AVG-software voor uw
gegevensbescherming

De Algemene verordening gegevensbescherming (Verordening (EU) 2016/679, Engels GDPR) is het gegevensbeschermingsrecht van de Europese Unie. Zij geldt sinds 25 mei 2018 rechtstreeks in alle lidstaten en regelt onder welke voorwaarden persoonsgegevens mogen worden verwerkt, welke rechten de betrokkenen hebben en welke plichten op verwerkingsverantwoordelijken en verwerkers rusten. In Duitsland vult de BDSG (Bundesdatenschutzgesetz, de federale wet op de gegevensbescherming) haar aan.

Een managementsysteem voor gegevensbescherming (DPMS, Engels Data Protection Management System) is het geheel van regels, processen, rollen en bewijzen waarmee een organisatie de AVG naleeft en dat kan aantonen. Het omvat het register van verwerkingsactiviteiten, de rechtsgronden, de technische en organisatorische maatregelen, de behandeling van verzoeken en incidenten en de regelmatige herziening.

AVG-software beeldt de eisen van de verordening als catalogus af en verbindt ze met datgene waarop ze betrekking hebben — verwerkingsactiviteiten, systemen, gegevenscategorieën, dienstverleners, personen. De terugkerende activiteiten lopen als zaken met workflow en termijn, en register, DPIA-rapport en incidentdocumentatie ontstaan uit de gegevens in plaats van in tabellen.

De Data Protection Kit is het voorbereide startbestand van de DPMS-software van Complaica: typische organisatiestructuur, registersjabloon conform art. 30, DPIA-beoordeling en -rapport en catalogi van dreigingen en maatregelen. Deze pagina beschrijft de functies en werkwijzen van de AVG-software; de inhoud van de kit wordt voorgesteld op de pagina over de DPMS-software.

Tien zaaktypen met een eigen workflow: verwerkingsactiviteit (PA), verzoek van een betrokkene (DSR), klacht (CMP), datalek (DPI), DPIA-drempelanalyse (TA), gegevensbeschermingseffectbeoordeling (DPIA), transfer impact assessment (TIA), toestemming (CR), belangenafweging (LIA) en vertrouwelijkheidsverklaring (CC). Daarbij verwerkersbeoordeling, beveiligingsincident en lesson learned.

Conform art. 12 lid 3 AVG onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek. Afhankelijk van de complexiteit en het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd; de betrokkene moet binnen een maand na ontvangst van het verzoek in kennis worden gesteld van de verlenging en de redenen daarvan. In Complaica draagt elk verzoek zijn termijn, en het dashboard toont wat vervalt.

Conform art. 33 lid 1 AVG meldt de verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en indien mogelijk uiterlijk 72 uur nadat hij er kennis van heeft genomen aan de bevoegde toezichthoudende autoriteit — tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Vindt de melding niet binnen 72 uur plaats, dan gaat zij vergezeld van een motivering voor de vertraging. Een verwerker meldt de inbreuk zonder onredelijke vertraging aan de verwerkingsverantwoordelijke. Bij een waarschijnlijk hoog risico moeten conform art. 34 ook de betrokkenen onverwijld worden ingelicht. Conform art. 33 lid 5 wordt elke inbreuk gedocumenteerd.

Conform art. 35 AVG wanneer een verwerking — in het bijzonder bij gebruik van nieuwe technologieën — waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Art. 35 lid 3 noemt in het bijzonder de systematische en uitgebreide beoordeling van persoonlijke aspecten, waaronder profilering, als basis voor besluiten met rechtsgevolgen, de grootschalige verwerking van bijzondere categorieën of van gegevens over strafrechtelijke veroordelingen en strafbare feiten en de stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten; de toezichthoudende autoriteiten publiceren lijsten conform art. 35 lid 4. Of een DPIA nodig is, bepaalt in Complaica de drempelanalyse per verwerkingsactiviteit.

