AVG voor zzp'ers: wat je echt moet regelen met klantgegevens
Geschreven door Ilias Aarrass6 min lezen · Gepubliceerd op · Laatst gecontroleerd op 
In het kort
Ook een eenmanszaak valt onder de AVG: je legt vast welke persoonsgegevens je verwerkt, zet een privacyverklaring online, sluit verwerkersovereenkomsten en meldt een ernstig datalek binnen 72 uur.
- De vrijstelling van het verwerkingsregister voor organisaties onder de 250 medewerkers geldt niet als je structureel gegevens verwerkt, en dat doet een doorlopende klantadministratie altijd.
- Elke verwerking heeft een grondslag nodig: voor je klantadministratie de overeenkomst, voor je bewaarplicht de wet en voor nieuwsbrieven toestemming.
- Facturen en betaalgegevens houd je zeven jaar op grond van de fiscale bewaarplicht, ook als een klant om verwijdering vraagt.
- Op een verzoek om inzage of verwijdering reageer je binnen een maand.
De AVG geldt voor iedereen die persoonsgegevens verwerkt, ongeacht bedrijfsgrootte. Een klantenbestand met namen, adressen en telefoonnummers is al een verwerking, en dat heeft vrijwel elke zzp'er. Tegelijk is het beeld dat je als eenmanszaak een dik privacybeleid nodig hebt onjuist: voor de meeste ondernemers gaat het om vijf concrete dingen die je één keer regelt en daarna jaarlijks even nakijkt. Dit artikel zet die vijf op een rij, plus de twee plekken waar het bij zzp'ers meestal misgaat: verwerkersovereenkomsten en bewaartermijnen.
Wat je minimaal geregeld hebt
De AVG vraagt niet om papierwerk om het papierwerk, maar om aantoonbaarheid: je moet kunnen laten zien welke gegevens je waarom hebt en hoe je ze beschermt. Voor een gemiddelde zzp-praktijk met klantgegevens, offertes, facturen en een mailinglijst is dat overzichtelijk.
- Een verwerkingsregister: een simpel overzicht van welke gegevens je bewaart, waarvoor, hoelang en met wie je ze deelt.
- Een grondslag per verwerking. Voor klantadministratie is dat de overeenkomst, voor je bewaarplicht de wet, voor nieuwsbrieven toestemming.
- Een privacyverklaring op je website, in gewone taal, met je contactgegevens.
- Beveiliging die past bij het risico: tweefactor op je mail en boekhouding, een versleutelde laptop, geen klantgegevens in gedeelde mappen.
- Verwerkersovereenkomsten met de leveranciers die namens jou gegevens verwerken.
Verwerkersovereenkomsten: waar zzp'ers het vaakst missen
Zodra een leverancier persoonsgegevens verwerkt in jouw opdracht, moet je daar een verwerkersovereenkomst mee hebben. Dat gaat verder dan je denkt: je boekhoudprogramma, je mailprovider, je facturatiesoftware, je online agenda, je nieuwsbriefdienst en de partij die je website host. Het goede nieuws is dat vrijwel al die leveranciers een standaardovereenkomst klaar hebben staan; je hoeft hem alleen te accepteren en op te slaan. Doe dat in één middag voor al je tools en zet ze in dezelfde map als je register.
Andersom kun jij zelf verwerker zijn. Werk je als freelance IT'er in het systeem van je klant, doe je administratie of salarisverwerking voor anderen, of beheer je hun CRM, dan is de opdrachtgever verwerkingsverantwoordelijke en jij verwerker. Dan tekent de klant een overeenkomst met jou. Weiger dat niet: het is standaard en het beschermt jou net zo goed, omdat het zwart op wit zet waar jouw verantwoordelijkheid ophoudt.
Bewaartermijnen: zeven jaar fiscaal, korter voor de rest
Hier botsen twee regels, en dat is de meestgestelde vraag. De AVG zegt: bewaar niet langer dan nodig. De belastingwet zegt: bewaar je administratie zeven jaar. Die twee spreken elkaar niet tegen, want de wettelijke bewaarplicht is zelf een geldige grond. Facturen, contracten en betaalgegevens houd je dus zeven jaar, ook als de klant vraagt om verwijdering. Wat er níét onder valt, gooi je wel weg: sollicitatiegegevens, een oude nieuwsbrieflijst, offertes die nooit tot een opdracht hebben geleid, of het kopietje van een identiteitsbewijs dat je nooit had mogen maken.
