Je stichting is net opgericht, de eerste vrijwilligers hebben zich aangemeld en iemand stuurt je een bericht: “Hebben jullie al een privacyverklaring?” Je reactie is begrijpelijk: jullie zijn geen webshop, geen commercieel bedrijf. Maar de AVG kijkt daar anders tegenaan. Zodra je een naam en e-mailadres van een vrijwilliger opslaat, ben je verwerkingsverantwoordelijke, met alle verplichtingen die daarbij horen. Wat een privacyverklaring voor een stichting anders maakt, is de specifieke mix van betrokkenen: donateurs, vrijwilligers en begunstigden vragen elk om een andere aanpak. Dit artikel legt uit waar de verschillen zitten, welke verwerkingen typisch zijn voor een stichting en hoe je dat concreet op papier zet, met een privacyverklaring stichting voorbeeld als houvast.

Stap 1: Breng de verwerkingen in kaart die typisch zijn voor stichtingen

Een commerciële website verwerkt vooral klantgegevens en bestelhistorie. Een stichting heeft een heel andere mix van betrokkenen. Denk aan:

  • Donateurs van wie je naam, e-mailadres en bankgegevens bijhoudt voor de gift en een fiscale jaarrekening.
  • Vrijwilligers voor wie je soms ook een VOG, noodcontacten of een beschikbaarheidsrooster bijhoudt.
  • Begunstigdende mensen die de stichting daadwerkelijk helpt. Dit zijn vaak kwetsbare groepen, wat de privacygevoeligheid vergroot.
  • Subsidieverstrekkers die gedetailleerde verslaglegging eisen, inclusief gegevens van deelnemers aan projecten.
  • Bestuursleden en commissieleden wiens contactgegevens je intern en extern deelt.

Begin met een simpele lijst: welke categorie mensen stuurt ons gegevens, welke gegevens zijn dat en waar slaan we die op? Een Utrechtse jeugdstichting die kampen organiseert, verwerkt bijvoorbeeld ook medische gegevens van kinderen. Dat zijn bijzondere persoonsgegevens, waarvoor strengere regels gelden.

Stap 2: Bepaal per verwerking de juiste AVG-grondslag

De AVG kent zes grondslagen. Voor stichtingen zijn er drie die je het vaakst tegenkomt, en het is cruciaal om ze niet door elkaar te halen.

Overeenkomst: Een vrijwilliger tekent een vrijwilligersovereenkomst. De gegevens die je nodig hebt om die overeenkomst uit te voeren, mag je verwerken op basis van die overeenkomst. Je hebt dan geen aparte toestemming nodig voor naam, adres en bankgegevens voor de onkostenvergoeding.

Gerechtvaardigd belang: Je stuurt oud-donateurs een nieuwsbrief over je jaarverslag. Dat kan onder gerechtvaardigd belang vallen, mits je een afweging maakt en de betrokkene een duidelijke afmeldmogelijkheid heeft. Gebruik dit niet als vangnet voor alles wat je toch wil doen.

Toestemming: Verwerk je bijzondere persoonsgegevens (zoals gezondheidsinfo van begunstigden), of wil je profielfoto’s van vrijwilligers op social media zetten? Dan heb je expliciete, aantoonbare toestemming nodig. Leg die schriftelijk vast en bewaar het bewijs.

Een vuistregel: hoe gevoeliger de gegevens of hoe minder de betrokkene de verwerking verwacht, hoe eerder je toestemming nodig hebt in plaats van gerechtvaardigd belang.

Stap 3: Stel vast wie verwerkingsverantwoordelijke is

Een stichting is een rechtspersoon, dus de stichting zelf is verwerkingsverantwoordelijke, niet een individueel bestuurslid. Maar iemand moet de verklaring ondertekenen en aanspreekbaar zijn bij vragen of klachten. Dat is doorgaans de voorzitter of een aangewezen functionaris gegevensbescherming (FG).

Heb je geen personeel maar wel een actief bestuur? Wijs dan expliciet één persoon aan als contactpunt voor privacyzaken, en vermeld die functie (niet de naam, want bestuursleden wisselen) in de privacyverklaring. Iets als: “Vragen over privacy kun je sturen naar privacy@stichtingnaam.nl, beheerd door de secretaris.”

Stap 4: Identificeer derde partijen en documenteer verwerkersovereenkomsten

Stichtingen gebruiken vaak dezelfde tools als commerciële organisaties, maar denken er minder snel over na. Typische verwerkers bij een stichting:

  • Fondsenwervingsplatforms zoals Give.nl of Geef.nl.
  • Vrijwilligersportalen zoals Vrijwilligerswerk.nl of een eigen aanmeldformulier via een CRM.
  • Nieuwsbrieftools (Mailchimp, Laposta, ActiveCampaign).
  • Boekhoudsoftware die ook facturen en IBAN-nummers van donateurs bevat.
  • Cloudopslag voor projectdossiers, soms met begunstigdeninformatie.

