AVG sportvereniging: welke ledengegevens bewaar je?

Bijna elk bestuur denkt dat het privacydossier gaat over een formulier dat leden ondertekenen. Dat is het onderdeel dat het minst uitmaakt. Waar het bij een sportvereniging echt misgaat, is dat niemand kan opnoemen op hoeveel plekken de ledengegevens staan, wie daar allemaal bij kan en wat er gebeurt op de avond dat een vrijwilliger de verkeerde bijlage meestuurt.

Je hebt geen ledenlijst — je hebt er zeven

Vraag een bestuur waar de ledengegevens staan en je krijgt één antwoord: in het ledenpakket. Loop daarna een uur door de club en je komt op zeven of acht plekken uit:

• De bondsadministratie, waar de club leden aan- en afmeldt voor speelgerechtigdheid.
• Het eigen ledenpakket: naam, adres, geboortedatum, lidmaatschapsvorm.
• De boekhouding, met bankrekeningnummers, incasso's en betaalachterstanden.
• De teamapp of coachtool, met aanwezigheid, statistieken en notities per speler.
• De groepsapps: één per team plus die van de commissies, allemaal met telefoonnummers.
• De spreadsheets van de technische commissie, de toernooicommissie en de vrijwilligerscoördinator.
• De gedeelde schijf, waar jaarstukken, oude ledenlijsten en de screeningsverklaringen van vrijwilligers nog gewoon staan.
• De mailtool, met adressen die al jaren niet meer bij een lid horen.

Dat is de reden dat "we hebben de oud-leden verwijderd" bijna nooit waar is: er is in het ledenpakket op één knop gedrukt, terwijl dezelfde namen in alle andere systemen blijven staan — en juist de onderste vier van dit rijtje hebben geen eigenaar. Begin dus niet met een formulier maar met deze inventarisatie.

De grondslag: geen toestemming, maar de lidmaatschapsovereenkomst

De meest gemaakte fout is dat clubs leden een toestemmingsformulier laten tekenen voor de gewone ledenadministratie. Dat is niet alleen overbodig, het is de zwakste keuze die er is: toestemming mag op elk moment worden ingetrokken. Trekt een lid die toestemming in terwijl je het adres nodig hebt om het lidmaatschap uit te voeren, dan sta je met lege handen.

De AVG (elders in de EU de GDPR: dezelfde verordening, dezelfde artikelen) noemt zes grondslagen. Een sportclub gebruikt er vier:

• Uitvoering van de overeenkomst (artikel 6, lid 1b): de ledenadministratie zelf — naam, adres, geboortedatum, contactgegevens, contributie, teamindeling, aanmelding bij de bond. Wie lid wordt, sluit een overeenkomst; daar hoeft niets bij getekend te worden.
• Wettelijke verplichting (6, lid 1c): de financiële administratie.
• Gerechtvaardigd belang (6, lid 1f): de nieuwsbrief aan eigen leden, cameratoezicht in de hal, en de sporttechnische gegevens die een trainer bijhoudt — aanwezigheid, statistieken, observaties.
• Toestemming (6, lid 1a): wat overblijft. Beeldmateriaal, de nieuwsbrief aan niet-leden, en alles wat een lid kan weigeren zonder dat er verder iets verandert.

Dat laatste is de toets voor twijfelgevallen: kan dit lid nee zeggen zonder gevolgen voor zijn lidmaatschap? Zo nee, dan moet je een van de andere drie grondslagen aanwijzen. Zo ja, dan moet dat nee zonder gedoe kunnen — en moet je in je systemen zien wie het heeft gezegd. Beeldmateriaal is het bekendste geval waarbij je toestemming per persoon vastlegt; hoe je dat per speler doet, staat in welke spelersgegevens je als coach nodig hebt. Bij minderjarigen tekent een ouder de overeenkomst; de leeftijd waarop een kind zelf toestemming mag geven voor online diensten ligt volgens de verordening tussen dertien en zestien jaar en verschilt per land.

