AVG-sjablonen voor het mkb: breng uw privacyadministratie snel op orde
Als ondernemer verwerkt u dagelijks persoonsgegevens: van klantcontactgegevens in uw CRM tot urenregistraties van medewerkers. De Autoriteit Persoonsgegevens (AP) verplicht u dit netjes te documenteren, en dat kost tijd die u liever aan uw werk besteedt. De AP heeft gratis sjablonen gepubliceerd waarmee u als mkb-ondernemer of zzp'er snel aan de privacyregels kunt voldoen. Hieronder leest u wat u precies nodig hebt, hoe u de sjablonen gebruikt en wat er nog aankomt.
Geen juridisch advies — raadpleeg een juridisch adviseur voor uw specifieke situatie.
Wat de AVG van u als mkb-ondernemer vraagt
De AVG stelt twee concrete documentatieverplichtingen aan vrijwel elke ondernemer die persoonsgegevens verwerkt:
1. Een verwerkingsregister (AVG Art. 30) Volgens de AP zijn ondernemers die persoonsgegevens van klanten verwerken "veelal verplicht" een verwerkingsregister bij te houden. Daarin legt u vast welke gegevens u verwerkt, met welk doel en hoe lang u ze bewaart.
2. Een privacyverklaring (AVG Art. 13/14) De AP verplicht u klanten te informeren over het gebruik van hun persoonsgegevens. Een privacyverklaring op uw website of in uw offertedocumenten is de gangbare manier om dat te doen.
Stel: u werkt als IT-consultant en registreert voor elk project de uren van uw medewerkers en de contactgegevens van uw opdrachtgever. Dan verwerkt u persoonsgegevens en gelden beide verplichtingen voor u.
De AP heeft beide documenten als aparte sjablonen beschikbaar gesteld, specifiek gericht op het mkb. U vindt ze op autoriteitpersoonsgegevens.nl.
Hoe u de AVG-sjablonen van de AP gebruikt
De sjablonen zijn ontworpen zodat u ze zonder juridische kennis kunt invullen. Toch is het nuttig de stappen in de juiste volgorde te doorlopen:
| Stap | Actie | Hulpmiddel |
|---|---|---|
| 1 | Breng in kaart welke persoonsgegevens u verwerkt | Intern gesprek + eigen administratie |
| 2 | Vul het verwerkingsregister in per gegevenscategorie | AP-sjabloon verwerkingsregister |
| 3 | Stel uw privacyverklaring op aan de hand van uw register | AP-sjabloon privacyverklaring |
| 4 | Publiceer de verklaring op uw website of in uw offerte | Eigen website of offertetool |
| 5 | Herhaal stap 2-4 bij elke nieuwe verwerkingsactiviteit | Periodieke check, bijv. elk kwartaal |
Begin altijd met stap 1: weet wat u verwerkt vóór u documenten invult. Een verwerkingsregister dat niet aansluit op uw werkelijke processen (zoals uw urenregistratie of CRM-systeem) biedt u bij een controle weinig bescherming.
Hebt u medewerkers of flexwerkers in dienst? Controleer dan ook of uw urenregistratiesoftware voldoet aan de AVG. Lees meer over de juridische grenzen van geautomatiseerde urenregistratie en wat u kunt leren van praktijkzaken.
Breng vandaag uw AVG-administratie op orde met de gratis templates van PrikKlokPlus.
Urenregistratie en persoonsgegevens: waar zit het raakvlak?
Veel ondernemers realiseren zich niet dat hun urenregistratie ook onder de AVG valt. Wanneer u bijhoudt wie hoeveel uur aan welk project werkt, legt u persoonsgegevens vast die herleidbaar zijn tot individuele medewerkers of freelancers.
Dat betekent concreet:
- U hebt een geldige juridische grondslag nodig, in de meeste gevallen de uitvoering van een arbeidsovereenkomst of een gerechtvaardigd belang.
