Hoe werkt datportabiliteit en waarom is het relevant voor mijn bedrijf?

Patrick de Veer · 23 jul 2026

Dataportabiliteit betekent dat je het recht hebt om jouw persoonsgegevens in een gestructureerd, gangbaar en machineleesbaar formaat op te vragen bij een organisatie, zodat je die gegevens kunt overdragen aan een andere dienstverlener. Dit recht is vastgelegd in de AVG en geldt voor iedereen van wie gegevens worden verwerkt. In de praktijk raakt het zowel klanten als bedrijven, en de impact is groter dan veel MKB-ondernemers beseffen. In dit artikel beantwoorden we de meest gestelde vragen over dataportabiliteit, van je wettelijke verplichtingen tot de strategische kansen die het biedt.

Welke rechten geeft dataportabiliteit aan bedrijven en klanten?

Dataportabiliteit geeft individuen het recht om persoonsgegevens die zij aan een organisatie hebben verstrekt, terug te vragen in een leesbaar digitaal formaat en die gegevens direct door te sturen naar een andere partij. Dit recht geldt wanneer de verwerking is gebaseerd op toestemming of op een overeenkomst, en wanneer de verwerking geautomatiseerd plaatsvindt.

Concreet betekent dit dat een klant bij jou kan aankloppen met het verzoek: geef me mijn gegevens in een bestand dat ik ergens anders kan gebruiken. Denk aan een klant die zijn aankoopgeschiedenis, profielgegevens of contractinformatie wil meenemen naar een concurrent of een nieuw platform. Jij bent als verwerkende partij verplicht om dat verzoek binnen een maand te beantwoorden.

Voor bedrijven zelf geldt het recht op dataportabiliteit ook richting hun eigen leveranciers. Als jouw bedrijfsdata is opgeslagen bij een softwareleverancier, heb je het recht om die data op te vragen in een bruikbaar formaat. Dit is relevant als je wilt overstappen van een platform, of als je bezorgd bent over digitale afhankelijkheid MKB en leveranciersrisico’s zoals de CLOUD Act.

Welke bedrijven zijn verplicht dataportabiliteit te ondersteunen?

Alle organisaties die persoonsgegevens verwerken op basis van toestemming of een overeenkomst, en dat geautomatiseerd doen, zijn verplicht om dataportabiliteit te ondersteunen. Dit geldt dus voor vrijwel elk bedrijf dat klantgegevens beheert via een digitaal systeem, ongeacht de omvang van het bedrijf.

Er is geen minimumgrens qua bedrijfsgrootte. Ook een kleine ondernemer met een CRM-systeem of een webshop valt onder deze verplichting. De AVG maakt geen onderscheid tussen grote corporaties en het MKB. Wat telt, is of je persoonsgegevens verwerkt op een van de twee genoemde grondslagen.

Uitzonderingen bestaan wel: als de verwerking plaatsvindt op basis van een wettelijke verplichting, geldt het portabiliteitsrecht niet. Ook gegevens die je hebt afgeleid of zelf hebt gegenereerd op basis van klantdata, zoals analyses of scores, vallen buiten de reikwijdte van het portabiliteitsrecht. Alleen de ruwe gegevens die de betrokkene zelf heeft aangeleverd of gegenereerd door gebruik van je dienst, vallen eronder.

Wat zijn de praktische gevolgen voor MKB-bedrijven?

Voor MKB-bedrijven betekent dataportabiliteit in de praktijk dat je een werkend proces nodig hebt om gegevensverzoeken te ontvangen, te beoordelen en te beantwoorden binnen de wettelijke termijn van één maand. Dat klinkt eenvoudig, maar vraagt om duidelijkheid over waar je klantdata staan, in welk formaat die beschikbaar zijn, en wie binnen je organisatie verantwoordelijk is.

Veel kleinere bedrijven hebben hun data verspreid over meerdere systemen: een boekhoudpakket, een CRM, een e-mailplatform en misschien een webshop. Als een klant een portabiliteitsverzoek indient, moet je weten welke systemen relevant zijn en of die data exporteerbaar is in een gangbaar formaat zoals CSV of JSON. Dit is ook het moment waarop je merkt hoe afhankelijk je bent van je huidige leveranciers.

