GDPR voor vzw’s: wat is anders dan bij een bedrijf?

Kort antwoord

Ja, een vzw valt net zo goed onder de AVG als een bedrijf: zodra je gegevens van leden, vrijwilligers, donateurs of deelnemers verwerkt, ben je verwerkingsverantwoordelijke. Het verschil zit niet in de regels, maar in de praktijk: vzw’s verwerken vaker gevoelige gegevens dan ze beseffen (gezondheidsinformatie bij evenementen, religieuze of politieke voorkeuren bij ledenlijsten) en hebben zelden een verwerkingsregister of DPO. Dit artikel legt uit waar de meeste vzw’s steken laten vallen en hoe je dat met beperkte middelen oplost.

Inhoudsopgave

1. Valt een vzw echt onder dezelfde AVG-regels als een bedrijf?
2. Welke persoonsgegevens verwerkt een vzw typisch, en welke zijn gevoelig?
3. Moet een vzw een verwerkingsregister bijhouden?
4. Is een functionaris voor gegevensbescherming (DPO) verplicht voor een vzw?
5. Hoe ga je correct om met vrijwilligersgegevens?
6. Wat met ledenadministratie en giften?
7. Checklist: 10 controlepunten voor elke vzw
8. Veelgestelde vragen

Valt een vzw echt onder dezelfde AVG-regels als een bedrijf?

De Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679) maakt geen onderscheid tussen een vzw, een eenmanszaak of een nv. Artikel 4, lid 7 van de AVG definieert de verwerkingsverantwoordelijke als “de natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat … het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt” – een vzw die beslist welke ledengegevens ze bijhoudt en waarom, valt daar zonder uitzondering onder.

Het verschil zit in de praktijk, niet in de wet. Een vzw heeft meestal geen juridische dienst, werkt met vrijwilligers die wisselen, en denkt bij “AVG” al snel aan grote bedrijven. Net daardoor onderschatten veel besturen hoeveel persoonsgegevens ze eigenlijk verwerken en hoe gevoelig die soms zijn.

Welke persoonsgegevens verwerkt een vzw typisch, en welke zijn gevoelig?

De meest voorkomende verwerkingen bij een vzw zijn ledenadministratie (naam, adres, e-mail, lidgeld), vrijwilligerslijsten (naam, contactgegevens, beschikbaarheid, soms een uittreksel strafregister bij werk met minderjarigen), giftenregistratie (naam, adres, bedrag – nodig voor het fiscaal attest), en deelnemerslijsten voor evenementen (vaak met dieetwensen, noodcontact of gezondheidsinformatie).

Dat laatste is waar het vaak misloopt. Dieetwensen kunnen een religieuze overtuiging verraden (halal, koosjer) en vallen dan onder artikel 9 AVG (bijzondere categorieën van persoonsgegevens), net als gezondheidsgegevens. De Geschillenkamer van de Gegevensbeschermingsautoriteit bevestigde in beslissing 95/2023 expliciet dat een vaccinatiestatus een gezondheidsgegeven is in de zin van artikel 9, lid 1 AVG – die zaak ging over een vzw die dansateliers organiseert en een lid de deelname weigerde op basis van haar vaccinatiestatus. De klacht werd om technische redenen geseponeerd (onvoldoende bewijs dat de vraag effectief gesteld was), maar de kwalificatie van het gegeven zelf staat buiten kijf.

Moet een vzw een verwerkingsregister bijhouden?

Artikel 30 AVG verplicht in principe elke verwerkingsverantwoordelijke tot een verwerkingsregister, met een uitzondering voor organisaties met minder dan 250 werknemers – maar die uitzondering vervalt zodra de verwerking niet incidenteel is, een risico inhoudt voor de rechten van betrokkenen, of bijzondere categorieën van gegevens omvat (artikel 9) of gegevens over strafrechtelijke veroordelingen (artikel 10). Een ledenadministratie die je jaar na jaar bijhoudt is per definitie niet incidenteel, en zodra er dieetwensen, gezondheidsinformatie of een uittreksel strafregister bijzit, is de uitzondering sowieso van de baan. In de praktijk betekent dit dat vrijwel elke actieve vzw toch een (eenvoudig) verwerkingsregister moet bijhouden.

Is een functionaris voor gegevensbescherming (DPO) verplicht voor een vzw?

Artikel 37, lid 1 AVG verplicht een DPO in drie gevallen: bij overheidsinstanties, wanneer de kernactiviteit bestaat uit verwerkingen die regelmatige en stelselmatige observatie op grote schaal vereisen, of wanneer de kernactiviteit op grote schaal bijzondere categorieën van gegevens (artikel 9) of strafrechtelijke gegevens (artikel 10) verwerkt. Voor de meeste vzw’s is geen van de drie van toepassing: ledenadministratie en vrijwilligerswerk zijn zelden de “kernactiviteit” in de zin van de verordening, en “grote schaal” veronderstelt doorgaans een aanzienlijk volume. Een nationale koepelorganisatie met tienduizenden leden kan dat beeld wel kantelen – twijfel je, dan is een korte toets met een externe DPO goedkoper dan achteraf een vastgestelde inbreuk.

Hoe ga je correct om met vrijwilligersgegevens?

Vraag enkel wat je nodig hebt voor de vrijwilligerstaak zelf: contactgegevens en beschikbaarheid volstaan voor de meeste functies. Een uittreksel strafregister vraag je alleen wanneer de wet of een redelijke zorgplicht dat rechtvaardigt (bijvoorbeeld bij werking met minderjarigen), en je bewaart dat uittreksel niet langer dan nodig om de controle uit te voeren. Leg voor elke categorie vrijwilligersgegevens vast: waarom je ze verzamelt, hoe lang je ze bewaart, en wie binnen de vzw er toegang toe heeft.

