AVG & urenregistratie: grondslag, locatiedata, bewaartermijn
U registreert uren: van uzelf, uw medewerkers of ingehuurde krachten. Maar welke privacyregels gelden daarvoor? De AVG raakt urenregistratie vaker dan veel ondernemers denken. Namen, werktijden en zeker locatiedata zijn persoonsgegevens. Deze pagina legt uit op welke grondslag u uren mag registreren, wanneer locatiedata is toegestaan en hoe lang u gegevens mag bewaren.
Geen juridisch advies — raadpleeg een belastingadviseur of privacyspecialist voor uw specifieke situatie.
Waarom de AVG van toepassing is op urenregistratie
Zodra u werktijden koppelt aan een naam of een identificeerbaar persoon, verwerkt u persoonsgegevens. Dat geldt voor een simpele Excel met namen én voor geautomatiseerde tijdregistratie in software. De Autoriteit Persoonsgegevens is de Nederlandse toezichthouder die naleving van de AVG handhaaft en kan optreden als u de regels overtreedt.
Stel: u bent IT-consultant en registreert voor elke medewerker bij welk project hij of zij hoeveel uur werkt. Die combinatie (persoon, tijd, activiteit) is een verwerkingshandeling die onder de AVG valt. U bent verwerkingsverantwoordelijke en dient een geldige grondslag aan te wijzen.
De juiste verwerkingsgrondslag kiezen
De AVG kent zes grondslagen. Voor urenregistratie zijn er in de praktijk drie relevant:
| Grondslag | Wanneer van toepassing | Aandachtspunt |
|---|---|---|
| Uitvoering van een overeenkomst | Salarisverwerking, facturatie aan opdrachtgevers | Meest gebruikte grondslag voor werkgevers |
| Wettelijke verplichting | CAO-verplichtingen, belastingadministratie | Geldt ook voor de urenregistratie in de bouw-CAO |
| Gerechtvaardigd belang | Projectbeheer, capaciteitsplanning | Vereist een belangenafweging; werknemer heeft bezwaarmogelijkheid |
Toestemming is voor werkgevers in de meeste gevallen geen geschikte grondslag: de machtsverhouding maakt vrije toestemming problematisch. Leg uw keuze vast in een verwerkingsregister.
Locatiedata: wanneer mag het, wanneer niet?
Moderne urenregistratiesystemen kunnen GPS-locatie of IP-adressen vastleggen. Dat is praktisch bij buitendienstmedewerkers of thuiswerkers, maar het gaat ook om gevoelige data.
Wanneer locatiedata is toegestaan:
- Er is een aantoonbare, proportionele reden (bijvoorbeeld veiligheid op een bouwplaats of verificatie van aanwezigheid op een klantlocatie).
- Medewerkers zijn vooraf en duidelijk geïnformeerd, bij voorkeur via een privacyverklaring en arbeidsovereenkomst.
- U registreert niet continu, maar alleen tijdens werktijd.
Wanneer locatiedata niet is toegestaan:
- Tracking buiten werktijden, ook als het apparaat van de werkgever is.
- Als het doel ook bereikt kan worden zonder locatiedata (subsidiariteitstoets).
- Als u geen expliciete grondslag kunt aanwijzen.
Breng uw urenregistratie op orde en registreer precies wat nodig is, niet meer. Bekijk de instellingen van PrikKlokPlus voor privacyvriendelijke tijdregistratie.
Bewaartermijnen: hoe lang mag u urengegevens bewaren?
De AVG schrijft geen vaste bewaartermijn voor. Gegevens mogen uitsluitend worden bewaard zolang dat aantoonbaar noodzakelijk is voor het oorspronkelijke verwerkingsdoel, aldus de Autoriteit Persoonsgegevens.
In de praktijk spelen twee kaders een rol:
- Fiscale bewaarplicht: De Belastingdienst stelt dat basisgegevens uit de loonadministratie zeven jaar bewaard moeten worden. Urenstaten die dienen als onderbouwing van de salarisadministratie vallen hieronder. Zie belastingdienst.nl voor de actuele richtlijnen.
- Projectadministratie: Uren die u factureert aan klanten onderbouwen uw factuur. Bewaar deze in elk geval zeven jaar voor de fiscus, maar verwijder of anonimiseer de persoonsgegevens zodra de fiscale termijn is verstreken.
