GDPR voor kleine vzw's: welke gegevens mag je bewaren?

Laatst bijgewerkt: 2 juli 2026

Een ledenlijst in een Excel, een WhatsApp-groep met vrijwilligers, een mailinglijst voor donateurs en een boekhouding met rekeningnummers. Zonder het te beseffen verwerkt zelfs de kleinste vzw elke week persoonsgegevens. Sinds de Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR) van 2018 geldt dezelfde wet voor Coca-Cola als voor de dorpsfanfare. Het goede nieuws: voor een kleine vzw is een correcte aanpak perfect haalbaar zonder dure software of consultants.

Snel antwoord: Een vzw mag persoonsgegevens bewaren als er een duidelijk doel en een geldige rechtsgrond is (toestemming, contract, wettelijke plicht of gerechtvaardigd belang), niet meer gegevens dan nodig, niet langer dan nodig, en met redelijke beveiliging. Je houdt een verwerkingsregister bij, informeert leden en vrijwilligers, en meldt een datalek binnen 72 uur aan de Gegevensbeschermingsautoriteit.

Samenvatting in het kort

• GDPR (of AVG) geldt voor elke vzw, ook zonder personeel of website.
• Je mag gegevens verwerken als je een duidelijk doel en een rechtsgrond hebt.
• Bewaar niet meer dan nodig en niet langer dan nodig.
• Een verwerkingsregister is verplicht, ook voor kleine vzw’s.
• Leden, vrijwilligers en donateurs hebben recht op inzage, correctie en verwijdering.
• Een datalek meld je binnen 72 uur aan de Gegevensbeschermingsautoriteit (GBA).
• Toestemming is niet altijd nodig, vaak volstaat een gerechtvaardigd belang.
• Officiële bron: gegevensbeschermingsautoriteit.be.

Wat is GDPR voor een vzw?

GDPR (General Data Protection Regulation), in het Nederlands AVG (Algemene Verordening Gegevensbescherming), is de Europese privacywet die sinds 25 mei 2018 van kracht is. Voor een vzw betekent GDPR concreet dat je zorgvuldig moet omgaan met alle persoonsgegevens die je verwerkt, van leden en vrijwilligers tot donateurs en sympathisanten.

Een persoonsgegeven is elke informatie waarmee je een persoon kan identificeren: naam, adres, e-mail, telefoonnummer, geboortedatum, foto, rekeningnummer, IP-adres. Ook een lidnummer gekoppeld aan een naam telt mee.

Belangrijk: de wet maakt geen onderscheid tussen een multinational en een lokale petanqueclub. De verplichtingen zijn dezelfde, maar de aanpak mag proportioneel zijn met de omvang en het risico.

Wat betekent GDPR voor een vzw in de praktijk?

In de praktijk betekent GDPR voor een vzw dat je vier dingen op orde brengt: weten welke gegevens je hebt, weten waarom je ze hebt, ze goed beveiligen en de betrokkenen correct informeren. Het is eerder een kwestie van gezond verstand en administratie dan van juridische spitstechnologie.

Voor een kleine vzw komt het neer op:

• Een lijst maken van alle bestanden met persoonsgegevens (het verwerkingsregister).
• Nagaan of elk bestand een duidelijk doel dient.
• Oude gegevens opkuisen (bewaartermijn).
• Een korte privacyverklaring op je website of in je onthaalbrochure zetten.
• Weten wie te contacteren als iemand zijn rechten wil uitoefenen.

Hoe werkt GDPR concreet in een vzw?

GDPR werkt via zes grondbeginselen en zes rechtsgronden. De grondbeginselen bepalen hoe je gegevens verwerkt, de rechtsgronden bepalen waarom je ze mag verwerken. Voor elke verwerking (ledenbeheer, nieuwsbrief, foto’s op Facebook) leg je vast welk doel en welke rechtsgrond geldt.

De zes grondbeginselen (art. 5 AVG):

1. Rechtmatigheid, behoorlijkheid en transparantie.
2. Doelbinding: gegevens enkel gebruiken voor het aangekondigde doel.
3. Minimale gegevensverwerking: enkel wat écht nodig is.
4. Juistheid: gegevens actueel houden.
5. Opslagbeperking: niet langer bewaren dan nodig.
6. Integriteit en vertrouwelijkheid: gegevens beveiligen.

GDPR vzw versus gewone GDPR-verplichtingen

De regels van GDPR gelden voor élke organisatie, dus ook voor een vzw. Er is geen aparte “light-versie” voor verenigingen. Wel mag de uitvoering proportioneel zijn: een vzw met 40 leden hoeft geen Data Protection Officer aan te stellen zoals een ziekenhuis dat wel moet.

