AVG.
Persoonsgegevens rechtmatig verwerken, rechten beschermen en de implementatie navolgbaar aantonen.
- Verordening (EU) 2016/679 · BDSG
- Door Derya Altinay
- Stand: 22-10-2026
- Leestijd: 8 min.
Kort antwoord.
De AVG regelt de verwerking van persoonsgegevens binnen haar Europese toepassingsgebied. Ondernemingen hebben passende rechtsgrondslagen, transparante informatie, procedures voor betrokkenenrechten en risicogestuurde beschermingsmaatregelen nodig. Volgens Art. 5 AVG dragen verwerkingsverantwoordelijken de verantwoordingsplicht: zij moeten naleving van de beginselen kunnen aantonen. Verwerkers hebben eigen verplichtingen en ondersteunen de verwerkingsverantwoordelijke bij het nakomen daarvan.
AVG: gegevensbescherming gaat verder dan IT-beveiliging.
De algemene verordening gegevensbescherming is rechtstreeks toepasselijk EU-recht ter bescherming van natuurlijke personen bij de verwerking van hun persoonsgegevens. Verordening (EU) 2016/679 geldt sinds 25 mei 2018; GDPR is de Engelse afkorting. In Duitsland vullen met name de Bundesdatenschutzgesetz en sectorspecifieke voorschriften het Europese kader aan.
De AVG vraagt eerst of en voor welk doel een verwerking is toegestaan. Een veilige database beantwoordt nog niet of de verzamelde informatie noodzakelijk is of hoelang die mag worden bewaard. Art. 5 en 6 AVG verbinden beginselen en rechtsgrondslagen; Art. 32 betreft binnen dit kader de beveiliging van de verwerking.
Gegevensbescherming blijft een doorlopende taak, omdat doelen, gegevensstromen en gebruikte diensten veranderen. De verwerkingsverantwoordelijke moet volgens Art. 24 AVG passende maatregelen nemen, de geschiktheid daarvan toetsen en ze zo nodig actualiseren. Een eenmalig ingevuld document vervangt deze doorlopende beoordeling niet.
Voor welke ondernemingen de AVG geldt.
De AVG geldt volgens Art. 2 voor de daar bedoelde verwerking van persoonsgegevens, ongeacht of een onderneming groot of klein is. Daaronder vallen bijvoorbeeld klantgegevens, sollicitatiedocumenten of persoonsgegevens in supportverzoeken. Ook gepseudonimiseerde gegevens blijven persoonsgegevens wanneer een persoon met aanvullende informatie kan worden geïdentificeerd; werkelijk anonieme informatie moet anders worden ingedeeld.
Het territoriale toepassingsgebied volgt uit Art. 3 AVG. Naast verwerkingen in het kader van een EU-vestiging kunnen bepaalde aanbiedingen aan personen in de EU of monitoring van hun gedrag door ondernemingen buiten de EU eronder vallen. Alleen de serverlocatie of de bereikbaarheid van een website bepaalt dit niet.
De rol wordt voor de concrete activiteit bepaald: verwerkingsverantwoordelijken beslissen over doelen en middelen, verwerkers verwerken gegevens in opdracht. Een organisatie kan afhankelijk van de activiteit verschillende rollen hebben. Art. 26 en 28 AVG vereisen passende regelingen bij gezamenlijke verantwoordelijkheid respectievelijk verwerking in opdracht; alleen een contracttitel verduidelijkt de werkelijke rol niet.
AVG-eisen aan ondernemingen.
De AVG-eisen verbinden juridische beslissingen met de feitelijke uitvoering van de verwerking. Zeven werkgebieden bieden oriëntatie; welke bijzondere verplichtingen erbij komen, hangt af van rol, gegevens, activiteit en risico’s voor de betrokken mensen.
Beginselen en rechtsgrondslagen vastleggen.
Art. 5 en 6 AVG vereisen rechtmatige, doelgebonden en navolgbare verwerking. Beperk gegevens en bewaartermijnen tot het noodzakelijke en houd informatie juist. Toestemming is een mogelijke rechtsgrondslag; de voorwaarden daarvan mogen evenmin worden overgeslagen als die van andere rechtsgrondslagen.
Transparantie en betrokkenenrechten mogelijk maken.
Art. 12 tot en met 22 AVG betreffen begrijpelijke informatie en rechten zoals inzage, rectificatie of wissing. De rechten hebben verschillende voorwaarden en uitzonderingen. Verantwoordelijkheden, gegevenszoeken, identiteitscontrole en een veilig antwoord moeten op elkaar aansluiten; alleen een privacyverklaring behandelt nog geen verzoek.
Verantwoordelijkheid en dienstverleners organiseren.
