AVG en Facturering: Wat Elke Freelancer Moet Weten

De Algemene Verordening Gegevensbescherming (AVG) — in het Engels GDPR — is niet alleen voor grote technologiebedrijven. Elke freelancer of klein bedrijf dat klanten in de EU factureert — of EU-klanten vanuit elke locatie factureert — verwerkt persoonsgegevens, wat betekent dat de AVG ook op jou van toepassing is.

Deze gids legt precies uit wat de AVG betekent voor facturering: welke informatie als persoonsgegevens telt op een factuur, wat jouw rechtsgrondslag is, hoe lang je factuuradministratie mag bewaren en welke rechten jouw klanten hebben over hun gegevens.

Bevatten Facturen Persoonsgegevens?

Ja. Een factuur bevat doorgaans:

• De volledige naam van de klant of contactpersoon
• Het adres van de klant (zakelijk of privé)
• E-mailadres
• Telefoonnummer
• BTW-nummer (bij eenmanszaken is dit afgeleid van het BSN — een specifiek Nederlands privacyvraagstuk)

Elke informatie die een natuurlijk persoon direct of indirect kan identificeren, is een persoonsgegeven. Naam en adres van een zzp'er zijn persoonsgegevens. Een bedrijfsnaam alleen is dat niet — maar een met naam genoemde contactpersoon bij dat bedrijf wel.

BTW-nummer van de Eenmanszaak

In Nederland is het BTW-nummer van een eenmanszaak historisch afgeleid van het Burgerservicenummer (BSN). De Belastingdienst heeft dit voor nieuwe aanmeldingen aangepast, maar veel bestaande BTW-nummers bevatten nog steeds het BSN. Dit maakt het BTW-nummer van een eenmanszaak een persoonsgegeven. Je bent verplicht dit nummer op facturen te vermelden — maar je moet er bewust mee omgaan bij het delen van factuurgegevens met derden.

Jouw Rechtsgrondslag voor het Verwerken van Factuurgegevens

Artikel 6 AVG vereist een rechtsgrondslag voor het verwerken van persoonsgegevens. Voor facturering gelden twee grondslagen:

1. Uitvoering van een overeenkomst (Art. 6(1)(b))

De verwerking is noodzakelijk voor de uitvoering van een overeenkomst. Een factuur sturen voldoet direct aan dit vereiste — je hebt naam en adres van de klant nodig voor een geldige factuur.

2. Wettelijke verplichting (Art. 6(1)(c))

De verwerking is noodzakelijk om aan een wettelijke verplichting te voldoen. De Belastingdienst verplicht je factuuradministratie minimaal 7 jaar te bewaren. Het bewaren van facturen voor de belastingaangifte valt hier duidelijk onder.

Je hebt geen toestemming nodig voor het sturen van facturen of het bewaren ervan voor belastingdoeleinden. Toestemming vragen is hier onjuist — toestemming moet vrij intrekbaar zijn, en je kunt een verplicht belastingdocument niet verwijderen omdat een klant zijn toestemming intrekt.

Hoe Lang Mag Je Facturen Bewaren?

De AVG-beginselen van dataminimalisatie en opslagbeperking vereisen dat je persoonsgegevens niet langer bewaart dan noodzakelijk. Voor facturen bepaalt de nationale belastingwetgeving — niet de AVG — wat "noodzakelijk" is. Gangbare bewaartermijnen:

Land	Minimale bewaartermijn
Nederland	7 jaar
Duitsland	10 jaar
Frankrijk	10 jaar
Spanje	5 jaar (algemeen), 4 jaar (fiscaal)
Italië	10 jaar
Verenigd Koninkrijk	6 jaar

Na het verstrijken van de bewaartermijn moet je de gegevens verwijderen of anonimiseren. Facturen onbeperkt bewaren "voor de zekerheid" is niet AVG-conform.

Rechten van Klanten en Facturen

Recht op inzage (Art. 15)

Een klant kan een kopie opvragen van de persoonsgegevens die je over hem bewaart. Je moet binnen een maand reageren. Voor facturen betekent dit het verstrekken van kopieën van facturen met zijn gegevens.

Recht op verwijdering (Art. 17)

Het "recht om vergeten te worden" gaat niet boven wettelijke verplichtingen. Als de belastingwet je verplicht een factuur 7 jaar te bewaren, kun je een verwijderingsverzoek weigeren. Informeer de klant dat je het document bewaart ter naleving van wettelijke verplichtingen en dat je het na afloop van de termijn zult verwijderen.

Recht op rectificatie (Art. 16)

Als klantgegevens op een factuur onjuist zijn, kan de klant correctie verzoeken. Voor reeds verzonden facturen stuur je doorgaans een gecorrigeerde factuur of creditnota in plaats van het origineel te wijzigen.

Factureringssoftware: Aandachtspunten

Als je een cloudgebaseerd factureerplatform gebruikt, wordt dat platform een verwerker in de zin van de AVG. Jij bent de verwerkingsverantwoordelijke; zij verwerken gegevens namens jou. Dit betekent:

• Je hebt een Verwerkersovereenkomst (VWO) nodig met het platform — serieuze platforms nemen dit op in hun voorwaarden
• Klantgegevens kunnen worden opgeslagen op servers buiten de EU — controleer waar de gegevens worden gehost en of er passende waarborgen zijn
• Je blijft verantwoordelijk voor AVG-naleving, ook als het platform gegevens verkeerd behandelt

Browsergebaseerde tools zoals invoicePrivate, die alle gegevens lokaal opslaan, omzeilen dit probleem volledig. Er worden geen gegevens naar een server gestuurd, dus geen verwerker, geen VWO en geen risico op een datalek bij de leverancier.

Praktische Stappen voor AVG-conforme Facturering

1. Verzamel alleen wat noodzakelijk is. Naam, adres en fiscaal nummer — niet meer.
2. Ken je bewaartermijn. Stel een herinnering in om factuuradministratie te verwijderen na het verstrijken van de wettelijke termijn (7 jaar in Nederland).
3. Actualiseer je privacyverklaring. Als je nieuwsbrieven verstuurt of contactgegevens hergebruikt voor marketing, moet je privacyverklaring dit vermelden.
4. Sluit een VWO af met cloudtools. Verplicht op grond van art. 28 AVG.
5. Heb een procedure voor inzageverzoeken. Je moet binnen 30 dagen kunnen reageren.

Boetes bij Niet-naleving

AVG-boetes zijn getrapt. In Nederland is de Autoriteit Persoonsgegevens (AP) de toezichthoudende autoriteit:

• Lager niveau: Tot 10 miljoen euro of 2% van de wereldwijde jaaromzet
• Hoger niveau: Tot 20 miljoen euro of 4% van de wereldwijde jaaromzet