De leveranciersvragenlijst van je Europese koper, blok voor blok

De e-mail komt op een dinsdag. Ze is vriendelijk, ze komt van iemand die je nog nooit gesproken hebt, en er hangt een spreadsheet aan met dertig tot tachtig vragen. Onderaan staat: graag binnen twee weken retour.

Dit is het moment waarop Europese deals gewonnen of verloren worden, en bijna niemand behandelt het zo. Bedrijven zien een administratieve horde. Het is een selectiemoment.

Wat er gebeurt is dit: de eigen verplichtingen van je koper stromen door in de keten. Een Europese importeur, retailer of fabrikant moet zelf kunnen aantonen dat zijn leveranciers in orde zijn. Kan hij dat bij jou niet, dan is dat zijn probleem — en dus lost hij het op door jou niet te selecteren.

In de aanbesteding staat nergens “afgewezen op compliance”. Er staat helemaal niets. Je wordt gewoon niet meer gebeld.

Dit artikel loopt de vragenlijst door zoals hij in de praktijk binnenkomt: vijf blokken, met per blok wat er gevraagd wordt, waarom het gevraagd wordt, en hoe een antwoord eruitziet dat het gesprek versnelt in plaats van vertraagt.

Hoe de vragenlijst eruitziet

Vragenlijsten verschillen per sector en per koper, maar de structuur is opvallend consistent. Vijf blokken, in ongeveer deze volgorde:

1. Bedrijfsgegevens en aangestelde Europese rollen
2. Gegevensbescherming en privacy
3. Product- en ketendocumentatie
4. Toeleveranciers en onderaannemers
5. Informatiebeveiliging en continuïteit

Eén ding vooraf, want het bepaalt hoe je alles hieronder leest: de persoon die de lijst stuurt, wil dat je slaagt. Hij heeft je nodig als leverancier, anders had hij de moeite niet genomen. Elk antwoord dat hem werk bespaart, werkt in je voordeel. Elk antwoord dat een vervolgvraag oproept, kost je een week.

Blok 1 — Bedrijfsgegevens en aangestelde Europese rollen

Wat er gevraagd wordt: juridische naam en vestiging, ondernemingsnummer, groepsstructuur, en — de vragen die er werkelijk toe doen — welke Europese rollen je hebt aangesteld.

Typische formuleringen:

• Heeft u een vertegenwoordiger in de EU aangesteld conform artikel 27 AVG? Zo ja, geef naam en adres.
• Heeft u een verantwoordelijke persoon in de Unie conform de General Product Safety Regulation?
• Heeft u een functionaris voor gegevensbescherming? Zo nee, waarom niet?

Waarom het gevraagd wordt: dit is het goedkoopste filter dat een aankoopteam heeft. Het kost dertig seconden om te controleren — ze openen je privacyverklaring en zoeken op “vertegenwoordiger”. Een leverancier die deze drie vragen niet kan beantwoorden, heeft aantoonbaar niet naar Europa gekeken, en dan is de rest van de lijst waarschijnlijk ook niet in orde.

Hoe een goed antwoord eruitziet: naam, adres, en de datum van aanstelling. Plus de vindplaats: “Vermeld in onze privacyverklaring onder §9, [link].” Dat laatste zinnetje bespaart je een vervolgvraag.

Voor de DPO-vraag is “nee” een prima antwoord, mits met onderbouwing: “Wij hebben de toets uit artikel 37 uitgevoerd op [datum] en geconcludeerd dat er geen DPO vereist is, omdat [reden]. De beoordeling is beschikbaar op verzoek.” Een gemotiveerde nee is een verdedigbare positie. Een leeg vakje niet.

Waar het misgaat: bedrijven kruisen “ja” aan bij de vertegenwoordigersvraag omdat ze een distributeur of advocaat in Europa hebben. Dat is geen aanstelling, en het valt op — zie je Europese distributeur is geen EU-vertegenwoordiger. Weet je niet of de verplichting op jou rust, loop dan eerst de beslisboom in zeven vragen door.

Blok 2 — Gegevensbescherming en privacy

Wat er gevraagd wordt: het langste blok, en meestal het blok waar de meeste tijd in gaat zitten.

