Sinds 3 september 2026 hoef je niet meer vanaf een leeg vel te beginnen met je AVG-administratie: de AP biedt twee gratis invulsjablonen aan.
De Autoriteit Persoonsgegevens (AP) heeft twee praktische documenten gepubliceerd speciaal voor het mkb: een sjabloon voor een verwerkingsregister en een sjabloon voor een privacyverklaring. Je hoeft alleen maar weg te halen wat voor jouw bedrijf niet van toepassing is en aan te vullen wat wel klopt.
Dit lost een probleem op waar veel kleine ondernemers al jaren tegenaan lopen: de AVG verplicht je om documentatie op orde te hebben, maar juridische taal en lege Word-bestanden maken dat onnodig lastig. De AP maakte de sjablonen mede op verzoek van ondernemers zelf, in overleg met het ministerie van Economische Zaken en Klimaat en MKB-Nederland.
- Wat er precies in de twee nieuwe sjablonen staat
- Of de AVG-verplichtingen ook voor jou als zzp'er gelden
- Hoe je de sjablonen invult voor je eigen bedrijf
- Wat er in de toekomst mogelijk verandert aan de registerplicht
Wat heeft de AP precies gepubliceerd?
Op 3 september 2026 maakte de AP twee documenten openbaar: een sjabloon voor een verwerkingsregister en een sjabloon voor een privacyverklaring, beide bedoeld voor het mkb. Ondernemers kunnen hiermee makkelijker voldoen aan de privacyregels en zo de persoonsgegevens van hun klanten beter beschermen.
De sjablonen bevatten voorbeeldtabellen voor tien sectoren: educatie, horeca, retail, IT, logistiek, productie, dienstverlening, vastgoed, zorg en bouw. Werk je in een van die sectoren, dan staan er al voorbeeldregels in die je alleen nog hoeft aan te passen aan je eigen situatie; werk je in een andere branche, dan gebruik je de dichtstbijzijnde sector als basis en pas je de inhoud aan.
Geldt dit ook als ik maar één klant of een handjevol klanten heb?
Ja. De verplichting om een verwerkingsregister bij te houden geldt vrijwel altijd, ook voor kleine ondernemers. Het voordeel is dat hoe minder persoonsgegevens je verwerkt, hoe minder tijd het kost om zo'n register te maken.
Verwerk je alleen naam, adres en e-mailadres van klanten om een factuur te kunnen versturen? Dan ben je snel klaar. Werk je met gezondheidsgegevens (denk aan een coach, therapeut of schoonheidsspecialiste) of bewaar je kopieën van identiteitsbewijzen, dan heb je meer regels in te vullen en meer om op te letten.
Wat moet er in een verwerkingsregister staan?
In een verwerkingsregister houd je bij welke persoonsgegevens je bedrijf verwerkt: denk aan naam- en adresgegevens van klanten of een kopie van het identiteitsbewijs van een medewerker. Je legt vast voor welk doel je die gegevens gebruikt, van wie ze zijn en op basis van welke wettelijke grondslag je ze mag verwerken.
Een goed bijgehouden verwerkingsregister is niet alleen een verplicht papiertje. Het helpt juist bij een datalek: je weet dan direct welke gegevens zijn getroffen, waardoor je sneller maatregelen kunt nemen om verdere schade te voorkomen. Dat maakt het register ook relevant vanuit cybersecurity-perspectief, niet alleen vanuit compliance.
Wat regel je met een privacyverklaring?
Een privacyverklaring is de manier om je klanten duidelijk te informeren over het gebruik van hun persoonsgegevens. Je legt hierin onder andere uit welke gegevens je verwerkt, waarom je dat doet, welke privacyrechten mensen hebben en hoe zij deze rechten kunnen gebruiken.
Vult iemand bijvoorbeeld een contactformulier in op je website, dan leg je in dat formulier uit wat je met de ingevulde gegevens doet en verwijs je duidelijk naar je privacyverklaring voor meer informatie. Een heldere privacyverklaring levert je ook iets op: klanten willen weten dat hun gegevens bij je in veilige handen zijn, en dat kan een streepje voor betekenen ten opzichte van concurrenten die dit niet op orde hebben.
