Wat de AVG vraagt van jaarrekening software
Jaarrekening software verwerkt naast cijfers ook persoonsgegevens, zoals namen van bestuurders en aandeelhouders. Verwerkt de leverancier persoonsgegevens in uw opdracht, dan is hij daarvoor verwerker en sluit u een verwerkersovereenkomst volgens artikel 28 AVG. Beoordeel per dienst welke gegevens de leverancier verwerkt. Vraag daarnaast om tweestapsverificatie, rollen en een audittrail.
U blijft zelf verantwoordelijk voor de keuze van de leverancier, en u kijkt waar de gegevens staan en wie ze ziet. De AVG vraagt passende technische en organisatorische maatregelen (artikel 32 AVG). Voor financiële gegevens betekent dat in de praktijk: versleuteling, beperkte toegang en controleerbaarheid.
Welke persoonsgegevens in een jaarrekening zitten
- Namen van bestuurders en commissarissen, die de jaarrekening ondertekenen.
- Aandeelhouders en hun belang, bijvoorbeeld in het vaststellingsbesluit.
- De bezoldiging van bestuurders, als u die moet vermelden art. 2:383 BW.
- Leningen aan of van de DGA, rekening-courantposities en zekerheden.
- Bij kleine organisaties: bedragen die naar één persoon herleidbaar zijn, zoals de loonkosten van één werknemer.
Die gegevens zijn niet bijzonder in de zin van de AVG, maar wel gevoelig. Alleen de mensen die ermee werken, horen ze te zien.
Checklist voor de leverancier
| Vraag | Waarom |
|---|---|
| Is er een verwerkersovereenkomst? | Verplicht voor zover de leverancier persoonsgegevens in uw opdracht verwerkt (artikel 28 AVG) |
| Waar staan de database en de bestanden? | Binnen de EER gelden geen extra eisen voor doorgifte |
| Welke subverwerkers zijn er, en waar verwerken zij? | Denk aan hosting, e-mail, betalingen en AI-diensten |
| Gaan gegevens buiten de EER, bijvoorbeeld voor AI? | Dan zijn waarborgen voor doorgifte nodig (hoofdstuk V AVG) |
| Worden uw gegevens gebruikt om AI-modellen te trainen? | Vraag het schriftelijk; de voorwaarden van de AI-aanbieder bepalen het antwoord |
| Is tweestapsverificatie verplicht? | Een wachtwoord alleen is te weinig voor financiële gegevens |
| Zijn er rollen en een audittrail? | Zo ziet u wie wat heeft gewijzigd en goedgekeurd |
| Kunt u alles exporteren, en hoe lang wordt bewaard? | U moet de stukken zeven jaar bewaren art. 2:10 lid 3 BW |
| Hoe meldt de leverancier een datalek? | Een verwerker meldt een datalek zo snel mogelijk aan u. Als melding aan de Autoriteit Persoonsgegevens verplicht is, doet u die als verwerkingsverantwoordelijke indien mogelijk binnen 72 uur nadat u het lek heeft ontdekt (artikel 33 AVG) |
AI-functies en gegevens buiten de EU
Veel jaarrekeningsoftware gebruikt taalmodellen voor teksten en voorstellen. Die modellen draaien vaak bij een Amerikaanse aanbieder. Vraag daarom welke gegevens naar het model gaan, waar ze worden verwerkt, hoe lang ze worden bewaard en of ze voor training worden gebruikt. Meer daarover in AI en de AVG.
Hoe Jaarrekening.io dit regelt
- De primaire database en documentopslag draaien in een Europese regio van Supabase (AWS EU).
- Voor gekozen AI-functies gaan de noodzakelijke gegevens naar de commerciële API van Anthropic. Anthropic gebruikt API-gegevens standaard niet voor modeltraining, kan verzoeken in meerdere regio's verwerken en slaat API-invoer en -uitvoer standaard op in de Verenigde Staten.
- Andere subverwerkers zijn onder meer Vercel (levering van de website), Stripe (betalingen) en Resend (e-mail). Het volledige overzicht staat op de beveiligingspagina.
- Verbindingen zijn met TLS versleuteld; de opslag wordt door de infrastructuur versleuteld.
- Tweestapsverificatie is verplicht om in de app te werken.
- Rollen: beheerder, opsteller, beoordelaar en goedkeurder. De database dwingt per werkruimte af wie wat mag zien (row-level security).
- Geselecteerde acties, zoals inlogpogingen, gegevenswijzigingen, machtigingen en exports, komen in een audittrail.
- De verwerkersovereenkomst en de privacyverklaring staan online. Jaarrekening.io wordt aangeboden door MLR Ventures GmbH in Berlijn.
Staat uw eigen beleid geen verwerking buiten de EER toe, gebruik dan de AI-functies niet. Dat advies staat ook op de beveiligingspagina.
Meer over jaarrekening software
Bijgewerkt op 5 oktober 2026. Prijzen van Jaarrekening.io zijn exclusief btw.
Veelgestelde vragen
Is een verwerkersovereenkomst verplicht voor jaarrekening software?
Ja, voor zover de leverancier persoonsgegevens in uw opdracht verwerkt. Bij jaarrekening software is dat meestal zo, omdat namen van bestuurders en aandeelhouders in het dossier staan. Artikel 28 van de AVG schrijft voor wat er in de overeenkomst moet staan.
Mag mijn jaarrekening op servers buiten de EU staan?
Dat mag, als er passende waarborgen zijn voor de doorgifte, zoals een adequaatheidsbesluit of modelcontractbepalingen. Veel organisaties kiezen liever voor opslag in de EER.
Gebruikt Jaarrekening.io mijn cijfers om AI te trainen?
Jaarrekening.io gebruikt de commerciële API van Anthropic. Anthropic gebruikt invoer en uitvoer van die API standaard niet voor modeltraining. Wel kunnen AI-verzoeken buiten de EU worden verwerkt.
Hoe lang moet ik de jaarrekening en administratie bewaren?
Zeven jaar, volgens art. 2:10 lid 3 BW en art. 52 van de Algemene wet inzake rijksbelastingen. Zorg dat u uw stukken uit de software kunt exporteren, zodat die termijn niet van een leverancier afhangt.
Lees ook
Klaar voor uw jaarrekening?
De registratie is tijdelijk gesloten. Zet u op de wachtlijst, dan hoort u het zodra u uw jaarrekening kunt opstellen.
Op de wachtlijst →