AVG-gids voor Duitse bedrijven: checklist en belangrijkste eisen

De boetes onder de AVG (in Duitsland DSGVO) bereikten in 2025 een recordhoogte. Nu NIS2, de EU AI Act en DORA daar nieuwe eisen aan toevoegen, krijgen Duitse bedrijven te maken met een steeds complexer compliancelandschap. Hier is je praktische checklist.

Belangrijkste DSGVO-verplichtingen

1. Rechtsgrond voor verwerking

Elke gegevensverwerking heeft een rechtsgrond nodig: toestemming, overeenkomst, wettelijke verplichting of gerechtvaardigd belang.

2. Functionaris voor gegevensbescherming (FG)

Verplicht voor bedrijven met 20 of meer medewerkers die regelmatig persoonsgegevens verwerken. De FG moet onafhankelijk zijn en rechtstreeks aan de directie rapporteren.

3. Meldplicht datalekken

Binnen 72 uur melden bij de toezichthouder. Betrokkenen informeren als er een hoog risico is.

4. Rechten van betrokkenen

Verzoeken afhandelen binnen 1 maand: inzage, rectificatie, verwijdering ("recht op vergetelheid") en dataportabiliteit.

5. Register van verwerkingsactiviteiten

Houd een schriftelijk register bij met doel, gegevenscategorieën, ontvangers en bewaartermijnen.

Compliancechecklist

• Breng alle verwerkingen van persoonsgegevens in kaart
• Leg voor elke verwerking de rechtsgrond vast
• Stel zo nodig een FG aan (20+ medewerkers)
• Voer technische en organisatorische maatregelen (TOM's) in
• Stel privacyverklaringen op en houd ze actueel
• Richt procedures in voor het melden van datalekken
• Voer DPIA's uit bij verwerkingen met een hoog risico
• Zorg voor verwerkersovereenkomsten (AVV's)
• Train alle medewerkers in gegevensbescherming
• Richt procedures in voor verzoeken van betrokkenen

Boetes

Categorie overtreding	Maximale boete
Lagere categorie	10M EUR of 2% van de jaaromzet
Hogere categorie	20M EUR of 4% van de jaaromzet

Nieuwe eisen

NIS2-richtlijn (2024-2025)

Ruimere reikwijdte, verplichte melding van incidenten en aansprakelijkheid van het bestuur voor cyberbeveiliging.

EU AI Act (handhaving vanaf aug 2026)

Risicoclassificatie van AI-systemen, transparantie-eisen en verplicht menselijk toezicht.

DORA (financiële sector, jan 2025)

Kader voor ICT-risicobeheer en testen van digitale operationele weerbaarheid.

Compliancedocumentatie veilig delen

Gebruik veilige kanalen als je compliancedocumenten deelt, zoals gegevensbeschermingseffectbeoordelingen, datalekrapporten of registers van verwerkingen van personeelsgegevens. Met LOCK.PUB deel je gevoelige compliancegegevens in wachtwoordbeveiligde memo's. Met Pro stel je een memo zo in dat het maar één keer opent — daarna kan de link niet meer worden geopend, zodat gedeelde gegevens geen blijvend risico vormen.

Bewaar je DSGVO-checklists en gevoelige interne documenten veilig met wachtwoordbeveiligde links van LOCK.PUB die je kunt laten verlopen (Pro), in plaats van als onversleutelde e-mailbijlagen.

---

DSGVO-compliance is niet vrijblijvend — het is de wet. Begin met de checklist hierboven, stel zo nodig een FG aan en documenteer alles.