Het verwerkingsregister: één regel per systeem, geen rapport

Artikel 30 vraagt een register van verwerkingsactiviteiten. Veel besturen slaan dat over omdat het voor kleine organisaties niet zou hoeven. Die uitzondering bestaat, maar vervalt zodra de verwerking structureel is in plaats van incidenteel — en een ledenadministratie is per definitie structureel. Ga er dus van uit dat je hem nodig hebt.

Het is geen rapport maar een spreadsheet met één regel per systeem uit de inventarisatie hierboven — bij de meeste clubs een regel of tien — en zeven kolommen. Systeem en eigenaar. Welke gegevens, in categorieën: contact-, financiële, sport- en gezondheidsgegevens; die laatste vallen onder een zwaarder regime (artikel 9), dus leg daarvan alleen vast wat in de zaal echt nodig is. Waarvoor je ze gebruikt. Op welke grondslag. Wie erbij kan, op rol en niet op naam. Hoe lang je ze bewaart. Met wie je ze deelt, en waar die gegevens dan staan.

Dat is één avond werk, en het levert meer op dan het beleidsstuk eromheen: bij het invullen van de kolommen over toegang en bewaartermijn komen de gaten vanzelf boven. Zet het register in het clubhandboek en werk het bij op de avond dat je ook de begroting doet.

Hoe lang bewaar je wat na een opzegging?

Er bestaat geen algemene bewaartermijn voor ledengegevens, en dat is nu net wat besturen zoeken. De regel is een principe: niet langer dan nodig voor het doel. Je stelt dus per soort gegeven vast wanneer het doel op is. Bij een sportvereniging zijn dat vier stapels:

• Ledenadministratie (naam, adres, geboortedatum, contactgegevens, bondsnummer): het doel eindigt bij het einde van het lidmaatschap. Reken een korte afwikkelperiode voor de laatste contributie en de afmelding bij de bond, en ruim daarna op.
• Financiële administratie (facturen, contributiebetalingen, incassogegevens): die houd je langer, want daar geldt een wettelijke bewaarplicht. Hoe lang verschilt per land, dus kijk die termijn na bij je eigen belastingdienst of accountant en zet het getal in je register. Hij geldt alleen voor de financiële administratie, niet voor de rest.
• Sporttechnische gegevens (aanwezigheid, statistieken, notities, doelen): het doel is coachen, en dat eindigt zodra iemand niet meer in het team speelt. Het einde van het seizoen na vertrek is een verdedigbaar moment; langer kan alleen als je kunt uitleggen waarvoor.
• Vrijwilligers- en veiligheidsgegevens (screeningsverklaringen van vrijwilligers, commissiecontacten, meldingen bij de vertrouwenscontactpersoon): die horen bij een andere rol dan het lidmaatschap, en dus bij een eigen termijn en een eigen, beperkte toegang. Welke verklaring je bond of overheid vraagt en hoe die heet, verschilt per land.

Het clubarchief mag blijven, maar is geen vrijbrief om oude ledenbestanden compleet te bewaren: houd namen, teams en uitslagen, en haal adressen, geboortedata en bankgegevens eruit. Zet daarna één opruimmoment in de jaarkalender, bijvoorbeeld zes weken na de laatste speeldag. Zonder vaste datum wordt opruimen nooit iemands taak en groeit de stapel elk seizoen aan. Wat er verder gebeurt als iemand vertrekt, staat in een speler die het team verlaat.

