Ja, de AVG geldt voor uw werkplaats: een verwerkingsregister, een privacyverklaring, passende beveiliging en een datalekprotocol zijn in de meeste gevallen verplicht. Dit geldt voor zzp'ers, kleine garages en grotere autobedrijven zonder uitzondering. De eerste stap is simpel: controleer welke persoonsgegevens u verwerkt en leg dit vast in een verwerkingsregister.
Kort samengevat:
- Alleen werkplaatsen die regelmatig persoonsgegevens verwerken, moeten een actueel verwerkingsregister bijhouden en dit koppelen aan een duidelijke privacyverklaring.
- Camera's mogen zichtbaar zijn en vooraf gecommuniceerd worden, terwijl verborgen camera's alleen bij specifieke verdenkingen toegestaan zijn en geen standaardmiddel mogen vormen.
- Bij datalekken moet elk incident intern geregistreerd worden, ook als er geen melding bij de autoriteit nodig is, en beveiligingsmaatregelen zoals wachtwoordbeleid en versleuteling zijn essentieel.
- Bij gebruik van AI en telematica-systemen is altijd een prior assessment verplicht als er systematisch of grootschalig gegevens wordt verwerkt, vooral bij automatische beslissingen of gezondheidsgegevens.
- Veel werkplaatsen stellen een verwerkingsregister pas op na een incident, terwijl gestructureerde diagnoseopslag en centrale documentatie de naleving en overdracht verbeteren.
Inhoudsopgave
- Voor wie geldt de AVG en welke gegevens verwerkt uw werkplaats
- Verwerkingsregister, privacyverklaring en bewaartermijnen: uw checklist
- Cameratoezicht en personeelscontrole: wat mag en wat moet
- Datalekprotocol en beveiliging: wat moet u regelen
- AI, telematica en DPIA: wanneer vooraf toetsen verplicht is
- Handhaving en officiële hulpmiddelen voor uw werkplaats
- Wat we in de werkplaatspraktijk vaak zien
- Hoe Carozo helpt bij veilige, aantoonbare diagnose-documentatie
- Veelgestelde vragen
- Bronnen
Voor wie geldt de AVG en welke gegevens verwerkt uw werkplaats
Zodra u klantgegevens, kentekens gekoppeld aan namen of personeelsgegevens verwerkt, bent u verwerkingsverantwoordelijke in de zin van de AVG. Dit maakt niet uit of u een zzp'er bent met één monteur of een BV met een team van tien. De Autoriteit Persoonsgegevens stelt dat de verplichtingen gelden voor alle ondernemingen, van zzp'ers tot grote autobedrijven.
In een werkplaats komen persoonsgegevens vaker voor dan u misschien denkt:
- Klantgegevens zoals naam, adres, telefoonnummer en e-mailadres bij het maken van een afspraak.
- Voertuiggegevens die herleidbaar zijn naar een persoon, zoals kenteken gekoppeld aan een kentekenhouder.
- Personeelsgegevens zoals contracten, verzuimdossiers en loongegevens.
- Diagnosegegevens en notities die een monteur koppelt aan een specifieke klant of voertuig.
Naast deze verwerking draagt u ook een verantwoordingsplicht: u moet kunnen aantonen dat u zich aan de regels houdt, niet alleen zeggen dat u dit doet.
Verwerkingsregister, privacyverklaring en bewaartermijnen: uw checklist
Een verwerkingsregister is verplicht zodra u met enige regelmaat persoonsgegevens verwerkt, en moet actueel blijven. Voor de meeste werkplaatsen betekent dit vrijwel altijd verplicht, omdat klant- en personeelsgegevens dagelijks worden vastgelegd.
Zet in uw register minimaal deze velden:
- Het doel van de verwerking, bijvoorbeeld facturatie of garantieafhandeling.
- De categorieën betrokkenen en gegevens, zoals klanten, personeel of voertuigeigenaren.
- De bewaartermijn per categorie gegevens.
- De ontvangers of verwerkers, zoals een boekhoudpakket of garagebeheersysteem.
- De getroffen beveiligingsmaatregelen, zoals toegangsbeperking of versleuteling.
