AVG voor coaches: zo bewaar je cliëntgegevens veilig

Mark · 10 oktober 2026 · 10 min lezen

De AVG geldt ook voor de coach die alleen werkt. Zodra je namen, mailadressen of gespreksverslagen van cliënten bewaart, verwerk je persoonsgegevens en ben jij verantwoordelijk. Hieronder lees je per onderdeel wat dat betekent, en onderaan staat een checklist die je in een middag afwerkt.

Dit artikel is uitleg, geen persoonlijk juridisch advies. Twijfel je over jouw situatie, laat dan een jurist of privacyadviseur meekijken.

Geldt de AVG ook voor een zelfstandige coach?

Ja. De AVG maakt geen uitzondering voor eenmanszaken. Jij bepaalt waarom en hoe je cliëntgegevens gebruikt, dus jij bent de verwerkingsverantwoordelijke.

De Autoriteit Persoonsgegevens (AP) houdt toezicht. Zij verwacht dat je kunt laten zien hoe je met gegevens omgaat. Een afspraak in je hoofd telt niet; je legt het vast.

Ook je beroepscode vraagt erom. De ethische code die NOBCO hanteert zegt dat coaches alle data van hun werk met cliënten zo bewaren en verwijderen dat vertrouwelijkheid, veiligheid en privacy gewaarborgd zijn, en dat ze voldoen aan de privacyregels van hun land.

Welke cliëntgegevens zijn extra gevoelig?

Naam, adres, telefoonnummer en mailadres zijn gewone persoonsgegevens. Daar gelden de basisregels voor.

In een coachgesprek komt al snel meer op tafel. Een cliënt vertelt over slaapproblemen, een burn-out, medicijnen of een diagnose. Dat zijn gegevens over gezondheid, en die vallen onder de bijzondere persoonsgegevens.

Voor bijzondere persoonsgegevens geldt een verbod, tenzij je aan strenge eisen voldoet. Een gewone grondslag is dan niet genoeg. De AVG noemt een aantal uitzonderingen; voor een coach is uitdrukkelijke toestemming van de cliënt meestal de route die past.

In de praktijk betekent dat:

Vraag bij de intake schriftelijk toestemming om gezondheidsinformatie vast te leggen, en leg uit waarvoor.
Schrijf alleen op wat je nodig hebt voor de begeleiding. "Cliënt slaapt slecht sinds reorganisatie" is genoeg; een volledige medische voorgeschiedenis niet.
Bewaar die informatie op een plek waar alleen jij bij kunt.

Op welke grondslag mag je cliëntgegevens gebruiken?

De AVG kent zes grondslagen. Voor een coachpraktijk zijn er drie die je vaak gebruikt:

Wat je doet	Grondslag
Afspraken plannen, sessies geven, contact houden	Uitvoering van de overeenkomst met de cliënt
Facturen maken en je administratie bewaren	Wettelijke verplichting
Gezondheidsinformatie vastleggen	Uitdrukkelijke toestemming van de cliënt
Een nieuwsbrief sturen	Toestemming

Elk doel heeft een eigen grondslag nodig. Wil je het mailadres van een cliënt later voor je nieuwsbrief gebruiken, dan moet je opnieuw kijken of dat mag. "Omdat het handig is" is volgens de AP geen grondslag.

Heb je een verwerkingsregister nodig?

Waarschijnlijk wel. Organisaties met minder dan 250 medewerkers hoeven in een aantal gevallen geen register bij te houden. De AP schrijft dat kleine zorgverleners in de meeste gevallen toch verplicht zijn, omdat zij structureel gegevens over gezondheid verwerken.

Voor een coach die dossiers bijhoudt met gezondheidsinformatie geldt dezelfde redenering. Zelfs als je twijfelt: een register is een overzicht van één A4, en het is precies het document dat je nodig hebt als de AP of een cliënt vraagt hoe je met gegevens omgaat.

Zet per verwerking in je register:

Het doel (bijvoorbeeld: cliëntdossier bijhouden)
Welke gegevens (NAW, contactgegevens, sessieverslagen, gezondheidsinformatie)
Van wie (cliënten, opdrachtgevers)
De grondslag
Wie er nog meer bij kan (je software, je boekhouder)
Hoe lang je het bewaart
Hoe je het beveiligt

Wat zet je in je privacyverklaring?

