Je Derden Dossier: Wie Heeft Toegang tot je Gegevens?

Je deelt meer gegevens dan je denkt

Stel jezelf deze vraag: met hoeveel externe partijen deel je persoonsgegevens van je klanten, medewerkers of websitebezoekers? De meeste ondernemers schatten dat het om drie of vier partijen gaat. In werkelijkheid ligt dat getal voor een gemiddeld MKB-bedrijf tussen de 10 en 30.

Je boekhouder ziet je klantgegevens. Je e-mailtool verwerkt e-mailadressen. Je CRM slaat contactgeschiedenis op. Je website stuurt data naar Google Analytics. Je hostingpartij heeft toegang tot je servergegevens. En dan hebben we het nog niet gehad over je arbodienst, je verzekeraar of de tool waarmee je facturen verstuurt.

Onder de GDPR (in het Nederlands ook AVG genoemd) ben jij verantwoordelijk voor wat al die partijen met de gegevens doen. En dat begint met weten wie ze zijn.

Vier categorieen om het overzichtelijk te houden

GDPRWise verdeelt je derde partijen in vier categorieen. Dat maakt het behapbaar en helpt je om systematisch te werken.

1. Professionele dienstverleners

Partijen die je inhuurt voor specifieke taken en die daarbij persoonsgegevens verwerken:

• Boekhouder en accountant - ziet financiele gegevens, loonstroken, btw-nummers
• Advocaat of juridisch adviseur - ontvangt dossiergegevens bij geschillen
• Arbodienst - verwerkt gezondheidsgegevens van medewerkers
• Verzekeraar - ontvangt personeels- en bedrijfsgegevens

2. Online tools en software

De digitale tools die je dagelijks gebruikt en die gegevens opslaan of verwerken:

• CRM-systeem - klantgegevens, contactgeschiedenis, notities
• E-mailtool - e-mailadressen, open- en klikgedrag, lijsten
• Boekhoudpakket - factuurgegevens, klant- en leveranciersdata
• Projectmanagement - taakbeschrijvingen, teamcommunicatie
• Cloudopslag - documenten, bestanden, back-ups

3. Sociale media en advertenties

Platforms waar je gegevens deelt, vaak zonder het door te hebben:

• Facebook en Instagram - pixels, custom audiences, leadformulieren
• LinkedIn - company page analytics, advertentietargeting
• Google Ads - conversietracking, remarketing, zoekwoorddata
• TikTok en YouTube - pixels, analytics, advertentiecampagnes

4. Hosting en infrastructuur

De technische basis waarop je bedrijf draait:

• Webhostingpartij - serverlogbestanden, IP-adressen, e-mailverkeer
• IT-beheerder - toegang tot systemen en gegevens

GDPRWise genereert je verwerkersovereenkomsten

Voor elke derde partij die namens jou persoonsgegevens verwerkt, heb je een verwerkersovereenkomst (DPA) nodig. Dat is een wettelijke verplichting. GDPRWise maakt dit eenvoudig: het platform genereert automatisch een professionele DPA die je direct naar de betreffende partij kunt sturen.

De gegenereerde overeenkomst bevat alle verplichte onderdelen:

• Welke gegevens worden verwerkt
• Het doel van de verwerking
• De beveiligingsmaatregelen die verwacht worden
• Wat er gebeurt bij beeindiging van de samenwerking

Veel grote softwareleveranciers hebben al een eigen DPA beschikbaar. GDPRWise helpt je ook om die op te vragen en te registreren in je dossier.

Stap voor stap je dossier opbouwen

Je hoeft niet alle derde partijen in een keer in kaart te brengen. Werk categorie per categorie:

1. Begin met je online tools - log in bij je e-mailtool, CRM en boekhoudsoftware en noteer welke partijen dat zijn
2. Voeg je professionele dienstverleners toe - boekhouder, advocaat, arbodienst
3. Check je website - GDPRWise detecteert automatisch veel externe scripts en tools
4. Vergeet hosting niet - je webhostingpartij en IT-beheerder verwerken vrijwel altijd gegevens

Per partij vul je in welke gegevens ze verwerken, waarom, en of je al een DPA hebt. GDPRWise houdt bij welke overeenkomsten nog ontbreken en herinnert je eraan.

Het is niet ingewikkeld en het hoeft niet in een keer. Het belangrijkste is dat je begint.