De vier gevallen waar geen AVG-model iets over zegt

Modeldocumenten voor verenigingen zijn geschreven voor een organisatie met een ledenlijst en een nieuwsbrief. Deze vier situaties komen bij elke sportclub voor en staan er nooit in:

1. De coachnotities van een jeugdlid. Dat zijn persoonsgegevens, soms gevoelige. Ze mogen bestaan zolang ze het coachen dienen, maar de club regelt twee dingen: dat ze over gedrag en vaardigheid gaan en niet over karakter of thuissituatie, en dat een ouder ze desgevraagd kan inzien. De schrijfregel die dat afdwingt staat in spelersnotities bijhouden: schrijf niets op wat je de speler niet zou laten lezen.
2. De aanwezigheidsgeschiedenis van iemand die vorig jaar stopte. Vraag hardop waarvoor je die nog bewaart. Voor het oud-lid is er geen doel meer; voor de club wel, maar dan gaat het om totalen — hoeveel spelers per team, hoe de opkomst zich over de seizoenen ontwikkelde. Bewaar dus het teamtotaal en gooi de regels per naam weg.
3. Mag de nieuwe coach de notities van zijn voorganger zien? Voor spelers die nog in het team zitten: ja, want het doel — dit team coachen — is niet veranderd, en de gegevens zijn van de club, niet van de vertrekkende trainer. Voor spelers die weg zijn: nee, die horen bij de opruimronde. Maak daar bij een coachoverdracht een expliciet moment van.
4. Wie ziet de telefoonnummers van jeugdleden? Dit is het gat dat besturen het vaakst missen. Zodra er één groepsapp per team is, heeft elk lid — en elke meegenomen ouder, invaller of oud-speler die er nooit uit is gehaald — het nummer van elk kind in dat team. Niemand heeft dat besloten en niemand ruimt het op. Spreek dus vast wie een groepsapp beheert en dat vertrekkende leden er binnen een week uit gaan. Waarom de groepsapp hier structureel tekortschiet, staat in waarom de WhatsApp-groep vastloopt.

Wie mag binnen de club bij welke gegevens?

De AVG vraagt niet om een slot op de deur, maar wel dat toegang past bij de rol. Hier zakken verenigingen: bijna elke club heeft een gedeelde map waar te veel mensen bij kunnen, en niemand weet nog waarom de laatste er ooit bij kwam. Een werkbare verdeling:

• Ledenadministratie: naam, adres, geboortedatum, bondsnummer, lidmaatschapsstatus. Geen notities, geen statistieken.
• Penningmeester: naam, bankgegevens, contributiestatus. Geen gezondheidsvragen, geen sporttechnische gegevens.
• Trainer of coach: alleen het eigen team — contactgegevens, noodnummer, wat in de zaal nodig is en de eigen aantekeningen. Geen bankgegevens en geen betaalachterstanden: dat een trainer weet wie er nog niet betaald heeft, is een klassiek lek.
• Technische commissie: naam, leeftijd, positie, teamindeling en het advies dat een coach schrijft — niet het volledige notitiearchief. Hoe die commissie haar beslismomenten inricht, staat in de technische leiding en de vier momenten in het clubjaar.
• Vertrouwenscontactpersoon en bestuur: heeft je club die rol — of die er is en hoe hij heet verschilt per land en per bond — dan houdt die persoon een gescheiden dossier; het bestuur heeft daar geen automatisch inzagerecht. Bestuurlijke verantwoordelijkheid is iets anders dan toegang tot elk veld.

De snelste test of dit klopt: wie kan vanavond, zonder iemand te vragen, de complete ledenlijst met geboortedata en telefoonnummers downloaden? Kun je die namen niet uit je hoofd opnoemen, dan is je toegang niet geregeld, hoe goed het beleidsstuk ook geschreven is.

Software met echte rollen doet hier het meeste werk: in Koach ziet een trainer alleen de teams waaraan hij gekoppeld is, terwijl clubbeheer op clubniveau zit. Het principe staat los van het pakket — elk systeem zonder rollen is een systeem waarin iedereen alles ziet.

