Wat er gebeurde
- Een fout in de software. Op maandagavond 9 november maakte een onbekende aanvaller misbruik van een fout in de software van AllUnited. De dag erna werd het lek ontdekt en gedicht.
- Gegevens van leden gekopieerd. Het gaat onder meer om namen, adressen, rekeningnummers en inloggegevens. Hoe groot het lek precies is, is nog niet duidelijk.
- Veel clubs en bonden. Ongeveer 1.500 sportclubs gebruiken het systeem. Ook bonden, zoals die van cricket, dammen en biljarten, meldden dat ze geraakt zijn.
- Al honderden meldingen. Woensdag hadden al meer dan 350 sportclubs een melding gedaan bij de Autoriteit Persoonsgegevens (AP, de toezichthouder op privacy). De AP verwachtte dat het er meer zouden worden.
Hoe wij erover denken
Een club die de ledenadministratie uitbesteedt, doet het goed. Een vrijwilliger met een Excel-lijst op de eigen laptop is vaak minder veilig. Maar de verantwoordelijkheid besteed je niet uit.
In privacytaal is de club de verwerkingsverantwoordelijke: jullie bepalen waarvoor de gegevens van leden gebruikt worden. De leverancier is de verwerker: die bewaart en verwerkt de gegevens namens jullie. Gaat het mis bij de verwerker, dan moet de club het zelf melden bij de AP, tenzij jullie afspreken dat de verwerker dat namens jullie doet.
Wat je nu doet
- Meld het bij de AP. Binnen 72 uur nadat je het weet, via het meldformulier van de AP. Dat doet de club zelf, tenzij jullie schriftelijk hebben afgesproken dat de leverancier het namens jullie doet. Ben je al te laat, meld het dan alsnog en geef de reden. De AP accepteert te laat melden alleen in uitzonderlijke gevallen. AllUnited biedt aan om de melding namens je club te doen; dat geef je schriftelijk aan via hun formulier. Je club blijft wel verantwoordelijk.
- Informeer je leden. Snel en duidelijk: wat er gebeurd is, welke gegevens het zijn, en wat ze zelf moeten doen. Gaat het om jeugdleden, informeer dan ook de ouders.
- Waarschuw voor nepberichten. Criminelen kunnen zich voordoen als de club, met een verzoek om contributie of een boete te betalen via een link. Zeg erbij dat de club voorlopig geen betaalverzoeken per mail stuurt, en houd je daar ook aan.
- Nieuwe wachtwoorden. Laat leden een nieuw wachtwoord instellen. Gebruikten ze hetzelfde wachtwoord ergens anders, dan daar ook. Zet de tweede inlogstap aan waar het kan.
- Kijk naar de bankrekening. Raad leden aan om te letten op onbekende afschrijvingen. Een onterechte incasso kun je meestal via je bank terugboeken.
- Schrijf het op. Leg het lek vast in jullie datalekregister (een lijst van alle datalekken), ook wat jullie deden.
Wat je vooraf regelt
- Een verwerkersovereenkomst. Dat zijn afspraken met je leverancier over hoe die met de gegevens van je leden omgaat, en hoe snel hij je waarschuwt bij een lek. Spreek ook af wie er meldt bij de AP.
- Wie beslist. Eén bestuurslid dat bij een datalek de knopen doorhakt, met een vervanger. Ook in het weekend telt de klok van 72 uur door.
- Een bericht aan leden, alvast klaar. Dan hoef je het niet onder druk te schrijven.
- Niet meer bewaren dan nodig. Gegevens van oud-leden die je niet meer nodig hebt, ruim je op. Wat er niet is, kan ook niet lekken.
- Eigen accounts voor het bestuur. Elk bestuurslid een eigen account met de tweede inlogstap, geen gedeeld wachtwoord.
Vragen om jezelf te stellen
Waar wij bij helpen
Dit artikel geeft je de stappen. Wat er bij jullie club speelt, verschilt per vereniging.
In de +Z Checkup breng je als bestuur in kaart welke systemen jullie gebruiken en waar de gegevens van leden staan. Je IT-plan laat zien wat je eerst regelt, zoals de verwerkersovereenkomsten met je leveranciers, de tweede inlogstap in jullie ledensysteem en wat je doet bij een datalek. In kleine stappen, met een handleiding. Loop je vast, dan helpen we.
Veelgestelde vragen
De leverancier heeft het al gemeld. Moeten wij dan nog melden?
Ja, tenzij jullie schriftelijk hebben afgesproken dat de leverancier namens jullie meldt. Volgens de AP blijft de club verantwoordelijk voor de melding, ook als de leverancier het lek veroorzaakte.
Moeten we stoppen met deze leverancier?
Niet per se. Een lek kan bij elke leverancier gebeuren. Kijk vooral hoe de leverancier ermee omgaat: waarschuwde hij jullie snel, en is duidelijk wat er gebeurd is? Dat zegt meer dan het lek zelf.
We zijn een kleine club met alleen vrijwilligers. Geldt dit ook voor ons?
Ja. De privacyregels gelden voor elke vereniging, groot of klein. Het hoeft niet ingewikkeld te zijn: een melding, een bericht aan de leden en een paar afspraken voor de volgende keer.
Bronnen
Omroep Brabant, Ook Brabantse sportclubs getroffen door groot datalek bij AllUnited (november 2026).
AG Connect, Datalek bij sportbonden en verenigingen door fout in software (november 2026).
NH Nieuws, Risico's datalek sportclubs groter dan je denkt (november 2026).
AllUnited, Beveiligingsincident bij AllUnited (bijgewerkt 13 november 2026): datum, gezamenlijke melding.
NOS, Gegevens sportverenigingen op straat door datalek bij beheersysteem (november 2026).
Autoriteit Persoonsgegevens, Zo meldt u een datalek: 72 uur, meldformulier, datalek bij een verwerker.
Bijgewerkt op 13 november 2026. Feiten en bronnen nagekeken op die datum.
Lees ook
- Een datalek: wat moet je doen, en wanneer meld je het?
- Nepmail en betaalfraude: zou jij die valse factuur herkennen?
- Bestuurswissel bij je vereniging: zo draag je de IT over
- Casinoreclame op de site van je club: zo raakt een verenigingssite gekaapt
Voor je vereniging of stichting: Voetbalvereniging · Tennisvereniging · Gymnastiekvereniging · Atletiekvereniging · alle verenigingen
Liever iemand spreken over je eigen IT? Bewaar het kaartje van Jorn →
Deel het met wie erover gaat
Ben je zelf bestuurder, of ken je er een? Stuur dit artikel door naar wie over de IT beslist: de eigenaar van het bedrijf waar je werkt, je leidinggevende, of het bestuur van je voetbalclub, vereniging of stichting.
IT op orde is ook in jouw belang. Het beschermt de gegevens van klanten, leden en gebruikers, en het geeft de ondernemer of het bestuur zelf rust.
Help ons groeien. Help anderen.
Advies over IT geven we al jaren. Met de +Z Checkup maken we het nu toegankelijk voor iedere organisatie: eenvoudig en betaalbaar. De Checkup is nieuw, en nog niet veel mensen kennen hem. Daar helpt geen reclame bij, wel mensen die ons doorgeven. Vond je dit nuttig? Volg ons, en deel het met iemand die er iets aan heeft.
Heb je de Checkup al? Breng dan iemand aan met je eigen link in de app. Neemt die de Checkup ook, dan krijgen jullie allebei een maand extra.