AVG en je offerte-tool — wat als je B2B-klant een verwerkersovereenkomst vraagt

De Algemene Verordening Gegevensbescherming (AVG) raakt elke ZZP'er die met klantgegevens werkt — en dus letterlijk iedereen die offertes maakt. Voor B2C-klanten is dat meestal handzaam: een mail-adres, naam, adres, project-info. Voor B2B-klanten in zwaardere sectoren (zorg, overheid, advocatuur, financiëel) wordt het anders. Daar wordt jij gevraagd om een verwerkersovereenkomst aan te leveren vóórdat je opdracht kunt accepteren.

Deze pagina gaat over de architectuur-keuze die je maakt vóórdat dat verzoek komt. Cloud-SaaS-tools (Moneybird, Teamleader, Offorte, HupOfferte) hebben een gedeelde architectuur: jouw klantdata leeft op hun servers, jouw klant's data is dus onder hun controle. Dit betekent dat zij verwerker zijn (artikel 28 AVG), en jij hebt een verwerkersovereenkomst met hen nodig. Bij een gemeente-klant: drie partijen in de keten = drie verwerkersovereenkomsten = drie compliance-risico's.

WordPress-native offerte-tools (zoals OfferteKlik) draaien op jouw eigen hosting. Geen verwerker tussen jou en de klant. Voor sommige sectoren is dat een wezenlijk verkoop-argument; voor andere maakt het niets uit. We werken het uit met praktische checklists, AVG-rechten-flows, en een blik op de AI-Act per 2-augustus-2026.

De vraag «welke verwerkersovereenkomst gebruik je?» komt vaker dan ZZP'ers verwachten. Gemeenten en zorgverzekeraars hebben hele aanbestedings-checklists waarin dit een verplicht veld is. Advocatenkantoren en accountants vragen het standaard omdat zij zelf onder strikte beroepsregels staan. Bedrijven met aandacht voor AVG-compliance (vaak >50 medewerkers) hebben procuratiebeleid waarin het vereist is.

Voor jou als ZZP'er: je hoeft niet verplicht een verwerkersovereenkomst aan te bieden — maar als je één klant in een AVG-strikte sector hebt, ben je er één nodig. Met cloud-SaaS-tools die op US-servers draaien (sommige Amerikaanse facturatie-tools) is dit moeilijker: post-Schrems II hebben veel AVG-juristen moeite om US-servers acceptabel te krijgen. Een NL-of-EU-hostende tool is veiliger; een tool op je eigen hosting is het veiligste.

Drie checks die je per tool toepast om de AVG-fitheid te beoordelen. Deze zijn ontleend aan de praktische gids van de Autoriteit Persoonsgegevens en de NORA-architectuurprincipes voor overheidsleveranciers.

Check 1 gaat over data-locatie. Veel cloud-SaaS-tools draaien op AWS Frankfurt of Azure Amsterdam — dat is EU. Sommige draaien op US-servers via een EU-front-end — dat is post-Schrems II problematisch. WordPress-native tools draaien waar jouw WP-hosting draait; bij Antagonist, TransIP, Vimexx is dat NL. Check 2 gaat over de verwerkersovereenkomst zelf: is er één beschikbaar als template? Bij cloud-SaaS meestal ja; bij WordPress-native niet nodig met de tool, wel nodig met je hoster. Check 3 gaat over datalek-procedure: kun je binnen 72 uur de scope van een lek bepalen?

De AVG geeft je klant vier hoofdrechten waar je als verwerkingsverantwoordelijke binnen 30 dagen op moet reageren: inzage, wijziging, wissen en overdraagbaarheid. Een vijfde recht (beperking) komt zelden voor in de offerte-context. Voor de Belastingdienst geldt een fiscale bewaarplicht van 7 jaar — die overstemt het AVG-recht om gewist te worden voor de offerte-/factuur-data.

Praktische flow in OfferteKlik: bij een inzage-verzoek exporteer je het klant-record als CSV en mail het terug. Bij een wis-verzoek anonimiseer je het klant-record (naam → «[gewist]», mail → leeg, telefoon → leeg) maar laat de offerte- en factuur-historie staan met de uitleg «wegens fiscale bewaarplicht 7 jaar». Bij een overdraagbaarheid-verzoek lever je PDF's en CSV-export. Houd een datalek-register bij in een eigen spreadsheet — ook bij interne lekken zonder meldplicht.

Per 2-augustus-2026 treedt de EU AI Act in volle werking. De relevante artikelen voor ZZP'ers met offerte-tools: artikel 4 (AI-geletterdheid van personeel), artikel 50 (transparantieverplichting bij AI-gegenereerde content), en de algemene verplichting tot AI-register voor bedrijven die AI-tools gebruiken in besluitvorming of klantcommunicatie.

Voor offerte-tools betekent dit: tools die generatieve AI gebruiken voor offerte-tekst-creatie vallen onder de transparantieverplichting. De ZZP'er die zo'n tool gebruikt moet in zijn AI-register vermelden welk AI-systeem hij inzet, voor welk doel, en welke data het verwerkt. Tools zónder generatieve AI (zoals OfferteKlik) vallen buiten deze last — jouw AI-register blijft leeg op het offerte-deel.

Veelgestelde vragen over AVG, verwerkersovereenkomst en offerte-tools