Elke dag komen er adresbestanden binnen: een CSV van de ene webshop, een API-koppeling met de andere. Uw chauffeurs maken afleverfoto's, het systeem bewaart handtekeningen en track-and-trace-historie. Zo is een koeriers- of fulfilmentbedrijf, vaak zonder het zo te noemen, een van de grootste verwerkers van persoonsgegevens in de keten.
Wie pakketten bezorgt of orders fulfilt voor webshops, werkt met adresbestanden die van een ander zijn. De webshop bepaalt waarom die gegevens verwerkt worden, u voert uit. Daarmee bent u verwerker in de zin van de AVG, en dan hoort er een verwerkersovereenkomst te liggen tussen u en elke opdrachtgever. In de praktijk komt zo'n bestand vaak binnen als CSV-export of via een koppeling, en tekent niemand iets. Gaat er dan iets mis, bijvoorbeeld een bestand dat bij de verkeerde partij belandt, dan is niet geregeld wie wat moet doen en wie waarvoor aanspreekbaar is. Wat u kunt doen: stel één standaard verwerkersovereenkomst op en maak die onderdeel van uw offerte of onboarding, zodat elke nieuwe opdrachtgever hem meetekent.
art. 28 AVGEen foto van het pakket bij de voordeur is handig bewijs bij discussie over de bezorging. Maar die foto toont een adres, soms een deuropening, een naam op de bel of zelfs de ontvanger zelf. Samen met handtekeningen en track-and-trace-historie ontstaat zo een flink archief van wie waar woont en wanneer er iemand thuis was. De AVG vraagt dat u zulke gegevens niet langer bewaart dan nodig. Voor een bezorgbewijs is dat de termijn waarin een klant of webshop nog kan reclameren, geen jaren. Wat u kunt doen: spreek een vaste bewaartermijn af, bijvoorbeeld drie tot zes maanden na levering of wat uw opdrachtgever contractueel vraagt, laat foto's daarna automatisch verwijderen en leg die termijn schriftelijk vast.
art. 5 AVGRitregistratie, GPS-tracking en scanmomenten zijn nodig om pakketten te volgen, maar ze volgen tegelijk uw chauffeurs. Waar iemand rijdt, hoe lang een stop duurt en hoeveel stops per uur: dat zijn persoonsgegevens van uw personeel. Dat mag, als u er open over bent en de gegevens alleen gebruikt waarvoor ze bedoeld zijn. Het gaat mis wanneer trackingdata stilletjes ook wordt gebruikt om individuele prestaties te beoordelen zonder dat chauffeurs dat weten. Wat u kunt doen: leg in een korte personeelsregeling vast wat u registreert, waarvoor, hoe lang u het bewaart en wie erbij kan. Bespreek het met het team. Transparantie vooraf voorkomt het grootste deel van de discussies achteraf.
art. 5 + art. 13 AVGTerwijl alle aandacht naar de pakketstroom gaat, zit het eerste zichtbare AVG-punt vaak op de eigen website. Laadt uw site lettertypen rechtstreeks bij Google, dan gaat het IP-adres van elke bezoeker naar een Amerikaanse server zonder dat iemand dat weet. Hetzelfde geldt voor analytics, een chatwidget of een track-and-trace-embed van een derde partij. En het offerteformulier vraagt om naam, adres en telefoonnummer, terwijl de privacyverklaring ontbreekt of naar een dode link wijst. Wat u kunt doen: host lettertypen zelf, loop na welke externe scripts er echt nodig zijn, en zorg voor een privacyverklaring die klopt met wat de site werkelijk doet. Dit is van buitenaf zichtbaar, dus ook uw opdrachtgevers kunnen het zien.
art. 13 + art. 44 e.v. AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanBezorgt u in opdracht van een webshop of verlader, dan bent u voor die adresgegevens meestal verwerker: de opdrachtgever bepaalt het doel, u voert uit. Voor uw eigen personeel en uw eigen klantadministratie bent u zelf verwerkingsverantwoordelijke. U heeft dus beide rollen tegelijk, en per rol gelden andere plichten.
Ja, art. 28 AVG vraagt om schriftelijke afspraken zodra u persoonsgegevens verwerkt in opdracht van een ander. Dat hoeft geen dik contract te zijn: één standaarddocument dat u bij elke nieuwe opdrachtgever meestuurt volstaat in de meeste gevallen. Grote platforms hebben vaak een eigen versie die u tekent.
De AVG noemt geen vaste termijn, maar zegt: niet langer dan nodig. Voor een bezorgbewijs is dat de periode waarin nog discussie over de levering kan ontstaan, in de praktijk enkele maanden. Spreek één vaste termijn af, leg die vast en laat oudere foto's automatisch verwijderen.
Ja, als dat nodig is voor de levering en de opdrachtgever het nummer daarvoor heeft aangeleverd. Gebruik het nummer alleen voor die bezorging, niet voor eigen marketing. Wilt u zelf iets sturen dat verder gaat dan de levering, dan heeft u daarvoor een eigen grondslag nodig.
In de praktijk bijna altijd. De uitzondering voor kleine bedrijven geldt niet als de verwerking structureel is, en pakketten bezorgen is nu juist structureel adresgegevens verwerken. Een simpel overzicht van welke gegevens u verwerkt, voor wie, waar ze staan en hoe lang, is als basis voldoende (art. 30 AVG).
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.