Verwerkingsregistersoftware helpt een organisatie beschrijven welke persoonsgegevens zij voor welke activiteiten verwerkt. De juridische eis komt uit artikel 30 AVG; de AVG verplicht geen bepaald softwarepakket. Voor een beperkt aantal stabiele activiteiten kan een zorgvuldig beheerde spreadsheet voldoen. Een tool wordt interessant wanneer meerdere afdelingen en verwerkers wijzigingen moeten doorgeven, bewijs en besluiten aan activiteiten moeten koppelen en een actuele export nodig is. Deze gids vergelijkt de werkvormen met een praktische proef, zonder onbewezen urenbesparing of vaste softwareprijzen.
Begin niet met een lege leveranciersdemo. Verzamel de bestaande activiteiten, systemen, leveranciers en eigenaars. Leg vast welke gegevens zeker zijn en welke nog onderzocht moeten worden. De AP over verantwoordingsplicht plaatst het register naast andere bewijsinstrumenten. Een register kan daardoor de organisatie helpen, maar is geen allesomvattend bewijs dat iedere verwerking rechtmatig is. De inhoudelijke gids voor het verwerkingsregister behandelt de opzet; hier gaat het om de keuze en acceptatie van het hulpmiddel.
Bepaal eerst of en voor welke activiteiten een register nodig is
Artikel 30 lid 5 bevat een uitzondering voor ondernemingen of organisaties met minder dan 250 personen, maar zij geldt niet als de relevante verwerking waarschijnlijk een risico voor rechten en vrijheden oplevert, niet incidenteel is, of bijzondere categorieën persoonsgegevens of strafrechtelijke gegevens volgens artikel 9 of 10 omvat. Beoordeel die kenmerken per activiteit. Een klein bedrijf dat dagelijks klant- en personeelsgegevens verwerkt, kan zich dus niet enkel op het werknemersaantal beroepen. Een eenmalig evenement kan anders uitpakken, mits ook de andere voorwaarden zijn beoordeeld. De EDPB-toelichting over kleine organisaties verduidelijkt dat onderscheid.
Verwar een voorstel tot wijziging niet met geldend recht. De Europese Commissie stelde in 2025 een ruimere uitzondering voor; de EDPB en EDPS bespraken die als voorstel. De huidige artikel 30-tekst en de concrete verwerking blijven het toetsingspunt. Een leverancier die op een slide een toekomstige drempel als huidige vrijstelling presenteert, moet de juridische bron en ingangsdatum tonen. Ook wie op enkele activiteiten een uitzondering kan toepassen, kan vrijwillig een klein register bijhouden om het eigen overzicht en andere AVG-plichten te ondersteunen.
Een zelfstandige dienstverlener met regelmatige klantenadministratie, personeelsgegevens en een incidentele beursactie illustreert de nuance. De administratie en personeelsverwerking zijn terugkerend; een eenmalige beursactie kan incidenteel zijn, maar vraag nog steeds naar risico en eventuele artikel 9/10-gegevens. Leg de beoordeling per activiteit vast. Een knop die de hele rechtspersoon met één ‘minder dan 250’-vinkje van alle registervelden vrijstelt, is ongeschikt. Een goede tool kan uitleg en uitzonderingen opslaan zonder te doen alsof elke activiteit dezelfde uitkomst heeft.
Welke gegevens moet de software aankunnen?
Voor een verwerkingsverantwoordelijke noemt artikel 30 lid 1 onder meer de naam en contactgegevens van de verantwoordelijke en eventuele gezamenlijke verantwoordelijke, vertegenwoordiger en FG; de verwerkingsdoelen; categorieën van betrokkenen en persoonsgegevens; categorieën van ontvangers, waaronder ontvangers in derde landen of internationale organisaties; toepasselijke doorgiften buiten de EER met hun documentatie; waar mogelijk beoogde termijnen voor wissen per categorie; en waar mogelijk een algemene beschrijving van beveiligingsmaatregelen. Een tool mag extra velden bieden, zoals rechtsgrond of eigenaar, maar moet de wettelijke velden herkenbaar houden. Een rechtsgrond is inhoudelijk belangrijk, ook als zij geen expliciet minimumveld in lid 1 is.
