Als gastouderbureau zit je tussen drie partijen in: ouders, gastouders en de GGD. Je dossiers gaan over de allergie van een peuter, de VOG van een gastouder en het inspectierapport van de opvanglocatie. Weinig kleine organisaties verwerken zoveel gevoelige informatie over zoveel verschillende mensen tegelijk.
Een koppelingsdossier bevat al snel gezondheidsinformatie over het kind: allergieën, diëten, medicatie, bijzonderheden in de ontwikkeling. Dat zijn bijzondere persoonsgegevens; dat ze nodig zijn voor verantwoorde opvang maakt het regime niet lichter. Tegelijk bewaar je van de gastouder een compleet persoonsdossier: diploma's, VOG-gegevens, EHBO-certificaten, soms financiële gegevens voor de kassiersfunctie. Concreet: vraag bij het kind alleen uit wat de gastouder voor de dagelijkse opvang moet weten en leg de uitdrukkelijke toestemming van de ouders vast, scheid het gastouderdossier van het kinddossier met eigen toegangsrechten, en bepaal per documentsoort een bewaartermijn die ingaat zodra de koppeling of de aansluiting eindigt.
art. 9 AVGGastouders mailen hun VOG, diploma en soms een ID-kopie gewoon naar je algemene inbox, en daar blijven die bijlagen jaren staan. Ouders sturen op dezelfde manier formulieren met kindgegevens. De mailbox wordt zo een tweede, ongeordend archief waar niemand toezicht op houdt: geen bewaartermijn, geen toegangsbeperking, volledig doorzoekbaar voor iedereen met het wachtwoord. Concreet: haal ontvangen documenten meteen uit de mail en zet ze in het dossier, verwijder daarna het bericht met bijlage, spreek een vaste route af voor het aanleveren van documenten (bijvoorbeeld een upload in plaats van mail), zet tweestapsverificatie op alle mailaccounts en loop de inbox twee keer per jaar na op achtergebleven bijlagen.
art. 5 + art. 32 AVGOuders willen overdag foto's zien, dus de gastouder appt ze door of gebruikt een opvang-app. Leuk voor iedereen, maar wie is verantwoordelijk als het misgaat? Schrijft het bureau de app voor of biedt het die aan, dan ben jij de partij die de afspraken met de leverancier regelt, inclusief verwerkersovereenkomst en duidelijkheid over waar de foto's staan. Gaat het via de privételefoon van de gastouder, dan staan kinderfoto's in een persoonlijke cloudback-up waar jij niets over kunt zeggen. Concreet: kies één kanaal voor foto's en leg dat vast in de overeenkomst met de gastouder, regel de verwerkersovereenkomst met de leverancier, vraag ouders vooraf toestemming voor het delen van foto's, en spreek af dat foto's na afloop van de opvang van het toestel van de gastouder verdwijnen.
art. 6 + art. 28 AVGDe GGD houdt toezicht en vraagt gegevens op: over de gastouder, de locatie, soms over de opgevangen kinderen. Dat delen heeft een wettelijke basis, maar die basis is geen vrijbrief om méér te delen dan waar de inspectie om vraagt. Hetzelfde geldt andersom: een inspectierapport over een gastouder deel je met ouders volgens de regels, niet aangevuld met eigen aantekeningen uit het bemiddelingsdossier. Concreet: lever bij een GGD-verzoek precies aan wat er gevraagd wordt en registreer wat je hebt gedeeld, houd oordeel en dossier gescheiden, en benoem in je privacyverklaring dat en waarom je gegevens met de toezichthouder deelt, zodat gastouders en ouders niet verrast worden.
art. 5 + art. 6 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanVaak allebei, ieder voor het eigen deel: het bureau voor bemiddeling, administratie en kassiersfunctie, de gastouder voor wat zij tijdens de opvang vastlegt. Leg de rolverdeling schriftelijk vast in de overeenkomst, zodat bij een verzoek van ouders of een datalek meteen duidelijk is wie wat doet.
Niet zonder uitdrukkelijke toestemming van de ouders, en veel bureaus sluiten het contractueel uit. Spreek één vast kanaal af waarlangs foto's alleen naar de eigen ouders gaan, en neem dit expliciet op in de overeenkomst met de gastouder.
Financiële en fiscale stukken bewaar je zeven jaar voor de Belastingdienst. Gegevens over het kind zelf, zeker gezondheidsinformatie, kunnen veel eerder weg. Maak een bewaarschema per documentsoort en laat de termijn ingaan op het moment dat de koppeling eindigt.
Praktisch gezien ja: je verwerkt structureel gegevens van kinderen en gezondheidsinformatie, en dan gaat de uitzondering voor kleine organisaties niet op (art. 30 AVG). Het register is bovendien direct je overzicht voor GGD-vragen en de basis voor je privacyverklaring.
Wees terughoudend: de identiteit controleren kan meestal zonder de kopie te bewaren. Is vastleggen echt nodig, noteer dan alleen documenttype en -nummer of bewaar een kopie waarop BSN en pasfoto zijn afgeschermd, en verwijder die zodra het doel is vervallen.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.