Uw privacyverklaring vult dit aan richting klanten en medewerkers. Vermeld altijd uw contactgegevens, de grondslag voor verwerking, de bewaartermijn en of er geautomatiseerde beslissingen worden genomen. Ondernemersplein biedt hiervoor concrete voorbeelden en modelteksten.
Bewaartermijnen onderbouwt u per gegevenscategorie. Administratieve documenten volgen meestal de fiscale bewaarplicht van zeven jaar, maar diagnosegegevens hebben geen vaste wettelijke termijn en vragen een eigen, gedocumenteerde motivering in uw privacybeleid.
Pro-tip: leg bij elke bewaartermijn een korte reden vast, zoals "garantieclaims tot vijf jaar na aankoop", zodat u bij controle direct kunt uitleggen waarom u die termijn hanteert.
Cameratoezicht en personeelscontrole: wat mag en wat moet
Veel werkplaatsen gebruiken camera's voor beveiliging tegen diefstal of schade aan voertuigen. Dat mag, maar niet zonder voorwaarden. Cameratoezicht vereist altijd een belangenafweging tussen uw bedrijfsbelang en de privacy van werknemers en klanten, aldus de Autoriteit Persoonsgegevens.
Houd rekening met de volgende punten:
- Camera's moeten zichtbaar zijn en u moet vooraf duidelijk communiceren dat er wordt gefilmd.
- Verborgen camera's zijn alleen toegestaan bij een concrete verdenking van fraude of diefstal, en nooit als standaardmiddel.
- Richt camera's niet specifiek op werkplekken van individuele medewerkers zonder zwaarwegende reden.
- Overleg met de ondernemingsraad of, bij ontbreken daarvan, met uw personeel is vaak nodig voordat u cameratoezicht invoert dat gedrag van werknemers monitort.
Transparantie en overleg voorkomen niet alleen juridische risico's, ze houden ook de relatie met uw team gezond.
Datalekprotocol en beveiliging: wat moet u regelen
Een datalek is sneller een feit dan u denkt: een gestolen laptop, een verkeerd verzonden e-mail met klantgegevens, of een gehackt systeem telt al. Een intern datalekregister is verplicht voor elk datalek, ook als dit niet gemeld hoeft te worden bij de Autoriteit Persoonsgegevens.
Veel werkplaatsen denken dat alleen meldingen bij de AP tellen, maar interne registratie staat los van de meldingsplicht en is altijd verplicht, voor elk incident.
Werkplaatsen moeten elk datalek intern registreren, zelfs wanneer melding bij de AP niet nodig is, zo stelt Ondernemersplein. Dit betekent dat documentatie niet optioneel is, ook niet bij kleine incidenten.
Praktische maatregelen die uw risico verlagen:
- Beperk toegang tot persoonsgegevens tot medewerkers die dit echt nodig hebben.
- Maak regelmatig backups en test of herstel daadwerkelijk werkt.
- Gebruik een wachtwoordbeleid met verplichte sterke wachtwoorden en waar mogelijk twee-factor-authenticatie.
- Versleutel gevoelige bestanden, vooral op laptops en mobiele apparaten die het pand verlaten.
Bij een vermoed lek registreert u eerst wat er is gebeurd, beoordeelt u het risico voor betrokkenen en meldt u, indien nodig, binnen de wettelijke termijn aan de AP.
AI, telematica en DPIA: wanneer vooraf toetsen verplicht is
Nieuwe technologie zoals AI-diagnoseassistenten en telematicasystemen kan het privacyrisico verhogen, vooral bij systematische of grootschalige verwerking van gegevens. De Autoriteit Persoonsgegevens adviseert organisaties te beoordelen of verwerking een Data Protection Impact Assessment, kortweg DPIA, vereist, zeker bij inzet van nieuwe technologie.
Een DPIA is doorgaans nodig bij:
- Systematische en grootschalige monitoring van personen, bijvoorbeeld via telematica die rijgedrag volgt.
- Verwerking van bijzondere persoonsgegevens, zoals gezondheidsgegevens van personeel.
- Geautomatiseerde besluitvorming die gevolgen heeft voor betrokkenen, zonder menselijke tussenkomst.
AI-assistenten die meedenken op basis van diagnosegegevens brengen vooral risico's met zich mee rond profilering en onbedoelde koppelingen tussen voertuig- en persoonsgegevens. Begin klein: maak een overzicht van welke data de AI gebruikt en documenteer waarom dit nodig is.