De praktische stappen die je als MKB-ondernemer kunt zetten:

Breng in kaart welke persoonsgegevens je verwerkt en in welke systemen
Controleer of je die systemen kunt exporteren naar een leesbaar formaat
Wijs een verantwoordelijke aan voor het afhandelen van privacyverzoeken
Stel een intern proces in voor het ontvangen en beantwoorden van verzoeken
Documenteer elk verzoek en de afhandeling ervan

Hoe verhoudt dataportabiliteit zich tot andere AVG-rechten?

Dataportabiliteit is één van de zes individuele rechten die de AVG toekent aan betrokkenen. Het onderscheidt zich van de andere rechten doordat het niet alleen gaat om inzage of correctie, maar om actieve overdraagbaarheid van data naar een derde partij. Dat maakt het uniek en tegelijk complexer om uit te voeren.

Het recht op inzage geeft iemand het recht te weten welke gegevens je verwerkt. Het recht op correctie geeft het recht om fouten te laten aanpassen. Het recht op vergetelheid geeft het recht om verwijdering te vragen. Dataportabiliteit gaat een stap verder: het geeft het recht om gegevens actief mee te nemen, in een formaat dat bruikbaar is voor een andere dienst.

In de praktijk komen portabiliteitsverzoeken vaak samen met inzageverzoeken. Een klant die wil overstappen naar een concurrent, vraagt eerst inzage en daarna overdracht. Als bedrijf doe je er goed aan beide verzoeken via hetzelfde proces af te handelen, zodat je geen dubbel werk creëert en consistent reageert.

Welke rol speelt dataportabiliteit in ESG-rapportage en duurzaamheidsdata?

Dataportabiliteit speelt een indirecte maar relevante rol in ESG-rapportage. Niet omdat ESG-data altijd persoonsgegevens betreft, maar omdat de principes van portabiliteit, namelijk gestructureerde data, overdraagbaarheid en leveranciersonafhankelijkheid, precies de eigenschappen zijn die goede ESG-rapportage ook vraagt.

Als je duurzaamheidsdata vastzit in een platform dat je niet kunt exporteren, heb je een probleem zodra je wilt overstappen, een audit ondergaat of data wilt aanleveren aan een externe partij. De digitale afhankelijkheid MKB die speelt bij persoonsgegevens, speelt net zo goed bij bedrijfsdata en rapportagedata.

Bedrijven die werken met ESG-rapportagetools doen er goed aan te controleren of hun data exporteerbaar is, of er een audittrail beschikbaar is, en of ze niet afhankelijk zijn van één leverancier voor toegang tot hun eigen duurzaamheidsinformatie. Dit is ook relevant in het kader van toenemende Europese regelgeving rond transparantie en verslaglegging.

Wanneer is dataportabiliteit ook een strategisch voordeel?

Dataportabiliteit is niet alleen een wettelijke verplichting, het is ook een strategisch voordeel als je het actief inzet om klantvertrouwen op te bouwen. Bedrijven die transparant zijn over hoe zij omgaan met klantdata en die het makkelijk maken om gegevens op te vragen, onderscheiden zich positief van partijen die data vasthouden als verdienmodel.

Zeker in sectoren waar klanten meerdere aanbieders vergelijken, zoals financiële dienstverlening, zorg of zakelijke software, kan gemakkelijke dataoverdracht een reden zijn voor klanten om voor jou te kiezen. Ze weten dat ze niet vastzitten als ze later willen overstappen. Dat verlaagt de drempel om te beginnen.

Intern biedt dataportabiliteit ook voordelen. Als jij als bedrijf makkelijk je eigen data kunt opvragen bij leveranciers, ben je minder kwetsbaar voor vendor lock-in. Dit is relevant bij het beoordelen van CLOUD Act risico bedrijf en bij beslissingen over platforms zoals het overstappen van Microsoft 365 MKB naar een EU alternatief Google Workspace. Bedrijven die hun data kunnen meenemen, houden de regie.

Benieuwd waar jouw bedrijf staat op het gebied van digitale weerbaarheid? Doe de gratis Digitale Weerbaarheid pre-scan en weet het in tien minuten. Geen registratie, direct resultaat.