Onderwerp	Grote organisatie	Kleine vzw
Verwerkingsregister	Verplicht, uitgebreid	Verplicht, compact
Data Protection Officer	Vaak verplicht	Meestal niet verplicht
Privacyverklaring	Verplicht	Verplicht
Datalek melden	Binnen 72 uur	Binnen 72 uur
Rechten betrokkenen	Volledig	Volledig

De verplichting om een DPO (functionaris voor gegevensbescherming) aan te stellen, geldt vooral wanneer je op grote schaal gevoelige gegevens verwerkt, bijvoorbeeld gezondheidsgegevens. Een sportclub of jeugdbeweging valt daar meestal niet onder. Sommige zorgvzw’s kiezen wel voor een DPO, zoals CAB Vlaanderen.

Welke gegevens verwerkt een vzw meestal?

Een vzw verwerkt gegevens van vier grote groepen: leden, vrijwilligers, donateurs en soms cliënten of deelnemers. Voor elke groep gelden andere doelen, andere bewaartermijnen en soms andere rechtsgronden. Een goed startpunt is een simpele tabel per groep.

Typische gegevens per groep:

• Leden: naam, adres, e-mail, telefoon, geboortedatum, lidnummer, betaaldatum lidgeld, rekeningnummer.
• Vrijwilligers: naam, contactgegevens, beschikbaarheid, eventueel kopie van vrijwilligersovereenkomst, onkostenvergoedingen.
• Donateurs: naam, adres (voor fiscaal attest), gestort bedrag, rekeningnummer, e-mail voor bedanking.
• Deelnemers/cliënten: naam, contact, soms gezondheidsinfo bij kampen of zorg (extra bescherming).

Bijzondere categorieën zoals gezondheid, geloof of politieke overtuiging vragen extra voorzichtigheid. Een jeugdvereniging die medische fiches bewaart voor een kamp, moet die goed beveiligen en snel na het kamp vernietigen.

Wat is de rechtsgrond: toestemming of gerechtvaardigd belang?

Elke verwerking heeft een rechtsgrond nodig. Voor een vzw zijn de vier meest voorkomende: toestemming, uitvoering van een overeenkomst, wettelijke verplichting en gerechtvaardigd belang. Toestemming is niet altijd de beste keuze, want ze moet vrij, specifiek en intrekbaar zijn.

Wanneer welke rechtsgrond?

• Uitvoering overeenkomst: ledenadministratie (het lidmaatschap is een overeenkomst).
• Wettelijke verplichting: boekhouding en fiscale attesten voor donateurs.
• Gerechtvaardigd belang: een nieuwsbrief naar bestaande leden over de eigen werking.
• Toestemming: foto’s van herkenbare personen op sociale media, marketingmails naar niet-leden.

Vuistregel: vraag toestemming enkel wanneer geen andere rechtsgrond past. Toestemming intrekken is even makkelijk als geven, dus overgebruik ervan maakt je administratie zwaarder.

Ben je als vzw altijd onderworpen aan GDPR?

Ja, zodra je persoonsgegevens verwerkt, val je onder GDPR, ook als je geen personeel, geen website en geen budget hebt. Er is geen minimumdrempel qua leden of omzet. Een feitelijke vereniging die een ledenlijst bijhoudt, valt er evengoed onder.

Wel bestaat een uitzondering voor zuiver persoonlijke of huishoudelijke activiteiten. Een verjaardagslijstje voor je gezin valt daar wel onder, een ledenbestand van een vzw niet. Zodra je georganiseerd samenwerkt met een structureel doel, is GDPR van toepassing.

Twijfel je of je verwerking onder GDPR valt? De officiële richtlijnen van de Gegevensbeschermingsautoriteit zijn de referentie.

GDPR voor kleine vzw’s: waar begin je?

Voor kleine vzw’s begin je met een inventaris: welke bestanden met persoonsgegevens heeft de vzw en wie beheert ze? Vaak zitten die verspreid bij verschillende bestuursleden (ledenlijst bij de secretaris, financiën bij de penningmeester, mailinglijst bij de communicatieverantwoordelijke). Centraliseren en documenteren is stap één.

Praktische startvolgorde:

1. Roep één bestuursvergadering samen rond privacy.
2. Maak een lijst van alle bestanden en tools (Excel, Google Drive, boekhoudpakket, Mailchimp).
3. Vul voor elk bestand in: welke gegevens, welk doel, welke rechtsgrond, waar bewaard, hoe lang.
4. Schrijf een korte privacyverklaring (één A4 volstaat).
5. Zet basisbeveiliging op (wachtwoorden, tweestapsverificatie, back-up).