Met elke verwerker die namens jou persoonsgegevens verwerkt, sluit je een verwerkersovereenkomst. Controleer of de tool of het platform er een aanbiedt (dit staat vaak in de instellingen of de juridische sectie van hun website). Leg de datum en versie bij in je eigen administratie.

Stap 5: Schrijf de verplichte onderdelen in de juiste volgorde

Een privacyverklaring stichting voorbeeld heeft doorgaans deze opbouw per categorie betrokkenen. Hieronder zie je hoe je dat schematisch aanpakt:

Categorie Gegevens Doel Grondslag Bewaartermijn
Donateur Naam, e-mail, IBAN, bedrag Verwerken gift, fiscale verantwoording Overeenkomst / wettelijke verplichting 7 jaar (belastingwetgeving)
Vrijwilliger Naam, adres, beschikbaarheid, evt. VOG Plannen inzet, onkostenvergoeding Vrijwilligersovereenkomst 2 jaar na einde samenwerking
Begunstigde Naam, contactgegevens, evt. gezondheidsinfo Uitvoeren doelstelling stichting Toestemming (bij bijzondere gegevens) Duur van het project plus 1 jaar

Verwerk dit schema in lopende tekst per sectie. Elk onderdeel bevat: welke gegevens, waarom, op welke grondslag, hoe lang je ze bewaart en met wie je ze deelt. Sluit af met de rechten van betrokkenen (inzage, correctie, verwijdering) en hoe ze die kunnen uitoefenen.

Stap 6: Vertaal grondslagen naar begrijpelijke taal

“Verwerking op basis van een gerechtvaardigd belang als bedoeld in artikel 6 lid 1 sub f AVG” begrijpt geen enkele vrijwilliger. En dat hoeft ook niet. Schrijf in gewone taal wat je doet en waarom, en voeg de juridische term toe als toelichting tussen haakjes of in een aparte verklarende voetnoot.

Enkele concrete alternatieven voor veelgebruikte formuleringen in een stichtingscontext:

  • In plaats van “gerechtvaardigd belang”: “We sturen oud-donateurs maximaal vier keer per jaar een update over onze projecten. Dat doen we omdat we denken dat ze dit relevant vinden op basis van hun eerdere bijdrage. Je kunt je altijd afmelden.”
  • In plaats van “uitvoering van de overeenkomst”: “Omdat je je hebt aangemeld als vrijwilliger en we samen afspraken hebben gemaakt, bewaren we je contactgegevens en beschikbaarheid.”
  • In plaats van “wettelijke verplichting”: “De Belastingdienst verplicht ons giften en vergoedingen zeven jaar te bewaren in onze administratie.”

Stap 7: Publiceer, informeer en onderhoud de verklaring

De verklaring moet vindbaar zijn. Voor een stichting betekent dat minimaal een link in de footer van je website en een verwijzing op elk formulier waarop betrokkenen gegevens invullen, ook het papieren aanmeldformulier voor vrijwilligers dat je op een infoavond uitdeelt.

Actief informeren is soms verplicht. Als je gegevens niet rechtstreeks van de betrokkene hebt gekregen (bijvoorbeeld begunstigden die via een partner worden doorverwezen), moet je de betrokkene binnen een redelijke termijn informeren over hoe je zijn gegevens gebruikt. Doe dat schriftelijk en bewaar het bewijs.

Stichtingen werken vaak in projectcycli van een of twee jaar, gekoppeld aan subsidieperiodes. Gebruik die momenten ook als vaste evaluatiemomenten voor je privacyverklaring. Stel jezelf elk jaar bij de subsidieaanvraag de vraag: zijn er nieuwe verwerkingen bijgekomen, nieuwe tools in gebruik genomen of nieuwe categorieën betrokkenen? Pas de verklaring dan aan en stuur een korte notificatie aan degenen van wie de verwerking wijzigt.

Bewaar elke oude versie van de verklaring met de datum waarop die gold. Mocht er ooit een klacht komen, dan kun je aantonen wat er op welk moment in stond.

Een privacyverklaring voor een stichting is geen standaardtekst met een andere kop. De combinatie van donateurs, vrijwilligers en begunstigden maakt jouw verwerkingen uniek, en als je werkt met kwetsbare mensen staat er ook meer op het spel dan bij een doorsnee website. Breng de verwerkingen in kaart, kies per categorie de juiste grondslag, sluit verwerkersovereenkomsten af met partijen die namens jou data verwerken en schrijf de verklaring in taal die je doelgroep begrijpt. Gebruik de privacypolicygenerator op deze site als vertrekpunt en pas het resultaat aan op de situatie van jouw stichting.