Geldt de AVG ook voor zzp en kleine bedrijven?

Ja, ook zzp'ers en kleine bedrijven vallen eronder

Ja, de AVG geldt voor vrijwel elke zzp'er en elk klein bedrijf dat persoonsgegevens verwerkt. De wet maakt geen uitzondering voor bedrijfsgrootte: zodra er gegevens van een levend persoon worden vastgelegd of gebruikt, is er sprake van "verwerken" in de zin van de AVG, en dan gelden de regels. Een adressenbestand van klanten, een mailinglijst, een salarisadministratie met personeelsgegevens, of zelfs alleen een factuuroverzicht met namen en e-mailadressen: het valt er allemaal onder, of het bedrijf nu uit één persoon bestaat of uit vijftig medewerkers.

Wat wel verschilt, is hoeveel er in de praktijk bij komt kijken. Een zzp'er met een handjevol klantcontacten heeft doorgaans minder verwerkingen te overzien dan een bedrijf met personeel, een webshop of een klantenbestand dat via meerdere systemen loopt. De AVG zelf maakt op dit punt geen onderscheid naar omvang, maar sommige verplichtingen — zoals het bijhouden van een verwerkingsregister — kennen een uitzondering die is gekoppeld aan het aantal medewerkers en de aard van de verwerking, niet aan de rechtsvorm. Dat betekent dat de vraag "geldt de AVG voor mij" bij vrijwel iedereen met "ja" wordt beantwoord, terwijl de vraag "wat moet ik daadwerkelijk vastleggen" per situatie verschilt.

Waar dit uit de verordening volgt

Dat de AVG geen ondergrens kent voor bedrijfsgrootte, volgt uit de begripsbepalingen en het toepassingsbereik van de AVG (Verordening (EU) 2016/679), waarin "verwerkingsverantwoordelijke" en "verwerking" ruim zijn gedefinieerd en niet zijn beperkt tot organisaties van een bepaalde omvang. De Autoriteit Persoonsgegevens licht dit toepassingsbereik toe op haar website, met uitleg specifiek gericht op kleine ondernemers en zzp'ers.