Je hangt een deurbelcamera op bij een woning, koppelt hem aan de app van de bewoner en houdt zelf toegang voor storingen. Vanaf dat moment loopt er persoonsdata door jouw handen: beelden, inloggegevens, soms zelfs de alarmcode. De meeste installateurs hebben daar niets over op papier staan, terwijl de AVG daar wel iets van vindt.
Jij plaatst de camera, richt hem in en koppelt hem aan een app of cloudomgeving. Daarna kijkt de klant naar de beelden, maar vaak houd jij toegang: voor storingen, firmware-updates, of omdat de opslag via jouw leveranciersaccount loopt. Op dat moment verwerk jij persoonsgegevens namens je klant, en dan hoort er een verwerkersovereenkomst te liggen die vastlegt wat jij wel en niet met die beelden mag. In de praktijk regelt bijna niemand dit: de installateur ziet het als de zaak van de klant, en de klant weet vaak niet eens dat de monteur nog kan meekijken. Concreet: breng in kaart bij welke klanten je toegang op afstand hebt, en leg per klant de rolverdeling schriftelijk vast.
art. 28 AVGBij toegang op afstand horen inloggegevens, en die zwerven in veel installatiebedrijven rond: in een gedeeld Excel-bestand, in de groepsapp van de monteurs, of gewoon het standaardwachtwoord dat na oplevering nooit is gewijzigd. Wie jouw lijstje in handen krijgt, kijkt mee in tientallen woonkamers. De AVG vraagt om beveiliging die past bij het risico, en dit risico is groot: het gaat om live beelden uit iemands huis. Concreet: gebruik een wachtwoordmanager in plaats van losse lijstjes, geef elke monteur een eigen account waar dat kan, wijzig standaardwachtwoorden bij oplevering, en trek de toegang van vertrokken medewerkers dezelfde dag nog in. Loop één keer per jaar na wie waar nog bij kan.
art. 32 AVGIn je projectdossiers zit meer dan techniek: plattegronden met camerastandpunten, alarmcodes, namen van bewoners, soms foto's van het interieur. Handig voor de servicebeurt, maar de AVG staat niet toe dat je dit onbeperkt bewaart. Van klanten die vijf jaar geleden zijn overgestapt hoort zo'n dossier er niet meer te zijn: het is een gedetailleerde handleiding voor een inbraak bij iemand die geen klant meer is. Dit is een van de meest voorkomende blinde vlekken in het mkb: niemand ruimt op, want misschien komt de klant terug. Concreet: spreek met jezelf een bewaartermijn af, bijvoorbeeld de duur van het onderhoudscontract plus een korte uitloop, en plan twee keer per jaar een opruimmoment.
art. 5 AVGEen camera die de openbare weg of de tuin van de buren filmt, een zakelijke klant die de werkvloer permanent in beeld brengt: formeel is dat het probleem van je klant, maar jij bent degene die de camera richt. Zakelijke klanten met structureel cameratoezicht moeten die verwerking bovendien opnemen in een verwerkingsregister, en bij grootschalige of systematische monitoring kan een DPIA verplicht zijn. Daar heeft je klant meestal nog nooit van gehoord. Je hoeft het niet voor hem op te lossen, maar je onderscheidt je wel door het te benoemen. Concreet: neem in je opleveringsdocument een vaste alinea op over beeldhoek, het informeren van bezoekers of personeel, en de registerplicht bij zakelijk gebruik.
art. 30 + art. 35 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanDe klant die de camera gebruikt is de verwerkingsverantwoordelijke. Maar zodra jij toegang houdt tot de beelden, bijvoorbeeld via een beheerportaal of een cloudaccount op jouw naam, verwerk je persoonsgegevens namens die klant. Dan hoort er een verwerkersovereenkomst tussen jullie te liggen. Heb je na oplevering nergens meer toegang toe, dan sta je erbuiten.
Dat hangt af van wie het cloudaccount houdt. Staat het account op naam van de klant, dan is dat iets tussen de klant en de fabrikant. Beheer jij de opslag via je eigen leveranciersaccount, dan zit jij in de keten en moet je het zowel richting de klant als richting de fabrikant op papier hebben.
Alleen als dat met de klant is afgesproken, bij voorkeur schriftelijk in je service- of verwerkersovereenkomst. Kijk niet langer mee dan voor de storing nodig is en noteer wat je hebt gedaan. Ongevraagd inloggen op een klantsysteem, ook met goede bedoelingen, kan een datalek zijn dat je moet melden.
De AVG noemt geen vaste termijn, maar zegt wel: niet langer dan nodig. Zolang er een onderhoudscontract loopt is bewaren goed uit te leggen. Is de klantrelatie beëindigd, ruim het dossier dan binnen afzienbare tijd op en leg je gekozen termijn ergens vast, zodat je kunt laten zien dat je erover hebt nagedacht.
Ja, meer dan de meeste klanten denken. Structureel cameratoezicht hoort in het verwerkingsregister van de klant, personeel en bezoekers moeten erover geïnformeerd worden, en bij systematische monitoring van publiek toegankelijke ruimte kan een DPIA verplicht zijn. Als installateur doe je er goed aan dit bij oplevering te benoemen.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.