AVG Grondslag Kiezen: De 6 Grondslagen Helder Uitgelegd

Elke keer dat uw organisatie een e-mailadres opslaat, een sollicitatie verwerkt of camerabeelden vastlegt, verwerkt u persoonsgegevens. En elke verwerking heeft een wettelijke basis nodig — een zogeheten grondslag. Zonder geldige grondslag is die verwerking simpelweg verboden onder de AVG.

Toch hebben veel MKB-bedrijven bij de start geen sluitende grondslagkeuze vastgelegd. Het gevolg: een verwerkingsregister vol gaten en een organisatie die bij controle door de Autoriteit Persoonsgegevens in de problemen komt.

In dit artikel leggen we alle zes grondslagen van Artikel 6 AVG helder uit, met concrete voorbeelden, een stappenplan om de juiste te kiezen, en de fouten die u absoluut wilt vermijden.

Wat is een grondslag in de AVG? (Artikel 6 uitgelegd)

Een AVG grondslag is de wettelijke rechtvaardiging die uw organisatie nodig heeft om persoonsgegevens te mogen verwerken. Zonder grondslag = geen verwerking. Zo simpel is het.

Artikel 6 van de AVG definieert precies zes grondslagen. U moet er vóór de start van elke verwerking één kiezen en deze vastleggen in uw verwerkingsregister. Achteraf wisselen is in beginsel niet toegestaan.

Dit is geen formaliteit. De gekozen grondslag bepaalt welke rechten betrokkenen hebben (zoals het recht op vergetelheid), welke informatieplichten u hebt, en hoe u uw verwerking moet documenteren.

Welke zes AVG-grondslagen zijn er?

De AVG kent zes rechtmatige grondslagen voor het verwerken van persoonsgegevens: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitale belangen, algemeen belang en gerechtvaardigd belang. Hieronder een beknopt overzicht, daarna bespreken we elke grondslag in detail.

Grondslag 1: wanneer gebruikt u toestemming?

Toestemming betekent dat de betrokkene actief en bewust akkoord geeft voor een specifiek verwerkingsdoel. Het klinkt simpel, maar in de praktijk is deze grondslag lastiger dan u denkt.

De AVG stelt vier strenge eisen aan geldige toestemming:

• Vrij — geen druk, geen nadeel bij weigering
• Specifiek — per verwerkingsdoel apart
• Geïnformeerd — de persoon weet exact waarvoor
• Ondubbelzinnig — actieve handeling, geen vooraf aangevinkte vakjes

Praktijkvoorbeeld: Een klant meldt zich aan voor uw nieuwsbrief via een opt-in formulier op uw website. Of een bezoeker accepteert analytische cookies via een duidelijke cookiebanner.

Wanneer niet gebruiken: Bij werkgever-werknemerrelaties is toestemming bijna nooit geldig. Een werknemer kan geen écht vrije toestemming geven vanwege de machtsverhouding. Dit gaat in de praktijk vaak fout. Gebruik in die situatie een andere grondslag, zoals de uitvoering van de arbeidsovereenkomst.

Belangrijk: het intrekken van toestemming moet net zo makkelijk zijn als het geven ervan. Eén klik om aan te melden? Dan ook één klik om uit te schrijven. Meer over toestemming bij beeldmateriaal leest u in ons artikel over AVG en beeldmateriaal toestemming.

Grondslag 2: Uitvoering van een overeenkomst

Deze grondslag gebruikt u wanneer de verwerking noodzakelijk is om een contract uit te voeren waarbij de betrokkene partij is, of voor precontractuele maatregelen op verzoek van de betrokkene.

Het sleutelwoord is noodzakelijk. Alleen de gegevens die u écht nodig hebt om uw deel van de overeenkomst na te komen, vallen hieronder.

