Het verwerkingsregister: wie het nodig heeft, wat erin hoort — en wat er zou kunnen veranderen
„Onder de 250 medewerkers zijn we vrijgesteld” — dit is het meest verbreide misverstand over het verwerkingsregister. De uitzondering staat in de wet, maar gaat bijna nooit op. Tegelijk ligt in Brussel een voorstel dat precies dit zou veranderen — en dat vastzit in de Raad. Beide helften verdienen een eerlijk verhaal.
Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op
Waarom de 250-uitzondering bijna nooit opgaat
Art. 30 lid 5 AVG stelt organisaties onder 250 medewerkers vrij — tenzij de verwerking „niet incidenteel” is. En daar strandt de uitzondering in de praktijk: een klantenbestand wordt dagelijks bijgehouden, de nieuwsbrief gaat regelmatig de deur uit, de salarisverwerking draait maandelijks. Dat is allemaal regelmatige verwerking. Praktisch heeft bijna elk bedrijf vanaf de eerste klant een register nodig — de vrijstelling past bij de vereniging die één keer per jaar een deelnemerslijst maakt.
Wat erin hoort — minder dan velen denken
Het register is een gestructureerde inventarisatie, geen juridisch advies. Per verwerkingsactiviteit (zoals „klantbeheer”, „werving”, „nieuwsbrief”):
| Gegeven | Voorbeeld |
|---|---|
| Doel van de verwerking | Afhandelen van klantorders |
| Categorieën betrokkenen en gegevens | Klanten; naam, adres, ordergegevens |
| Ontvangers | Boekhouder, verzenddienst, cloudaanbieder |
| Doorgifte aan derde landen | Amerikaanse nieuwsbrieftool — zie de derde-landen-gids |
| Bewaartermijnen | Offertes 2 jaar, facturen 7 jaar (fiscale bewaarplicht) |
| Beschrijving van beveiligingsmaatregelen (art. 32) | Toegangsbeheer, versleuteling, back-ups |
De beste bron is een onderhouden toolregister: wie per tool noteert of er persoonsgegevens in zitten, of er een verwerkersovereenkomst is en of gegevens naar derde landen gaan, heeft het halve register al — één inventarisatie, twee bewijzen.
Digital Omnibus: de 750-vrijstelling is NIET aangenomen
Het Commissievoorstel van 19 november 2025 (COM(2025) 837) wil de plicht fors verlichten: vrijstelling voor organisaties onder de 750 medewerkers, een register alleen nog bij verwerkingen met waarschijnlijk hoog risico. Voor de meeste mkb-bedrijven zou dat het einde van de plicht zijn — maar het gegevensbeschermingsdeel van de omnibus zit vast in de Raad; een Raadspositie ontbreekt. Per 1 september 2026 geldt art. 30 onverkort. Wie het register vandaag overslaat omdat „het toch wordt afgeschaft”, verwart een voorstel met een wet.
De pragmatische route voor het mkb
Het register hoeft niet mooi of lang te zijn — het moet kloppen en vindbaar zijn. Een typisch mkb-bedrijf heeft acht tot twaalf verwerkingsactiviteiten op een paar pagina's. Eén keer netjes opgezet kost het onderhoud minuten per kwartaal: nieuwe tools erbij, afgeschafte eruit, bewaartermijnen nalopen. Op verzoek legt u het aan de Autoriteit Persoonsgegevens voor — en het is geregeld het eerste waar zij naar vraagt.
Het startpunt
De gratis check van 2 minuten laat zien waar u staat. In het abonnement (vanaf € 49/maand) draagt uw toolregister de privacygegevens per tool — de basis waaruit register en bewijsdossier groeien.
Veelgestelde vragen
Hebben bedrijven onder de 250 medewerkers een verwerkingsregister nodig?
In de regel ja. De uitzondering van art. 30 lid 5 AVG vervalt zodra regelmatig wordt verwerkt — en een klantenbestand, nieuwsbrief of salarisadministratie ís regelmatige verwerking. De vrijstelling dekt praktisch alleen werkelijk incidentele verwerking.
Schaft de Digital Omnibus het register voor het mkb af?
Voorgesteld ja (vrijstelling onder 750 medewerkers, plicht alleen bij hoog risico), aangenomen nee: het gegevensbeschermingsdeel heeft per 1 september 2026 geen Raadspositie. Tot een akkoord en de inwerkingtreding geldt art. 30 onverkort.
Waar staat uw bedrijf?
De gratis quick-check loopt tien punten langs — AI-register, trainingsstand, transparantieplichten, verantwoordelijkheden. In twee minuten, zonder aanmelding, met een eerlijk resultaat en uw concrete hiaten.
Quick-check starten — gratisArtikel 30 AVG — register van de verwerkingsactiviteiten
COM(2025) 837 — Digital-Omnibus-voorstel van de Europese Commissie