• Welke persoonsgegevens verwerkt u in het kader van deze samenwerking, en op welke rechtsgrond?
• Waar worden die gegevens opgeslagen en verwerkt? Noem land en provider.
• Vinden er doorgiften plaats naar landen buiten de EER? Zo ja, op basis van welk mechanisme?
• Kunt u een register van verwerkingsactiviteiten voorleggen?
• Hoe handelt u verzoeken van betrokkenen af, en binnen welke termijn?
• Beschrijf uw procedure bij een datalek, inclusief meldingstermijnen.
• Heeft u de afgelopen 24 maanden een datalek gehad? Zo ja, beschrijf.

Waarom het gevraagd wordt: je koper wordt zelf verwerkingsverantwoordelijke of verwerker voor een deel van deze gegevens. Zijn eigen toezichthouder kan hem hierop aanspreken. Hij vraagt dit niet uit interesse; hij vraagt het omdat hij het moet kunnen aantonen.

Hoe een goed antwoord eruitziet: concreet en verifieerbaar. Niet “wij nemen privacy zeer serieus”, maar “klantcontactgegevens en bestelhistoriek, opgeslagen bij [provider] in [land], op basis van de uitvoering van de overeenkomst; supporttickets bij [provider] in [land], met standaardcontractbepalingen module 2 en een transfer impact assessment van [datum].”

De doorgiftevraag is de moeilijkste, en het is de vraag waarop bedrijven het vaakst iets antwoorden dat niet klopt. “Wij gebruiken standaardcontractbepalingen” is op zichzelf geen antwoord — de vraag is welk mechanisme, voor welke stroom, met welke beoordeling erachter.

Waar het misgaat: negen op de tien keer komt er bij het invullen minstens één doorgifte boven water die niemand op het netvlies had. Meestal een supporttool, een gedeelde drive of een marketingplatform waar iemand in 2022 op ingetekend heeft. Dat is geen ramp — het is precies waarom je de vragenlijst één keer grondig moet invullen in plaats van elke keer haastig.

Over de laatste vraag, het datalek: lieg hier niet, en verzwijg niets. Een gemeld en netjes afgehandeld datalek is voor een ervaren aankoopteam een geruststellend signaal — het bewijst dat je procedure werkt. Een verzwegen incident dat later boven water komt, beëindigt de relatie.

Blok 3 — Product- en ketendocumentatie

Wat er gevraagd wordt: afhankelijk van je product, maar in 2026 zit hier bijna altijd iets over emissies en herkomst.

• Vallen uw producten onder het Carbon Border Adjustment Mechanism? Zo ja, welke methodologie gebruikt u voor directe en indirecte emissies, en is die geverifieerd?
• Vallen uw producten onder de ontbossingsverordening? Kunt u geolocatiegegevens op perceelniveau aanleveren?
• Welke conformiteitsverklaringen, testrapporten en certificeringen heeft u?
• Hoe is uw verpakking samengesteld, en welke gegevens kunt u aanleveren voor uitgebreide producentenverantwoordelijkheid?

Waarom het gevraagd wordt: je koper is degene die aangifte doet. Onder CBAM is hij de aangever; hij betaalt de certificaten. Onder de ontbossingsverordening is hij de marktdeelnemer die de zorgvuldigheidsverklaring indient. Hij heeft jouw cijfers nodig om zijn eigen verplichting te vervullen, en zonder die cijfers kan hij het product niet op de markt brengen. Zo simpel is het.

Hoe een goed antwoord eruitziet: cijfers per product, met de methodologie erbij en de vermelding of ze geverifieerd zijn. Heb je de data nog niet, zeg dat dan met een datum: “Emissiegegevens per producteenheid zijn beschikbaar vanaf Q4 2026; verificatie is aanbesteed bij [partij].” Een eerlijke tijdlijn is werkbaar. Vaagheid niet.

Waar het misgaat: bedrijven onderschatten en overschatten hun blootstelling tegelijk. Een bedrijf dat overtuigd is dat CBAM hen zal ruïneren, blijkt buiten scope te vallen; datzelfde bedrijf zit voluit onder de ontbossingsverordening en had er niet naar gekeken. Zoek eerst uit wat er werkelijk op jou van toepassing is — een halve dag degelijk afbakenen bespaart maanden werk in de verkeerde richting.

