How it works For whom Sectors For partners Knowledge base BedrijvenScan.nl ↗ Schedule a call
NL EN

Hoe deel je duurzaamheidsgegevens met klanten zonder vertrouwelijke informatie vrij te geven?

Patrick de Veer ·
Glazen vitrine op modern bureau met kleine groene plant en duurzaamheidsrapport, terwijl een tweede document omgekeerd ligt, symbool voor greenwashing.

Wat je al moet weten vóór je gegevens deelt

Een klant vraagt naar CO2-cijfers, verpakkingsdata en ESG-beleid, maar in dezelfde bestanden staan vaak leveranciersvoorwaarden, prijzen of persoonsgegevens. Zorg daarom vóór je begint dat je de vraag, de bronhouders en de interne goedkeuring kent.

  • Je hebt een concrete klantvraag, leveranciersvragenlijst of aanbestedingsvereiste ontvangen, of verwacht die binnenkort.
  • Je weet welke medewerker inhoudelijk eigenaar is van energie-, inkoop-, HR- en verpakkingsdata.
  • Je kunt intern bepalen welke informatie commercieel gevoelig is en wie een deelbeslissing mag goedkeuren.

Wat je nodig hebt om een klantpakket op te bouwen

Verzamel eerst wat je nodig hebt om één controleerbare klantversie te maken. Zo stuur je geen losse bronbestanden rond en blijft duidelijk welke versie is goedgekeurd.

  • De klantvraag of vragenlijst, inclusief gevraagde periode, eenheden en deadline.
  • Beschikbare brondata, zoals energiefacturen, brandstofgegevens, verpakkingsregistraties, inkoopoverzichten of bestaande CO2-berekeningen.
  • Een vaste opslaglocatie voor bewijsstukken en goedgekeurde klantversies.
  • Een gecontroleerd deelkanaal, zoals een beveiligde dataroom, klantenportaal of document met beperkte toegang.
SNEL INZICHT. GEEN EXTRA ADMINISTRATIE.
Maak de kosten van uitstel zichtbaar.

Beantwoord de vragen en krijg een helder eerste beeld van waar actie waarde kan opleveren.

Start nu →

Stap 1: breng de klantvraag terug tot concrete datapunten

Grote afnemers kunnen leveranciers om meer informatie vragen voor hun due diligence of koolstofvoetafdrukanalyses. Die vragen kunnen gaan over de drie ESG-pijlers: milieu-, sociale en governancecriteria. Een brede vragenlijst is dus geen reden om meteen volledige bronbestanden door te sturen.

Leg per vraag vast wat de klant precies nodig heeft: een bedrijfsbrede CO2-uitstoot, productvoetafdruk, verpakkingsmateriaal, ESG-beleid of informatie uit de waardeketen. Noteer ook de scope, periode, eenheid, berekeningsmethode en het gewenste bewijsniveau. Zo maak je duurzaamheidsinformatie voor klanten concreet en bepaal je eerst welke output past.

Bij Scope 3 gaat het om gegevens van leveranciers of andere ketenpartners over specifieke activiteiten in de waardeketen van de rapporterende onderneming. Primaire Scope 3-data kan bestaan uit primaire activiteitsdata of uit door leveranciers berekende emissiedata die specifiek is voor de activiteiten van die leveranciers. Vraag daarom bij een onduidelijke vraag of de klant productdata, een bedrijfsbrede score of primaire waardeketendata bedoelt.

Tip

Gebruik één intakeblad met kolommen voor klantvraag, gevraagde output, bronhouder, methode, bewijs en goedkeurder. Dat voorkomt dat verschillende medewerkers elk een eigen versie van hetzelfde cijfer doorsturen.

Let op

Behandel een verzoek om alle onderliggende data niet als standaardvereiste. Vraag eerst welk besluit of welke rapportering de klant ermee moet onderbouwen. Dat is de eerste stap om vertrouwelijke informatie te beschermen.

Stap 2: scheid brondata van de output die de klant nodig heeft

Maak per datapunt twee lagen. Bewaar berekeningen, facturen, contractdetails en andere gevoelige onderbouwing intern. De klantversie bevat alleen het afgesproken cijfer, de scope, periode, methode en het bewijsniveau.

Zo voorkom je dat een antwoord over CO2 of verpakking tegelijk prijsafspraken, marges, leveranciersvoorwaarden, identificerende personeelsgegevens of niet-gepubliceerde bronbestanden blootlegt. Deel dus de uitkomst die de klant nodig heeft, niet automatisch het bestand waaruit die uitkomst komt.

