AVG voor verenigingen: privacy, foto's en je website
Zodra je vereniging een ledenlijst heeft, verwerk je persoonsgegevens en geldt de AVG. Ook voor een kleine club die helemaal op vrijwilligers draait. In deze gids staat wat dat in de praktijk betekent voor je ledenadministratie, je website en de foto's van leden, op basis van wat de Autoriteit Persoonsgegevens (AP) en de KVK erover schrijven. Dit is uitleg, geen juridisch advies; bij twijfel vraag je het je bond of een jurist.
Wat de AVG voor een vereniging betekent
De KVK vat het samen: verwerk je als vereniging persoonsgegevens van leden, dan moet je laten weten wat je met die gegevens doet en waarom. Dat doe je in een privacyverklaring. Daarnaast:
- stel je een verwerkingsregister op
- verzamel je niet meer gegevens dan nodig; informatie die niet nodig is voor het lidmaatschap mag je niet vastleggen
- beveilig je de systemen goed
- laat je leden weten of je hun gegevens binnen de vereniging deelt en voor welke doelen
De privacyverklaring op je verenigingswebsite
In de privacyverklaring vertel je welke gegevens je verwerkt, waarom en hoe je ermee omgaat; de KVK wijst erop dat in de AVG staat welke informatie er in elk geval in moet. Uit de uitleg van de KVK en de AP komen deze punten:
- de naam en contactgegevens van de vereniging
- welke gegevens je verwerkt: van leden, ouders, vrijwilligers, donateurs, websitebezoekers
- waarvoor je ze gebruikt: de ledenadministratie, contributie, wedstrijden of concerten, de nieuwsbrief, foto's
- of en met wie je gegevens deelt, binnen en buiten de vereniging
- dat iemand een gegeven toestemming weer kan intrekken
Laat de definitieve tekst nalezen door je bond of een jurist. Sommige bonden helpen daarbij: de KNMO biedt een AVG-programma met voorbeelden aan.
Waar zet je hem? De KNMO raadt aan: "Bijvoorbeeld onderin de 'footer' en op de pagina contact." En verwijs ernaar in elk formulier waarin je om persoonsgegevens vraagt, zoals het lid-worden-formulier. In elke site die wij bouwen staat een link naar de privacyverklaring in de footer en bij elk formulier. De tekst zelf stelt de vereniging vast, omdat alleen jullie weten wat je met de gegevens doet.
De ledenlijst: niet zomaar delen
Een vereniging mag een ledenlijst niet zomaar aan leden sturen, schrijft de KVK. Delen mag alleen als daar toestemming voor is, en dan alleen de gegevens die nodig zijn. Het voorbeeld van de KVK: teamleden die met elkaar willen afspreken om te sporten, krijgen alleen de gegevens die ze daarvoor nodig hebben.
Ook naar buiten geldt: persoonsgegevens van leden geef je niet zonder toestemming door aan andere personen of organisaties. Moet je voor een subsidie aantonen hoeveel leden in de gemeente wonen? Dan zijn volgens de KVK het aantal leden met hun woonplaats genoeg.
Wat er mis kan gaan bij sponsors, liet de tennisbond KNLTB zien. De AP legde de bond in 2019 een boete op van € 525.000 voor het verstrekken van persoonsgegevens van leden aan twee sponsors, die de leden daarna benaderden met aanbiedingen. Na een uitspraak van het Europese Hof in 2024 over het begrip gerechtvaardigd belang hebben de AP en de KNLTB de zaak in 2025 beëindigd en is de boete verlaagd. De KNLTB erkende dat het anders had moeten handelen. Voor een vereniging is de les eenvoudig: geef sponsors zichtbaarheid, geen ledenbestand. Meer over sponsoring in vrijwilligers en sponsors werven.
Foto's van leden op de website
Dit is de vraag die besturen het vaakst stellen. De KVK: "Zodra leden of donateurs herkenbaar in beeld komen, zijn de beelden persoonsgegevens." Je hebt dan toestemming nodig van wie op beeld staat om het te publiceren. Die toestemming moet vrijwillig zijn en je maakt vooraf duidelijk waarvoor je de beelden gebruikt.