Verwerkersovereenkomsten: met je software, en de bond apart

Zodra een externe partij ledengegevens verwerkt in jouw opdracht, hoort daar een verwerkersovereenkomst bij (artikel 28). Voor een club gaat het al snel om een stuk of acht partijen: het ledenpakket, de boekhouding, de teamapp, de mailtool, de formulierentool, de clouddrive, de webhosting en soms een videodienst. Vrijwel elke serieuze leverancier heeft er een klaarstaan; opzoeken en accepteren, geen onderhandeling.

Met de bond ligt het anders. Veel bonden bepalen zelf het doel van hun ledenadministratie en zijn dan geen verwerker van jou maar zelfstandig verantwoordelijk — dat verschilt per land en per bond, dus vraag na hoe de jouwe het heeft vastgelegd.

Het gat zit ondertussen bij de tools die niemand heeft aangemeld: de persoonlijke drive van de penningmeester, de gratis formulierentool van de toernooicommissie, het printeraccount voor de clubkaarten. Stel elke commissie één vraag: welk gereedschap gebruiken jullie waar namen of nummers in staan? Dat levert vrijwel altijd een systeem of twee op dat niet in het register stond.

Een lid dat zijn gegevens opvraagt of laat wissen

Leden hebben rechten die de club moet kunnen uitvoeren: inzage (artikel 15), correctie (16), verwijdering (17), bezwaar (21) en overdraagbaarheid (20). In de praktijk zijn dat drie afspraken. Eén adres op de site, bijvoorbeeld privacy@jouwclub, dat bij twee bestuursleden binnenkomt — verzoeken die bij een willekeurige trainer belanden, verdwijnen. Eén maand om te reageren, met verlenging tot maximaal drie maanden bij een complex verzoek, mits je die verlenging binnen die eerste maand meldt; bevestig dus altijd meteen de ontvangst. En één ronde langs alle systemen: een verwijderverzoek dat alleen in het ledenpakket wordt uitgevoerd, is niet uitgevoerd.

Twee situaties schuren. Een verwijderverzoek botst met de fiscale bewaarplicht: dan verwijder je alles behalve de financiële gegevens die je wettelijk moet houden, en leg je dat in twee zinnen uit — half en zwijgend uitvoeren levert altijd een tweede, bozer bericht op. En een verzoek over een minderjarig lid loopt via de ouder, maar gaat het om aantekeningen over het kind zelf, bespreek die dan met kind en ouder samen. De coachkant van dezelfde vragen staat in privacy en gegevens voor coaches.

Datalek: de 72 uur beginnen bij de vrijwilliger

Een datalek klinkt als een hack, maar is bij een sportvereniging bijna altijd iets alledaags: de ledenlijst als bijlage naar de verkeerde groep, een laptop uit een auto, een oud-bestuurslid dat nog in de clouddrive kan, of een gedeeld wachtwoord dat al vier jaar rondgaat.

Artikel 33 vraagt om melding bij de toezichthouder zonder onnodige vertraging en indien mogelijk binnen 72 uur, tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor de betrokkenen; bij hoog risico informeer je die betrokkenen zelf (artikel 34). Het venijn zit in het startmoment: die 72 uur beginnen zodra de organisatie er kennis van heeft — dus als de vrijwilliger het merkt, niet als het bestuur er twee weken later over vergadert. Welke toezichthouder de jouwe is, verschilt per land; zet naam en meldpunt in het handboek voordat je ze nodig hebt.

Regel daarom drie dingen, en meer ook niet:

• Eén meldadres en één beslisser, met een vervanger. Iedereen — trainer, teammanager, barvrijwilliger — weet dat hij daar binnen 24 uur meldt, ook bij twijfel en ook als het zijn eigen fout is.
• Een intern register van élk lek, ook de lekken die je niet meldt. Dat is verplicht (artikel 33, lid 5) en het enige document waaruit later blijkt dat je een afweging maakte in plaats van niets te doen.
• Een houding die melden veilig maakt. Wie bang is voor gedoe meldt niet, en dan is het na drie dagen sowieso te laat. Zet er expliciet bij dat melden nooit tot een verwijt leidt.

Veelgestelde vragen