Bij productvoetafdrukken helpt een vaste methode om de cijfers uitlegbaar te houden. ISO 14067:2018 behandelt de carbon footprint van producten. Vermeld daarom in de klantversie altijd de gekozen productgrens en methode. Anders vergelijkt een klant mogelijk cijfers die op een andere basis zijn berekend.

Tip

Gebruik afgeronde of geaggregeerde cijfers als de klant geen detail per leverancier, locatie of contract nodig heeft. Dat houdt de informatie bruikbaar zonder meer prijs te geven dan nodig is.

Let op

Dataminimalisatie betekent dat je persoonsgegevens alleen verwerkt als ze nodig zijn voor het afgesproken doel. De GDPR-beginselen geven je hier een duidelijke grens: stuur geen namen of contactgegevens mee als een cijfer zonder die gegevens volstaat.

Verwijder niet alleen zichtbare prijs- of persoonsgegevens. Controleer ook bestandsnamen, opmerkingen, metadata en verborgen tabbladen vóór je een klantversie verstuurt.

Stap 3: bepaal of de vraag klantgedreven of rapporteringsplichtig is

Maak eerst het onderscheid tussen een klantvraag en formele duurzaamheidsrapportering. De CSRD is in België omgezet via de wet van 2 december 2024 over de openbaarmaking en assurance van duurzaamheidsinformatie. De Belgische regels bepalen dat grote vennootschappen duurzaamheidsinformatie in hun jaarverslag moeten opnemen.

Ook kleine en middelgrote vennootschappen met effecten op een gereglementeerde markt moeten duurzaamheidsinformatie in het jaarverslag opnemen, behalve microvennootschappen. Bepaalde niet-Europese ondernemingen met economische activiteit in België via een dochtervennootschap of bijkantoor vallen eveneens onder die verplichting. De toepassingsgevallen vragen dus om een aparte beoordeling.

Een klant die CO2-data opvraagt voor een leveranciersbeoordeling of Scope 3-berekening vraagt niet automatisch om een formeel duurzaamheidsverslag. Ondernemingen die wel onder de CSRD vallen, rapporteren volgens de European Sustainability Reporting Standards. Daar hoort een navolgbare inhoudsindex bij die toont waar toelichtingen en relevante datapoints staan. Dat is een ander doel dan een afgebakend klantpakket.

Gebruik daarom geen omzetgrens uit een klantvragenlijst als antwoord op de vraag of je CSRD-plichtig bent. Deze gids bevat geen verifieerbare CSRD-omzetdrempel.

Tip

Leg per klantvraag vast waarvoor de informatie dient: een leveranciersbeoordeling, Scope 3-berekening, aanbesteding of openbare rapportering. Gebruik voor formele rapporteringsvragen een aparte beslisroute met accountant, bedrijfsrevisor of juridisch adviseur.

Let op

Verwar de CSDDD-drempel van 5.000 medewerkers en €1,5 miljard omzet niet met een CSRD-drempel. Die cijfers horen bij de CSDDD-regels, niet bij de CSRD.

Ga er ook niet van uit dat een niet-beursgenoteerde kmo geen klantvragen over duurzaamheidsdata zal ontvangen. De rapporteringsplicht en de informatievraag van een klant zijn twee verschillende zaken.

Stap 4: pas een privacyfilter toe vóór je bestanden deelt

Controleer vóór verzending of je duurzaamheidsdata persoonsgegevens bevatten. Dat kan direct zichtbaar zijn in namen en e-mailadressen, maar ook in HR-gegevens, chauffeurslijsten of gegevens over kleine teams. Een duurzaamheidsverzoek is geen vrijbrief om personeels- of contactgegevens mee te sturen.

De Europese Commissie noemt zeven kernbeginselen van de GDPR: rechtmatigheid, behoorlijkheid en transparantie; doelbinding; dataminimalisatie; opslagbeperking; juistheid; integriteit en vertrouwelijkheid; en verantwoordingsplicht. Gebruik die beginselen als controlelijst voor elke klantversie.

Doelbinding betekent dat je persoonsgegevens alleen verwerkt voor een vooraf bepaald doel dat je aan betrokkenen duidelijk maakt wanneer je de gegevens verzamelt. Deel dus alleen wat nodig is voor de concrete klantvraag. Vervang namen en e-mailadressen in een bewijsstuk door functierollen als de identiteit niet nodig is.

