Geldt de AVG ook voor mijn bedrijf als ik geen personeel heb?
De Algemene Verordening Gegevensbescherming maakt geen onderscheid naar bedrijfsgrootte. Er staat nergens in de wet een ondergrens voor aantal medewerkers of omzet waaronder de regels niet gelden. Bepalend is één vraag: verwerkt u persoonsgegevens? Zodra u een klantnaam, een e-mailadres, een adres voor een factuur of gegevens van een sollicitant vastlegt, bent u bezig met een verwerking in de zin van de AVG, ook als u de enige medewerker van uw bedrijf bent.
Dat betekent in de praktijk dat vrijwel elk bedrijf, van eenmanszaak tot grote onderneming, ergens binnen de reikwijdte van de AVG valt. Het verschil zit niet in óf de wet geldt, maar in de omvang en de aard van wat u verwerkt: een zzp'er die drie klanten per jaar factureert, heeft een andere praktische opgave dan een webshop met duizenden klantprofielen. De verplichtingen worden zwaarder naarmate de verwerking risicovoller of omvangrijker is, maar het uitgangspunt blijft voor iedereen hetzelfde.
Wat wél bepaalt hoe zwaar de AVG voor u weegt
De AVG kent één concrete uitzondering die met bedrijfsomvang te maken heeft: de verplichting om een verwerkingsregister bij te houden geldt in beginsel niet voor organisaties met minder dan 250 medewerkers, tenzij de verwerking niet incidenteel is, een risico oplevert voor de rechten van betrokkenen, of bijzondere persoonsgegevens betreft zoals gezondheidsgegevens. In de praktijk vallen de meeste MKB-bedrijven alsnog onder een van die uitzonderingen, simpelweg omdat klantgegevens structureel worden verwerkt en dus niet incidenteel zijn. De uitzondering is dus smaller dan hij op het eerste gezicht lijkt.
Belangrijker dan die ene uitzondering is de aard van wat u verwerkt. Verwerkt u alleen zakelijke contactgegevens van andere ondernemingen, dan is het risico doorgaans beperkt. Verwerkt u gegevens van consumenten, personeel, sollicitanten of camerabeelden, dan gelden dezelfde verplichtingen als voor een groot bedrijf: een rechtsgrond voor de verwerking, duidelijkheid richting betrokkenen, afspraken met partijen die namens u gegevens verwerken, en een plan voor het geval er iets misgaat.
Situaties waarin de AVG duidelijk op u van toepassing is
Heeft u een webshop, dan verwerkt u klantgegevens, bestelgegevens en vaak gegevens via een betaalprovider of bezorgdienst. Heeft u personeel, dan verwerkt u loongegevens, verzuimgegevens en soms een BSN. Werkt u met sollicitanten, dan verwerkt u cv's en motivatiebrieven. Gebruikt u cameratoezicht bij een pand, dan verwerkt u beeldmateriaal van bezoekers en medewerkers. In al deze gevallen is de AVG onmiskenbaar van toepassing, ongeacht of u alleen werkt of met tien mensen.
Situaties waarin het minder zwaar weegt, maar niet verdwijnt
Een zzp'er die uitsluitend factureert aan zakelijke opdrachtgevers en geen personeel of consumenten heeft, verwerkt doorgaans minder gevoelige gegevens en in kleinere volumes. Dat maakt de praktische opgave overzichtelijker, maar het betekent niet dat de wet niet geldt. Ook dan moet u kunnen uitleggen waarom u gegevens bewaart, hoe lang, en met wie u ze eventueel deelt, bijvoorbeeld via een boekhoudpakket of een clouddienst. De EDPB-richtsnoeren en de uitleg van de Autoriteit Persoonsgegevens benadrukken steeds dat de verplichtingen meebewegen met het risico, niet dat ze bij kleine partijen wegvallen.
Hoe u dit voor uw eigen situatie nagaat
De meest bruikbare vraag is niet "ben ik groot genoeg om te tellen", maar "welke persoonsgegevens verwerk ik, van wie, en waarom". Loop uw belangrijkste bedrijfsprocessen langs: facturatie, klantcontact, personeelsadministratie, marketing, beveiliging. Bij elk proces waar een naam, e-mailadres of ander identificeerbaar gegeven voorkomt, is de AVG in beeld. Wie dat overzicht nog niet scherp heeft, vindt in de kennisbank met uitleg per situatie een startpunt om te bepalen welke verplichtingen bij welk type verwerking horen.
Ook de meest gestelde vragen van andere ondernemers geven een goed beeld van waar de twijfel meestal zit; die staan verzameld op de pagina met antwoorden op vragen die MKB-ondernemers vaak stellen. Wilt u weten hoe de informatie op gdpria.eu tot stand komt en welke bron bij welk antwoord hoort, dan leest u dat op de pagina die uitlegt waar de gebruikte informatie vandaan komt.
De uiteindelijke beoordeling van uw eigen situatie is aan u, eventueel met een jurist of met de Autoriteit Persoonsgegevens als vraagbaak voor algemene duiding. Wat wij op deze pagina's bieden is structuur om die beoordeling te kunnen maken, niet het advies zelf.
Wilt u snel en vrijblijvend zien welke verplichtingen bij uw type bedrijf horen, dan kunt u een zakelijk account aanmaken en het overzicht voor uw eigen situatie opbouwen. De eerste verkenning, inclusief de vindplaats van elk antwoord, is en blijft gratis.