Bijna elke organisatie begint haar verwerkingsregister in Excel. Dat is ook helemaal niet dom: je hebt het al, iedereen kan ermee overweg, en het sjabloon van de Gegevensbeschermingsautoriteit is nu eenmaal een tabel. Voor een register van tien verwerkingen werkt het prima.
Het knelt pas bij de eerste vraag die twee bestanden tegelijk raakt. En die vraag komt altijd, meestal op een slecht moment.
Hieronder de zeven dingen waar je in de praktijk tegenaan loopt. Niet omdat Excel te weinig kan, maar omdat je aantoonbaarheid uit verbanden bestaat, en een spreadsheet die niet kent.
1. Excel legt geen verbanden
In je verwerkingsregister staat «verwerking 14». In je verwerkersregister staat «ledenadministratie». In je datalekregister staat «het incident van maart». Dat zijn drie keer dezelfde gegevens, maar niets in je bestanden zegt dat.
Dat is geen theoretisch bezwaar. Het betekent dat je bij elk datalek opnieuw moet uitzoeken welke verwerkingen geraakt zijn, welke categorieën betrokkenen daarachter zitten, en welke verwerkers erbij betrokken waren. Op de dag dat het gebeurt, met de klok van 72 uur die loopt.
2. Excel onthoudt geen termijnen
De AVG staat vol met klokken die lopen: 72 uur voor een melding bij de Gegevensbeschermingsautoriteit, één maand voor een verzoek van een betrokkene, de mededeling van een verlenging binnen diezelfde eerste maand, de identiteitscontrole vooraf. Daarnaast lopen je eigen termijnen: aflopende verwerkersovereenkomsten, de uiterste opzegdatum van een leverancierscontract, de hertoetsing van een DPIA.
Een cel met een datum erin bewaakt niets. Je kunt er voorwaardelijke opmaak op zetten, maar dat werkt alleen als iemand het bestand opent, en het bestand met de opzegtermijnen erin wordt precies nooit geopend.
De stilzwijgende verlenging van een contract dat je had willen opzeggen, is de duurste fout in deze lijst.
3. Excel weet niet hoe het er zes maanden geleden uitzag
Aantoonbaarheid gaat niet alleen over vandaag. Bij een klacht of een controle is de vraag vaak wat je op een bepaald moment in het verleden had vastgelegd, en of je beleid toen al klopte.
In Excel bestaan daar twee antwoorden op. Ofwel bewaar je kopieën met een datum in de bestandsnaam, en dan heb je na twee jaar veertig bestanden waarvan niemand nog weet welke de goede is. Ofwel bewaar je ze niet, en dan is het antwoord: dat weten we niet.
Wat je eigenlijk wilt weten is fijner dan dat: welk veld is wanneer veranderd, van welke waarde naar welke, en door wie. Dat is precies wat versiebeheer per fiche doet.
4. Excel controleert niets
Een register vol lege of halve velden ziet er in Excel precies even net uit als een volledig register. Dit zijn de fouten die je in bijna elk zelfgemaakt register terugvindt:
- een bewaartermijn zonder startpunt: «zeven jaar» zegt niets als je niet weet vanaf wanneer;
- een doorgifte buiten de EER op standaardbepalingen, zonder transfer impact assessment;
- een verwerker zonder lijst van subverwerkers;
- «gerechtvaardigd belang» als grondslag, zonder de afweging die daarbij hoort;
- een wettelijke verplichting als grondslag, zonder te vermelden welke wet;
- een ondertekende verwerkersovereenkomst waarvan het ondertekende exemplaar nergens te vinden is.
Software kan die zes controles automatisch doen, elke keer dat je bewaart. Excel kan het niet, en jij vergeet het.
5. Je DPIA loopt uit de pas met je register
Een gegevensbeschermingseffectbeoordeling begint met een systematische beschrijving van de verwerking: het doel, de gegevensstroom, de rechtsgrond, de bewaartermijnen, de waarborgen bij verwerkers en doorgiften. Dat staat allemaal al in je register.