Beperk ook hoe lang gegevens beschikbaar blijven en voor wie. Persoonsgegevens mogen niet langer worden bewaard dan nodig is voor het doel waarvoor ze zijn verzameld. Passende technische en organisatorische maatregelen moeten ze beschermen tegen ongeoorloofde verwerking, verlies, vernietiging of beschadiging. Zo houd je ontvangers en toegang beperkt.

Leg vast welke persoonsgegevens je hebt verwijderd, geanonimiseerd of toch hebt gedeeld, en waarom. De verantwoordingsplicht vraagt dat je naleving van de beginselen kunt aantonen wanneer daarnaar wordt gevraagd. Dat helpt om vertrouwelijke informatie te beschermen zonder de klant zonder onderbouwing achter te laten.

Tip

Maak vóór externe verzending een vaste privacycheck: doel, noodzakelijkheid, persoonsgegevens, ontvangers, bewaartermijn en beveiliging.

Let op

Als persoonsgegevens via een externe partij worden verwerkt, volstaat een mondelinge afspraak niet. De Belgische gegevensbeschermingsautoriteit stelt dat die uitbesteding moet zijn vastgelegd in een bindend contract of een wettelijke bepaling.

Stap 5: formaliseer de verwerking van persoonsgegevens

Gebruik deze stap alleen als een externe partij persoonsgegevens in jouw duurzaamheidsdata verwerkt. Leg dan vast wie verwerkingsverantwoordelijke is en wie verwerker, per bestand dat persoonsgegevens bevat.

De uitbesteding moet volgens de Belgische gegevensbeschermingsautoriteit worden vastgelegd in een bindend contract of een wettelijke bepaling, met minstens de verplichte vermeldingen uit artikel 28.3. Een algemene geheimhoudingsovereenkomst heeft een ander doel. Die regelt niet automatisch de verwerking van persoonsgegevens.

Informeer betrokkenen ook over jouw naam, de verwerkingsdoeleinden, de categorieën persoonsgegevens, de rechtsgrond, de bewaartermijn, ontvangers van de gegevens, eventuele doorgifte buiten de EU en de privacyrechten van de betrokkene. Die informatieplicht maakt duidelijk welke gegevens waarvoor worden gebruikt en met wie ze worden gedeeld.

Tip

Gebruik een vaste controlelijst voor die informatie. Neem daarin het verwerkingsdoel, de categorie gegevens, rechtsgrond, bewaartermijn, ontvangers, eventuele doorgifte buiten de EU en privacyrechten op.

Let op

Neem geen persoonsgegevens op in de klantversie als de klant die niet nodig heeft voor het afgesproken doel.

Stap 6: leg methode, bewijs en deelbeslissing vast

Leg per gedeeld datapunt vast waar het cijfer vandaan komt, wie het heeft gecontroleerd, welke aannames gelden en welke klantversie je hebt verstuurd. Bewaar die onderbouwing intern bij de goedgekeurde versie.

Zo bouw je een herbruikbaar klantpakket op in plaats van elke nieuwe vragenlijst vanuit losse bestanden te beantwoorden. De audittrail is je interne bewijs dat de klantversie klopt. Het is geen CSRD-inhoudsindex.

Tip

Houd een deelregister bij met de klant, versie, ontvanger, datum, gedeelde datapunten en eventuele beperkingen.

Gebruik per datapunt dezelfde definities en periodes. Wijkt dat af voor een klant, leg die afwijking dan expliciet uit in de klantversie.

Let op

Pas een eerder gedeelde berekening niet stilzwijgend aan. Maak een herziening zichtbaar met een nieuwe versie en een toelichting op wat is gewijzigd.

Stap 7: controleer je wettelijke context bij activiteiten in Nederland

Werk je ook voor Nederlandse klanten, behandel hun vragen dan niet als één algemene rapporteringsplicht. Toepasselijke regels hangen af van je bedrijfsomvang, activiteiten, productketen en energiegebruik. Maak daarom voor elke Nederlandse opdracht apart duidelijk of de vraag gaat over energie, mensenrechten, herkomst of een eigen leveranciersbeoordeling.

