Een werkgever mailt een lijstje met werknemers die een leasefiets willen, het leaseportaal vraagt om gegevens voor het contract en de fiets krijgt een GPS-tracker tegen diefstal. Als fietslease-dealer zit u daarmee ineens midden in een keten van persoonsgegevens van mensen die nooit zelf uw winkel binnenliepen.
Bij zakelijke lease komen de gegevens meestal niet van de berijder zelf, maar van de werkgever of het leaseplatform: naam, e-mailadres, personeelsnummer, soms gegevens over het beschikbare budget. De AVG kent daar een aparte regel voor: krijgt u persoonsgegevens niet van de betrokkene zelf, dan moet u die persoon binnen een redelijke termijn alsnog informeren over wat u met zijn gegevens doet. In de praktijk gebeurt dat zelden; de werknemer hoort pas van de dealer als de fiets klaarstaat. Regel het simpel: zorg dat uw privacyverklaring dit scenario dekt, verwijs ernaar in de eerste mail aan de berijder, en spreek met de werkgever af wie wat communiceert, zodat het niet tussen wal en schip valt.
art. 14 AVGVoor een leasecontract is een beperkte set gegevens echt nodig: identiteit, contactgegevens, werkgever, het gekozen model. Maar in de praktijk sijpelt er meer binnen: salarisindicaties, een volledige ID-kopie, bijzonderheden over de arbeidsrelatie die de werkgever "voor de volledigheid" meestuurt. De AVG vraagt om minimale gegevensverwerking: alles wat u niet nodig heeft voor het contract, moet u ook niet willen hebben, want u moet het wel beveiligen en op tijd weer weggooien. Spreek met werkgevers en leasemaatschappijen af welke velden ze precies aanleveren, verwijder overbodige bijlagen direct, en hanteer een vaste bewaartermijn na afloop van het contract. Facturen bewaart u zeven jaar voor de fiscus; de rest kan veel eerder weg.
art. 5 AVGSteeds meer leasefietsen krijgen standaard een volgmodule tegen diefstal. Nuttig, maar de locatie van de fiets is buiten werktijd de locatie van de berijder: waar hij woont, sport, op bezoek gaat. Dat is een persoonsgegeven, en bij elkaar een gevoelig beeld van iemands leven. Zorg daarom dat de berijder vóór de eerste rit weet dat er een tracker op zit, waarvoor die dient en wie bij de locatiedata kan. Beperk het gebruik tot het doel: terugvinden bij diefstal, niet meekijken met woon-werkgedrag en zeker niet delen met de werkgever. Controleer ook wat de trackerleverancier zelf met de data doet; staat die bij een partij buiten de EU, dan komen daar aanvullende regels voor doorgifte bij.
art. 13 + art. 44 e.v. AVGTussen werkgever, leasemaatschappij, portaal, verzekeraar en dealer wisselt bij elke aanvraag een set persoonsgegevens van hand. De klassieke fout is dat niemand de rolverdeling vastlegt: er ligt geen verwerkersovereenkomst met het portaal, geen afspraak met de leasemaatschappij over wie een datalek meldt, en de dealer bewaart alles "voor de zekerheid" dubbel in de eigen administratie. Loop de keten één keer goed langs: welke partijen raken de gegevens aan, in welke rol, en ligt daar een passende overeenkomst onder? Vraag verwerkersovereenkomsten op bij uw portaal, mailtool en boekhoudpakket. En bewaar zelf alleen wat u voor uw eigen rol nodig heeft, in plaats van een schaduwkopie van het hele dossier.
art. 28 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa. Krijgt u gegevens niet van de persoon zelf, dan moet u hem binnen een redelijke termijn informeren over wat u ermee doet, meestal uiterlijk bij het eerste contact. Een verwijzing naar uw privacyverklaring in de eerste mail aan de berijder is een praktische invulling.
Ja, mits de berijder vooraf weet dat de tracker erop zit en waarvoor. Gebruik de locatiedata alleen voor het doel, zoals terugvinden bij diefstal, en deel locaties of rijgedrag niet met de werkgever. Controleer ook waar de trackerleverancier de data opslaat.
Alleen wat voor het contract nodig is: identiteit, contactgegevens, werkgever en de gekozen fiets. Salarisgegevens of een volledige ID-kopie zijn voor de dealer zelden nodig. Krijgt u toch te veel aangeleverd, verwijder het dan direct en spreek af dat het voortaan niet meer wordt meegestuurd.
Als het platform gegevens namens u verwerkt wel; bepaalt het platform zelf doel en middelen, dan gelden andere afspraken. Belangrijker dan het etiket is dat er een schriftelijke regeling ligt die klopt met de feitelijke gegevensstroom. Vraag het na bij uw platform en leg het vast.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.