De toets of een doorgifte van persoonsgegevens naar een derde land is toegestaan: welk instrument van hoofdstuk V van toepassing is — adequaatheidsbesluit, standaardcontractbepalingen, bindende bedrijfsvoorschriften —, of het recht van het bestemmingsland de bescherming aantast en welke aanvullende maatregelen nodig zijn. Het Hof van Justitie van de EU heeft deze toets in het arrest Schrems II (C-311/18) verlangd. In Complaica is de TIA een zaaktype met herbeoordelingsdatum.

Conform art. 7 lid 1 AVG moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven. Conform art. 7 lid 3 kan zij te allen tijde worden ingetrokken, en het intrekken moet even eenvoudig zijn als het geven ervan. Complaica voert toestemmingen als zaken met de statussen Actief, Ingetrokken en Verlopen, gekoppeld aan de verwerkingsactiviteit die erop steunt.

De toets of een verwerking op het gerechtvaardigd belang conform art. 6 lid 1 onder f AVG kan worden gebaseerd: is er een gerechtvaardigd belang, is de verwerking daarvoor noodzakelijk, en wegen de belangen of grondrechten van de betrokkene niet zwaarder? De uitkomst wordt gedocumenteerd — in Complaica als zaak die aan de verwerkingsactiviteit hangt.

Personen die onder het gezag van de verwerkingsverantwoordelijke of de verwerker handelen en toegang hebben tot persoonsgegevens, mogen deze uitsluitend in opdracht verwerken (art. 29, art. 32 lid 4); het personeel van verwerkers moet zich conform art. 28 lid 3 onder b tot vertrouwelijkheid hebben verbonden. De schriftelijke vertrouwelijkheidsverklaring is daarvoor het gebruikelijke bewijs. Complaica voert haar per persoon: verzonden, ondertekend, verlopen of geweigerd, met document en datum.

Een verwijderconcept legt vast wanneer welke persoonsgegevens worden verwijderd en hoe. Gegevenssoorten worden aan verwijderregels toegewezen — met startmoment en termijn, afgeleid van het doel en van wettelijke bewaarplichten —, en verwijdereenheden beschrijven in welk systeem en met welke granulariteit wordt verwijderd. De methode wordt beschreven in DIN EN ISO/IEC 27555:2025-09, die in september 2025 DIN 66398 heeft vervangen. In de AVG liggen daaronder de opslagbeperking (art. 5 lid 1 onder e), het recht op gegevenswissing (art. 17) en de termijnen voor het wissen in het register (art. 30 lid 1 onder f).

Conform art. 30 AVG elke verwerkingsverantwoordelijke en elke verwerker. Art. 30 lid 5 zondert ondernemingen en organisaties met minder dan 250 werknemers uit — maar niet wanneer het waarschijnlijk is dat hun verwerking een risico inhoudt voor de rechten en vrijheden van de betrokkenen, wanneer de verwerking niet incidenteel is of wanneer zij bijzondere categorieën van gegevens als bedoeld in art. 9 lid 1 of persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten als bedoeld in art. 10 betreft. In Complaica ontstaat het register als rapport uit de vrijgegeven verwerkingsactiviteiten.

De Duitse federale wet op de gegevensbescherming (Bundesdatenschutzgesetz) gebruikt de openingsclausules van de AVG. Onder meer verplicht § 38 BDSG tot de aanwijzing van een functionaris voor gegevensbescherming wanneer in de regel ten minste twintig personen voortdurend met de geautomatiseerde verwerking van persoonsgegevens bezig zijn of wanneer verwerkingen plaatsvinden waarvoor een gegevensbeschermingseffectbeoordeling moet worden uitgevoerd. In Complaica wordt de BDSG als eigen eisencatalogus naast de AVG beoordeeld.

Ja, als aanvullende dienst. Onze experts in gegevensbescherming nemen de rol conform art. 37 AVG en § 38 BDSG op zich — als aanspreekpunt voor toezichthoudende autoriteit, betrokkenen en directie, met Complaica als werkinstrument. Daarnaast adviseren wij bij gap-analyse, register, DPIA, verwerkersovereenkomsten en training.