- U bewaart deze gegevens niet langer dan noodzakelijk. Voor de fiscale bewaarplicht geldt doorgaans zeven jaar, maar controleer of u ook langere projectarchieven bijhoudt zonder doel.
- Als uw systeem GPS-data of inloglocaties vastlegt, gelden strengere regels.
Een gedetailleerder overzicht van deze verplichtingen leest u in ons kennisbankartikel over AVG & urenregistratie: grondslag, locatiedata en bewaartermijn.
Voor zzp'ers die factureren op basis van geregistreerde uren geldt bovendien dat u klantgegevens in uw facturatiesysteem opslaat. Ook die vallen onder de AVG en horen thuis in uw verwerkingsregister. Lees hoe u als zzp'er uw urenregistratie correct inricht voor facturatie.
Aankomende wijziging: DPIA-uitzondering voor het mkb
Een Data Protection Impact Assessment (DPIA) is een privacyrisicoanalyse die in bepaalde gevallen vereist is (AVG Art. 35). Voor veel mkb-bedrijven is dit een drempel: de analyse kost tijd en expertise.
De AP werkt aan een lijst met verwerkingen waarvoor mkb-bedrijven geen DPIA hoeven uit te voeren. De publieke consultatie over deze lijst liep tot 10 augustus 2026. Zodra de definitieve lijst gepubliceerd is, kan dat betekenen dat een groot deel van de standaard mkb-verwerkingen (zoals een klantendatabase of personeelsadministratie) vrijgesteld is.
Houd de website van de AP in de gaten voor de definitieve publicatie. Breng uw verwerkingsregister alvast op orde, zodat u direct weet welke verwerkingen u heeft en of die op de vrijstellingslijst staan.
Wilt u meer grip op uw klantgegevens in uw CRM? Lees dan hoe u klantgegevens in uw CRM beveiligt en ketenrisico's beperkt.
Conclusie
De AVG-sjablonen van de AP zijn een praktisch startpunt voor elk mkb-bedrijf en elke zzp'er. Met het verwerkingsregister en de privacyverklaring voldoet u aan de twee belangrijkste documentatieverplichtingen uit de AVG. Koppel dat aan een bewust beleid rondom uw urenregistratie en klantgegevens, en u staat er goed voor, ook als de AP bij u aanklopt.
Komt u er niet uit? Raadpleeg altijd een juridisch adviseur voor uw specifieke situatie.
Veelgestelde vragen
Moet elke zzp'er een verwerkingsregister bijhouden? Volgens de AP zijn ondernemers die persoonsgegevens van klanten verwerken "veelal verplicht" een verwerkingsregister bij te houden. Als zzp'er verwerkt u vrijwel altijd klant- of contactgegevens, dus in de meeste gevallen geldt de verplichting ook voor u.
Waar vind ik de officiële AVG-sjablonen voor het mkb? De sjablonen zijn gratis beschikbaar op autoriteitpersoonsgegevens.nl. U vindt er zowel een sjabloon voor het verwerkingsregister als voor de privacyverklaring.
Valt mijn urenregistratiesoftware ook onder de AVG? Ja. Zodra uw software persoonsgegevens van medewerkers of freelancers vastlegt (zoals naam, gewerkte uren of projectkoppeling) is de AVG van toepassing. U hebt een geldige grondslag nodig en moet de bewaartermijn bewaken.
Wat is een DPIA en moet ik er als mkb-ondernemer een uitvoeren? Een DPIA is een privacyrisicoanalyse voor verwerkingen met een hoog risico. De AP werkt aan een vrijstellingslijst voor mkb-verwerkingen. Tot die lijst definitief is, controleert u via de AP-website of uw specifieke verwerking een DPIA vereist.
Uw administratie AVG-proof maken? PrikKlokPlus helpt u met gestructureerde urenregistratie, CRM en facturatie, zodat u weet welke persoonsgegevens waar staan.