Voor inspiratie kan je kijken naar vzw’s in dezelfde sector via de rubriek Welzijn en Sociaal of de rubriek Jeugd en Gezin op VZW Gids.

Wat zijn de verwerkingsverplichtingen voor een vzw?

De kernverplichting is het verwerkingsregister: een document waarin je per verwerking noteert wat je doet met welke gegevens en waarom. Voor een kleine vzw volstaat vaak een tabel met zes tot tien rijen. Daarnaast informeer je betrokkenen via een privacyverklaring en zorg je voor beveiliging in verhouding tot het risico.

Wat staat in een verwerkingsregister?

Kolom	Voorbeeld
Verwerking	Ledenadministratie
Categorieën gegevens	Naam, adres, e-mail, lidgeld
Doel	Beheer lidmaatschap
Rechtsgrond	Overeenkomst
Ontvangers	Bestuur, boekhouder
Bewaartermijn	Duur lidmaatschap + 7 jaar (fiscaal)

Bewaartermijnen die vaak terugkomen:

• Boekhouding en fiscale documenten: 7 jaar (wettelijk).
• Ledengegevens na uitschrijving: max. 1 tot 3 jaar, tenzij nog fiscale relevantie.
• Sollicitaties vrijwilligers: max. 6 maanden na afwijzing.
• Foto’s op sociale media: zolang de toestemming loopt.

Wat zijn de rechten van leden, vrijwilligers en donateurs?

Elke betrokkene heeft acht rechten onder GDPR: inzage, correctie, verwijdering, beperking, bezwaar, overdraagbaarheid, geïnformeerd worden en niet-onderwerping aan geautomatiseerde besluiten. Een vzw moet elk verzoek binnen één maand behandelen, gratis, tenzij het duidelijk ongegrond of buitensporig is.

In gewone taal:

• Inzage: “Welke gegevens heeft de vzw over mij?”
• Correctie: “Mijn adres is fout, pas het aan.”
• Verwijdering: “Wis mij uit de ledenlijst” (het “recht om vergeten te worden”).
• Bezwaar: “Stop met me nieuwsbrieven te sturen.”
• Overdraagbaarheid: “Geef mijn gegevens door in leesbaar formaat.”

Praktische tip: duid één bestuurslid aan als contactpunt en vermeld dat e-mailadres in de privacyverklaring. Antwoord altijd schriftelijk, ook als je het verzoek weigert (met motivatie).

Veelvoorkomende GDPR-fouten bij vzw’s

De meest voorkomende fouten zijn: één grote mailinglijst met iedereen erin, oude ledenlijsten die nooit worden opgekuist, foto’s op Facebook zonder toestemming, en gedeelde wachtwoorden. Deze fouten zijn zelden opzettelijk maar wel echte risico’s, zeker bij bestuurswissels.

Top 7 fouten en hoe ze te vermijden:

1. Alles in één mailinglijst. Split leden, vrijwilligers en externen.
2. Nooit opkuisen. Plan jaarlijks een schoonmaak (bijvoorbeeld in januari).
3. Foto’s zonder toestemming. Vraag schriftelijk of gebruik een opt-outsysteem bij evenementen.
4. Gedeelde wachtwoorden op één gedeelde Gmail. Gebruik een wachtwoordmanager.
5. Geen back-up. Één laptopcrash kan alles wissen.
6. Ledenlijst per WhatsApp doorsturen. Gebruik beveiligde kanalen.
7. Geen privacyverklaring. Één A4 op de website volstaat vaak.

Checklist GDPR voor kleine vzw’s

Onderstaande checklist is een praktische startbasis, geen juridisch advies. Loop hem één keer per jaar door, best tijdens de eerste bestuursvergadering na de algemene vergadering. Zo blijft je vzw in orde zonder er permanent mee bezig te zijn.

Basischecklist (12 punten):

1. Inventaris van alle bestanden met persoonsgegevens gemaakt.
2. Verwerkingsregister ingevuld en up-to-date.
3. Rechtsgrond bepaald per verwerking.
4. Bewaartermijnen vastgelegd.
5. Privacyverklaring gepubliceerd (website of onthaalbrochure).
6. Contactpunt aangeduid binnen het bestuur.
7. Wachtwoorden en tweestapsverificatie ingesteld.
8. Back-ups van kritische bestanden.
9. Toegang tot gegevens beperkt tot wie ze echt nodig heeft.
10. Vrijwilligers geïnformeerd over privacy (kort in de onthaalbrochure).
11. Procedure voor datalekken afgesproken.
12. Jaarlijkse herziening ingepland.

