Het MKB zit in een lastige positie: te groot voor gratis regelhulp, te klein voor enterprise-software. Deze gids wijst de weg tussen die twee uitersten. Voor de bredere toolvergelijking zie onze AVG compliance software vergelijking.
Waarom het MKB niet onder de AVG uitkomt
Een hardnekkig misverstand is dat kleine bedrijven zijn vrijgesteld. Dat klopt niet. De uitzondering in artikel 30 lid 5 AVG voor organisaties onder 250 medewerkers geldt alleen bij verwerking die niet structureel is. Zodra u personeel heeft, een klantenbestand bijhoudt of een nieuwsbrief verstuurt, is uw verwerking structureel — en dus is een verwerkingsregister verplicht. In de praktijk valt vrijwel elk mkb-bedrijf onder de registerplicht. Onze gids AVG voor het MKB gaat dieper op deze verplichtingen in.
De Autoriteit Persoonsgegevens (AP) handhaaft ook bij kleinere organisaties. Naast de grote zaken — 290 miljoen euro aan Uber, 30,5 miljoen euro aan Clearview AI — kreeg de KNLTB 525.000 euro voor het verkopen van ledengegevens aan sponsors, en een klein bedrijf zonder EU-vertegenwoordiger (Locatefamily.com) 525.000 euro (AP-persberichten). Het overzicht van AP-boetes laat zien dat handhaving breed is.
Wat het MKB écht nodig heeft
De meeste mkb-bedrijven hebben geen behoefte aan de tientallen modules van een enterprise-suite. De kern volstaat:
| Functie | Waarom onmisbaar voor het MKB |
|---|---|
| Verwerkingsregister (art. 30) | Verplicht; eerste document dat de AP opvraagt |
| DPIA-begeleiding (art. 35) | Nodig bij camera’s, personeelsmonitoring, profilering |
| Verwerkersovereenkomsten (art. 28) | Elke cloudleverancier vereist er een |
| Datalekmelding (art. 33) | 72-uursklok bij de AP |
| Rechten van betrokkenen | Termijn van één maand, met bewaking |
| Nederlandstalige output | Voor AP, OR en klanten |
Wat het MKB niet nodig heeft: ESG-modules, klokkenluidersplatformen, geavanceerde vendor-risk-suites en licenties per gebruiker voor iedereen die meeleest. Dat is precies waar enterprise-software de prijs opdrijft.
De opties voor het MKB, eerlijk beoordeeld
PrivacyPerfect — Nederlandse aanbieder met degelijk register- en DPIA-aanbod en veel gebruikers in de (semi)publieke sector. Solide, maar interface en automatiseringsdiepte zijn minder modern; prijs op offerte.
Dastra — Franse EU-speler, vanaf ~79 euro per maand. Sterke register- en rechtenmodule tegen een scherpe prijs. Templates zijn Frans georiënteerd; toets de UAVG-accenten (BSN, medische gegevens) zelf.
AVG-regelhulp (gratis) — de regelhulp van de overheid is een prima diagnose voor de allerkleinste ondernemer, maar genereert geen register en houdt niets bij. Startpunt, geen oplossing.
Wat kost AVG-software voor het MKB?
| Bedrijfsgrootte | Jaarbudget | Aanbeveling |
|---|---|---|
| Micro (<10) | 0 - 1.200 € | Regelhulp + templates of instaptool |
| Klein mkb (10-50) | 1.500 - 6.000 € | EU-platform, maandelijks opzegbaar |
| Middelgroot mkb (50-250) | 5.000 - 12.000 € | Platform + CMP + rechtenautomatisering |
Een gedetailleerde uitsplitsing met verborgen kosten staat in wat kost AVG-software. De rekensom is eenvoudig: het handmatige alternatief kost een mkb-organisatie 300 tot 800 uur per jaar — al snel meer dan het platform zelf.
Zo kiest het MKB in vier stappen
- Tel uw verwerkingen. Een typisch mkb-bedrijf heeft 15 tot 40 verwerkingen. Dat aantal, niet uw personeelsbestand, bepaalt de prijstrede.
- Vraag een geëxporteerd register in de demo. Beoordeel het einddocument, niet het dashboard.
- Kies maandelijks opzegbaar bij de start. Spreek af: werkend register binnen 30 dagen.
- Regel migratie en exit. Wat importeert de tool uit uw Excel-register, en wat exporteert hij bij vertrek?
Sectorspecifieke aandachtspunten voor het mkb
Het MKB is geen homogene groep. De juiste tool en de zwaarte van de verplichtingen hangen af van uw sector:
- Webshops en e-commerce. Hier draait het om cookie-consent, klantprofielen en het inzagerecht. Kies een tool die goed koppelt met een consent management-oplossing. Zie AVG voor webshops.
- Zorg en welzijn. Grootschalige verwerking van gezondheidsgegevens brengt een FG-plicht en zware beveiligingseisen mee. De audittrail en de DPIA-functie wegen hier zwaar — zie AVG in de gezondheidszorg.
- Financiële dienstverlening. Naast de AVG spelen sectorregels; let op de overlap met beveiligingsverplichtingen. Zie AVG in de financiële sector.