Praktijkvoorbeelden:

• Een webshop verwerkt het afleveradres en de betaalgegevens van een klant om de bestelling te leveren
• Een werkgever verwerkt BSN, adres en bankrekeningnummer voor de salarisadministratie op basis van de arbeidsovereenkomst
• Een accountant verwerkt financiële gegevens om de boekhouding te voeren conform de opdrachtovereenkomst

Veelgemaakte fout: Extra gegevens verzamelen voor marketingdoeleinden en dit onder de paraplu van "overeenkomst" scharen. Dat mag niet. Voor marketing hebt u een aparte grondslag nodig, zoals toestemming of gerechtvaardigd belang.

Grondslag 3: Wettelijke verplichting

U verwerkt persoonsgegevens omdat een andere wet dan de AVG u daartoe verplicht. Deze grondslag spreekt voor zich, maar er is een belangrijke nuance: de wettelijke verplichting moet concreet en specifiek zijn.

Praktijkvoorbeelden:

• De Wet op de loonbelasting verplicht werkgevers om loongegevens te bewaren en aan de Belastingdienst door te geven
• De Wet ter voorkoming van witwassen (Wwft) verplicht bepaalde organisaties om een cliëntenonderzoek uit te voeren
• Wettelijke bewaartermijnen voor de fiscale administratie (7 jaar)

Let op: Een algemene "zorgplicht" of sectorrichtlijn is geen wettelijke verplichting in de zin van Artikel 6 AVG. Er moet een concrete wettekst zijn die u tot de verwerking verplicht.

Grondslag 4: Vitale belangen

Deze grondslag is bedoeld voor levensbedreigende situaties waarin persoonsgegevens verwerkt moeten worden om iemands leven of gezondheid te beschermen.

Denk aan ambulancepersoneel dat medische informatie opvraagt van een bewusteloze patiënt, of een school die allergiegegevens deelt met de hulpdiensten bij een anafylactische reactie.

Voor de dagelijkse bedrijfsvoering van een MKB-organisatie is deze grondslag vrijwel nooit relevant. Denkt u als bedrijf dat u deze grondslag nodig hebt, dan is er meestal een beter passende grondslag.

Grondslag 5: Algemeen belang of openbaar gezag

Deze grondslag is primair bedoeld voor overheidsinstanties en organisaties die een publieke taak uitvoeren op basis van wet- of regelgeving.

Wie gebruikt deze grondslag?

• Gemeenten bij het verwerken van gegevens voor paspoorten, vergunningen en lokale belastingen
• Het CBS voor het samenstellen van nationale statistieken
• Onderwijsinstellingen bij wettelijk verplichte leerlingenadministratie
• Zorgverleners bij wettelijke meldplichten

Belangrijk voor overheidsorganisaties: Als u een publieke taak uitvoert, mag u hiervoor niet de grondslag gerechtvaardigd belang gebruiken. Dit is expliciet uitgesloten in Artikel 6 lid 1 AVG. Overheidsinstanties die werken aan informatiebeveiliging volgens de BIO moeten hier extra alert op zijn.

Voor commerciële MKB-bedrijven is deze grondslag doorgaans niet van toepassing.

Grondslag 6: Gerechtvaardigd belang — de belangenafweging

Gerechtvaardigd belang is de meest flexibele maar ook de meest complexe grondslag. U mag persoonsgegevens verwerken als dit noodzakelijk is voor uw gerechtvaardigde belangen, tenzij de belangen of grondrechten van de betrokkene zwaarder wegen.

Deze grondslag vereist een drieledige toets:

1. Doeltoets — Is uw belang gerechtvaardigd? (commercieel belang, beveiliging, fraudepreventie)
2. Noodzakelijkheidstoets — Is de verwerking echt nodig om dat belang te bereiken? Kunt u het doel niet op een minder ingrijpende manier realiseren?
3. Belangenafweging — Wegen uw belangen op tegen de privacybelangen van de betrokkene? Belangen van kinderen wegen hierbij altijd zwaarder.