Waarom komt dit nu, en niet al jaren eerder?
Ondernemers gaven al langer aan dat zij regeldruk ervaren bij de AVG en behoefte hebben aan kant-en-klare sjablonen als basis voor onder meer hun verwerkingsregister en privacyverklaring. De AP ontwikkelde de mkb-sjablonen daarom als resultaat van eerdere overleggen met onder meer het ministerie van Economische Zaken en Klimaat en MKB-Nederland.
Deze stap past in een breder patroon waarin de AP transparanter en toegankelijker probeert te worden richting kleine ondernemers. Sinds 1 september 2026 is de AP ook wettelijk verplicht om opgelegde AVG-boetes en andere sancties voortaan verplicht openbaar te maken, zodat andere organisaties eerder kunnen zien wat er misging en wat zij zelf moeten verbeteren.
Wat moet je nu concreet doen?
Download beide sjablonen van de website van de AP en begin met het verwerkingsregister: dat overzicht heb je nodig om vervolgens je privacyverklaring goed in te vullen. Loop per rij in het sjabloon je eigen bedrijfsprocessen na: welke gegevens verzamel je bij het maken van een offerte, het versturen van een factuur, of het bijhouden van een klantenbestand?
Zet je privacyverklaring vervolgens op je website en verwijs daar vanuit je contactformulier of bestelproces naar. Bewaar het ingevulde verwerkingsregister in je eigen administratie: je moet het kunnen laten zien als de AP daar ooit om vraagt.
Wil je naast deze papieren kant ook je systemen beter beveiligen, bijvoorbeeld met een wachtwoordmanager of beveiligingsscan? Dan kun je de kosten daarvan mogelijk deels vergoed krijgen via de cybersubsidie die dit jaar weer openstaat voor zzp'ers.
Vul het verwerkingsregister eerst helemaal in voordat je aan de privacyverklaring begint. De informatie uit het register (welke gegevens, waarom, hoe lang) gebruik je vrijwel letterlijk terug in de verklaring, dat scheelt dubbel werk.
Verandert de registerplicht binnenkort weer?
Er ligt op Europees niveau een voorstel dat de registerplicht op termijn kan verlichten voor kleinere organisaties. De Europese Commissie heeft voorgesteld dat je in de toekomst mogelijk alleen nog een verwerkingsregister moet bijhouden als je verwerkingen een hoog privacyrisico hebben.
Let op: dit is nu nog een voorstel, geen wet. De Europese privacytoezichthouders (EDPB en EDPS) werken aan een gezamenlijk advies over het aanpassen van de verplichting voor het mkb en andere organisaties met minder dan 750 medewerkers. Zolang dit niet definitief is vastgelegd, blijft de huidige regel gelden: bijna altijd een verwerkingsregister, ook als kleine ondernemer.
Bronnen
- Nieuw voor mkb: praktische sjablonen om aan de privacyregels te voldoen | Autoriteit Persoonsgegevens · autoriteitpersoonsgegevens.nl
- Sjabloon privacyverklaring mkb | Autoriteit Persoonsgegevens · autoriteitpersoonsgegevens.nl
- Sjabloon verwerkingsregister mkb | Autoriteit Persoonsgegevens · autoriteitpersoonsgegevens.nl
- AP maakt AVG-sancties voortaan verplicht openbaar | Autoriteit Persoonsgegevens · autoriteitpersoonsgegevens.nl
- Guidelines doorgifte derde landen definitief en nieuw trainingsmateriaal AI & AVG | Autoriteit Persoonsgegevens · autoriteitpersoonsgegevens.nl
- Stap 3: Maak een overzicht van alle gegevens | Autoriteit Persoonsgegevens · autoriteitpersoonsgegevens.nl
Dit artikel legt de regels uit zoals ze nu gelden en is geen juridisch advies; raadpleeg bij twijfel de toelichting op de sjablonen van de Autoriteit Persoonsgegevens.
Je administratie op orde, zonder gedoe.
Onbeperkt facturen, bonnen en BTW-overzicht. Veertien dagen gratis proberen, geen creditcard nodig, maandelijks opzegbaar.