Wat met ledenadministratie en giften?

Giftenregistratie valt onder een wettelijke verplichting (voor het fiscaal attest) en mag je dus bewaren zolang de fiscale bewaartermijn loopt. Voor ledenadministratie geldt geen vaste wettelijke termijn in de AVG zelf: de vzw bepaalt zelf een redelijke bewaartermijn op basis van het doel, bijvoorbeeld “tot twee jaar na het laatste lidmaatschap”, en verwijdert of anonimiseert gegevens van oud-leden daarna. Vermeld in je privacyverklaring expliciet wie toegang heeft tot de ledenlijst (bestuur, penningmeester, eventueel een externe boekhouder) en op basis van welke rechtsgrond je de gegevens verwerkt – meestal uitvoering van de lidmaatschapsovereenkomst of gerechtvaardigd belang.

Checklist: 10 controlepunten voor elke vzw

#	Controlepunt
1	Overzicht van alle ledenlijsten, vrijwilligerslijsten en gifteninformatie die de vzw bijhoudt
2	Verwerkingsregister aanwezig, ook al telt de vzw geen 250 medewerkers
3	Dieetwensen, gezondheidsinformatie of uittreksels strafregister apart gemarkeerd als bijzondere categorie (artikel 9 of 10 AVG)
4	Bewaartermijn vastgelegd per categorie (leden, vrijwilligers, giften, evenementdeelnemers)
5	Privacyverklaring op de website vermeldt de vzw als verwerkingsverantwoordelijke en somt de verwerkingen op
6	Toegang tot de ledenlijst beperkt tot bestuur en wie dat effectief nodig heeft
7	Verwerkersovereenkomst met de boekhoudtool, het CRM of het mailingplatform dat de vzw gebruikt
8	Vrijwilligers weten bij wie ze terechtkunnen met een vraag over hun gegevens
9	Bestuur heeft afgetoetst of een DPO nodig is (meestal niet, tenzij grootschalig)
10	Procedure klaar voor het geval van een datalek: wie meldt binnen 72 uur aan de Gegevensbeschermingsautoriteit

Werk je met een los Excel-bestand voor de ledenadministratie, dan is een gestructureerde boekhoudtool met een duidelijk onderscheid tussen financiële en persoonsgegevens vaak al een grote stap vooruit – bekijk hiervoor mijn boekhoudtool voor vzw’s. Twijfel je of jouw vzw als “kleine onderneming” nog andere AVG-verplichtingen heeft naast wat hierboven staat, dan loop je die het best na in de volledige checklist AVG-verplichtingen voor kmo’s.

Veelgestelde vragen

Is een vzw vrijgesteld van de AVG omdat ze geen winstoogmerk heeft?

Nee. De AVG maakt geen onderscheid tussen winstgevende en niet-winstgevende organisaties. Zodra een vzw persoonsgegevens verwerkt, gelden dezelfde verplichtingen als voor een bedrijf.

Moeten we toestemming vragen om leden op onze mailinglijst te zetten?

Voor bestaande leden volstaat meestal de rechtsgrond “uitvoering van de lidmaatschapsovereenkomst” voor verenigingsgerelateerde communicatie. Voor aparte nieuwsbrieven aan niet-leden is uitdrukkelijke toestemming wel de veiligste rechtsgrond.

Mogen we dieetwensen van deelnemers aan een eetfestijn noteren?

Ja, maar wees je ervan bewust dat dit soms een bijzondere categorie van gegevens raakt (bijvoorbeeld een religieus dieet). Vraag enkel wat nodig is voor de catering, bewaar de lijst niet langer dan het evenement duurt, en deel ze niet verder dan nodig.

Hebben we een verwerkersovereenkomst nodig met ons ledenadministratiesysteem?

Ja. Zodra een externe tool (CRM, boekhoudsoftware, mailingplatform) namens de vzw persoonsgegevens verwerkt, is een verwerkersovereenkomst volgens artikel 28 AVG verplicht, ongeacht de grootte van de vzw.

Wat riskeert een vzw bij een inbreuk op de AVG?

In theorie gelden dezelfde boetebedragen als voor bedrijven: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet (artikel 83 AVG). In de praktijk houdt de Gegevensbeschermingsautoriteit bij de hoogte van een sanctie rekening met de aard en omvang van de organisatie, maar een waarschuwing of corrigerend bevel blijft ook voor een vzw een reële mogelijkheid.

---

Over de auteur: Stijn Belmans is EADPP-gecertificeerd Data Protection Officer en beheert als extern DPO de privacy- en beveiligingsdossiers van meer dan 100 organisaties, waaronder vzw’s. Hij bouwt en onderhoudt websites sinds meer dan 15 jaar en combineert die technische achtergrond met zijn werk als DPO.

Wil je als vzw-bestuur zeker zijn dat jullie ledenadministratie en vrijwilligersgegevens in orde zijn? Bekijk mijn boekhoudtool voor vzw’s, die financiële en persoonsgegevens gescheiden en overzichtelijk houdt, of loop de checklist AVG-verplichtingen na voor de bredere verplichtingen.

Feiten in dit artikel zijn gebaseerd op de AVG (Verordening (EU) 2016/679), artikelen 4, 9, 10, 28, 30, 37 en 83, en op beslissing ten gronde nr. 95/2023 van de Geschillenkamer van de Gegevensbeschermingsautoriteit (6 juli 2023). Dit artikel is algemene informatie en geen juridisch advies over jouw specifieke situatie.