Wat te doen bij een datalek?

Een datalek is elk incident waarbij persoonsgegevens verloren gaan, gestolen worden of ongewild openbaar worden. Denk aan een gestolen laptop, een verkeerd verstuurde e-mail met een ledenlijst in bijlage, of een gehackt e-mailaccount. Als er een risico is voor de betrokkenen, meld je het binnen 72 uur aan de Gegevensbeschermingsautoriteit (GBA).

Stappenplan bij een datalek:

1. Beperk de schade. Verander wachtwoorden, trek toegangen in, isoleer het probleem.
2. Documenteer. Wat is gebeurd, wanneer, welke gegevens, hoeveel personen?
3. Beoordeel het risico. Gaat het om namen en e-mails, of om gevoelige info?
4. Meld indien nodig. Bij risico voor betrokkenen: melden bij de GBA binnen 72 uur via gegevensbeschermingsautoriteit.be.
5. Informeer betrokkenen. Bij hoog risico moet je ook de mensen zelf verwittigen.
6. Leer uit het incident. Pas procedures aan.

Zelfs kleine incidenten (verkeerde bijlage in een mail) documenteer je best intern, ook als je ze niet meldt.

GDPR-training en informatie voor vzw-bestuurders

Officiële informatie vind je bij de Gegevensbeschermingsautoriteit. Daarnaast organiseren koepels zoals BRUXEO en Verso regelmatig webinars specifiek voor de non-profitsector. Een certificaat is voor kleine vzw’s niet nodig, een halve dag opleiding voor het bestuur volstaat vaak.

Betrouwbare bronnen (gratis):

• gegevensbeschermingsautoriteit.be (officiële toezichthouder).
• Sectorkoepels en steunpunten voor het verenigingsleven.
• Provinciale steunpunten voor vrijwilligerswerk.

Wanneer een expert inschakelen?

• Bij verwerking van gezondheidsgegevens op grote schaal.
• Bij twijfel over internationale doorgifte (cloud buiten EU).
• Na een ernstig datalek.

Voor vzw-beheer in bredere zin (statuten, boekhouding, subsidies) kan je terecht bij gespecialiseerde partners; voor het opzoeken van vzw’s per thema of regio is er de gids op VZW Gids met vzw’s in Antwerpen, Oost-Vlaanderen, West-Vlaanderen en andere provincies.

Uitzonderingen en verlichtingen voor vzw’s

Volledige vrijstellingen bestaan niet, maar de wet werkt wel proportioneel. Kleine vzw’s zonder personeel en zonder gevoelige gegevens hebben geen DPO nodig, moeten geen formele gegevensbeschermingseffectbeoordeling (DPIA) doen tenzij bij hoog risico, en mogen hun verwerkingsregister eenvoudig houden.

Wat kan lichter voor kleine vzw’s:

• Verwerkingsregister mag beknopt (één tabel).
• Geen verplichte DPO (tenzij grootschalige gevoelige gegevens).
• Privacyverklaring in gewone taal, geen juridisch document nodig.
• Interne procedures aangepast aan schaal.

Wat blijft even streng:

• Meldingsplicht bij datalek.
• Rechten van betrokkenen.
• Beveiliging in verhouding tot risico.
• Bewaartermijnen.

Boetes en gevolgen bij niet-naleving

De GDPR voorziet in aanzienlijke administratieve geldboetes, maar in de praktijk krijgt een kleine vzw eerst waarschuwingen en aanwijzingen van de Gegevensbeschermingsautoriteit voor er sancties volgen. Concrete boetebedragen hangen af van de ernst, de duur en de medewerking, en worden per dossier bepaald door de GBA.

Voor een kleine vzw is het reputatierisico vaak groter dan het financiële risico: leden die zich uitschrijven, vrijwilligers die vertrekken of een negatieve pers na een datalek kunnen de werking meer schaden dan een boete. Preventie is dus vooral een kwestie van vertrouwen behouden.

Veelgestelde vragen over GDPR en vzw’s

Moet elke vzw een privacyverklaring hebben?

Ja, elke vzw die persoonsgegevens verwerkt, moet betrokkenen informeren via een privacyverklaring. Voor een kleine vzw volstaat één A4 in gewone taal: welke gegevens verzamel je, waarom, hoe lang bewaar je ze, wie kan ze inzien en hoe kunnen betrokkenen hun rechten uitoefenen. Publiceer ze op je website of neem ze op in de onthaalbrochure.