De CSDDD geldt in de EU sinds 2024 en verplicht grote bedrijven tot internationaal maatschappelijk verantwoord ondernemen. Volgens de gaat het om ondernemingen met minimaal 5.000 medewerkers en €1,5 miljard omzet, die negatieve effecten van hun productieproces op mens en milieu moeten controleren en tegengaan. Gebruik deze Nederlandse CSDDD-informatie dus niet als bewijs dat jouw Belgische onderneming CSRD-plichtig is.

Nederland moet de CSDDD uiterlijk op 26 juli 2028 omzetten in nationale wetgeving. De Wet Internationaal Verantwoord Ondernemen moet nog door de Tweede en Eerste Kamer worden goedgekeurd; de nalevingsplicht voor bedrijven geldt vanaf 26 juli 2029. Leg bij een klantvraag vast welk kader de klant bedoelt, zodat je geen gegevens deelt voor een verplichting die niet op jouw situatie van toepassing is.

Voor herkomstvragen speelt ook de Anti-dwangarbeidverordening mee. De EU nam die verordening in 2024 aan; zij verbiedt producten die met dwangarbeid zijn gemaakt op de Europese markt te verkopen of vanuit de EU uit te voeren. Deze regels vragen om andere onderbouwing dan een CO2-cijfer of energieverbruik.

Nederland en de andere EU-lidstaten willen in 2030 gezamenlijk 11,7% minder energie verbruiken. De Rijksoverheid noemt de energiebesparingsplicht als bestaande maatregel voor bedrijven en glastuinbouwbedrijven. Houd energievragen daarom apart bij van vragen over mensenrechten en herkomst. De brondata en interne eigenaar zijn niet dezelfde.

Tip

Maak voor Nederlandse opdrachten een aparte compliancecheck met sector, rechtsgebied, productketen en klantvereisten.

Let op

De gevonden Nederlandse regels zijn niet uitputtend. Laat de toepasselijkheid bij twijfel beoordelen.

Veelvoorkomende problemen bij het delen van klantgegevens

  • De klant vraagt alle facturen, contracten of spreadsheets als bewijs. Vraag eerst welk datapunt de klant wil verifiëren. Bied vervolgens een samenvatting, geaggregeerd bewijs of gecontroleerde inzage aan. Grote afnemers kunnen informatie uit de keten vragen voor due diligence en koolstofvoetafdrukanalyses, maar dat maakt een volledig bronbestand niet automatisch nodig. De ketenvraag bepaalt welke onderbouwing past. Deel bronbestanden alleen na interne goedkeuring en met beperkte toegang.

  • De CO2-berekening bevat aannames of onvolledige leveranciersdata. Stuur het cijfer dan niet door als een exact feit zonder toelichting. Vermeld scope, periode, methode, databronnen en aannames, en leg vast welk onderdeel je later kunt verfijnen. Primaire Scope 3-data kan bestaan uit activiteitsdata of uit emissiedata die leveranciers zelf voor hun activiteiten berekenen. Die Scope 3-data is dus afhankelijk van wat in de waardeketen beschikbaar is.

  • Een export bevat namen, e-mailadressen of personeelsdetails. Maak een aparte klantversie met geanonimiseerde of geaggregeerde gegevens. De GDPR vraagt dat persoonsgegevens beperkt blijven tot wat nodig is voor het afgesproken doel. Dataminimalisatie geeft hier de grens aan.

  • De klant gebruikt CSRD, ESG en Scope 3 door elkaar. Vraag of het gaat om een openbare rapporteringsvereiste, een leveranciersbeoordeling of primaire waardeketendata. Koppel pas daarna de juiste output en bewijsstukken aan de vraag. CSRD-rapportering volgens de ESRS heeft een ander doel dan een klantvraag over gegevens uit de waardeketen. De ESRS-regels helpen je die twee niet te verwarren.

Een herbruikbaar klantpakket onder regie

Je hebt nu een goedgekeurd klantpakket met afgebakende CO2-, ESG- of verpakkingsgegevens. De klant krijgt een onderbouwd antwoord met scope, periode, methode en bewijsniveau. Je brondata, bedrijfsgeheimen en persoonsgegevens blijven intern onder regie.

Bewaar de klantversie samen met de onderbouwing, goedkeuring en deelbeslissing. Zo kun je duurzaamheidsgegevens delen zonder bij elke nieuwe vraag opnieuw facturen, contracten en spreadsheets te verzamelen.

Stuur niet je volledige bronbestand door, maar begin met één afgebakend klantpakket dat je opnieuw kunt gebruiken.

Related Articles