Cliënten hebben recht op informatie. Dat regel je met een privacyverklaring op je website, waar je bij de intake naar verwijst.

Volgens de AP vertel je daarin in elk geval:

Wie je bent en hoe ze je bereiken
Voor welke doelen je gegevens gebruikt, en op welke grondslag
Met wie je gegevens deelt (categorieën zijn genoeg, zoals "mijn boekhouder" of "de software waarin ik dossiers bijhoud")
Hoe lang je gegevens bewaart, of hoe je die termijn bepaalt
Welke rechten de cliënt heeft
Dat de cliënt een gegeven toestemming altijd kan intrekken
Dat de cliënt een klacht kan indienen bij de Autoriteit Persoonsgegevens

Houd de taal gewoon. Een cliënt moet in twee minuten snappen wat je met zijn verhaal doet.

Met wie sluit je een verwerkersovereenkomst?

Een verwerker is een partij die gegevens voor jou verwerkt, in jouw opdracht. Denk aan je praktijksoftware, je mailprovider, je cloudopslag, je videobelplatform en je boekhouder als die cliëntgegevens ziet.

Met elke verwerker sluit je een verwerkersovereenkomst. De AP zegt dat die in elk geval vastlegt:

Wat de verwerker wel en niet met de gegevens mag doen
Hoe jij de rechten van cliënten kunt blijven waarmaken
Wat er gebeurt bij een datalek, en wie wie wanneer informeert

Grote leveranciers hebben vaak een standaardovereenkomst die je in je account accepteert of downloadt. Bewaar een kopie bij je register. Werk je met WhatsApp of Zoom, lees dan ook Mag je als coach via WhatsApp en Zoom werken?

Elke losse tool is een verwerker meer. In Coaching Companion heb ik agenda, dossiers, facturen, videobellen en klantportaal daarom in één pakket gezet: voor dat deel heb je één verwerkersovereenkomst in plaats van een per tool. Je mailprovider en je boekhouder blijven aparte verwerkers.

Vereenvoudigde schets van Coaching Companion.

Hoe beveilig je cliëntgegevens als zzp'er?

De AVG geeft geen lijstje met verplichte maatregelen. Je kiest zelf wat past bij hoe gevoelig je gegevens zijn. Bij gesprekken over gezondheid en privéleven ligt de lat hoog.

De AP noemt tweestapsverificatie (multifactorauthenticatie) als een van de maatregelen: inloggen met iets wat je weet, zoals een wachtwoord, plus iets wat je hebt, zoals een code op je telefoon. Twee wachtwoorden tellen niet als twee factoren.

Voor een coachpraktijk komt het meestal neer op dit:

Tweestapsverificatie aan op je mail, je praktijksoftware en je cloudopslag
Een wachtwoordmanager, en geen gedeelde wachtwoorden
Een vergrendelscherm met pincode op je laptop en telefoon
Geen cliëntdossiers in je persoonlijke downloads- of WhatsApp-map
Papieren aantekeningen in een afgesloten kast, of na verwerking vernietigen
Software en apps bijwerken als er een update is

Wat doe je bij een datalek?

Een datalek is meer dan een hack. Een mail met een sessieverslag naar de verkeerde cliënt, een gestolen laptop zonder schermvergrendeling of een gedeelde map die openstaat: allemaal datalekken.

De regels volgens de AP:

Registreer elk datalek in je eigen datalekregister: wat er gebeurde, wat de gevolgen zijn en wat je hebt gedaan. Dit geldt ook voor lekken die je niet hoeft te melden.
Meld binnen 72 uur bij de AP als het lek een risico vormt voor de mensen om wie het gaat. De 72 uur gaan lopen zodra je redelijk zeker weet dat er een lek is.
Informeer de cliënt zonder onnodige vertraging als het lek waarschijnlijk nadelig voor hem is.

Bij gezondheidsinformatie is de kans groot dat een lek gevolgen heeft voor de cliënt. Twijfel je, behandel het dan als meldplichtig en zoek het binnen die 72 uur uit.

Welke rechten hebben je cliënten?

Een cliënt mag je vragen wat je over hem hebt vastgelegd. Hij mag ook vragen om correctie, verwijdering of het meenemen van zijn gegevens. De AVG noemt verder het recht van bezwaar en het recht op beperking van de verwerking.

