Wetgeving · AVG
Uw makelaarskantoor heeft eigen AVG-verplichtingen. Apex ondersteunt de verwerking van persoonsgegevens binnen het Wwft-cliëntenonderzoek, maar verzorgt geen organisatiebrede AVG-implementatie.
Geldig in 2026Laatst bijgewerkt: 25 oktober 2026Toezicht: Autoriteit Persoonsgegevens (AP)
In de praktijk
AVG voor uw kantoor. Privacy binnen ons Wwft-platform.
Apex ondersteunt de verwerking van persoonsgegevens binnen het Wwft-proces. De overige AVG-verplichtingen blijven bij uw kantoor.
Waarom verplicht
Voor wie
Geen ondergrens, een ZZP'er met een klantenbestand valt er evengoed onder als een multinational.
Ook organisaties buiten de EU kunnen onder de AVG vallen als zij zich met goederen of diensten richten op personen in de EU of hun gedrag in de EU volgen.
Personeelsgegevens, ziekteverzuim en monitoring van werknemers vallen onder strenge privacy-eisen.
Verwerken van bijzondere persoonsgegevens (gezondheid, religie, etniciteit) vereist altijd een specifieke wettelijke grondslag.
Voor niet-noodzakelijke cookies is doorgaans toestemming nodig. Profilering en geautomatiseerde besluitvorming kennen aanvullende regels die afhangen van de concrete verwerking.
Spanningsveld tussen AVG en Wwft: cliëntdossiers moeten 5 jaar bewaard worden maar mogen niet langer dan noodzakelijk.
De verplichtingen
U houdt een register bij van alle verwerkingen: welke gegevens, voor welk doel, op welke grondslag, hoe lang en met wie gedeeld.
Elke verwerking heeft één van zes grondslagen: toestemming, overeenkomst, wettelijke plicht, vitaal belang, algemeen belang of gerechtvaardigd belang.
Heldere, toegankelijke informatie aan betrokkenen op het moment van verzameling, geen verstopte clausules in algemene voorwaarden.
Met elke partij die in uw opdracht persoonsgegevens verwerkt (hosting, mail, CRM, accountant) sluit u een AVG-conforme verwerkersovereenkomst.
Binnen 72 uur na ontdekking meldt u datalekken aan de AP indien er risico voor betrokkenen is. Bij hoog risico ook aan betrokkenen zelf.
Voor verwerkingen met hoog privacyrisico (profiling, grootschalige bijzondere gegevens) verricht u een Data Protection Impact Assessment vooraf.
Verplicht voor overheid, grootschalige monitoring of grootschalige verwerking van bijzondere gegevens. Vrijwillig benoemen mag altijd.
Passende technische én organisatorische maatregelen: encryptie, toegangsbeheer, back-ups, awareness-trainingen en periodieke audits.
Niet langer bewaren dan noodzakelijk. Wettelijke bewaarplichten (fiscaal, Wwft) gaan vóór, maar moeten gedocumenteerd zijn.
Stappenplan
Inventariseer de persoonsgegevens die uw eigen kantoor verwerkt, bijvoorbeeld in CRM, e-mail, op uw website en in personeelsdossiers.
Leg per verwerking het doel, de toepasselijke grondslag, ontvangers en bewaartermijn vast.
Informeer betrokkenen over de verwerking door uw kantoor. Controleer de cookies en formulieren op uw eigen website.
Maak afspraken met de partijen die namens uw kantoor persoonsgegevens verwerken. Voor de verwerking binnen Apex geldt onze eigen verwerkersovereenkomst.
Regel toegangsbeheer en een interne datalekprocedure, ook voor CRM, e-mail en andere systemen buiten Apex.
Beoordeel of een DPIA of functionaris gegevensbescherming vereist is. Controleer of uw maatregelen nog passen bij de werkzaamheden van het kantoor.
Risico bij niet naleven
Tot €20 miljoen
Of 4% van de wereldwijde jaaromzet, afhankelijk wat hoger is. De AP gebruikt boetebandbreedtes en publiceert maatregelen.
Civiele claims
Betrokkenen kunnen schadevergoeding eisen voor materiële én immateriële schade. Verzamelacties komen steeds vaker voor.
Reputatie & toezicht
Een privacyincident of handhavingsmaatregel kan leiden tot reputatieschade, claims of extra kosten. De gevolgen hangen af van de omstandigheden.
Actueel
Korte e-mail zodra DNB, AFM, AP of DFEI iets publiceert dat impact heeft op uw branche. Geen marketing, alleen relevant nieuws.
U kunt zich op elk moment uitschrijven via de link in elke e-mail.
Veelgestelde vragen
Apex ondersteunt de verwerking van Wwft-cliëntgegevens. Voor de privacyverklaring, het CRM, de website en personeelsgegevens van uw kantoor blijft uw eigen organisatie verantwoordelijk.