Een uitzendkracht belt zich ziek en de intercedent typt 'burn-out, voorlopig niet inzetbaar' in het opmerkingenveld. Eén zin, en er staan bijzondere persoonsgegevens in je systeem waar je ze niet mag hebben. Juist in uitzenden, recruitment, payroll en arbo komen cv's, BSN's, verzuim en VOG's samen, en dat maakt deze branche een van de drukste AVG-omgevingen van het MKB.
Een ziekmelding lijkt administratie, maar de reden van het verzuim is een gezondheidsgegeven en die categorie is vrijwel verboden terrein voor uitzender en werkgever. Wat je wel mag vastleggen: de verwachte duur, of er aanpassingen in het werk nodig zijn en hoe de uitzendkracht bereikbaar is. Wat niet: de diagnose, de behandeling of wat de kracht spontaan aan de telefoon vertelde. In de praktijk gaat het mis in vrije tekstvelden: 'knieblessure', 'zwanger' of 'overspannen' staat zo in het planningssysteem. De bedrijfsarts of arbodienst mag dit weten, jij niet. Concreet: loop je opmerkingenvelden na en schoon ze op, vervang vrije tekst waar mogelijk door vaste keuzes, en spreek met het team af wat er bij een ziekmelding wel en niet wordt genoteerd.
art. 9 AVGVrijwel elk bureau heeft een kandidatendatabase waar nooit iets uit verdwijnt: cv's van vijf jaar geleden, motivatiebrieven, gespreksnotities. De AVG vraagt dat je gegevens niet langer bewaart dan nodig voor het doel, en 'misschien komt er ooit een passende vacature' is geen doel met een einddatum. Sluit je een procedure af, ruim de gegevens dan binnen enkele weken op. Wil je een kandidaat langer in portefeuille houden, dan kan dat prima, maar dan met toestemming die je expliciet vraagt en vastlegt, en die de kandidaat net zo makkelijk weer kan intrekken. Concreet: stel een bewaartermijn in per fase (afgewezen, in portefeuille, geplaatst), automatiseer het opruimen in je recruitmentsysteem en leg vast wanneer je om toestemming vraagt.
art. 5 + art. 7 AVGHet BSN mag je alleen verwerken als een wet dat voorschrijft, zoals voor de loonadministratie bij plaatsing. Bij inschrijving of in de wervingsfase heb je het nog niet nodig, dus vraag er dan ook niet om; een inschrijfformulier met BSN-veld is een klassieke fout. Voor de VOG geldt iets vergelijkbaars: gegevens over iemands strafrechtelijk verleden vallen onder een streng regime. Noteer dát de VOG is overgelegd, voor welke functie en op welke datum, en laat het daarbij. Een mailbox vol ingescande VOG's en ID's is een risico dat je niet nodig hebt. Concreet: haal het BSN-veld uit je inschrijfformulieren, verplaats het naar het plaatsingsproces, en ruim oude kopieën uit de mail en van gedeelde schijven op.
art. 10 AVG + UAVGJe recruitmentsysteem, kandidaatportaal, planningstool en urenregistratie verwerken allemaal persoonsgegevens namens jou. Met elk van die leveranciers hoort een verwerkersovereenkomst te liggen, en in de praktijk ontbreekt die vaker wel dan niet, zeker bij tools die er 'gewoon bij kwamen'. Daarnaast beloven veel portalen dat kandidaten hun account zelf kunnen verwijderen. Test dat een keer zelf: maak een testaccount aan, druk op de knop en kijk of de gegevens echt weg zijn, ook uit de zoekfunctie van je recruiters. Een verwijderknop die niet doorwerkt is een van de meest gevonden gebreken. Concreet: maak een lijst van alle tools die kandidaatdata raken, check per tool de verwerkersovereenkomst en test het verwijderproces van begin tot eind.
art. 28 + art. 17 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanNee. De reden van verzuim is een gezondheidsgegeven en dat mag alleen de bedrijfsarts of arbodienst verwerken. Jij mag de verwachte duur, de bereikbaarheid en eventuele aanpassingen in het werk vastleggen. Ook als de uitzendkracht de reden zelf vertelt, hoort die niet in je systeem.
De AVG noemt geen vaste termijn, maar wel het principe: niet langer dan nodig. De gangbare lijn is kort na afronding opruimen, tenzij de kandidaat toestemming geeft om langer in portefeuille te blijven. Leg die toestemming vast en maak intrekken net zo makkelijk als geven.
Nee. Het BSN mag je pas verwerken zodra een wettelijke plicht dat vereist, in de praktijk bij plaatsing voor de loonadministratie. Een BSN-veld op het inschrijfformulier loopt daarop vooruit en kan beter verdwijnen.
Vrijwel zeker wel. De uitzondering voor kleine organisaties geldt niet als je structureel persoonsgegevens verwerkt of gevoelige gegevens zoals verzuim raakt, en dat doet een uitzendbureau per definitie. Het register hoeft niet ingewikkeld te zijn: een overzicht van wat je verwerkt, waarom, hoe lang en met wie je het deelt (art. 30 AVG).
Alleen als daarvoor een grondslag is: toestemming, of een bestaande relatie waarbij de kandidaat dit redelijkerwijs verwacht en zich makkelijk kan afmelden. Gekochte adressenlijsten of adressen van LinkedIn plukken valt daar niet onder.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.