Een klant mailt de mutaties voor deze maand: een Excel met namen, BSN's en twee ziekmeldingen, gewoon als bijlage. Als zelfstandig salarisverwerker draait je hele dienstverlening op zulke gegevens van tientallen werkgevers tegelijk. Dat maakt jou als verwerker een knooppunt waar de AVG hoge eisen aan stelt.
Als salarisverwerker ben je vrijwel altijd verwerker: je verwerkt personeelsgegevens in opdracht van je klanten. Dat betekent een verwerkersovereenkomst met elke klant, niet alleen met de grote. En de keten loopt door: jouw salarissoftware, je hostingpartij en je back-uptool zijn subverwerkers, en je klant moet weten dat ze er zijn. In de praktijk ontbreken die overeenkomsten vaak bij klanten van het eerste uur, of staan er afspraken in die niet kloppen met hoe je feitelijk werkt. Concreet: loop je klantenlijst na en sluit ontbrekende verwerkersovereenkomsten alsnog, houd een lijst bij van je eigen subverwerkers, en informeer klanten wanneer daar iets in verandert. Eén standaarddocument voor al je klanten maakt dit behapbaar.
art. 28 AVGDe maandelijkse routine bij veel kantoren: mutaties komen binnen als Excel met namen en BSN's, loonstroken gaan als pdf terug per mail. Daarmee ligt de meest identiteitsgevoelige informatie van tientallen bedrijven in mailboxen, onversleuteld en voor altijd. Eén verkeerd adres of één gehackte inbox raakt dan meteen honderden werknemers. Het BSN kent bovendien een eigen streng regime: je mag het alleen verwerken voor de wettelijke taak, en dat schept ook de plicht er zorgvuldig mee om te gaan. Concreet: bied klanten een beveiligd portaal of versleutelde uitwisseling voor mutaties en loonstroken, spreek af dat losse Excels met BSN's niet meer per mail komen, en ruim de historie in de mailbox gefaseerd op.
art. 32 AVG + UAVGVoor de loonadministratie hoef je alleen te weten dát iemand ziek is en per wanneer, in verband met loondoorbetaling en premies. Toch sturen klanten er van alles bij: 'ligt in het ziekenhuis', 'zwangerschapsklachten', 'zit overspannen thuis'. Zodra jij dat opslaat, verwerk je gezondheidsgegevens zonder dat je die nodig hebt, en dat is precies de categorie waar de AVG het strengst op is. Het lastige: je klant veroorzaakt het, maar jij zit ermee in je systeem en je mailbox. Concreet: spreek met klanten af welke informatie een ziekmelding bevat (datum, verwachte duur, niets medisch), neem alleen die velden over in je administratie, en verwijder medische details uit binnengekomen berichten in plaats van ze te archiveren.
art. 9 AVGGaat er iets mis (een verkeerde ontvanger, een gehackte mailbox, een kwijtgeraakte laptop), dan is de volgorde voor een verwerker anders dan veel kantoren denken. Jij meldt het lek zonder onnodige vertraging aan de getroffen klant, want die is als verwerkingsverantwoordelijke degene die binnen 72 uur bij de AP moet melden en eventueel de werknemers moet informeren. Wachten tot je zelf alles hebt uitgezocht is dus geen optie; je klant heeft de tijd nodig die jij opsoupeert. Concreet: leg een korte datalekprocedure vast met wie je bij welke klant belt, oefen het scenario één keer droog, en zorg dat de afspraak over melden ook in je verwerkersovereenkomsten staat, inclusief de informatie die je dan aanlevert.
art. 33 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa. Je verwerkt personeelsgegevens in opdracht, dus met elke klant hoort een verwerkersovereenkomst te liggen, ook met eenmanszaken en klanten van jaren geleden. Eén goed standaarddocument volstaat voor de meeste kantoren.
Het is af te raden. E-mail is onversleuteld en blijft eindeloos bewaard, terwijl loonstroken BSN en salarisgegevens bevatten. Een beveiligd portaal of versleutelde verzending past beter bij de beveiligingsplicht van art. 32 AVG. Kies je toch voor mail, beperk dan wat erin staat en maak er afspraken over met de klant.
Ja. Ook verwerkers houden een register bij (art. 30 AVG), met daarin welke verwerkingen je per klantcategorie uitvoert, welke subverwerkers je gebruikt en welke beveiligingsmaatregelen er zijn. Het mag compact, als het maar klopt met de praktijk.
Je klant, als verwerkingsverantwoordelijke. Jouw plicht als verwerker is het lek zonder onnodige vertraging aan de klant te melden, met de informatie die die daarvoor nodig heeft. De 72-uurstermijn van de klant begint dan te lopen, dus snelheid telt.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.