AVG en je ledenadministratie: wat je moet regelen
Kort antwoord
Als sportschool verwerk je persoonsgegevens en val je dus onder de AVG. Concreet moet je vier dingen op orde hebben: een verwerkingsregister waarin staat welke gegevens je bijhoudt en waarom, een privacyverklaring op je website, een verwerkersovereenkomst met elke leverancier die namens jou gegevens verwerkt (inclusief je software), en een bewaartermijn waarna je gegevens van oud-leden verwijdert. Gezondheidsgegevens — blessures, medische beperkingen — zijn bijzondere persoonsgegevens en vragen uitdrukkelijke toestemming.
De AVG heeft bij veel kleine ondernemers de reputatie van bureaucratie waar je toch niet doorheen komt. Voor een sportschool valt het aantal dingen dat je echt moet regelen mee: het zijn er vier, en ze kosten samen een middag.
Dit artikel is een praktische samenvatting, geen juridisch advies. Bij twijfel over jouw specifieke situatie is de Autoriteit Persoonsgegevens de aangewezen bron.
Welke gegevens mag je bijhouden?
Het uitgangspunt van de AVG is dat je gegevens mag verwerken die je nodig hebt voor een duidelijk doel. Voor een sportschool is dat doel meestal het uitvoeren van de lidmaatschapsovereenkomst. Daar vallen zonder meer onder: naam, adres, e-mailadres, telefoonnummer, geboortedatum, IBAN en de administratie van inschrijvingen en betalingen.
Waar het scherper wordt: gegevens over gezondheid. Blessures, hartklachten, zwangerschap, een intakeformulier met medische vragen — dat zijn bijzondere persoonsgegevens. Die mag je alleen verwerken met uitdrukkelijke toestemming van het lid, en dan nog alleen voor het doel waarvoor die toestemming is gegeven. Bewaar ze niet 'voor de zekerheid' en zet ze niet in een veld dat elke instructeur kan inzien.
De vier dingen die je moet hebben
- 01Een verwerkingsregister. Een overzicht van welke gegevens je verwerkt, waarom, hoe lang je ze bewaart en met wie je ze deelt. Voor een sportschool past dat op één A4. Je hoeft het nergens in te dienen, maar je moet het kunnen laten zien.
- 02Een privacyverklaring op je website. In gewone taal: welke gegevens je verzamelt, waarvoor, hoe lang, en hoe iemand ze kan opvragen of laten verwijderen.
- 03Een verwerkersovereenkomst met elke partij die namens jou gegevens verwerkt. Dat is je softwareleverancier, je boekhoudpakket, je mailingtool. Serieuze leveranciers hebben er een klaarliggen; vraag ernaar.
- 04Bewaartermijnen. Bepaal hoe lang je gegevens van oud-leden houdt en houd je daaraan. Voor de administratie geldt de fiscale bewaarplicht van zeven jaar; voor gegevens die daar niet onder vallen is er geen reden om ze langer dan twee jaar na opzegging te bewaren.
Wat als een lid zijn gegevens wil inzien of wissen?
Leden hebben het recht om te vragen welke gegevens je van hen hebt, om ze te laten corrigeren, en om ze te laten verwijderen. Je moet daar binnen een maand op reageren.
Verwijderen is niet altijd verplicht: gegevens die je nodig hebt voor je belastingaangifte mag en moet je bewaren, ook als iemand erom vraagt. Wat je wel kunt doen, is alles wat niet onder die verplichting valt — het intakeformulier, de aantekeningen, de nieuwsbriefinschrijving — daadwerkelijk wissen. Leg vast dat je dat gedaan hebt.
Waar staan je gegevens?
Bij een clouddienst geef je de feitelijke opslag uit handen. Vraag je leverancier waar de gegevens staan en of dat binnen de EU is. Staan ze buiten de EU, dan moeten daar aanvullende afspraken voor gelden. Dit hoort in de verwerkersovereenkomst te staan; staat het er niet in, dan is dat een reden om door te vragen.
Vraag ook naar het datalekbeleid. Als er bij je leverancier iets misgaat, ben jij degene die het bij de Autoriteit Persoonsgegevens moet melden — binnen 72 uur. Dan wil je weten dat je leverancier je meteen inlicht en niet pas na een week.
En de praktijk
De grootste risico's bij sportscholen zitten zelden in de software. Ze zitten in de WhatsApp-groep waar ledeninformatie langskomt, in het Excel-bestand op een privélaptop, en in de balie-pc waar iedereen op hetzelfde account werkt. Eén systeem met eigen inlogaccounts en rechten per rol lost meer op dan welk formulier ook.
Veelgestelde vragen
- Heb ik een verwerkersovereenkomst nodig met mijn sportschoolsoftware?
- Ja. Je software verwerkt persoonsgegevens namens jou, waarmee de leverancier verwerker is en jij verwerkingsverantwoordelijke. Een verwerkersovereenkomst is dan wettelijk verplicht. Vrijwel elke serieuze leverancier heeft er een klaarliggen.
- Hoe lang mag ik gegevens van oud-leden bewaren?
- Voor je financiële administratie geldt de fiscale bewaarplicht van zeven jaar. Gegevens die daar niet onder vallen, zoals intakeformulieren of aantekeningen, bewaar je niet langer dan nodig — twee jaar na opzegging is een gangbare termijn, mits je die vastlegt en aanhoudt.
- Mag ik blessure-informatie van leden vastleggen?
- Alleen met uitdrukkelijke toestemming van het lid, en alleen voor het doel waarvoor die toestemming is gegeven. Beperk de toegang tot wie het nodig heeft en bewaar het niet langer dan nodig. Vraag niet meer dan je daadwerkelijk gebruikt bij het begeleiden.
- Mag ik foto's van leden in de zaal op social media zetten?
- Alleen met toestemming, en die toestemming moet vrij gegeven zijn en intrekbaar. Een bordje 'door binnen te komen ga je akkoord' is geen geldige toestemming. Vraag het per keer of leg het vast bij de inschrijving, met een duidelijke manier om het later in te trekken.