Praktijkvoorbeelden:

• Direct marketing naar bestaande klanten (met opt-out mogelijkheid)
• Cameratoezicht op het bedrijfsterrein voor beveiliging
• Netwerkbeveiliging en IT-monitoring ter bescherming van systemen
• Fraudepreventie bij financiële transacties

De verplichte documentatie: Voer een Legitimate Interest Assessment (LIA) uit en leg deze vast. Dit is geen optionele stap. Bij een controle door de Autoriteit Persoonsgegevens moet u deze afweging kunnen laten zien. Juist deze documentatie ontbreekt vaak bij organisaties die gerechtvaardigd belang als grondslag hanteren.

Betrokkenen hebben bij deze grondslag altijd het recht van bezwaar. Als iemand bezwaar maakt, moet u stoppen met de verwerking — tenzij u kunt aantonen dat uw belangen dwingend zwaarder wegen.

Stappenplan: hoe kiest u de juiste AVG grondslag?

Volg deze vier stappen voor elke verwerking van persoonsgegevens:

1. Bepaal het doel concreet — Waarom verwerkt u deze specifieke gegevens? "Klantgegevens bijhouden" is te vaag. "Bestelling leveren aan klant" is concreet genoeg.

2. Loop de grondslagen systematisch langs — Begin bij de meest voor de hand liggende: is er een overeenkomst? Een wettelijke verplichting? Pas daarna toestemming of gerechtvaardigd belang.

3. Toets de noodzakelijkheid — Kunt u hetzelfde doel bereiken met minder gegevens of op een minder ingrijpende manier? Verzamel niet meer dan strikt nodig (dataminimalisatie).

4. Documenteer uw keuze — Leg voor élke verwerking vast welke grondslag u hebt gekozen en waarom. Dit hoort in uw verwerkingsregister en is verplicht onder de verantwoordingsplicht van Artikel 5 lid 2 AVG.

Mag u achteraf van grondslag wisselen?

Nee: u kunt niet achteraf van grondslag wisselen.

Stel: u verzamelt e-mailadressen op basis van toestemming voor uw nieuwsbrief. Een klant trekt zijn toestemming in. U mag dan niet opeens overstappen op "gerechtvaardigd belang" om die persoon toch te blijven mailen.

Dit betekent dat u de grondslagkeuze aan de voorkant goed moet maken. Doe daarom per verwerking een korte analyse vóórdat u begint met verwerken.

Een ander punt dat zelden wordt benoemd: u kunt voor dezelfde gegevens meerdere grondslagen hebben, maar dan voor verschillende doelen. Het adres van een klant verwerkt u op grond van de overeenkomst (voor levering) én op grond van een wettelijke verplichting (voor uw factuuradministratie). Dit moet u wel per doel apart documenteren.

Keuzehulp: welke grondslag past bij uw verwerking?

Gebruik dit overzicht als snelle referentie:

Welke fouten maakt u vaak bij het kiezen van een grondslag?

De vijf meest gemaakte fouten rond de AVG zijn te snel toestemming vragen, gerechtvaardigd belang als restcategorie gebruiken, niet documenteren, noodzakelijkheid te ruim interpreteren en achteraf van grondslag wisselen:

1. Te snel grijpen naar toestemming Organisaties vragen toestemming terwijl een andere grondslag logischer én juridisch sterker is. Toestemming kan worden ingetrokken — en dan staat u met lege handen. Gebruik toestemming alleen wanneer geen andere grondslag beschikbaar is.

2. Gerechtvaardigd belang als restcategorie Deze grondslag wordt gebruikt als "vangnet" zonder dat de verplichte drieledige toets (LIA) is uitgevoerd en gedocumenteerd. Bij controle is dit een directe overtreding.

3. Niet documenteren in het verwerkingsregister De grondslagkeuze wordt wel gemaakt, maar nergens vastgelegd. Dit is een schending van de verantwoordingsplicht — ongeacht of de verwerking zelf rechtmatig is.

4. Noodzakelijkheid te ruim interpreteren Meer gegevens verzamelen dan strikt nodig voor het doel. Een webshop die een geboortedatum vraagt voor het leveren van een bestelling, schendt het principe van dataminimalisatie.

5. Achteraf van grondslag wisselen Zoals hierboven beschreven: dit mag niet. De grondslag moet vóór aanvang van de verwerking worden bepaald.