Zzp'ers die het urencriterium van 1.225 uur willen benutten voor zelfstandigenaftrek, moeten hun urenstaten bewaren als onderbouwing voor de belastingaangifte. Ook hier geldt de zevenjaarsregel.
Praktische vuistregel: stel per gegevenscategorie een bewaartermijn in, documenteer die in uw verwerkingsregister en richt een automatisch verwijder- of anonimiseringsproces in.
Wat u nog meer moet regelen
Informeer uw medewerkers
Een transparante privacyverklaring of personeelsmededeling is volgens de AVG vereist. Leg uit welke gegevens u registreert, voor welk doel, hoe lang u ze bewaart en bij wie medewerkers terecht kunnen met vragen.
Verwerkersovereenkomst met uw softwareleverancier
Gebruikt u cloudgebaseerde urenregistratiesoftware? Dan verwerkt uw leverancier persoonsgegevens namens u. Volgens de AVG dient u een verwerkersovereenkomst te sluiten. Controleer of uw leverancier servers binnen de EU heeft, want dat voorkomt problemen met doorgifte naar derde landen.
Functionaris Gegevensbescherming (FG)
Onder bepaalde omstandigheden kan een mkb-organisatie verplicht zijn een FG aan te stellen, bijvoorbeeld als u op grote schaal bijzondere persoonsgegevens verwerkt of als uw kernactiviteiten grootschalige, stelselmatige monitoring van personen omvatten. Raadpleeg de Autoriteit Persoonsgegevens om te toetsen of dit voor uw organisatie geldt.
Wilt u weten hoe u generatieve AI-tools AVG-conform inzet binnen uw bedrijfsvoering? Lees dan AVG generatieve AI richtlijnen: wat zzp'ers en mkb moeten weten.
Conclusie
Kies een heldere verwerkingsgrondslag, wees terughoudend met locatiedata, houd de bewaartermijn aan en leg alles vast in een verwerkingsregister. Zo registreert u uren compliant, zonder onnodige privacyrisico's. Voor zzp'ers met specifieke urenregistratievragen biedt Urenregistratie als zzp'er: 5 tips voor correcte facturatie praktische handvatten.
Geen juridisch advies — raadpleeg een belastingadviseur of privacyspecialist voor uw specifieke situatie.
Veelgestelde vragen
Moet ik als zzp'er ook voldoen aan de AVG bij urenregistratie? Zodra u werktijden registreert die herleidbaar zijn tot een andere persoon (een opdrachtgever, medewerker of onderaannemer), verwerkt u persoonsgegevens en geldt de AVG. Voor uw eigen uren als eenmanszaak geldt dat niet.
Hoe lang moet ik urenstaten bewaren? De AVG schrijft geen vaste termijn voor, maar de Belastingdienst stelt dat u zeven jaar dient te bewaren als de urenstaten deel uitmaken van uw financiële administratie. Verwijder of anonimiseer de persoonsgegevens zodra de termijn is verstreken.
Mag ik GPS-locatie van medewerkers registreren via de urenregistratiesoftware? Dat mag alleen als u een geldige grondslag hebt, de verwerking proportioneel is, medewerkers vooraf zijn geïnformeerd en u niet buiten werktijden registreert. Continu volgen zonder aantoonbare noodzaak is niet toegestaan.
Heb ik een verwerkersovereenkomst nodig met mijn urenregistratieleverancier? Ja. Als uw softwareleverancier persoonsgegevens voor u verwerkt (wat bij cloudoplossingen standaard het geval is), dient u volgens de AVG een verwerkersovereenkomst te sluiten. Controleer ook of de servers binnen de EU staan.
Wanneer is een Functionaris Gegevensbescherming verplicht voor een mkb-bedrijf? Een FG kan verplicht zijn als uw kernactiviteiten grootschalige, stelselmatige monitoring van personen omvatten of als u op grote schaal bijzondere persoonsgegevens verwerkt. Raadpleeg de Autoriteit Persoonsgegevens voor een concrete toets.
Breng vandaag uw AVG-conforme urenregistratie op orde
PrikKlokPlus combineert urenregistratie, projectbeheer en facturatie in één platform, met de privacy-instellingen die u nodig hebt om compliant te blijven.