AVG-conform IT-assetbeheer: eisen en best practices

IT-assets bevatten persoonsgegevens — van de naam van een medewerker bij een toewijzing tot inloggegevens op apparaten. De AVG stelt duidelijke eisen. Dit artikel laat zien waar IT-teams op moeten letten en hoe moderne ITAM-software daarbij helpt.

Waarom de AVG en IT-assetbeheer bij elkaar horen

Veel IT-afdelingen zien AVG-naleving als iets voor de juridische afdeling. Maar de verordening raakt het dagelijks werk van elke beheerder rechtstreeks:

• Medewerkersgegevens in het inventarisbeheer:naam, e-mail, afdeling, locatie — allemaal persoonsgegevens volgens art. 4 AVG
• Apparaattoewijzingen:de vastlegging "laptop X hoort bij medewerker Y" is zelf al een persoonsgegeven
• Auditsporen:wie kreeg of gaf wanneer welk apparaat terug? Logdata vallen onder de AVG
• Gegevens op apparaten:bij vertrek moeten apparaatgegevens AVG-conform worden gewist

De vijf AVG-eisen aan IT-assetbeheer

1. Rechtsgrondslag (art. 6 AVG):De verwerking berust op uitvoering van een overeenkomst (art. 6 lid 1 sub b), gerechtvaardigd belang (sub f) of een wettelijke verplichting (sub c).
2. Minimale gegevensverwerking (art. 5 lid 1 sub c):Leg alleen de gegevens vast die het IT-beheer echt nodig heeft. Naam, e-mail, afdeling en locatie volstaan voor een toewijzing.
3. Opslagbeperking (art. 5 lid 1 sub e):Na vertrek moeten medewerkersgegevens binnen de bewaartermijnen worden gewist — behalve assetgegevens die fiscaal van belang zijn (6–10 jaar volgens het Duitse HGB/AO).
4. Recht op inzage (art. 15 AVG):Medewerkers hebben het recht te weten welke gegevens zijn opgeslagen. Je ITAM-systeem moet alle toegewezen assets en logregels snel kunnen samenstellen.
5. Verwerking in opdracht (art. 28 AVG):Bij ITAM in de cloud moet er een verwerkersovereenkomst zijn en moet de verwerking in de EU plaatsvinden.

Spreadsheets versus ITAM-software: het AVG-perspectief

Checklist: is je IT-inventarisbeheer AVG-conform?

• Is de rechtsgrondslag voor de verwerking gedocumenteerd?
• Wordt een verwerkingsregister bijgehouden volgens art. 30?
• Is er een verwerkersovereenkomst met de ITAM-leverancier gesloten?
• Vindt de verwerking in de EU plaats (en niet in de VS)?
• Is toegangslogging (auditspoor) ingeschakeld?
• Is er een verwijderbeleid voor vertrokken medewerkers vastgelegd?
• Kunnen inzageverzoeken volgens art. 15 binnen 30 dagen worden beantwoord?
• Zijn de technische en organisatorische maatregelen gedocumenteerd?

Hoe AssetNode AVG-naleving ondersteunt

• Hosting in Duitsland:alle gegevens staan op Hetzner-servers in Duitsland — geen overdracht naar een Amerikaanse cloud
• Volledig auditspoor:elke wijziging in assets, toewijzingen en medewerkersgegevens wordt vastgelegd
• Op rollen gebaseerde toegang:beheerder-, manager- en medewerkersrollen met duidelijk afgebakende rechten
• Gegevensexport:alle gegevens zijn op elk moment als CSV te exporteren (overdraagbaarheid, art. 20)
• Verwijderbeleid:medewerkersgegevens kunnen bij vertrek systematisch worden opgeschoond

Conclusie

AVG-conform IT-assetbeheer is geen keuze — het is verplicht. Wie in 2026 nog met spreadsheets werkt, riskeert niet alleen boetes maar ook het vertrouwen van medewerkers. Een modern ITAM-platform als AssetNode legt de technische basis voor beheer dat de regels volgt.