Een bedrijf stuurt vijf medewerkers naar jouw training en vraagt na afloop om de resultaten. In je administratie staan presentielijsten, beoordelingen en certificaten van jaren aan cursisten. Precies daar zitten de AVG-vragen die opleiders vaak pas zien als een cursist of werkgever erom vraagt.
Een werkgever die de training betaalt, voelt zich vaak eigenaar van de resultaten. Zo werkt het onder de AVG niet: de beoordeling gaat over de deelnemer, en die moet vooraf weten wat er met zijn resultaten gebeurt. Presentie doorgeven is iets anders dan een beoordeling of toetsuitslag delen, en 'de werkgever betaalt' is op zichzelf geen grondslag. Wat je concreet kunt doen: spreek vóór de start met de opdrachtgever af wat er wordt teruggekoppeld (bijvoorbeeld alleen aanwezigheid en behaald of niet behaald), zet dat in je offerte of voorwaarden, en informeer deelnemers erover bij inschrijving. Dan weet iedereen waar hij aan toe is en kom je achteraf niet klem te zitten tussen deelnemer en opdrachtgever.
art. 6 + art. 13 AVGCertificaten wil je lang kunnen bevestigen: een oud-cursist die na acht jaar vraagt of zijn diploma nog opvraagbaar is, help je graag. Maar dat is geen reden om álles te bewaren. De AVG vraagt om een bewaartermijn per soort gegeven, en 'misschien ooit handig' telt niet. Maak daarom onderscheid: de kale certificaatfeiten (naam, cursus, datum, resultaat) kun je met een goede onderbouwing lang bewaren, maar toetswerk, beoordelingsformulieren, huiswerk en e-mailwisselingen rond een cursus kunnen na afloop veel eerder weg. Leg per categorie een termijn vast, zet die in je privacyverklaring en ruim ook echt periodiek op. Een jaarlijks opruimmoment in de agenda is vaak al genoeg om dit bij te houden.
art. 5 AVGJe LMS, je cursusadministratie, je mailtool en je boekhoudpakket verwerken allemaal deelnemergegevens namens jou. Dan ben jij verwerkingsverantwoordelijke en zijn zij verwerkers, en hoort er met elk van hen een verwerkersovereenkomst te liggen. In de praktijk ontbreekt die vaak, zeker bij tools die ooit 'even snel' zijn aangeschakeld. Bij grote leveranciers zit de overeenkomst meestal in de standaardvoorwaarden en hoef je hem alleen te vinden en te accepteren. Loop je tools eens langs: welke leverancier ziet deelnemergegevens, waar staat de data (let op opslag in de VS), en ligt er een getekende of geaccepteerde verwerkersovereenkomst? Noteer de uitkomst, dan heb je meteen de kern van je verwerkingsregister te pakken.
art. 28 AVGOud-cursisten zijn je beste doelgroep voor een vervolgtraining, en je mag ze ook mailen: voor eigen, soortgelijke diensten geldt een uitzondering op het toestemmingsvereiste, zolang je bij elke mail een werkende afmeldmogelijkheid biedt en je dit bij inschrijving hebt gemeld. Buiten die uitzondering ligt het anders. Adressen van mensen die alleen een brochure downloadden, een gekochte adressenlijst of adressen die van een website zijn geplukt: daarvoor is voorafgaande toestemming nodig, en die heb je dan niet. Check dus hoe je mailinglijst is opgebouwd, verwijder adressen waarvan je de herkomst niet kunt uitleggen, en zorg dat de afmeldknop in elke nieuwsbrief echt werkt.
art. 11.7 Telecommunicatiewet + art. 6 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanNiet automatisch, ook niet als de werkgever de training betaalt. Spreek vooraf af wat je terugkoppelt, bijvoorbeeld alleen aanwezigheid en of iemand geslaagd is, en informeer de deelnemer daarover bij inschrijving. Gedetailleerde beoordelingen delen zonder dat de deelnemer dat weet, is vragen om problemen.
Er staat geen vaste termijn in de AVG: jij bepaalt en onderbouwt de termijn per soort gegeven. Certificaatfeiten kun je lang bewaren omdat oud-cursisten die later opvragen, maar toetswerk en cursuscorrespondentie kunnen na afloop veel eerder weg. Leg de termijnen vast en ruim periodiek op.
Ja. Je LMS verwerkt deelnemergegevens namens jou en is daarmee een verwerker. Bij de meeste leveranciers zit de verwerkersovereenkomst in de standaardvoorwaarden of is hij online te accepteren; controleer of dat gebeurd is en bewaar het bewijs.
Vrijwel altijd wel. De uitzondering voor kleine organisaties geldt alleen als verwerking incidenteel is, en een cursistenadministratie is structureel. Het register hoeft niet groot te zijn: een overzicht van welke gegevens je verwerkt, waarvoor, hoe lang en met welke leveranciers volstaat vaak al.
Ja, voor eigen soortgelijke trainingen mag dat zonder aparte toestemming, mits je dit bij inschrijving hebt gemeld en elke mail een afmeldknop heeft. Gekochte of verzamelde adressen van niet-klanten mag je niet zomaar mailen; daarvoor is voorafgaande toestemming nodig.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.