Zwemlesplein

Kennisbank

AVG voor zwemscholen: zo ga je goed om met gegevens van kinderen

Geschreven door Shiva de Winter — oprichter Zwemlesplein, eigenaar zwemschool De Winter Sport · 18 augustus 2026

Naam, geboortedatum, contactgegevens van ouders, soms een IBAN voor de incasso — de leerlingadministratie van een zwemschool zit vol persoonsgegevens van kinderen, en die vallen gewoon onder de AVG, net als bij elke andere organisatie. Voor de praktijk komt dat neer op vier dingen die je op orde moet hebben: een grondslag om die gegevens te mogen verwerken, duidelijkheid over hoe lang je ze bewaart, een verwerkersovereenkomst met je software-leverancier en serieuze omgang met de rechten van ouders en kinderen. Hieronder ga ik stuk voor stuk langs wat dat concreet betekent.

Waarom de AVG ook voor jouw leerlingadministratie geldt

De Algemene Verordening Gegevensbescherming regelt voor iedere organisatie — groot of klein, commercieel of vrijwillig — wanneer persoonsgegevens verwerkt mogen worden, welke rechten betrokkenen daarbij hebben en welke verplichtingen daar tegenover staan. Een zwemschool die namen, geboortedata en contactgegevens van leerlingen vastlegt, is dus net zo goed AVG-plichtig als een webshop of een huisartsenpraktijk. Er bestaat geen uitzondering voor kleine sportverenigingen of eenmanszaken: de omvang van je administratie verandert niets aan de verplichtingen, wel aan hoe zwaar je die in de praktijk moet aanpakken.

Een grondslag voor de verwerking

Je mag niet zomaar gegevens vastleggen; er moet een grondslag onder liggen. Bij een zwemschool is dat meestal simpel: je hebt een overeenkomst met de ouder of voogd voor het geven van zwemles, en de gegevens die je nodig hebt om die les te kunnen uitvoeren — planning, aanwezigheid, voortgang, betaling — vallen onder die grondslag. Voor diensten die specifiek op toestemming steunen, zoals een online ouderportaal met eigen account, ligt het net anders: de AVG bepaalt dat aanbieders van onlinediensten toestemming van een ouder of wettelijk vertegenwoordiger nodig hebben wanneer het kind jonger is dan 16 jaar. Nederland heeft die leeftijdsgrens op 16 jaar gehouden; sommige andere EU-landen kozen voor een lagere grens.

Welke rechten hebben ouders en kinderen?

Betrokkenen — in dit geval de ouder of voogd namens het kind — hebben onder de AVG een aantal harde rechten. Het recht op inzage betekent dat zij mogen zien welke gegevens je over hun kind vastlegt. Het recht op correctie geeft ze de mogelijkheid onjuiste of onvolledige gegevens te laten aanpassen, en het recht op verwijdering (het “recht om vergeten te worden”) houdt in dat gegevens gewist worden als daar geen goede reden meer voor is om ze te bewaren. Als organisatie moet je op zo’n verzoek reageren zonder onnodige vertraging en in beginsel binnen een maand, en dat mag je de ouder niet in rekening brengen.

De verwerkersovereenkomst met je software-leverancier

Zodra je leerlingadministratie, planning of communicatie via een softwarepakket loopt, laat je in feite een derde partij namens jou persoonsgegevens verwerken. Artikel 28 van de AVG verplicht je in dat geval tot een verwerkersovereenkomst met die leverancier: een document waarin vastligt wat de leverancier wel en niet met de gegevens mag doen, hoe de beveiliging geregeld is en wat er gebeurt bij einde van de samenwerking. Dit is geen vrijblijvende bijlage — het is een wettelijke eis, en een leverancier die geen verwerkersovereenkomst aanbiedt of wil tekenen, is voor een zwemschool eigenlijk geen optie.

Bewaartermijnen en een datalek

De AVG schrijft geen vaste bewaartermijn voor, maar wel het principe dat je gegevens niet langer bewaart dan nodig voor het doel waarvoor je ze verzamelde. Voor een leerlingadministratie betekent dat: bewaar actief wat je nodig hebt zolang een kind bij je zwemt, en bouw een moment in waarop oude, niet meer relevante gegevens verwijderd worden in plaats van jarenlang te blijven staan.

Gaat er toch iets mis — een gehackt systeem, een verkeerd verstuurd bestand met leerlinggegevens — dan geldt de meldplicht datalekken. Je maakt een inschatting van het risico voor de betrokkenen, en als dat risico reëel is, meld je het lek binnen 72 uur bij de Autoriteit Persoonsgegevens. Dit artikel geeft algemene informatie over hoe de AVG voor een zwemschool in de praktijk werkt en is geen juridisch advies; raadpleeg bij een concrete situatie een specialist of de Autoriteit Persoonsgegevens zelf.

Zo doet Zwemlesplein dit

In Zwemlesplein worden IBAN’s versleuteld opgeslagen, en een ouder krijgt pas een account zodra de aanmelding daadwerkelijk in behandeling wordt genomen — niet al bij het invullen van een formulier. Je kunt op elk moment een volledige data-export maken, en met elke zwemschool die met Zwemlesplein werkt, sluiten we standaard een verwerkersovereenkomst af. Meer over hoe de inschrijving en gegevensverwerking eruitzien staat op /functies/inschrijving, en de voorwaarden vind je bij /prijzen.

Bronnen

Veelgestelde vragen

Wat je waarschijnlijk wilt weten.

Mag een zwemschool zomaar gegevens van kinderen verwerken?

Alleen als daar een grondslag onder de AVG voor is — bij zwemscholen meestal de uitvoering van de overeenkomst die je met de ouder of voogd aangaat voor de zwemles. Voor onlinediensten die op toestemming zijn gebaseerd, geldt in Nederland dat kinderen jonger dan 16 jaar toestemming van een ouder of voogd nodig hebben.

Is een verwerkersovereenkomst met mijn software-leverancier verplicht?

Ja. Zodra een leverancier namens jou persoonsgegevens verwerkt, bijvoorbeeld in een leerlingadministratie- of planningssysteem, ben je op grond van artikel 28 AVG verplicht een verwerkersovereenkomst met die leverancier af te sluiten.

Welke rechten hebben ouders over de gegevens van hun kind?

Ouders en voogden kunnen namens hun kind inzage vragen in de vastgelegde gegevens, onjuiste gegevens laten corrigeren en verwijdering vragen. Als organisatie moet je zulke verzoeken in principe binnen een maand en zonder kosten afhandelen.

Wat moet ik doen bij een datalek in mijn leerlingadministratie?

Je maakt een risico-inschatting voor de betrokkenen en meldt een datalek dat een risico oplevert binnen 72 uur bij de Autoriteit Persoonsgegevens. Dit artikel is algemene informatie en geen juridisch advies; raadpleeg bij twijfel een specialist.

Zien hoe Zwemlesplein dit voor jou oplost?

Vraag een demo aan en we laten zien hoe dit in de praktijk werkt.

Vraag een demo aan