andere verplichtingen dan een adviesbureau met tien vaste opdrachtgevers. De verordening kent geen uitzonderingen voor kleine bedrijven, maar de maatregelen die je moet nemen zijn wel proportioneel aan de risico's die je verwerking met zich meebrengt. Hieronder zie je de belangrijkste toepassingsgebieden waar MKB-ondernemers in de praktijk mee te maken krijgen.

Contactformulieren en nieuwsbriefinschrijvingen op websites

Zodra je een contactformulier op je website plaatst, verwerk je persoonsgegevens en moet je voldoen aan de AVG. Dat betekent dat je duidelijk uitlegt waarvoor je de gegevens gebruikt, hoe lang je ze bewaart en op welke grondslag je dat doet. Voor een nieuwsbrief heb je expliciete toestemming nodig via een opt-in-checkbox, zonder vooraf aangevinkt vakje. Bij een contactformulier voor een offerte-aanvraag kun je vaak volstaan met de grondslag 'gerechtvaardigd belang', omdat de bezoeker zelf contact zoekt. In de praktijk zien we dat veel MKB-bedrijven hun formulieren nog steeds inrichten zonder privacyverklaring of verwerkingsgrondslag, wat bij controle direct een boete oplevert. Een goed opgezet webdesign integreert deze privacywaarborgen al in de formulierflow, zodat je van meet af aan compliant bent.

Klantadministratie en CRM-systemen

Als je klantgegevens opslaat in een spreadsheet, boekhoudsysteem of CRM-tool, ben je verantwoordelijk voor de beveiliging en bewaartermijn van die data. De AVG schrijft voor dat je alleen gegevens verzamelt die je echt nodig hebt voor het doel, bijvoorbeeld facturatie of orderverwerking. Een B2B-dienstverlener met twaalf medewerkers mag bijvoorbeeld geen geboortedatum of BSN opvragen als dat niet noodzakelijk is voor de dienstverlening. Ook moet je klanten de mogelijkheid geven hun gegevens in te zien, te corrigeren of te laten verwijderen. Veel MKB-ondernemers onderschatten de bewaarplicht: na afloop van de opdracht mag je gegevens niet eindeloos bewaren, tenzij de Belastingdienst of een andere wettelijke regeling dat vereist. Een goede vuistregel is zeven jaar voor fiscale documenten, maar voor marketingdoeleinden vaak niet langer dan twee jaar na laatste contact.

Webshops en online betalingsverkeer

Een webshop verwerkt naast naam en adres ook betaalgegevens, IP-adressen en browsegedrag via cookies. Voor elk van die verwerkingen heb je een aparte grondslag nodig. Orderverwerking valt onder 'uitvoering van een overeenkomst', maar voor tracking-cookies heb je toestemming nodig via een cookiebanner. Bij betalingen moet je zorgen dat gevoelige data zoals creditcardnummers nooit op je eigen server worden opgeslagen, maar direct bij de payment provider blijven. De AVG verplicht je ook om een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens als er risico is voor klanten. In de praktijk betekent dit dat je bij een hack of vergissing snel moet handelen. Een professioneel ingerichte webshop regelt deze zaken al via beveiligde koppelingen en geautomatiseerde logbestanden, zodat je achteraf kunt aantonen dat je zorgvuldig hebt gehandeld.

Wanneer de AVG de juiste keuze is en wanneer niet

De AVG is geen keuze, maar een wettelijke verplichting voor elke organisatie die persoonsgegevens verwerkt binnen de EU. Je kunt er niet voor kiezen om de verordening niet toe te passen. Wel kun je de mate van compliance aanpassen aan je risiconiveau: een eenmanszaak zonder website hoeft minder maatregelen te treffen dan een webshop met duizenden klanten. De AVG is niet de juiste basis als je alleen anonieme statistieken verzamelt zonder persoonsherleidbare gegevens, of als je uitsluitend werkt met publieke data zoals Kamer van Koophandel-gegevens. In die gevallen vallen bepaalde verwerkingen buiten de reikwijdte van de verordening, maar dat is eerder uitzondering dan regel.