ATS en AVG: wat moet je regelen voor GDPR-compliance?
Bij ATS-gebruik moet je 6 AVG-verplichtingen regelen: verwerkersovereenkomst tekenen, bewaartermijnen instellen (standaard 4 weken na afwijzing), toestemmingsbeheer configureren, recht op vergetelheid automatiseren, data-portabiliteit inrichten en privacy by design waarborgen. Non-compliance kan leiden tot boetes tot 4% van je jaaromzet.
De AVG (GDPR) stelt strenge eisen aan hoe je kandidaatgegevens verwerkt in je ATS. Een datalek of non-compliance kan leiden tot boetes tot 4% van je jaaromzet. Toch worden AVG-verplichtingen bij de selectie van een ATS vaak over het hoofd gezien. Dit artikel behandelt de 6 zaken die je moet regelen, vóór je live gaat.
Laatst bijgewerkt: 27 april 2026 · Methodologie
De 6 AVG-verplichtingen voor ATS-gebruik
1) Verwerkersovereenkomst: je ATS-vendor is verwerker; je hebt een getekende verwerkersovereenkomst nodig. 2) Bewaartermijnen: kandidaatgegevens mogen niet onbeperkt bewaard worden. Stel automatische verwijderregels in (standaard: 4 weken na afwijzing, tenzij toestemming). 3) Toestemmingsbeheer: vastleggen waarom je data verwerkt (sollicitatie, talent pool, nieuwsbrief). 4) Recht op vergetelheid: kandidaten moeten hun data kunnen laten verwijderen. 5) Data portabiliteit: kandidaten hebben recht op export van hun gegevens. 6) Privacy by design: het ATS moet AVG-compliance in de architectuur hebben ingebouwd.
Welke ATS-systemen scoren het beste op AVG?
Europese ATS-systemen hebben een voorsprong op het gebied van AVG-compliance. Recruitee (Tellent), Teamtailor, Homerun en Ubeeo bieden standaard verwerkersovereenkomsten, automatische bewaartermijnen en consent management. Amerikaanse systemen als Greenhouse en Workable hebben hun AVG-compliance de afgelopen jaren sterk verbeterd maar vereisen meer handmatige configuratie. Let specifiek op de locatie van dataopslag: EU-hosting is een randvoorwaarde voor veel Nederlandse organisaties.
Checklist AVG-compliance voor je ATS
Gebruik deze checklist bij de evaluatie van een ATS: ✓ Verwerkersovereenkomst getekend ✓ Dataopslag binnen EU ✓ Automatische bewaartermijnen instelbaar ✓ Consent management ingebouwd ✓ Recht op vergetelheid geautomatiseerd ✓ Privacy statement koppeling op career site ✓ Audit log beschikbaar ✓ Data Protection Impact Assessment (DPIA) beschikbaar ✓ Sub-verwerkers transparant gedeeld ✓ Beveiligingscertificering (ISO 27001 of vergelijkbaar).
Veelgestelde vragen
Hoe lang mag ik kandidaatgegevens bewaren in mijn ATS?
Na afwijzing mag je gegevens standaard 4 weken bewaren. Met expliciete toestemming van de kandidaat mag dit langer, meestal tot 1 jaar. Stel automatische verwijderregels in je ATS in.
Moet mijn ATS data opslaan binnen de EU?
De AVG vereist adequate bescherming bij verwerking buiten de EU. Voor de meeste Nederlandse organisaties is EU-hosting de veiligste optie. Vraag je vendor naar de locatie van hun datacenters.
Wat als mijn ATS niet AVG-compliant is?
Je bent als verwerkingsverantwoordelijke aansprakelijk, niet je ATS-vendor. Bij non-compliance riskeer je boetes tot 4% van de jaaromzet. Controleer compliance vóór je live gaat, niet achteraf.