Mag een vzw foto’s van leden op Facebook zetten?

Voor herkenbare foto’s van leden of vrijwilligers heb je in principe toestemming nodig, zeker bij minderjarigen (via de ouders). Een sfeerfoto van een menigte kan onder gerechtvaardigd belang vallen. Werk met een duidelijk beeldbeleid, informeer bij inschrijving, en verwijder foto’s op eenvoudig verzoek. Bij twijfel: vraag altijd expliciete toestemming.

Hoe lang mag een vzw ledengegevens bewaren?

Ledengegevens bewaar je zolang het lidmaatschap loopt, plus een redelijke periode nadien. Voor fiscaal relevante info (lidgeld, giften) geldt de boekhoudkundige termijn van zeven jaar. Andere gegevens verwijder je best één tot drie jaar na het einde van het lidmaatschap, tenzij de persoon expliciet contact wenst te blijven ontvangen.

Heeft een kleine vzw een DPO nodig?

Meestal niet. Een DPO (Data Protection Officer of functionaris voor gegevensbescherming) is verplicht bij grootschalige verwerking van gevoelige gegevens of systematische monitoring. Een gewone ledenvereniging valt daar niet onder. Duid wel één bestuurslid aan als aanspreekpunt voor privacyvragen, zonder officieel DPO-statuut, zodat verzoeken snel en consistent behandeld worden.

Is toestemming vragen voor een nieuwsbrief altijd nodig?

Voor leden kan een nieuwsbrief over de eigen werking vaak onder gerechtvaardigd belang vallen, met een duidelijke uitschrijfmogelijkheid. Voor niet-leden of externe sympathisanten heb je toestemming nodig (opt-in). Meng leden en externen dus niet in één lijst, en zorg dat elke mail een werkende uitschrijflink bevat. Documenteer wanneer en hoe iemand zich inschreef.

Wat gebeurt er als een lid vraagt om vergeten te worden?

Je moet het verzoek binnen één maand behandelen. Verwijder de gegevens uit actieve bestanden, tenzij er een wettelijke bewaarplicht is (bijvoorbeeld boekhouding: zeven jaar). In dat geval leg je de gegevens op slot: ze blijven bewaard voor de wettelijke plicht, maar worden niet meer gebruikt. Bevestig altijd schriftelijk aan de betrokkene wat je gedaan hebt.

Moet een vzw een datalek altijd melden?

Niet altijd. Je meldt aan de Gegevensbeschermingsautoriteit binnen 72 uur wanneer er een risico is voor de rechten en vrijheden van betrokkenen. Een verkeerd geadresseerde mail met alleen een naam is minder ernstig dan een gestolen laptop met rekeningnummers. Documenteer elk incident intern, ook wanneer je beslist niet te melden, met motivatie.

Waar vind ik officiële hulp voor GDPR-vragen?

De Gegevensbeschermingsautoriteit (GBA) is de officiële Belgische toezichthouder en heeft een informatieve website op gegevensbeschermingsautoriteit.be. Voor sectorspecifieke vragen bieden koepels en steunpunten begeleiding, vaak gratis voor aangesloten vzw’s. Voor procedurele vragen over vzw-beheer (statuten, boekhouding, publicaties) verwijzen we naar gespecialiseerde partnersites.

Samenvatting

GDPR is voor een kleine vzw geen juridisch mijnenveld, maar een kwestie van orde en gezond verstand. Weet welke gegevens je hebt, waarom je ze hebt, hoe lang je ze bewaart en hoe je ze beschermt. Een verwerkingsregister van één pagina, een korte privacyverklaring en een duidelijk aanspreekpunt binnen het bestuur brengen je al heel ver.

De grootste risico’s zitten niet in complexe verwerkingen maar in slordigheden: één grote mailinglijst, oude bestanden die blijven rondslingeren, gedeelde wachtwoorden of een verkeerd verstuurde bijlage. Plan één keer per jaar een privacy-check in en houd de officiële bron gegevensbeschermingsautoriteit.be bij de hand.

Wil je jouw vzw beter zichtbaar maken en gemakkelijker terugvinden voor vrijwilligers en donateurs? Meld je vzw gratis aan bij VZW Gids of ontdek vzw’s per rubriek en regio. VZW Gids is een neutrale wegwijzer en biedt geen juridisch advies; voor procedures verwijzen we door naar gespecialiseerde partners.