In de Excel-aanpak typt iemand het over. Eén keer. Daarna verandert het register, en de DPIA niet. Vanaf dat moment beoordeelt je DPIA een verwerking die niet meer bestaat, en dat is erger dan geen DPIA hebben.
Meer over wanneer een DPIA verplicht is en hoe je hem opbouwt, staat in DPIA opstellen: wanneer verplicht en hoe pak je het aan.
6. Excel kent de AI-verordening niet
Dit is nieuw sinds 2026, en het is de reden waarom veel registers nu al achterlopen. Naast je verwerkingsregister heb je een inventaris van je AI-systemen nodig, ook als je denkt dat je er geen hebt, want zonder inventaris kun je niet aantonen dát je er geen hebt.
Daar hangt meer aan dan een lijstje: een classificatie per systeem, de transparantieverplichtingen van artikel 50 die sinds 2 augustus 2026 gelden en beboetbaar zijn, en voor publieke diensten de grondrechteneffectbeoordeling van artikel 27. Zie AI-register opstellen en de AI Act uitgelegd.
7. Je exports zien eruit als een spreadsheet
Een verwerkersovereenkomst, een DPIA, een advies van de DPO en een jaarverslag zijn documenten met een handtekening eronder. Uit Excel komt daar een tabel uit, die iemand vervolgens overtypt in Word.
Dat is niet alleen tijdverlies. Elke keer dat gegevens van het ene bestand naar het andere worden overgezet, ontstaat een verschil dat niemand opmerkt.
Wanneer is Excel gewoon goed genoeg?
Om eerlijk te zijn: vaker dan verkopers van software toegeven. Blijf gerust bij Excel als je aan alle vier voldoet:
- je hebt minder dan tien verwerkingen en ze veranderen zelden;
- je verwerkt geen bijzondere categorieën en geen gegevens van kwetsbare groepen;
- je hebt drie of vier verwerkers, allemaal met een standaardovereenkomst;
- er is één iemand die het bijhoudt en die het ook echt bijhoudt.
Herken je jezelf daar niet in, en dat geldt voor de meeste organisaties vanaf een tiental medewerkers, dan is het punt bereikt waarop het bijhouden meer tijd kost dan het uitzoeken.
Waar je op let bij het kiezen
Drie vragen die er echt toe doen, en die op de meeste productpagina’s niet beantwoord worden.
Waar komen mijn gegevens te staan?
Je verwerkingsregister is de volledige kaart van je organisatie: welke gegevens je hebt, waar ze staan, wie erbij kan en waar de gaten zitten. Zet je dat op de server van een leverancier, dan heb je er een verwerker bij, en een risico dat je zelf niet meer beheerst. Cloud of lokaal: waar je op moet letten gaat daar dieper op in.
Kan ik er weer uit?
Vraag naar de export vóór je begint, niet erna. Een register dat je alleen als PDF of als schermafdruk kunt meenemen, is geen register maar een abonnement.
Vult het iets in wat het niet kan weten?
Een tool die je risicoklassen, je rechtsgronden of je bewaartermijnen automatisch invult, geeft je een register dat er af uitziet en dat niet is. Goede software stelt voor, markeert het voorstel als voorstel, en laat de beoordeling aan jou.
In één tool in plaats van in negen Excel-bestanden
Het DPO-dossier houdt je verwerkingsregister, je verwerkers, je DPIA’s, je datalekken én je AI-systemen bij in één versleuteld bestand op je eigen computer. Geen cloud, geen account, geen abonnement op een server waar jouw volledige gegevenskaart op staat. Je probeert het dertig dagen gratis, zonder kredietkaart en zonder automatische verlenging.
Liever eerst samen kijken waar je staat? Bekijk mijn aanpak rond privacy en GDPR of doe de gratis GDPR-scan. Je krijgt binnen 24 uur een eerste inschatting, gratis en zonder verplichtingen.
Feiten laatst gecontroleerd op 13 augustus 2026. Dit artikel is algemene informatie en geen juridisch advies over jouw specifieke situatie.