Een klant die zijn gegevens wil inzien of laten verwijderen, heeft daar recht op. Je reageert binnen een maand, je legt uit welke gegevens je bewaart en waarom een deel moet blijven staan. Dat verzoek hoeft geen formulier te zijn: een mail volstaat. Zet die correspondentie bij je administratie, zodat je later kunt laten zien dat je op tijd hebt gereageerd.
Kopie identiteitsbewijs
Als opdrachtnemer heb je vrijwel nooit een kopie van het paspoort van je klant of van een collega-zzp'er nodig. Voor personeel in dienst is dat anders, daar hoort de kopie juist wél in je loonadministratie. Vraagt een opdrachtgever jou om een kopie zonder dat er een dienstverband is, geef dan hooguit een afgeschermde versie zonder BSN en pasfoto.
Datalek: wat je doet in de eerste 72 uur
Een datalek is niet alleen een hack. Een factuur naar de verkeerde ontvanger mailen, een verloren telefoon zonder pincode of een nieuwsbrief waarin alle adressen in het cc-veld staan zijn ook lekken. De regel: is er een risico voor de betrokkenen, dan meld je het binnen 72 uur bij de Autoriteit Persoonsgegevens, en bij een hoog risico informeer je ook de mensen zelf. Is het risico verwaarloosbaar, dan volstaat een aantekening in je eigen datalekregister.
De praktische les zit in de voorbereiding, niet in de melding. Twee dingen halen het risico enorm omlaag: tweefactorauthenticatie op je mail en je boekhouding, en klantgegevens niet los op je laptop of in je downloadmap laten rondslingeren maar in één systeem houden. Dat is dezelfde discipline die je administratie sowieso al vraagt, zie privé en zakelijk gescheiden houden.
Wat je concreet geregeld moet hebben
De AVG klinkt zwaarder dan hij voor een eenmanszaak is. Dit is de korte lijst, met de termijn die erbij hoort.
| Wat | Wanneer nodig | Termijn |
|---|---|---|
| Privacyverklaring op je website | Zodra je persoonsgegevens verwerkt | Vóór de eerste verwerking |
| Verwerkingsregister | Bij structurele verwerking | Doorlopend bijhouden |
| Verwerkersovereenkomst | Met elke partij die voor jou gegevens verwerkt | Vóór je die dienst gebruikt |
| Datalek melden bij de AP | Bij risico voor de betrokkenen | Binnen 72 uur |
| Gegevens bewaren | Fiscale stukken versus overige gegevens | 7 jaar fiscaal, korter voor de rest |
Veelgestelde vragen
Geldt de AVG ook voor een eenmanszaak zonder personeel?
Ja. De wet kijkt naar de verwerking van persoonsgegevens, niet naar je omvang of rechtsvorm. Wat wel meeschaalt zijn de maatregelen: bij een klein klantenbestand met gewone contactgegevens volstaat een eenvoudig register, een privacyverklaring en degelijke beveiliging.
Zijn gegevens van bedrijven ook persoonsgegevens?
Gegevens van een rechtspersoon niet, maar de naam, het mailadres en het telefoonnummer van een contactpersoon wel. En bij een eenmanszaak vallen de bedrijfsgegevens vrijwel samen met de persoon, dus behandel die als persoonsgegevens.
Mag ik oud-klanten een nieuwsbrief blijven sturen?
Aan bestaande klanten mag je mailen over vergelijkbare diensten, mits je in elke mail een duidelijke afmeldmogelijkheid biedt. Voor mensen die nooit klant zijn geweest heb je toestemming nodig. Zakelijke adressen op basis van gerechtvaardigd belang benaderen kan, maar houd de lijst schoon en respecteer afmeldingen direct.
Wat riskeer ik als ik niets regel?
Boetes voor kleine ondernemers zijn zeldzaam, maar de Autoriteit Persoonsgegevens kan handhaven en klanten kunnen schade claimen. Belangrijker in de praktijk: grotere opdrachtgevers vragen bij aanbestedingen standaard om een verwerkersovereenkomst en een privacyverklaring. Zonder die stukken val je af voordat het over je tarief gaat.
Bronnen
- Stappen om aan de AVG te voldoenbusiness.gov.nl · business.gov.nl
- Verwerkingsregister bijhoudenbusiness.gov.nl · business.gov.nl
Bronnen gecontroleerd op
Dit artikel geeft algemene informatie op basis van de regels zoals bekend voor 2026 en vervangt geen persoonlijk fiscaal advies. Voor jouw specifieke situatie kijken we graag met je mee.