De AP stelt eisen aan toestemming: vrijelijk gegeven, ondubbelzinnig, geïnformeerd en specifiek. Wat dat betekent voor je vereniging:
- Vraag het apart. In het lid-worden-formulier een eigen vraag voor foto's, los van het lidmaatschap. Vooraf aangevinkte vakjes zijn volgens de AP niet toegestaan.
- Per doel. Foto's op de website is iets anders dan foto's in een advertentie van een sponsor. De AP: voor elk doel afzonderlijk toestemming vragen.
- Leg het vast. De KVK raadt aan de toestemming op papier vast te leggen. Online kan het met een vinkje dat het lid zelf aanzet; bewaar wanneer en op basis van welke tekst.
- Intrekken moet makkelijk. Even makkelijk als toestemming geven, zegt de AP. Bij evenementen noemt de AP als voorbeeld een knop bij foto's op de website: "Bent u te zien op deze foto of in dit filmpje en wilt u dat niet? Klik dan hier." Trekt iemand de toestemming in, dan blur je de persoon of verwijder je de foto, ook uit je eigen archief.
- Geen nadeel bij nee. Je mag niemand onder druk zetten of benadelen die geen toestemming geeft.
Bij activiteiten met publiek, zoals een toernooi of concert, beschrijft de AP ook oplossingen als een sticker of keycord voor wie niet gefotografeerd wil worden, of zones waar wel en niet wordt gefotografeerd. Bezoekers informeer je dan bijvoorbeeld met een bord bij de ingang.
Foto's voor jezelf houden of in heel kleine kring delen valt volgens de KVK onder een uitzondering. Een fotoalbum in een ledenportaal is minder openbaar dan de homepage, maar ook daar plaats je herkenbare leden alleen met toestemming. Zodra je namens de vereniging publiceert, geldt die uitzondering niet meer, zegt de AP.
Jeugdleden
Kinderen krijgen in de AVG extra bescherming. De AP schrijft dat kinderen onder de 16 zelf geen geldige toestemming kunnen geven: een ouder of verzorger moet dat doen. Kinderen van 12 jaar en ouder mogen volgens de AP wel zelf hun toestemming weer intrekken; de AP heeft die tekst in september 2026 aangepast. Ook de KVK schrijft dat je voor publicatie van beeld van jongeren onder de 16 toestemming nodig hebt van de ouders of voogd.
Praktisch: in het aanmeldformulier voor jeugdleden vult een ouder de toestemmingsvragen in. Laat een team of afdeling bijhouden wie geen toestemming heeft gegeven, zodat de vrijwilliger die foto's plaatst dat weet.
Softwareleveranciers en de verwerkersovereenkomst
Werk je met ledensoftware, een nieuwsbriefdienst of een betaalprovider, dan verwerken zij gegevens voor de vereniging. Volgens de AP is een verwerkersovereenkomst dan verplicht, en zijn beide partijen in overtreding als die ontbreekt. Ook de webbouwer en de hoster kunnen verwerker zijn, bijvoorbeeld voor de aanmeldingen die via de site binnenkomen. Vraag bij elke leverancier om hun verwerkersovereenkomst. Welke ledensoftware er is, staat bij ledenadministratie.
Beveiliging en datalekken
De AP noemt voorbeelden van beveiligingsmaatregelen die ook voor een vereniging werken:
- accounts aan één persoon koppelen, geen gedeelde wachtwoorden
- zo min mogelijk mensen toegang tot persoonsgegevens
- software up-to-date houden en back-ups maken
- verouderde gegevens automatisch verwijderen
Gaat er toch iets mis, bijvoorbeeld een ledenlijst die per ongeluk naar alle leden is gemaild of een gehackte laptop met het ledenbestand, dan is dat mogelijk een datalek. Een datalek met risico voor betrokkenen moet je zonder onnodige vertraging en waar mogelijk binnen 72 uur melden bij de AP (artikel 33 AVG). Melden doe je via de site van de AP. Spreek in het bestuur af wie dat doet, zodat het niet blijft liggen tot de volgende vergadering.
