AVG voor coaches: cliëntgegevens veilig regelen in 2026

De AVG (in EU-context GDPR) verplicht je tot zes principes voor persoonsgegevens: rechtmatigheid, doelbinding, dataminimalisatie, juistheid, opslagbeperking en integriteit.

Voor een coachpraktijk komt dat concreet hierop neer:

• Een grondslag voor verwerking — voor coaching is dat doorgaans "uitvoering van een overeenkomst" (de coachafspraak zelf) of "toestemming" (voor bv. nieuwsbrieven).
• Een privacyverklaring op je website die uitlegt welke gegevens je verwerkt, waarom, en hoe lang.
• Een register van verwerkingsactiviteiten — voor coaches met <250 medewerkers verplicht zodra je structureel gegevens van cliënten verwerkt (wat per definitie zo is bij coaching).
• Passende technische en organisatorische maatregelen — encryptie, sterke wachtwoorden, geen klantnamen op spreadsheets in publieke cloudfolders.
• Meldplicht bij datalekken — binnen 72 uur na ontdekking aan de Autoriteit Persoonsgegevens.

Dit onderscheid is technisch maar belangrijk. Als zelfstandige coach bepaal jij'het doel' van de verwerking (je werkt aan een coachingsdoel met de cliënt). Daarmee ben je verwerkingsverantwoordelijke voor de cliëntgegevens.

Softwareleveranciers (je praktijksoftware, je e-mailprovider, je agendasync-tool) zijn verwerkers: zij verwerken namens jou. Het verschil:

• Verwerkingsverantwoordelijke — verantwoordelijk voor de keuze welke gegevens, met welk doel.
• Verwerker — voert verwerking uit volgens jouw instructies, mag zelfstandig geen besluiten nemen over gebruik.

Wat speciaal voor B2B-coaches geldt: als je voor een werkgever coacht, kan de werkgever soms gedeeltelijke verantwoordelijkheid dragen. Maak in dat geval expliciet contractuele afspraken — geen aanname.

Een verwerkersovereenkomst (Data Processing Agreement, DPA) is verplicht zodra een derde partij persoonsgegevens namens jou verwerkt. Praktische voorbeelden voor coaches:

• Je praktijksoftware (waar cliëntdata in staat) → DPA verplicht.
• Je e-mailprovider (waarin je met cliënten correspondeert) → DPA verplicht.
• Je boekhouder (die jouw facturen ziet en daarmee cliëntgegevens) → DPA verplicht.
• Cloudopslag waar je notities bewaart → DPA verplicht.

Goede SaaS-leveranciers stellen automatisch een DPA op of bieden die via hun account. Check dit voor je tools — zonder DPA loop je formeel een boeterisico, ook al heeft de Autoriteit Persoonsgegevens tot nu toe vooral grote partijen aangepakt.

De AVG schrijft geen vaste termijnen voor — het principe is "niet langer dan noodzakelijk". Voor coaches gelden in de praktijk deze richtlijnen:

• Boekhoudkundige gegevens (facturen, financieel): wettelijk 7 jaar bewaarplicht (Belastingdienst).
• Klantgegevens voor herhaalopdrachten (NAW, e-mail): doorgaans 2-5 jaar redelijk, afhankelijk van de aard van het coachtraject.
• Sessieverslagen, intake-notities: maximaal zo lang als nodig voor de coaching plus een redelijke nazorgperiode (vaak 1-2 jaar).
• Marketingdata (e-mailadressen voor nieuwsbrief): zolang als de toestemming geldt; cliënten moeten kunnen uitschrijven.

Documenteer je gekozen termijnen in je verwerkingsregister. Bij een AP-onderzoek is "omdat dat redelijk is" een prima motivatie — "geen idee" is dat niet.

1. Cliëntgegevens in WhatsApp. WhatsApp is end-to-end versleuteld maar valt onder Meta's privacybeleid, dat metadata gebruikt. Voor occasionele roosterwijzigingen prima; voor inhoudelijke coaching-content: wissel naar e-mail of een dedicated cliëntportal.
2. Onbeveiligde notitie-apps. Notitie-apps zonder encryption (sommige gratis tools) en zonder twee-factor-authenticatie zijn een datalek-magneet.
3. Geen aparte werk- en privé-agenda. Cliëntnamen in je gedeelde gezinsagenda is een lek dat je niet wilt.
4. US-gebaseerde tools voor gevoelige data. Sinds Schrems II is doorgifte van persoonsgegevens naar de VS zonder aanvullende waarborgen problematisch. Kies voor tools met EU-hosting waar mogelijk.
5. Geen back-up van de bewaartermijnen. Als je periodiek niet schoont, schendt je de opslagbeperking-eis. Plan een jaarlijkse moment om data ouder dan je bewaartermijn structureel te verwijderen.

Een coachplatform dat AVG-proof werkt heeft minimaal: encryptie in opslag en transport (TLS/HTTPS), EU-hosting, gescheiden tenants (jouw cliëntdata staat niet door die van andere coaches gemixed), expliciete bewaartermijnen, en — belangrijk — een verwerkersovereenkomst die je als coach kunt afsluiten.

Bloom is op die principes gebouwd: data binnen de EU, versleuteld, per-coach gescheiden, met een publiek privacybeleid. Je verantwoordelijkheid als coach (verwerkingsverantwoordelijke) combineer je daarmee met de operationele waarborgen die de praktijksoftware biedt.