AVG en klantgegevens in software: wat moet een mkb-bedrijf regelen?
Klantgegevens in software en de AVG: verantwoordelijke of verwerker, verwerkersovereenkomst, EU-hosting, bewaartermijnen en wat je een leverancier vraagt.
In dit artikel
- Wie is verantwoordelijk als klantgegevens in software staan?
- Wie doet wat?
- Wat hoort in een verwerkersovereenkomst?
- Waar staan de gegevens, en wat betekent EU-hosting?
- Hoe lang bewaar je klantgegevens, en wat doe je met inzage en verwijdering?
- Wat vraag je een leverancier?
- Wat regel je zelf, en wanneer vraag je een jurist?
- Veelgestelde vragen
Kort antwoord
Staan klantgegevens in software, dan ben jij als bedrijf verwerkingsverantwoordelijke en de leverancier verwerker. Jullie sluiten een verwerkersovereenkomst, je weet welke subverwerkers meekijken en waar de gegevens staan, en je kunt inzage, correctie en verwijdering regelen. Dit is algemene informatie, geen juridisch advies.
Door de makers van stiptBijgewerkt op 7 september 20266 min lezen
Wie is verantwoordelijk als klantgegevens in software staan?
De AVG kent twee rollen. De verwerkingsverantwoordelijke bepaalt waarvoor en hoe persoonsgegevens worden gebruikt. De verwerker verwerkt ze namens de verantwoordelijke en volgt diens instructies. Staan jouw klantgegevens in een CRM, dan ben jij de verantwoordelijke en is de softwareleverancier je verwerker. Dat blijft zo als het systeem in de cloud draait en je er zelf weinig van ziet.
Je blijft verantwoordelijk voor de gegevens en moet een verwerker kiezen die voldoende waarborgen biedt. Daarom schrijft de AVG (artikel 28) een schriftelijke verwerkersovereenkomst voor. Voor zijn eigen administratie, zoals facturatie en accounts van jouw medewerkers, is de leverancier zelf verantwoordelijke. Dat staat los van jouw klantgegevens.
Wie doet wat?
| Onderwerp | Jij (verantwoordelijke) | Leverancier (verwerker) |
|---|---|---|
| Doel en grondslag | Je bepaalt waarom je gegevens verwerkt en op welke grondslag | Verwerkt alleen op jouw instructie |
| Verzoeken van klanten | Je beantwoordt verzoeken om inzage, correctie en verwijdering, in de regel binnen een maand | Helpt je met zoeken, exporteren en verwijderen |
| Beveiliging | Je kiest een leverancier met passende maatregelen en regelt je eigen toegang | Neemt technische en organisatorische maatregelen |
| Subverwerkers | Je geeft toestemming en kunt bezwaar maken tegen wijzigingen | Schakelt ze alleen in met jouw toestemming en legt ze dezelfde verplichtingen op |
| Datalek | Je beoordeelt het en meldt het zo nodig binnen 72 uur aan de Autoriteit Persoonsgegevens | Meldt het aan jou, zonder onredelijke vertraging |
| Einde van de overeenkomst | Je kiest of gegevens worden teruggegeven of verwijderd | Geeft ze terug of verwijdert ze, naar jouw keuze |
Wat hoort in een verwerkersovereenkomst?
- Waarover de verwerking gaat: onderwerp, duur, aard en doel, soort gegevens en groepen betrokkenen
- Dat de leverancier alleen verwerkt op jouw schriftelijke instructie
- Geheimhouding voor iedereen die bij de gegevens kan
- Beveiligingsmaatregelen, zoals versleuteling en toegangsbeheer
- Regels voor subverwerkers: toestemming, een actuele lijst en dezelfde verplichtingen
- Hulp bij verzoeken van betrokkenen en bij een datalek
- Teruggave of verwijdering van de gegevens als de overeenkomst eindigt
- Jouw recht om te controleren, bijvoorbeeld met een audit of een rapport
Waar staan de gegevens, en wat betekent EU-hosting?
De AVG verplicht geen hosting in de EU. Ze vraagt dat gegevens die de EER verlaten passend beschermd blijven: met een adequaatheidsbesluit van de Europese Commissie, zoals het EU-VS Data Privacy Framework voor bedrijven die daaronder zijn gecertificeerd, of met standaardcontractbepalingen. Hosting in de EU maakt het simpeler, maar lost het niet helemaal op.
Een database in Frankfurt zegt namelijk niets over de rest van de keten. Een e-mailservice, een AI-model, foutmonitoring of een supportmedewerker kan buiten de EU zitten. Ook toegang op afstand vanuit een land buiten de EER kan als doorgifte gelden. Vraag daarom niet alleen of het in de EU staat, maar welke partijen wat verwerken en waar. Een eerlijke leverancier publiceert die lijst. In de privacyverklaring van stipt staat bijvoorbeeld dat database en bestanden in de EU staan, dat niet alle verwerking in de EU plaatsvindt, en per subverwerker het doel en de locatie, met de grondslag voor doorgifte.
