Je beheert de socialmediakanalen en de webcare-inbox van meerdere opdrachtgevers: je beantwoordt DM's, handelt klachten af en draait leadcampagnes. Daarmee werk je dagelijks met persoonsgegevens van mensen die niet jouw klanten zijn. Juist die tussenpositie is waar het bij webcarebureaus vaak misgaat.
Zodra jij namens een opdrachtgever DM's beantwoordt, klachten registreert of toegang hebt tot diens CRM, ben je verwerker in de zin van de AVG. Dat betekent dat er per opdrachtgever een verwerkersovereenkomst hoort te liggen die vastlegt wat je met de gegevens mag doen, hoe lang je ze bewaart en welke tools je gebruikt. In de praktijk ligt er vaak alleen een offerte en een mailtje met inloggegevens. Wat je kunt doen: loop je klantenlijst langs en check per opdrachtgever of er een getekende verwerkersovereenkomst is. Zet er ook je eigen leveranciers in (webcaretool, planningstool, rapportagetool), want die zijn subverwerkers en je opdrachtgever moet weten dat ze meekijken.
art. 28 AVGEen klant van je opdrachtgever stuurt een DM: ik heb dit middel besteld vanwege mijn hartklachten, waar blijft mijn pakket? Daarmee heb jij ineens gezondheidsgegevens in beheer, een categorie met een veel strenger regime. Het bericht belandt in de webcaretool, in de rapportage voor de klant, soms in een screenshot in Slack. Wat je kunt doen: maak een vaste werkafspraak voor gevoelige berichten. Neem de inhoud niet over in eigen notities of rapportages, verwijs de klant waar nodig door naar een privaat kanaal van de opdrachtgever, en verwijder gevoelige gespreksgeschiedenis volgens een afgesproken termijn. Leg die werkwijze vast in de verwerkersovereenkomst, dan weet iedereen waar hij aan toe is.
art. 9 AVGSocial-listeningtools, planningsplatforms en rapportagedashboards zijn overwegend Amerikaans. Elke DM, elke mention en elk klantprofiel dat door zo'n tool stroomt, verlaat daarmee de EU. Dat mag alleen met een geldig doorgiftemechanisme, en je opdrachtgever moet weten dat het gebeurt: het zijn tenslotte zijn klanten. Wat je kunt doen: zet alle tools op een rij die klantdata van opdrachtgevers raken, controleer per tool waar de data staat en op welke basis de doorgifte rust, en neem de lijst op in je verwerkersovereenkomsten. Kies waar het kan voor een Europese instelling of leverancier. Een opdrachtgever die er via zijn eigen privacyonderzoek achter komt, is een veel vervelender gesprek.
art. 44 e.v. AVGLeadcampagnes op social media leveren bestanden op: namen, mailadressen, soms telefoonnummers, verzameld via een formulier in de advertentie. Jij levert het bestand aan je opdrachtgever, die gaat bellen of mailen. Maar wie vertelt de lead waar zijn gegevens terechtkwamen? De informatieplicht ligt bij degene die de gegevens verder gebruikt, en in de praktijk denkt iedereen dat de ander het regelt. Wat je kunt doen: spreek per campagne af wie de lead informeert en binnen welke termijn (uiterlijk een maand), zorg dat het advertentieformulier al vermeldt namens wie er wordt verzameld, en lever geen bestanden door aan partijen die niet in die vermelding stonden.
art. 14 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanVoor de klantdata van je opdrachtgevers ben je meestal verwerker: je handelt in hun opdracht. Voor je eigen administratie (facturen, contactpersonen, je eigen nieuwsbrief) ben je verantwoordelijke. Die twee rollen bestaan naast elkaar, en per rol gelden andere plichten.
Alleen als de gegevens niet meer herleidbaar zijn tot een persoon of als er een grondslag voor is. Haal namen, handles en herkenbare details eruit voordat je een gesprek in een presentatie of trainingsmap zet. Een screenshot met naam en profielfoto delen in Slack is al snel een verwerking waar niets voor geregeld is.
Als verwerker meld je het lek zonder onredelijke vertraging aan je opdrachtgever; die beoordeelt of het aan de Autoriteit Persoonsgegevens gemeld moet worden (art. 33 AVG). Leg de afspraak over melden en termijnen vast in je verwerkersovereenkomst, zodat je in het weekend niet hoeft te zoeken wie je moet bellen.
Ja, per opdrachtgever hoort er één te liggen. Het mag een standaarddocument zijn dat je bij elke samenwerking meestuurt, zolang de bijlagen kloppen: welke gegevens, welke tools, welke bewaartermijnen. Zonder dat document is elke verwerking die je voor die klant doet formeel niet geregeld.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.