Geldt de AVG ook voor zzp en kleine bedrijven?

Ja, ook zzp'ers en kleine bedrijven vallen eronder

De AVG geldt voor iedereen die persoonsgegevens verwerkt, ongeacht de grootte van de onderneming. Er staat in de wet geen ondergrens voor het aantal medewerkers of de omzet. Zodra er namen, e-mailadressen, facturen met klantgegevens, een personeelsadministratie of een klantenbestand in een CRM-systeem worden bijgehouden, is er sprake van verwerking van persoonsgegevens in de zin van de wet — en dus van toepasselijkheid van de AVG. Een zzp'er met drie klanten in een spreadsheet valt hier net zo goed onder als een bedrijf met honderd werknemers.

Wat wél verschilt, is de omvang van de verplichtingen die uit die toepasselijkheid volgen. Zo kent de AVG een lichtere uitzondering voor het bijhouden van een verwerkingsregister: organisaties met minder dan 250 medewerkers hoeven dat register in beginsel niet te voeren, tenzij de verwerking niet incidenteel is, een risico met zich meebrengt voor de rechten van betrokkenen, of bijzondere categorieën gegevens betreft. In de praktijk raakt die uitzondering veel kleinere bedrijven minder ver dan ze op het eerste gezicht lijkt te beloven, want klantgegevens bijhouden is zelden echt incidenteel.

Waar dat uit volgt: artikel 2 en artikel 30 AVG

Het materiële toepassingsgebied van de AVG staat in artikel 2: de verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, en op verwerking die deel uitmaakt van een bestand. De uitzondering op de registerplicht voor kleinere organisaties staat in artikel 30, met de daarin genoemde voorwaarden. Omdat de AVG een verordening is, geldt deze kern rechtstreeks en gelijk in elke lidstaat — in Nederland net zo goed als in Duitsland. Wat per land wél verschilt, is welke toezichthouder er op toeziet: in Nederland is dat de Autoriteit Persoonsgegevens, in Duitsland de toezichthouder van de deelstaat waarin de vestiging staat.