Voor een verwerker gelden de afzonderlijke velden van artikel 30 lid 2: gegevens van de verwerker en de verantwoordelijken voor wie hij optreedt, categorieën van verwerkingen per verantwoordelijke, toepasselijke doorgiften en waar mogelijk een algemene beschrijving van beveiliging. Een leverancier die beide rollen in één identiek formulier dwingt, kan verwarring scheppen. De uitleg over verantwoordelijke en verwerker helpt de rol eerst feitelijk te bepalen. Vraag in de proef om één activiteit waarin uw organisatie verantwoordelijke is en één waarin zij verwerker is. Laat de export beide rollen en de juiste wettelijke structuur duidelijk tonen.
Een register beschrijft activiteiten, niet ieder individueel klantrecord. Bewaar geen volledige persoonsgegevens in een demonstratieomgeving om te bewijzen dat het register werkt. Kies fictieve gegevenscategorieën. De verwerkingsregister-template kan helpen de velden voor een eerste opzet te zien, maar het product moet vooral wijzigingen en onderbouwing beheren. Vraag hoe het systeem onbekende ontvangers of bewaartermijnen markeert. Een verplicht keuzemenu dat een gok afdwingt, maakt het dossier minder betrouwbaar.
Spreadsheet tegenover gespecialiseerd hulpmiddel
Een spreadsheet is sterk wanneer één eigenaar een overzichtelijk aantal activiteiten onderhoudt en een duidelijke wijzigingsprocedure bestaat. Gebruik vaste definities, versiebeheer en een centrale plek voor bewijsstukken. Vermijd vrije tekst die per afdeling iets anders betekent. Bescherm de map met passende toegangsrechten, omdat de activiteitbeschrijving soms beveiligingsinformatie bevat. De spreadsheet heeft geen inherent juridisch gebrek; zijn bruikbaarheid hangt af van de kwaliteit van invoer en onderhoud.
De grenzen worden zichtbaar zodra meerdere teams tegelijk aan dezelfde activiteit werken. De afdeling wijzigt een leverancier, IT wijzigt een systeem, privacy beoordeelt een doorgifte en inkoop houdt het contract bij. Als ieder een eigen kopie van een rij beheert, is de actuele versie lastig vast te stellen. Software kan eigenaars, validatiestappen en geschiedenis organiseren. Maar ook een tool lost een ontbrekende eigenaar niet op. Vraag in de demonstratie wie een wijziging initieert, wie feiten bevestigt en wie de juridische tekst goedkeurt.
Een gespecialiseerd systeem is vooral waardevol als relaties worden behouden. Wanneer een verwerker van hostinglocatie wisselt, welke registeractiviteiten gebruiken die partij? Wanneer een bewaartermijn verandert, zijn de privacyinformatie en technische verwijderregels nog in overeenstemming? Een koppeling naar een DPIA kan de risicobeoordeling terugvindbaar maken; zij vervangt de DPIA niet. Hetzelfde geldt voor de gids over verwerkersovereenkomsten: het register beschrijft een gegevensstroom, maar moet niet automatisch concluderen dat iedere contractuele instructie juist is.
Proef met een gewijzigde leverancier
Gebruik één fictieve activiteit: een webwinkel verwerkt bestelgegevens voor levering en klantenservice. Zij gebruikt een betaalpartij, een host en een verzenddienst. Laat iedere kandidaat de wettelijke velden invullen, de rol van elke partij bepalen en een begrijpelijke export maken. Vraag of een ontvanger een verwerker, zelfstandige verantwoordelijke of andere ontvanger is; het antwoord hangt af van de feitelijke rol, niet van het menu. De AP-voorbeeldlijst over rollen laat zien waarom de context telt.
Verander daarna de host. Vraag de kandidaat om de oude relatie te beëindigen en de nieuwe te beoordelen. Het register moet de actuele ontvangers en toepasselijke doorgiften tonen, maar de historie ook bewaren zodat een latere vraag over een eerdere periode kan worden beantwoord. Laat een collega zonder beheerrechten uitleggen wat de oude en nieuwe situatie was. Als hij alleen het huidige groene overzicht ziet en geen wijzigingsreden, schiet de audittrail tekort. Vraag welke velden automatisch zijn gekopieerd en welke bewust opnieuw zijn beoordeeld.
Voeg een nieuwe bewaartermijn voor niet-gebruikte accounts toe. Controleer of de tool een eigenaar vraagt, de rechtsgrond en privacyinformatie laat nalopen en naar een technische verwijderactie kan verwijzen. De exacte termijn volgt niet uit de software; zij moet worden gekozen op basis van doel, verplichtingen en risico. Laat een onzekerheid open als feiten ontbreken. Een proef waarin alle velden direct ‘compleet’ zijn zonder bewijs, test vooral de demo-inrichting van de leverancier.
