Elke maand draait u de loonstroken van tientallen werknemers van uw klanten, compleet met BSN, salaris en soms verzuiminformatie. Die mensen kennen u niet, maar hun gegevens staan wel op uw server en in uw mailbox. Dat maakt een administratiekantoor tot een van de meest datarijke kleine bedrijven die er bestaan.
Voor de loonadministratie verwerkt u BSN's, salarissen en soms verzuimgegevens van werknemers van uw klanten. Het BSN mag alleen verwerkt worden als een wet dat voorschrijft; voor de loonaangifte is dat zo, maar dat betekent niet dat het nummer overal mag rondzwerven. In de praktijk staan BSN's in Excel-bijlagen, in de mailbox en in mappen die het hele kantoor kan openen. Omdat de betrokkenen uw klant niet zijn, merken zij niets tot het misgaat, en dan is de impact groot: naam plus BSN plus salaris is precies wat identiteitsfraudeurs zoeken. Concreet: beperk de toegang tot loondossiers tot wie ze echt nodig heeft, vermijd BSN's in losse spreadsheets en e-mail, en laat klanten aanleveren via een beveiligd portaal in plaats van bijlagen.
UAVG + art. 5 + art. 32 AVGVoor de loon- en financiële administratie die u in opdracht voert, bent u doorgaans verwerker. Dan hoort er met elke klant een verwerkersovereenkomst te liggen, en dat is bij kleine kantoren zelden op orde. Voor uw eigen klantrelatie en uw Wwft-dossier bent u juist zelf verantwoordelijke. Dezelfde vraag speelt richting uw leveranciers: het boekhoudpakket in de cloud, het klantportaal en uw mailprovider verwerken gegevens voor u, dus ook daar hoort een overeenkomst te liggen. In de praktijk blijkt de ontbrekende verwerkersovereenkomst bij kleine kantoren een van de meest voorkomende gaten. Concreet: maak een standaardovereenkomst onderdeel van uw onboarding, houd een lijst bij van alle klanten en leveranciers met de status ervan, en werk die jaarlijks bij.
art. 28 AVGAls administratiekantoor of accountant bent u Wwft-plichtig: cliëntenonderzoek doen, de identiteit vastleggen en die vastlegging vijf jaar na het einde van de relatie bewaren. Daarmee heeft u naast de AP een tweede toezichthouder: het Bureau Financieel Toezicht. Een datalek of een rommelig cliëntdossier raakt dus niet alleen uw AVG-verplichtingen, maar kan ook doorwerken in het BFT-toezicht op uw kantoor. Het klassieke probleem is versnippering: het ID-bewijs in de mailbox, het UBO-overzicht in een gedeelde map, de risicobeoordeling in iemands hoofd. Concreet: richt één beveiligde plek in voor Wwft-vastlegging, koppel er een bewaartermijn aan, en zorg voor een korte, geoefende procedure voor het melden van een datalek binnen 72 uur.
Wwft + art. 33 AVGDe fiscale bewaarplicht van zeven jaar is bij administratiekantoren zo ingesleten dat er vaak nooit iets wordt weggegooid. Maar zeven jaar is een einddatum, geen minimumhouding: administraties van klanten die al tien jaar weg zijn, horen niet meer op uw server te staan. Voor persoonsgegevens geldt bovendien opslagbeperking: niet langer bewaren dan nodig voor het doel. Loongegevens, kopieën van personeelsdossiers en Wwft-vastleggingen kennen elk hun eigen termijn. Concreet: spreek bij het afscheid van een klant af wat er wordt overgedragen en wat u verwijdert, plan een jaarlijkse opruimronde over oude administraties, en leg de termijnen vast in uw privacyverklaring en verwerkingsregister. Zo wordt opruimen een routine in plaats van een project.
art. 5 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanVoor loon- en financiële administratie die u in opdracht voert, bent u meestal verwerker: dan hoort er een verwerkersovereenkomst met die klant te liggen. Voor uw eigen klantenbestand en uw Wwft-verplichtingen bent u zelf verantwoordelijke. Bepaal het per verwerking en leg het vast.
Ja, voor zover een wettelijke taak zoals de loonaangifte dat vereist. Buiten die taak mag het BSN niet gebruikt of verspreid worden. Houd het nummer daarom uit losse spreadsheets en e-mailwisselingen en beperk de toegang tot de loonadministratie.
Ja, als het pakket in de cloud draait of gegevens voor u opslaat, is de leverancier uw verwerker en eist art. 28 AVG een overeenkomst. Grote pakketten bieden die standaard aan; controleer of u hem daadwerkelijk heeft geaccepteerd en bewaar hem in uw dossier.
Vrijwel zeker wel: in een kantoormailbox staan meestal loonstroken, BSN's en jaarstukken. Meld binnen 72 uur bij de AP als er risico is voor de betrokkenen, en informeer hen bij hoog risico. Bent u verwerker, dan meldt u het lek direct aan uw klant, die vervolgens bij de AP meldt.
De fiscale bewaarplicht is zeven jaar, de Wwft-vastlegging vijf jaar na het einde van de relatie. Daarna vervalt de reden om te bewaren en horen de gegevens weg. Spreek bij offboarding af wat u overdraagt en wat u verwijdert, en houd u daar aantoonbaar aan.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.