Frequently Asked Questions

Hoe snel moet ik reageren op een dataportabiliteitsverzoek, en wat als ik de deadline niet haal?

Je bent wettelijk verplicht om een dataportabiliteitsverzoek binnen één maand te beantwoorden. Als het verzoek complex is of je veel verzoeken tegelijk ontvangt, mag je de termijn met twee maanden verlengen, mits je de betrokkene daar binnen de eerste maand van op de hoogte stelt met een duidelijke reden. Haal je de deadline zonder communicatie, dan loop je het risico op een klacht bij de Autoriteit Persoonsgegevens en mogelijke boetes.

In welk bestandsformaat moet ik de gegevens aanleveren bij een portabiliteitsverzoek?

De AVG schrijft geen specifiek formaat voor, maar vereist dat het gaat om een gestructureerd, gangbaar en machineleesbaar formaat. In de praktijk zijn CSV, JSON en XML de meest geaccepteerde keuzes. Het is verstandig om te kiezen voor een formaat dat door gangbare software te openen is, zodat de betrokkene er daadwerkelijk iets mee kan doen. Controleer bij je huidige systemen alvast of zij exportfuncties in deze formaten ondersteunen.

Wat als mijn software of CRM geen exportfunctie heeft? Ben ik dan in overtreding?

Als je systeem geen exportfunctie biedt in een gangbaar formaat, maakt dat het lastig om aan je wettelijke verplichting te voldoen, wat juridisch risico oplevert. Dit is een belangrijk signaal om bij je leverancier aan te kaarten of zelfs om te heroverwegen of dit platform nog geschikt is voor je bedrijfsvoering. Neem in nieuwe softwarecontracten altijd een clausule op over data-exportrechten, zodat je nooit afhankelijk bent van de goodwill van een leverancier.

Moet ik ook voldoen aan dataportabiliteit als ik klantgegevens verwerk via een externe verwerker, zoals een e-mailmarketingplatform?

Ja, de eindverantwoordelijkheid ligt bij jou als verwerkingsverantwoordelijke, ook als de data feitelijk wordt opgeslagen bij een externe verwerker. Dit betekent dat je in je verwerkersovereenkomst moet hebben afgedwongen dat de verwerker jou in staat stelt om data te exporteren en terug te leveren. Heb je dat niet geregeld, dan is dit het moment om je verwerkersovereenkomsten te controleren en waar nodig aan te passen.

Kan een klant eisen dat ik zijn gegevens rechtstreeks doorstuur naar een concurrent, of mag ik dat weigeren?

Ja, de AVG geeft betrokkenen het recht om te vragen dat je hun gegevens rechtstreeks overdraagt aan een andere verwerkingsverantwoordelijke, mits dat technisch haalbaar is. 'Technisch haalbaar' is een belangrijke nuancering: je bent niet verplicht om een directe koppeling te bouwen met een concurrent als die er niet is. In de meeste gevallen volstaat het om de data in een exportbestand aan te leveren dat de betrokkene zelf kan uploaden bij de nieuwe dienstverlener.

Hoe voorkom ik dat dataportabiliteit een administratieve last wordt in plaats van een beheersbaar proces?

De sleutel is voorbereiding: zorg voor een gedocumenteerd intern proces vóórdat je het eerste verzoek ontvangt. Wijs één verantwoordelijke aan, maak een overzicht van alle systemen waarin klantdata staat, en test alvast of je die data kunt exporteren. Gebruik een eenvoudig registratieformulier voor inkomende verzoeken en bewaar de afhandeling in je verwerkingsregister. Zo behandel je elk verzoek consistent en efficiënt, zonder elke keer opnieuw het wiel uit te vinden.

Geldt dataportabiliteit ook voor gegevens van medewerkers, of alleen voor klantgegevens?

Ja, het recht op dataportabiliteit geldt voor alle betrokkenen van wie je persoonsgegevens verwerkt op basis van toestemming of een overeenkomst, dus ook medewerkers. Denk aan salarisgegevens, beoordelingshistorie of opleidingsrecords die een medewerker wil meenemen bij vertrek. In de praktijk komen verzoeken van medewerkers minder vaak voor dan van klanten, maar het is verstandig om je interne HR-systemen ook te toetsen op exportmogelijkheden.