Maak tot slot twee exports: een interne werkversie en een leesbaar overzicht voor een toezichthouder wanneer dat wordt gevraagd. Artikel 30 lid 4 verlangt dat het register op verzoek ter beschikking wordt gesteld. Dat betekent niet dat de AP bij ieder onderzoek altijd eerst het register opvraagt; die claim is niet nodig om de keuze te motiveren. De export moet de wettelijke inhoud behouden, ook als interne notities met gevoelige details apart blijven. Test een import van die export in een neutraal formaat; alleen een afbeelding van de tabel bemoeilijkt een overstap.
Kandidaten en rol van eerste-partijclaims
Dastra beschrijft een register dat kan worden opgebouwd en geëxporteerd. Vraag in de proef hoe een verwerkerregister en een verantwoordelijkenregister worden onderscheiden en welke rollen aan activiteiten kunnen worden toegewezen. PrivacyPerfect beschrijft een breder privacybeheersysteem; toets daar of de registergegevens met beoordelingen en acties samenhangen. De eigen productteksten geven aanknopingspunten, geen onafhankelijk bewijs van volledigheid op uw gegevens.
TrustArc positioneert datakartering en artikel 30-rapportage voor grotere processen. Het kan een kandidaat zijn als veel systemen en leveranciers aan activiteiten moeten worden gekoppeld. Vraag dan juist hoe onzekere automatische suggesties worden herkend en gecorrigeerd. Een kleinere organisatie kan ook kiezen voor een beheerde spreadsheet of een gerichte registermodule. Vergelijk het resultaat van dezelfde proef in plaats van productcategorieën een vaste rang toe te kennen. De bredere AVG-softwarevergelijking behandelt verwante processen buiten het register.
Beweringen over Nederlandstaligheid, hosting, koppelingen en prijs veranderen per pakket. Vraag daarom schriftelijke productdocumentatie voor de gekozen versie en contracteerbare voorwaarden. Een Nederlandse vestiging bewijst geen volledige gegevenslocatie; een EU-regio zegt niets zonder zicht op support en subverwerkers. De uitleg over internationale doorgifte helpt die feitelijke stroom beoordelen. Vraag ook wie de gegevens in het register mag zien: een volledig activiteitenoverzicht kan leveranciers, beveiligingsmaatregelen en bedrijfsonderdelen blootleggen.
Kosten, beheer en exit
Vergelijk de totale inspanning van uw eigen proces. Reken niet met een onbewezen algemeen aantal uren per jaar. Meet in de proef hoe lang het team een bestaande activiteit corrigeert, een nieuwe invoert en een wijziging laat goedkeuren. Voeg licentie, inrichting, import, opleiding, interne kwaliteitscontrole, support en export toe. Een goed onderhouden spreadsheet kan goedkoop zijn voor een kleine scope. Een groter platform kan dubbele invoer verminderen als de koppelingen ook echt worden gebruikt. De gids softwarekosten helpt offertes structureren zonder een niet-gecontroleerde marktprijs te suggereren.
Vraag bij de leverancier welke gegevens bij einde dienst in een open formaat terugkomen, welke bijlagen meegaan en hoe interne links worden behouden. Bepaal samen wie een laatste volledigheidscontrole doet. Artikel 28 AVG verlangt in een relevante verwerkersrelatie afspraken over teruggaaf of wissing van persoonsgegevens en kopieën bij einde dienstverlening, behoudens een toepasselijke wettelijke bewaarplicht; beoordeel welke gegevens de registersoftware daadwerkelijk verwerkt. Een export van activiteitomschrijvingen alleen kan te weinig zijn als besluiten en geschiedenis elders in de tool vastzitten.
Plan ten slotte structureel onderhoud. Koppel registerwijzigingen aan inkoop, projectstart, nieuwe marketingtags en de beëindiging van leveranciers. Zet een herbeoordelingsdatum op activiteiten met een wisselende gegevensstroom. Laat eigenaars feitelijke wijzigingen aanleveren en de privacyverantwoordelijke de juridische duiding controleren. De software mag herinneren, maar een taak die automatisch wordt afgevinkt zonder controle laat het register verouderen. Beoordeel inkoop dus op de kwaliteit van het toekomstige beheer, niet op een volledig ingevulde demonstratie.