Pro-tip: twijfelt u of een DPIA verplicht is, leg uw risico-inventarisatie dan voor aan een privacyadviseur voordat u een nieuw systeem breed uitrolt.
Handhaving en officiële hulpmiddelen voor uw werkplaats
De Autoriteit Persoonsgegevens kan boetes opleggen en onderzoek instellen bij overtredingen van de AVG. Aantoonbare verantwoording, zoals een actueel register, logs en een heldere privacyverklaring, is uw beste verdediging bij een controle.
Gebruik voor de praktische uitvoering de Regelhulp AVG via Ondernemersplein, de modelverwerkersovereenkomst via Rijksoverheid en, bij twijfel, rechtstreeks contact met de AP.
Wat we in de werkplaatspraktijk vaak zien
Veel werkplaatsen stellen een verwerkingsregister pas op na een incident, niet ervoor. Een veelgemaakte fout is diagnosenotities los op papier of in losse bestanden bewaren, waardoor niemand precies weet wie wat heeft vastgelegd. Centrale, gestructureerde opslag van diagnoses maakt overdracht tussen monteurs eenvoudiger en helpt bij het aantonen van zorgvuldige verwerking, zoals essentieel beschreven in Automotive Repair Marketing: A Key to A Successful shop - GarageTool.
— Jeroen
Hoe Carozo helpt bij veilige, aantoonbare diagnose-documentatie
Een AVG-proces staat of valt met goede documentatie, en dat geldt ook voor diagnosegegevens in uw werkplaats. Met Carozo leggen we diagnoses per voertuig centraal vast, inclusief foutcodes, meetwaarden, notities en foto's, zodat u niet afhankelijk bent van losse bestanden of het geheugen van één monteur.
Dit sluit direct aan op wat uw verwerkingsregister en privacyverklaring van u vragen:
- Eén centraal diagnoselogboek in plaats van verspreide notities en losse mapjes.
- Toegangscontrole per gebruiker, zodat alleen bevoegde medewerkers gegevens kunnen inzien.
- Overdracht van diagnoses tussen monteurs zonder mondelinge uitleg, wat herleidbaarheid en consistentie vergroot.
We bieden geen juridisch advies, wel een praktisch hulpmiddel om uw diagnoseproces gestructureerd en aantoonbaar te maken. Bekijk onze Carozo, met plannen vanaf € 8 per maand per monteur bij Carozo Standaard, en start vandaag met een overzichtelijker diagnoseproces.
Veelgestelde vragen
Is de AVG van toepassing in heel Europa?
Ja, de AVG is een Europese verordening en geldt rechtstreeks in alle EU-lidstaten, inclusief Nederland. In Nederland is de uitvoering nader geregeld in de Uitvoeringswet AVG.
Geldt de AVG alleen in Nederland?
Nee, de AVG geldt in de hele Europese Unie en is dus niet beperkt tot Nederland. Nederlandse werkplaatsen vallen onder dezelfde Europese regels, aangevuld met nationale uitvoeringswetgeving.
Hoe neem ik contact op met de Autoriteit Persoonsgegevens?
U kunt vragen stellen of een melding doen via de website van de Autoriteit Persoonsgegevens, waar ook telefonische contactmogelijkheden staan vermeld. Voor praktische ondersteuning bij AVG-naleving kunt u ook de Regelhulp via Ondernemersplein raadplegen.
Wat mag wel en wat mag niet onder de AVG?
Persoonsgegevens verwerken mag wanneer u een geldige grondslag heeft, zoals een overeenkomst met de klant of een wettelijke verplichting, en wanneer u dit doelgericht en beveiligd doet. Wat niet mag, is gegevens langer bewaren dan nodig, zonder duidelijk doel verzamelen, of verwerken zonder dat betrokkenen hierover zijn geïnformeerd.
Is een DPIA altijd verplicht bij AI in de werkplaats?
Niet altijd: een DPIA is vooral nodig bij systematische, grootschalige verwerking, bijzondere persoonsgegevens of geautomatiseerde besluitvorming met gevolgen voor betrokkenen. Bij twijfel adviseert de Autoriteit Persoonsgegevens om dit altijd te beoordelen voordat u nieuwe technologie breed inzet.