Op een verzoek reageer je binnen een maand. Bij een ingewikkeld verzoek mag je twee maanden verlengen, als je dat binnen de eerste maand laat weten met de reden erbij. Inzage is gratis.

Het helpt als je sessieverslagen zo schrijft dat je ze zonder schaamte aan de cliënt kunt laten lezen. Feitelijk, zonder oordelen over anderen, en zonder gegevens van derden die de cliënt niet zelf heeft gegeven. Hoe je dat opbouwt, lees je in SOAP-verslagen schrijven: uitleg + voorbeeld.

Hoe lang mag je een coachingsdossier bewaren?

De AVG noemt geen vast aantal jaren. Je bewaart gegevens niet langer dan nodig voor het doel. Andere wetten en je beroepscode kunnen wel een termijn geven, zoals de fiscale bewaarplicht van 7 jaar voor je administratie en, voor wie onder de WGBO valt, 20 jaar voor het dossier.

Welke termijn voor jou geldt, hangt af van wat voor werk je doet. Dat werk ik uit in Bewaartermijn van een coachingsdossier: wat zegt de wet?

AVG-checklist voor coaches

Kopieer deze lijst en vink af wat je al geregeld hebt. Wat open blijft, is je werklijst.

AVG voor coaches · 8 onderdelen

De acht onderdelen van de checklist op een rij. Datalekken springt eruit, omdat daar een harde termijn van 72 uur aan vastzit.

Overzicht en documenten

Ik heb een verwerkingsregister met per verwerking doel, gegevens, grondslag, ontvangers, bewaartermijn en beveiliging
Ik heb een privacyverklaring op mijn website, in gewone taal
Ik verwijs bij de intake naar mijn privacyverklaring
Ik heb een datalekregister (een simpele tabel is genoeg)

Verwerkers

Ik heb een lijst van alle tools die cliëntgegevens zien: praktijksoftware, mail, agenda, videobellen, opslag, boekhouding
Met elke tool op die lijst heb ik een verwerkersovereenkomst, en die staat bij mijn register
Ik gebruik niet meer tools voor cliëntgegevens dan nodig: elke tool is een extra verwerker en een extra plek om te beveiligen

Gezondheidsinformatie

Ik vraag uitdrukkelijke, schriftelijke toestemming om gezondheidsinformatie vast te leggen
Ik leg alleen vast wat ik nodig heb voor de begeleiding
Mijn intakeformulier vraagt niet meer dan nodig

Beveiliging

Tweestapsverificatie staat aan op mail, praktijksoftware en opslag
Ik gebruik een wachtwoordmanager
Laptop en telefoon hebben een vergrendelscherm met pincode
Cliëntgegevens staan niet in WhatsApp, persoonlijke mappen of losse USB-sticks
Papieren aantekeningen liggen achter slot of worden vernietigd

Datalekken

Ik weet dat ik binnen 72 uur na ontdekking moet melden bij de AP als het lek een risico vormt
Ik weet waar ik een datalek meld
Ik registreer elk lek, ook als ik het niet meld

Rechten van cliënten

Ik kan een dossier binnen een maand leveren als een cliënt om inzage vraagt
Ik weet hoe ik gegevens corrigeer of verwijder op verzoek
Mijn verslagen zijn zo geschreven dat de cliënt ze mag lezen

Bewaren en opruimen

Ik heb per soort gegevens een bewaartermijn vastgelegd
Ik ruim minstens één keer per jaar dossiers op waarvan de termijn voorbij is

Zelf bijhouden of in één pakket?

De checklist werk je af met welke software ook. Wat verschilt, is hoeveel plekken je moet nalopen.

	Zelf, met losse tools	In Coaching Companion
Verwerkersovereenkomsten	Een per tool: agenda, videobellen, opslag, formulieren	Eén voor agenda, dossiers, facturen, videobellen en klantportaal
Sessieverslagen	In Word-bestanden of een notitie-app	In het dossier van de cliënt
Intake en toestemming	Als bijlage per mail heen en terug	Ingevuld en digitaal ondertekend in het klantportaal
Inzageverzoek	Zoeken in mail, mappen en chats	Het dossier staat op één plek