Leg de bron van elke wijziging vast
Een registerregel is vaak het resultaat van gesprekken tussen eigenaar, IT en leverancier. Vraag daarom niet alleen wie een veld het laatst veranderde, maar waar de nieuwe informatie vandaan kwam. Een contract kan bijvoorbeeld een nieuwe subverwerker noemen, terwijl de technische beheerder bevestigt dat die partij nog niet is ingeschakeld. Markeer het verschil als onderzoekspunt in plaats van één bron automatisch tot waarheid te verheffen. Bij een latere toets moet een collega kunnen begrijpen waarom de registertekst op die datum is aangepast.
Laat in de proef een project beëindigen. Wordt zichtbaar wie bevestigt dat de verwerking stopt, welke gegevens nog onder een concrete bewaarplicht vallen en welke leverancier nog kopieën houdt? Een registertool hoeft geen verwijdering zelf uit te voeren, maar moet naar het besluit en de verantwoordelijke taak kunnen verwijzen. Anders blijven beëindigde activiteiten eeuwig als actief staan of verdwijnen ze zonder geschiedenis. Die afsluitroute is een beter selectiecriterium dan het aantal sjablonen bij de eerste invoer.
Vraag bij de selectie wie de terminologie beheert. Als verkoop, HR en IT dezelfde ontvanger onder drie namen invoeren, lijken exports vollediger dan ze zijn. Een gedeelde lijst van leveranciers en systemen kan helpen, zolang afdelingen nog een bijzondere rol of afwijkende gegevensstroom mogen uitleggen. Laat de kandidaat een dubbel record samenvoegen en controleer of eerdere verwijzingen en besluiten behouden blijven. Dat is concreter dan de belofte dat een platform ‘één bron van waarheid’ creëert.
Veelgestelde vragen
Moet een bedrijf met minder dan 250 werknemers een register hebben?
Dat hangt per relevante verwerkingsactiviteit af van de voorwaarden van artikel 30 lid 5. De uitzondering kan niet worden ingeroepen voor een activiteit die niet incidenteel is, waarschijnlijk risico voor rechten en vrijheden oplevert of gegevens onder artikel 9 of 10 verwerkt. Veel gewone bedrijfsprocessen zijn terugkerend. Beoordeel de activiteiten afzonderlijk en leg de conclusie vast; een algemene ‘klein bedrijf’-vrijstelling is onjuist.
Zijn rechtsgrond en bewaartermijn hetzelfde soort veld?
Nee. De rechtsgrond is inhoudelijk nodig om rechtmatigheid te beoordelen maar staat niet als uitdrukkelijk minimumveld in artikel 30 lid 1. De beoogde termijnen voor wissen per categorie moeten waar mogelijk wel in het register van de verantwoordelijke staan. Een tool mag meer nuttige velden toevoegen, zolang de wettelijke velden herkenbaar blijven en onbekende gegevens niet worden verzonnen.
Is een spreadsheet onvoldoende voor de AP?
Niet op grond van het bestandsformaat alleen. Het gaat om een juist, actueel en op verzoek beschikbaar register met de toepasselijke inhoud. Een spreadsheet kan volstaan als eigenaarschap, definities, versiebeheer en beveiliging op orde zijn. Bij meerdere teams of frequente wijzigingen kan gespecialiseerde software helpen de informatie actueel te houden.
Kan software mijn register automatisch invullen?
Een tool kan bronnen en relaties voorstellen, maar moet feiten laten bevestigen. Uit een applicatienaam blijkt niet automatisch het doel, de rol van partijen, ontvangers of beoogde bewaartermijn. Test hoe de kandidaat onzekerheden toont en wat er gebeurt wanneer een automatische aanname onjuist blijkt. De verantwoordelijke organisatie blijft eigenaar van de juistheid.
Kies het middel dat wijzigingen zichtbaar houdt
Een register is nuttig wanneer het echte verwerkingen en veranderingen beschrijft. Kies een spreadsheet voor een beheersbare, stabiele scope met duidelijke afspraken; overweeg software wanneer eigenaars, leveranciers en risico’s in meerdere dossiers samenkomen. Eis per kandidaat een correcte artikel 30-export, een traceerbare wijziging en een bruikbare exit. Koop geen fictieve urenbesparing of automatiseringsbelofte: beoordeel het werk met uw eigen casus.