- Werkgevers met veel personeel. Medewerkersdata is ondernemingsraad-gevoelig; kies een tool die verzuim-, monitoring- en sollicitatiegegevens netjes scheidt. Zie AVG voor werkgevers.
Het verwerkingsprofiel — niet het personeelsbestand — bepaalt welke functies u echt nodig heeft.
Veelgemaakte fouten in het mkb
Drie fouten kosten mkb-bedrijven het vaakst geld en tijd:
- Denken dat de MKB-uitzondering geldt. Zoals hierboven toegelicht, gaat die vrijwel nooit op. Een register is bijna altijd verplicht.
- Een Excel-register “ooit maken” en nooit bijwerken. De AP toetst actualiteit. Een verouderd register is bijna net zo belastend als geen register.
- Meteen enterprise-software kopen “voor de zekerheid”. Dat is duur en overgedimensioneerd. Begin bij de kern en groei mee.
Een vierde, subtielere fout: geen functionaris of privacy officer aanwijzen. Ook zonder verplichte FG moeten de taken — register bijhouden, DPIA’s beoordelen, datalekken melden — bij iemand belegd zijn, anders blijft compliance een wees.
Van start tot AP-bestendig in 90 dagen
Voor een mkb-organisatie hoeft AVG-compliance geen jarenlang project te zijn. Een realistische route:
- Week 1-2: inventariseren. Breng uw verwerkingen in kaart — HR, klanten, leveranciers, marketing, IT. Een typisch mkb-bedrijf komt op 15 tot 40 verwerkingen.
- Week 3-5: register opbouwen. Vul het verwerkingsregister in, met per verwerking het doel, de rechtsgrond, de betrokkenen, de ontvangers en de bewaartermijn. Een tool met begeleide vragenlijsten versnelt dit aanzienlijk.
- Week 6-8: verwerkers en contracten. Inventariseer uw leveranciers en zorg dat elke verwerker een geldige verwerkersovereenkomst heeft.
- Week 9-10: risicovolle verwerkingen. Voer een DPIA uit waar nodig (camera’s, personeelsmonitoring, profilering).
- Week 11-12: processen borgen. Richt de datalekprocedure, de afhandeling van verzoeken en het bewaarbeleid in.
Na 90 dagen heeft u een AP-bestendig fundament dat u vervolgens onderhoudt met kwartaalreviews. De software is daarbij de versneller: wat handmatig maanden kost, wordt met begeleide invoer een kwestie van weken. Voor de bredere verplichtingen zie onze AVG-checklist voor bedrijven.
Veelgestelde vragen
Wat kost AVG-software voor een mkb-bedrijf?
Doorgaans 1.500 tot 6.000 euro per jaar bij 10-50 medewerkers en 5.000 tot 12.000 euro bij 50-250 medewerkers. Instaptools starten rond 79 euro per maand. Enterprise-suites zijn voor het MKB zelden te rechtvaardigen.
Heeft mijn kleine bedrijf echt AVG-software nodig?
Zodra u personeel, klanten of een nieuwsbrief heeft, is uw verwerking structureel en is een register verplicht. Een Excel-bestand kan bij een handvol verwerkingen tijdelijk volstaan, maar bewaakt geen termijnen en genereert geen documenten. Vanaf enkele tientallen verwerkingen loont een platform vrijwel altijd.
Is Excel niet goedkoper dan software?
Op papier wel, in de praktijk niet. Een Excel-register handmatig actueel houden kost 300 tot 800 uur per jaar aan interne tijd — 15.000 tot 40.000 euro. Dat is meer dan elk mkb-platform, en Excel is bovendien niet AP-bestendig.
Moet ik een FG aanstellen als ik software gebruik?
Software en een functionaris gegevensbescherming zijn verschillende zaken. Een FG is voor de meeste mkb-bedrijven niet verplicht; wel voor overheidsorganen en bij grootschalige of bijzondere verwerkingen. De software helpt u ook zónder FG uw verplichtingen na te komen.
Kan ik AVG-compliance beter uitbesteden dan software kopen?
Dat hoeft geen keuze te zijn. Een consultant of extern privacybureau brengt expertise, maar rekent dagtarieven en levert vaak een momentopname; software houdt uw dossier permanent actueel tegen een vast bedrag. De verstandigste opzet voor het mkb combineert beide: software als het altijd actuele fundament (register, DPIA’s, verwerkers, datalekregister), aangevuld met incidenteel juridisch advies voor de moeilijke afwegingen. Zo betaalt u niet elke maand consultancytarieven voor werk dat een tool geautomatiseerd doet, en houdt u de dure expertise over voor waar die echt telt.
Wat als ik meerdere BV’s of vestigingen heb?
Bij een groepsstructuur kunt u het register en de documentatie centraal beheren, maar houd per juridische entiteit vast wie verantwoordelijke is. Let bij de softwarekeuze op de prijs per entiteit — dat is bij groepen vaak de grootste kostendrijver. Soms is een concernlicentie voordeliger dan losse licenties per BV; vraag dit expliciet uit.
Conclusie
Zie ook: AVG-audittools, compliance software voor Nederland en gratis AVG-software.