AVG voor MKB en verenigingen — praktische checklist 2026

De AVG geldt voor iedereen — van de eenmanszaak tot de vereniging met vijfhonderd leden. Het grootste misverstand is "wij zijn te klein om eronder te vallen". U valt er wel onder. Maar voor MKB en verenigingen zijn de regels meestal eenvoudiger dan gedacht.

Wat de AVG echt vereist — kort

1. U mag alleen gegevens verzamelen waarvoor u een grondslag heeft
2. U moet kunnen aangeven welke gegevens u hebt, waarom, waar opgeslagen, wie er toegang heeft
3. Betrokkenen hebben rechten — inzage, rectificatie, verwijdering
4. U moet de gegevens technisch beschermen — versleuteling, toegangsbeheer, sterke authenticatie
5. Bij datalek moet u binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP)

De checklist — 12 punten

1. Verwerkingsregister (artikel 30 AVG)

Verplicht voor organisaties > 250 medewerkers en voor risicovolle verwerkingen. Praktisch: voer het ook in kleinere structuren — de AP vraagt er regelmatig naar. Tabel: wat / waarom / waar / hoe lang.

2. Grondslag per categorie

• Overeenkomst — e-mailadres om factuur te sturen
• Gerechtvaardigd belang — beveiligingslogs
• Toestemming — nieuwsbrieven, marketing
• Wettelijke verplichting — fiscale bewaartermijn 7 jaar

3. Privacybeleid op de site

1–2 pagina's volstaan. Onze versie als voorbeeld.

4. Cookie-banner

Marketing­cookies vereisen actieve toestemming (uitspraak HvJ EU 2019). Functionele cookies (sessie, taal) mogen zonder toestemming. Google CMP of Cookiebot regelt dit.

5. Veilige verwerking

• Geen gedeelde accounts
• 2FA waar mogelijk
• Geen persoonsgegevens in e-mailbijlagen
• Wachtwoordmanager voor het team

6. Verwerkersovereenkomsten (DPA)

Voor elke externe dienst met klantgegevens hebt u een verwerkersovereenkomst nodig (artikel 28 AVG). De meeste moderne SaaS bieden klikbare DPA's.

7. Plan voor inzageverzoeken

U hebt één maand (artikel 12.3 AVG). Bereid een proces voor: wie ontvangt het verzoek, hoe exporteren, antwoordtemplate.

8. Datalek — meldplicht 72 uur

Binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Bij hoog risico ook betrokkenen informeren.

9. Dataminimalisatie — verwijder wat niet nodig is

• Factuurgegevens: 7 jaar (fiscale bewaarplicht)
• Inactieve leden: 1–3 jaar
• Nieuwsbriefabonnees: max. 12 maanden zonder interactie
• Logs: 30–90 dagen

10. Ledenregister van verenigingen

Het ledenregister is nodig om het lidmaatschap uit te voeren. Bewaar alleen relevante gegevens — naam, contact, lidmaatschapscategorie. Geen BSN tenzij wettelijk vereist.

11. Back-ups en verwijdering

U moet ook in back-ups gegevens kunnen verwijderen. 30–90 dagen roulerende back-up is normaal.

12. Verantwoordingsplicht

Artikel 5(2) AVG: u moet kunnen aantonen dat u compliant bent. Een interne policy-file is voldoende.

Hebben wij een Functionaris Gegevensbescherming (FG) nodig?

In Nederland: verplicht bij overheidsinstanties, bij grootschalige systematische monitoring of grootschalige verwerking van bijzondere persoonsgegevens. Voor de meeste MKB en verenigingen: niet verplicht.

Hoe 1invoice.online helpt

• EU-hosting (Supabase Frankfurt)
• Versleutelde opslag + TLS 1.3
• Row-level security
• Eén-klik export naar CSV+JSON ZIP
• Magic-link inlog — geen wachtwoorden om te lekken

Maak gratis een account aan en vink vandaag meerdere punten af.