Hoe lang bewaar je klantgegevens, en wat doe je met inzage en verwijdering?
De AVG noemt geen vaste bewaartermijn. De regel is dat je gegevens niet langer bewaart dan nodig is voor het doel waarvoor je ze verzamelde. Je bepaalt dus zelf per soort gegeven een termijn en legt die vast. Voor je financiële administratie geldt in Nederland een fiscale bewaarplicht, in de regel zeven jaar.
Betrokkenen hebben daarnaast rechten: inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid. Vraagt iemand erom, dan reageer je in de regel binnen een maand. Dat lukt alleen als je software gegevens van één persoon kan zoeken, exporteren en verwijderen. Gegevens die je wettelijk moet bewaren, zoals facturen, verwijder je niet op verzoek.
Wat vraag je een leverancier?
- Krijg ik een verwerkersovereenkomst, en kan ik die vooraf inzien?
- Welke subverwerkers zet de leverancier in, waar zitten ze en op welke grondslag gaan gegevens buiten de EU?
- Waar staan mijn gegevens en back-ups, en wie kan er op afstand bij?
- Waar draait de AI, en worden mijn berichten gebruikt om modellen te trainen?
- Hoe lang bewaart de leverancier mijn gegevens na afloop, en kan ik ze eerst exporteren?
- Kan ik de gegevens van één klant zoeken, exporteren en verwijderen?
- Hoe wordt versleuteld, en is tweestapsverificatie beschikbaar?
- Binnen welke termijn meldt de leverancier een datalek aan mij?
- Hoor ik het als een subverwerker wijzigt, en kan ik bezwaar maken?
Wat regel je zelf, en wanneer vraag je een jurist?
Software maakt je niet AVG-proof. Een leverancier die alles goed doet, helpt niet als het hele team één inlog deelt of een oud-collega nog toegang heeft. Regel daarom zelf persoonlijke accounts met alleen de rechten die iemand nodig heeft, een vast moment om toegang in te trekken als iemand vertrekt, en een korte lijst van welke persoonsgegevens je verwerkt, waarvoor en hoe lang. Dat overzicht heet in de AVG het register van verwerkingsactiviteiten en is voor veel bedrijven verplicht.
Dit artikel is algemene uitleg en geen juridisch advies. Gaat het om gevoelige gegevens of past de overeenkomst van je leverancier niet bij hoe jullie werken, vraag dan een jurist of privacyadviseur om mee te kijken. De Autoriteit Persoonsgegevens legt de regels uit op autoriteitpersoonsgegevens.nl.
Veelgestelde vragen
Moet ik een verwerkersovereenkomst afsluiten met mijn CRM-leverancier?
Ja, zodra de leverancier persoonsgegevens namens jou verwerkt. Artikel 28 van de AVG schrijft een overeenkomst voor. De meeste leveranciers bieden er een aan. Lees hem na op de punten uit de lijst hierboven in plaats van hem blind te accepteren. Bij stipt ga je bij het aanmelden akkoord met de verwerkersovereenkomst, en de tekst staat openbaar op de pagina met voorwaarden.
Is EU-hosting verplicht?
Nee. De AVG verplicht geen hosting in de EU, maar vraagt passende waarborgen als gegevens de EER verlaten. EU-hosting maakt het eenvoudiger. Vraag ook naar subverwerkers, back-ups en toegang op afstand, want daar kan alsnog doorgifte plaatsvinden.
Hoe lang mag ik klantgegevens bewaren?
De AVG noemt geen vaste termijn: niet langer dan nodig voor het doel. Leg per soort gegeven een termijn vast. Voor je financiële administratie geldt in Nederland een fiscale bewaarplicht, in de regel zeven jaar.
Wat doe ik als een klant om inzage of verwijdering vraagt?
Controleer eerst wie er vraagt. Je reageert in de regel binnen een maand. Zoek de gegevens in je software en lever ze aan of verwijder ze, behalve wat je wettelijk moet bewaren, zoals facturen. Kan je software gegevens van één persoon niet exporteren of verwijderen, bel dan je leverancier.
Wat gebeurt er bij een datalek bij mijn leverancier?
Een verwerker meldt een datalek zonder onredelijke vertraging aan jou. Daarna beoordeel jij als verantwoordelijke of er een risico voor betrokkenen is. Zo ja, dan meld je het binnen 72 uur na kennisname aan de Autoriteit Persoonsgegevens. Laat in de verwerkersovereenkomst een concrete termijn voor de melding aan jou opnemen.
Verder lezen
Meer artikelen. Over software en werkprocessen in de installatiebranche.
Zien wat stipt voor jouw bedrijf regelt?
We laten zien hoe jouw werkdag eruitziet in stipt, ingericht op jouw soort werk en jouw manier van werken.