AVG voor startups: een praktische start in Nederland

8 min lezen · Bijgewerkt 2026-11-12

Als u persoonsgegevens van mensen in de EU verwerkt, geldt de Algemene Verordening Gegevensbescherming (AVG) voor u, ook als uw vennootschap in Nederland is gevestigd. Daar komt de Uitvoeringswet AVG (UAVG) bij. Deze gids geeft een praktische werkvolgorde voor een jong team. Het is algemene informatie, geen juridisch advies.

Wat écht van toepassing is

De AVG (verordening (EU) 2016/679) werkt rechtstreeks in elke lidstaat. In Nederland vult de UAVG nationale keuzes in, onder meer over de functionaris voor gegevensbescherming en over verwerking in een arbeidscontext. De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder.

Naast de AVG staan vaak andere Europese regels: de ePrivacy-regels en artikel 11.7a van de Telecommunicatiewet voor cookies en vergelijkbare technieken, en afhankelijk van uw product de AI-verordening, NIS2, de Dataverordening of de verordening digitale diensten. Begin bij de beginselen van artikel 5 AVG, en voeg daarna alleen de sectorregels toe die werkelijk op u van toepassing zijn.

Een verstandige werkvolgorde

Schrijf eerst op wat u met persoonsgegevens doet: van wie de gegevens zijn, voor welk doel, waar ze staan, wie ze nog meer ziet, en hoe lang u ze bewaart. Die inventarisatie wordt uw register van verwerkingsactiviteiten (artikel 30). De meeste startups hebben er een nodig. De vrijstelling voor organisaties met minder dan 250 personen is beperkt en helpt niet als de verwerking niet incidenteel is, bijzondere categorieën betreft, of waarschijnlijk een risico meebrengt.

Benoem vervolgens voor elk doel een rechtsgrond (artikel 6). Overeenkomst en wettelijke verplichting zijn gebruikelijk voor de kern van het product en voor facturatie. Toestemming moet vrij, specifiek, geïnformeerd en even makkelijk in te trekken zijn als te geven. Gerechtvaardigd belang vraagt een belangenafweging die u kunt uitleggen. Voor bijzondere categorieën (artikel 9) is een aparte voorwaarde nodig, niet alleen een grondslag uit artikel 6.

Vertel mensen daarna wat u doet, in duidelijke taal, en maak de privacyverklaring makkelijk vindbaar (artikelen 12 tot en met 14). Sluit een verwerkersovereenkomst op grond van artikel 28 met iedere leverancier die voor u persoonsgegevens verwerkt. Plan hoe u verzoeken om inzage, wissing en andere rechten (artikelen 15 tot en met 22) beantwoordt, en hoe u de AP binnen 72 uur na een kwalificerend datalek informeert (artikel 33).

Wat dit niet is

Een badge, een score of een softwarerapport is geen AVG-certificering. Alleen geaccrediteerde instanties kunnen certificeren op grond van de artikelen 42 en 43. Statuslabels op een platform zijn indicatoren binnen een genoemde scope. Ze zijn geen juridisch oordeel, geen instemming van een toezichthouder en geen garantie dat u geen boete krijgt.

Veelgestelde vragen

Moet een Nederlandse startup de AVG volgen als alle gebruikers in de EU zitten?

Ja. De AVG geldt voor verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging in de EU, en in bepaalde gevallen ook als u goederen of diensten aanbiedt aan mensen in de EU of hun gedrag volgt. Een Nederlandse vennootschap met EU-gebruikers valt onder de verordening.

Is de AP de enige toezichthouder die telt?

De AP is de toezichthouder in Nederland. Als uw hoofdvestiging in een andere lidstaat ligt, kan de leidende autoriteit daar zitten. Samenwerking tussen autoriteiten is in de AVG geregeld.