Cookies op de verenigingswebsite
Plaats je tracking cookies, bijvoorbeeld voor advertenties of uitgebreide statistieken, dan heb je toestemming nodig van de bezoeker. De AP schrijft dat die toestemming moet komen met "een ondubbelzinnige en actieve handeling"; een vooraf aangevinkt hokje, stilzwijgen of doorscrollen is niet genoeg, en een cookiewall mag niet. Gebruik je alleen cookies die nodig zijn om de site te laten werken, dan ligt dat anders. Een cookiebanner is geen onderdeel van onze pakketten: of je er een nodig hebt, hangt af van wat je op de site meet, en dat bespreken we bij de bouw.
Wat we in de website standaard regelen
- privacyverklaring gelinkt in de footer, bij contact en bij elk formulier
- toestemmingsvragen in het lid-worden-formulier als losse vinkjes, niet vooraf aangevinkt
- bij jeugdleden de toestemmingsvragen voor een ouder of verzorger
- SSL op de hele site
- eigen logins per vrijwilliger in plaats van één gedeeld wachtwoord
- aanmeldingen gaan naar een functie-adres en worden niet langer op de server bewaard dan nodig
Bronnen: kvk.nl (privacyverklaring); autoriteitpersoonsgegevens.nl (eisen aan toestemming); autoriteitpersoonsgegevens.nl; autoriteitpersoonsgegevens.nl; autoriteitpersoonsgegevens.nl (zaak beëindigd); autoriteitpersoonsgegevens.nl (verwerkersovereenkomst verplicht); autoriteitpersoonsgegevens.nl; autoriteitpersoonsgegevens.nl (melden van een datalek bij de AP); legiscope.com; autoriteitpersoonsgegevens.nl; knmo.nl (privacyverklaring) (geraadpleegd 31-10-2026).
Veelgestelde vragen over de AVG voor verenigingen
Staat je vraag er niet bij? Bel of app 06 - 23 00 78 38, je krijgt binnen één werkdag antwoord.
Geldt de AVG ook voor een kleine vereniging?
Ja. De KVK schrijft dat een vereniging die persoonsgegevens verwerkt met de AVG te maken krijgt, en een ledenadministratie is een verzameling persoonsgegevens.
Mogen we foto's van leden op de website zetten?
Alleen met toestemming van wie herkenbaar in beeld is. Die toestemming moet vrijwillig zijn, voor een duidelijk doel, en mag altijd weer worden ingetrokken. Leg haar vast, bijvoorbeeld in het lid-worden-formulier.
Hoe zit het met foto's van kinderen?
Voor kinderen onder de 16 moet een ouder of verzorger toestemming geven, volgens de AP en de KVK. Kinderen vanaf 12 jaar mogen zelf hun toestemming intrekken. Laat bij de aanmelding een ouder de toestemmingsvragen invullen.
Moet een vereniging een privacyverklaring hebben?
Ja, als je persoonsgegevens van leden verwerkt moet je laten weten wat je ermee doet en waarom, en dat kan in een privacyverklaring. De KNMO raadt aan hem in de footer en op de contactpagina te zetten.
Mogen we de ledenlijst rondsturen?
Niet zomaar. Volgens de KVK alleen met toestemming en alleen de gegevens die nodig zijn, bijvoorbeeld voor teamleden die onderling afspreken. Een ledenlijst aan sponsors geven zonder toestemming kan tot een boete leiden, zoals bij de KNLTB.
Wat doen we bij een datalek?
Beoordeel of er risico is voor de betrokkenen. Is dat zo, dan meld je het zonder onnodige vertraging en waar mogelijk binnen 72 uur bij de Autoriteit Persoonsgegevens. Spreek vooraf af wie in het bestuur dat oppakt.
Hebben we een cookiebanner nodig?
Alleen als je cookies plaatst waarvoor toestemming nodig is, zoals tracking cookies. Dan moet de bezoeker actief toestemming geven en mag een vooraf aangevinkt hokje niet. Een cookiebanner zit niet in onze pakketten; we bekijken bij de bouw wat je site nodig heeft.
Moeten we een verwerkersovereenkomst afsluiten met onze ledensoftware?
Ja. De AP schrijft dat een verwerkersovereenkomst verplicht is als een andere partij persoonsgegevens voor jou verwerkt. De meeste leveranciers hebben er een klaarliggen.
Een verenigingswebsite met privacy goed geregeld
Privacyverklaring op de juiste plekken, toestemmingsvragen in het lid-worden-formulier en eigen logins voor vrijwilligers. Vraag een vaste prijs aan, binnen één werkdag antwoord.