Blok 4 — Toeleveranciers en onderaannemers

Wat er gevraagd wordt: wie zit er achter jou in de keten.

• Geef een lijst van uw belangrijkste toeleveranciers voor de betrokken producten.
• Geef een lijst van subverwerkers die persoonsgegevens verwerken.
• Hoe beoordeelt u nieuwe toeleveranciers, en hoe vaak herbeoordeelt u ze?
• Wat is uw beleid inzake arbeidsomstandigheden en mensenrechten in de keten?

Waarom het gevraagd wordt: ketenverantwoordelijkheid stopt niet bij de eerste schakel. Voor persoonsgegevens moet je koper weten wie er verder in de keten toegang heeft. Voor producten moet hij tot de oorsprong kunnen.

Hoe een goed antwoord eruitziet: een echte lijst. Naam, land, en wat ze doen. De subverwerkerslijst is de makkelijkste snelle winst in de hele vragenlijst: hij hoort al te bestaan als bijlage bij je verwerkersovereenkomsten, en als je hem publiek op je site zet, hoef je hem nooit meer per e-mail te sturen.

Waar het misgaat: “vertrouwelijk” als antwoord op de toeleverancierslijst. Soms terecht, en dan is er een middenweg — categorieën in plaats van namen, of namen onder geheimhouding. Maar een blanco antwoord leest als “wij weten het niet”, en dat is precies de indruk die je niet wil geven bij een vraag over traceerbaarheid.

Blok 5 — Informatiebeveiliging en continuïteit

Wat er gevraagd wordt: korter dan blok 2, maar met scherpe vragen.

• Heeft u een ISO 27001-certificering of een gelijkwaardig kader?
• Hoe is toegangsbeheer geregeld? Gebruikt u meervoudige authenticatie?
• Wat is uw back-upstrategie, en heeft u het herstel ooit getest?
• Hoe vaak voert u kwetsbaarheidsonderzoek of penetratietests uit?
• Beschrijf uw bedrijfscontinuïteitsplan.

Waarom het gevraagd wordt: een leverancier die uitvalt of gehackt wordt, is een leveringsrisico en een privacyrisico tegelijk.

Hoe een goed antwoord eruitziet: geen certificering is geen diskwalificatie, mits je concreet bent over wat je wél doet. “Geen ISO 27001. Meervoudige authenticatie op alle beheerdersaccounts, externe back-ups per uur met kwartaalherstel getest, laatste hersteltest [datum], kwetsbaarheidsscans maandelijks.” Dat is een beter antwoord dan een certificaat zonder onderbouwing.

De back-upvraag heeft een addertje: er wordt gevraagd of je het herstel hebt getest, niet of je back-ups maakt. Een back-up die nooit is teruggezet, is een aanname.

De ingreep met het hoogste rendement: bouw het pakket één keer

Hier komt alles samen, en dit is het deel dat de meeste tijd bespaart.

Elke vragenlijst is anders. De onderliggende informatie is dat niet. Bouw één keer een compliancepakket en je vult elke volgende lijst in door eruit te knippen in plaats van opnieuw te beginnen.

Het pakket bestaat uit acht documenten. Samen ongeveer twintig pagina’s, en je stuurt het binnen 48 uur na elke vraag.

1. Bedrijfsprofiel — één pagina. Juridische naam, structuur, vestigingen, certificeringen, contactpersoon voor compliancevragen.
2. Overzicht van aangestelde Europese rollen. EU-vertegenwoordiger, verantwoordelijke persoon onder de productwetgeving, DPO of de gemotiveerde afwezigheid daarvan. Met namen, adressen en aanstellingsdata.
3. Datastroomkaart. Welk systeem bevat wat, gehost waar, toegankelijk voor wie, in welk land. Niet het organigram — de werkelijke stromen, inclusief de helpdesk, de analytics en die ene gedeelde drive.
4. Doorgifteoverzicht. Per doorgifte buiten de EER: bestemming, mechanisme, datum van de beoordeling.
5. Subverwerkerslijst. Publiek op je site, met een vaste URL. Dan hoef je hem nooit meer te versturen.
6. Incidentprocedure — twee pagina’s. Wie doet wat in de eerste 72 uur, met contactroutes en meldingsdrempels.
7. Productdocumentatie. Emissiemethodologie, traceerbaarheidsaanpak, conformiteitsverklaringen — wat op jouw product van toepassing is.
8. Beveiligingssamenvatting — één pagina. Toegangsbeheer, back-ups en hersteltests, kwetsbaarheidsbeheer, certificeringen.