Art. 24 tot en met 30 AVG regelen organisatorische verplichtingen, privacyvriendelijk ontwerp, rollen en registers. Verwerking in opdracht volgens Art. 28 vereist naast een passende contractuele grondslag voldoende garanties van de dienstverlener. De daadwerkelijk gebruikte subverwerkers en gegevensroutes horen bij de beoordeling, naast de algemene contractvoorwaarden.
Art. 32 AVG vertalen naar doeltreffende maatregelen.
Technische en organisatorische maatregelen moeten een op het risico afgestemd beveiligingsniveau bieden. Art. 32 AVG houdt rekening met de verwerkingscontext, de stand van de techniek, kosten en de waarschijnlijkheid en ernst van mogelijke gevolgen voor mensen. Daarbij horen afhankelijk van het risico toegangsbeveiliging, versleuteling, herstelbaarheid en periodieke toetsing van de doeltreffendheid; een vaste universele lijst volstaat niet.
Bijzondere risico’s en advies toetsen.
Een gegevensbeschermingseffectbeoordeling volgens Art. 35 AVG is vóór een verwerking nodig wanneer die waarschijnlijk een hoog risico voor rechten en vrijheden oplevert. Toets bovendien de voorwaarden voor functionarissen voor gegevensbescherming volgens Art. 37 en aanvullend § 38 BDSG. De adviserende functie vervangt de verantwoordelijkheid voor de verwerking niet.
Inbreuken in verband met persoonsgegevens beoordelen en melden.
Art. 33 AVG vereist in beginsel een melding aan de bevoegde toezichthouder, tenzij de inbreuk waarschijnlijk geen risico voor rechten en vrijheden oplevert. Art. 34 regelt afzonderlijk het informeren van betrokkenen bij een waarschijnlijk hoog risico. Verwerkers informeren de verwerkingsverantwoordelijke onverwijld; incidentdocumentatie blijft een zelfstandige verplichting.
Doorgiften naar derde landen afzonderlijk beveiligen.
Hoofdstuk V AVG stelt aanvullende eisen aan doorgiften naar derde landen. Toets de daadwerkelijke ontvangers, toegangen en het toepasselijke doorgiftemechanisme. Een toegestane doorgifte vervangt noch de rechtsgrondslag van de verwerking, noch de overige privacyverplichtingen; ook een hostinglocatie in de EU beantwoordt niet elke vraag over externe toegang.
AVG-implementatie als doorlopend proces.
Verwerkingen en rollen afbakenen.
Breng als praktische eerste stap doelen, betrokkenen, gegevens, systemen en ontvangers van een concrete activiteit in kaart en bepaal wie voor welke beslissing verantwoordelijk is.
Rechtmatigheid en informatie toetsen.
Beoordeel rechtsgrondslagen, noodzakelijkheid en bewaring en vergelijk de feitelijke verwerking met de informatie voor betrokkenen.
Risico’s en bijzondere verplichtingen beoordelen.
Toets risico’s voor mensen en de voorwaarden voor een DPIA, functionarissen voor gegevensbescherming, verwerking in opdracht en doorgiften naar derde landen voordat de verwerking wordt ingevoerd of wezenlijk gewijzigd.
Maatregelen implementeren en toetsen.
Verbind juridische en organisatorische beslissingen met passende technische maatregelen en toets of bijvoorbeeld toegangsregels, wissing en herstel in de onderzochte dienst functioneren.
Rechten en incidenten praktisch voorbereiden.
Oefen hoe verzoeken en inbreuken worden herkend, geëscaleerd, beoordeeld en tijdig behandeld, inclusief overdrachten tussen ondernemingen en dienstverleners.
Documentatie bij veranderingen bijwerken.
Actualiseer beslissingen en bewijsmateriaal bij gewijzigde doelen, ontvangers of risico’s en bepaal wie openstaande maatregelen opvolgt en de volgende toetsing initieert.
AVG-bewijsvoering en vrijwillige certificering.
Verantwoordingsplicht betekent volgens Art. 5 lid 2 AVG dat naleving van de beginselen kan worden uitgelegd en aangetoond. Passende documenten kunnen verwerkingsregisters, onderbouwde rechtsgrondslagen, contracten, privacy-informatie, DPIA’s en toetsingen van beschermingsmaatregelen omvatten. Bepalend is of ze de werkelijke verwerking weergeven en zichtbaar maken welke beslissing op welke grondslag is genomen.
De privacytoezichthouder heeft onderzoeks- en corrigerende bevoegdheden volgens Art. 58 AVG. Documentatie moet daarom vindbaar, begrijpelijk en actueel zijn. De verordening schept geen algemene certificaatplicht waarmee een onderneming al haar privacywerk definitief zou kunnen afronden; de verantwoordelijkheid blijft bij de verwerkingsverantwoordelijke en de afzonderlijke verplicht gestelde betrokkenen.