Wat verandert er bij bijzondere persoonsgegevens (artikel 9 AVG)?

Verwerkt u gegevens over gezondheid, ras of etnische afkomst, politieke opvattingen, religie, seksuele gerichtheid, genetische of biometrische gegevens, of vakbondslidmaatschap? Dan gelden er nóg strengere regels bovenop Artikel 6 AVG.

Artikel 9 AVG verbiedt de verwerking van bijzondere persoonsgegevens, tenzij er naast een grondslag uit Artikel 6 AVG óók een specifieke uitzondering uit Artikel 9 AVG van toepassing is. Voorbeelden van zulke uitzonderingen:

• Uitdrukkelijke toestemming van de betrokkene
• Noodzakelijk voor de uitvoering van arbeidsrechtelijke verplichtingen
• Noodzakelijk voor vitale belangen wanneer betrokkene niet in staat is toestemming te geven
• Verwerking door een stichting of vereniging met ideële doelstelling

In de praktijk betekent dit: als u als werkgever ziekteverzuimgegevens verwerkt, hebt u zowel een Artikel 6-grondslag (uitvoering overeenkomst of wettelijke verplichting) als een Artikel 9-uitzondering (arbeidsrechtelijke verplichting) nodig.

Welk toezicht en welke boetes gelden bij de AVG-grondslagen?

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de AVG. Een overtreding van de basisbeginselen voor verwerking, waaronder de regels over grondslagen en toestemming (artikelen 5, 6, 7 en 9), kan een boete opleveren tot € 20 miljoen of 4% van de wereldwijde jaaromzet, het hoogste van de twee (artikel 83 lid 5 AVG).

Voor werkgevers is overweging 43 van de AVG relevant: toestemming is geen geldige grondslag als er een duidelijke wanverhouding bestaat tussen de betrokkene en de verwerkingsverantwoordelijke (AVG, overweging 43).

De verantwoordingsplicht (artikel 5 lid 2 AVG) vraagt dat u kunt aantonen op welke grondslag u elke verwerking baseert. Leg de grondslag per verwerking daarom vast in uw verwerkingsregister, en toets periodiek of de keuze nog klopt.

Direct toepasbaar: checklist grondslagkeuze AVG

Gebruik deze checklist bij elke nieuwe verwerking van persoonsgegevens:

1. Doel vastgesteld — U hebt een concreet, specifiek en gedocumenteerd verwerkingsdoel
2. Grondslag gekozen — U hebt systematisch de zes grondslagen langgelopen en de juiste geselecteerd
3. Noodzakelijkheid getoetst — U verzamelt niet meer gegevens dan strikt nodig voor het doel
4. Belangenafweging uitgevoerd — Bij gerechtvaardigd belang hebt u een LIA gedocumenteerd
5. Verwerkingsregister bijgewerkt — De verwerking, grondslag en onderbouwing zijn vastgelegd
6. Artikel 9 AVG gecheckt — Bij bijzondere persoonsgegevens hebt u een aanvullende uitzondering geïdentificeerd
7. Rechten van betrokkenen geborgd — U weet welke rechten betrokkenen hebben op basis van uw gekozen grondslag

Conclusie

De keuze voor de juiste AVG grondslag is geen bijzaak — het is de fundering van uw hele privacybeleid. Zonder geldige grondslag is elke verwerking van persoonsgegevens in strijd met de wet, ongeacht hoe goed uw beveiligingsmaatregelen zijn.

Begin bij het begin: inventariseer al uw verwerkingen, kies per verwerking bewust een grondslag, documenteer uw keuze in het verwerkingsregister en toets periodiek of uw keuzes nog kloppen. Met een gedegen aanpak van AVG-compliance voorkomt u niet alleen boetes, maar bouwt u vertrouwen op bij klanten en medewerkers.

Wilt u uw grondslagkeuzes meteen goed vastleggen? De AVG Toolkit bevat een verwerkingsregister (PRV-001) waarin u per verwerking de grondslag vastlegt, met een invulinstructie.