Werk het per kwartaal bij. Een halve dag per kwartaal, met een vaste datum in de agenda. Dat is het verschil tussen een paniekweek van drie weken en een bijlage bij een e-mail.

En zet er een datum op. Een compliancepakket zonder datum leest als een document dat ooit gemaakt is. Met datum leest het als een document dat onderhouden wordt.

Drie dingen die je nooit moet doen

Niet overdrijven. “Wij zijn volledig GDPR-conform” is een zin die ervaren aankoopteams wantrouwig maakt, omdat niemand dat over de hele linie kan garanderen. Beschrijf wat je doet, niet wat je bent.

Geen vakje leeg laten. Een leeg vakje is de slechtste optie, slechter dan een ongunstig antwoord. “Nog niet geregeld, verwacht klaar in Q1 2027, verantwoordelijke is [naam]” is een werkbaar antwoord. Niets invullen is dat niet.

Niet doorschuiven naar je advocaat. Er staan misschien drie vragen in die juridisch advies vragen. De overige zevenentwintig vragen om feiten uit je eigen bedrijf. Stuur je de hele lijst door, dan ben je drie weken kwijt en betaal je voor werk dat je zelf sneller kon doen.

De snelheid is het punt

Eén observatie uit de praktijk, en het is de reden waarom dit artikel bestaat.

Bedrijven die hier verliezen, verliezen zelden op de inhoud van hun antwoorden. Ze verliezen op doorlooptijd. Je concurrent antwoordt in drie dagen met een dossier dat vorig jaar al gebouwd is; jij antwoordt in drie weken met iets dat je onder tijdsdruk in elkaar hebt gezet. De koper leest dat als een verschil in professionaliteit, en hij heeft daar niet helemaal ongelijk in.

Het compliancedossier is geen verdedigingsdocument meer. Het is verkoopmateriaal — en de bedrijven die dat als eerste doorhebben, pakken marktaandeel af van wie wacht, binnen exact hetzelfde regelgevende kader, met dezelfde producten.

Waar wij van pas komen

Chuyenso is een Belgisch bedrijf. We zitten binnen de Europese markt, onder Europese regels, en we werken met bedrijven van erbuiten die erin willen. Onze oprichter heeft vijftien jaar ondernemerschap achter de rug, meer dan honderd klanten in strategie, development, hosting en data, en is gecertificeerd EADPP onder het Europese GDPR-kader.

We zijn geen certificatie-instelling en geen advocaten. We zijn de mensen die uitzoeken wat er moet gebeuren, in welke volgorde, en wat het waard is.

Europa-scan — drie sessies over drie weken, €1.950. Week één: je werkelijke blootstelling, en wat je Europese kopers gaan vragen. Week twee: hiaten gerangschikt naar risico en naar omzet die op het spel staat. Week drie: een 90-dagenplan met verantwoordelijken en budget, plus een compliance-samenvatting die je meteen naar een Europese koper kan sturen. Dat laatste document is precies het pakket uit dit artikel.

EU-vertegenwoordiging — vanaf €1.850 per jaar. Voor het onderdeel van blok 1 dat je vandaag kan oplossen, met een Belgisch adres in je privacyverklaring en een register dat je kan voorleggen.

Ligt er nu een vragenlijst op je bureau met een deadline: boek een gratis kennismaking van 25 minuten. We kijken hem samen door en zeggen je welke vragen echt werk vragen en welke je vanmiddag beantwoordt. We werken ook op locatie — het liefst zelfs.

Chuyenso — letterlijk: digitale transformatie. We helpen bedrijven buiten Europa om Europa-klaar te worden: juridisch, technisch en commercieel.

---

Bronnen: Artikel 30 GDPR — register van verwerkingsactiviteiten · Artikel 28 GDPR — de verwerker · EUDR — uitstel tot december 2026 (Europese Commissie) · CBAM en de gevolgen voor exporteurs (VCCI WTO Center)

Algemene informatie, geen juridisch advies.