Certificering volgens Art. 42 AVG is vrijwillig en betreft verwerkingsactiviteiten op basis van goedgekeurde criteria. Volgens lid 4 vermindert deze de wettelijke verantwoordelijkheid niet; lid 7 beperkt de looptijd tot maximaal drie jaar, met mogelijke verlenging. Een informatiebeveiligingscertificaat is niet automatisch zo’n privacyrechtelijke certificering.
De beslissing om een inbreuk te melden moet afzonderlijk worden onderbouwd. Art. 33 voorziet in melding onverwijld en zo mogelijk binnen 72 uur na kennisneming, tenzij de risico-uitzondering geldt. De documentatie volgens lid 5 omvat ook niet-gemelde inbreuken; het informeren volgens Art. 34 volgt een eigen risicodrempel en de daar geregelde uitzonderingen.
Verder lezen op de blog.
- AVG en beveiligingVerwerkingen, juridische beoordeling en beschermingsmaatregelen verbinden in de bedrijfsvoering.
- Verwerking in opdracht toetsenContractuele toezeggingen vergelijken met de daadwerkelijke gegevensroutes van de dienstverlener.
- Een inbreuk in verband met persoonsgegevens meldenIncidentbeoordeling, meldbeslissing en documentatie nauwkeuriger voorbereiden.
- Inzageverzoeken behandelenOnderzoek, toetsing en veilige verstrekking van inzage organiseren.
AVG en andere frameworks.
ISO 27001 ondersteunt de organisatie van informatiebeveiliging, maar vervangt geen toetsing van rechtsgrondslagen en betrokkenenrechten. NIS2 heeft eigen adressaten en meldplichten; een incident kan afzonderlijke beoordelingen volgens beide rechtskaders vereisen. De EU AI Act vult de eisen aan bepaalde AI-systemen aan zonder de privacytoetsing van verwerkingen van persoonsgegevens te vervangen.
In Secani.
Secani biedt een privacyprofiel voor rollen, verwerkingscontext en doorgiften en een redactionele AVG-toetscatalogus. Het profiel legt ondernemingsgegevens vast en ondersteunt een gestructureerde inventarisatie. De inhoudelijke beoordeling van de werkelijke verwerking en de rechtmatigheid daarvan blijft een zelfstandige taak; het profiel is geen goedkeuring van een autoriteit en geen automatische juridische toetsing.
Volgende stap.
Begin met een duidelijk afgebakende verwerking, zoals de behandeling van supportverzoeken. Beschrijf doel, gegevens, betrokkenen, gebruikte diensten en ontvangers en toets samen met de verantwoordelijke deskundigen de passende rechtsgrondslag. Leg vervolgens vast welke beschermingsmaatregelen en procedures voor rechten en incidenten hiervoor daadwerkelijk nodig zijn.
Bronnen.
- Verordening (EU) 2016/679: algemene verordening gegevensbescherming
- BfDI: DSGVO – BDSG, Info 1, stand maart 2026
- Europese Commissie: toepassingsgebied en rollen van de AVG
- Europese Commissie: verwerkingsbeginselen
- Europese Commissie: verplichtingen van ondernemingen
- EDPB: beveiliging van persoonsgegevens
- EDPB: inbreuken in verband met persoonsgegevens
- EDPB: rechten van betrokkenen
- § 38 BDSG: functionarissen voor gegevensbescherming bij niet-publieke instanties
Veelgestelde vragen.
Nee. Art. 6 AVG kent verschillende rechtsgrondslagen met eigen voorwaarden. Welke van toepassing is, hangt af van het concrete doel en de feiten; aanvullende eisen, bijvoorbeeld voor bijzondere categorieën gegevens, moeten afzonderlijk worden getoetst.
Nee. De melding aan de toezichthouder kan volgens Art. 33 AVG achterwege blijven wanneer de inbreuk waarschijnlijk geen risico voor rechten en vrijheden oplevert. De inbreuk moet wel worden gedocumenteerd; het informeren van betrokkenen volgens Art. 34 moet afzonderlijk worden beoordeeld.
Nee. Een ISMS kan de beveiliging van de verwerking ondersteunen, maar beantwoordt niet automatisch vragen over rechtsgrondslag, transparantie of betrokkenenrechten. De scope en de werkelijke verwerking moeten afzonderlijk worden getoetst.
Ja, wanneer hun verwerking binnen het materiële en territoriale toepassingsgebied valt. Alleen de ondernemingsgrootte schept geen algemene uitzondering; afzonderlijke verplichtingen hangen af van aanvullende voorwaarden.
Privacywerk navolgbaar organiseren.
Maak kennis met het privacyprofiel en de redactionele AVG-catalogus in Secani.
Deze pagina biedt een algemene duiding en vervangt geen juridische toetsing van het individuele geval. De geldende rechtsvoorschriften en de concrete verwerking zijn bepalend.