Je hebt een mooie nieuwsbrief opgezet, een lijst met contacten opgebouwd en je wil je klanten regelmatig iets sturen. En dan komt die vraag opborrelen: mag dit eigenlijk wel? Bij AVG en e-mailmarketing ontstaat al snel twijfel, want je hoort over toestemming, over boetes, over regels die je net niet helemaal scherp hebt. Dat gevoel herkennen we bij veel dienstverleners die we spreken.
De goede boodschap is dat het allemaal best te overzien is. De privacyregels zijn er niet om je e-mailmarketing onmogelijk te maken, maar om ervoor te zorgen dat je netjes met de gegevens van mensen omgaat. En als je dat eenmaal goed hebt ingericht, hoef je er nauwelijks meer over na te denken.
In de tekst hieronder lopen we samen door wat de AVG betekent voor je nieuwsbrief en e-mailcampagnes. We kijken naar toestemming, naar de regels rond opt-in, naar afmelden en bewaartermijnen, en naar de praktische stappen om je lijst op orde te brengen. Geen juridisch advies, wel een rustige uitleg waar je verder mee kunt.
Wat de AVG betekent voor je e-mailmarketing
De AVG, voluit de Algemene Verordening Gegevensbescherming, is de Europese privacywet die sinds 2018 geldt. Internationaal ken je hem misschien als de GDPR. De wet gaat over hoe organisaties omgaan met persoonsgegevens, en een e-mailadres is zo’n persoonsgegeven. Op het moment dat je iemands adres opslaat en gebruikt om mail te versturen, val je dus onder die regels.
Voor e-mailmarketing betekent dit dat je een geldige reden moet hebben om iemand te benaderen, dat je zorgvuldig met de gegevens omgaat en dat je transparant bent over wat je doet. Mensen mogen weten welke gegevens je van ze hebt, waarom je die hebt en hoe ze er weer vanaf komen.
Wat we vaak zien, is dat ondernemers denken dat de AVG één grote ondoordringbare muur is. In de praktijk komt het neer op een paar duidelijke principes: vraag netjes toestemming of zorg dat je een andere geldige grondslag hebt, bewaar niet meer dan nodig, en maak het mensen makkelijk om zich af te melden. Als die basis staat, ben je al een heel eind.
Naast de AVG speelt in Nederland ook de Telecommunicatiewet een rol bij het versturen van commerciële berichten. Die twee werken samen en dat zorgt soms voor verwarring. We pakken ze hieronder allebei mee, zodat je het complete plaatje hebt.
Toestemming of gerechtvaardigd belang: wat is je grondslag?
De AVG vraagt dat je voor het verwerken van persoonsgegevens een geldige grondslag hebt. Voor e-mailmarketing zijn er twee die je het vaakst tegenkomt: toestemming en gerechtvaardigd belang. Het verschil daartussen begrijpen, helpt je om de juiste keuzes te maken.
Toestemming is de meest voor de hand liggende grondslag. Iemand geeft je actief en uit eigen beweging het groene licht om mail te sturen. Die toestemming moet vrij gegeven zijn, specifiek, en de persoon moet weten waar hij ja tegen zegt. Een vooraf aangevinkt hokje telt niet, want dan heeft iemand niet echt zelf gekozen.
Gerechtvaardigd belang is wat ingewikkelder. Daarbij stel je dat jouw belang om iemand te benaderen zwaarder weegt dan de privacy van die persoon. Dat kan in sommige situaties, bijvoorbeeld bij bestaande klantrelaties, maar je moet die afweging wel kunnen onderbouwen en vastleggen. Het is geen vrijbrief om iedereen maar te mailen.
Wat we ondernemers vaak meegeven, is dat toestemming meestal de schoonste en duidelijkste route is. Je weet dan zeker dat iemand jouw mail wil ontvangen, en dat merk je ook aan je resultaten. Een lijst met mensen die echt geïnteresseerd zijn, presteert simpelweg beter dan een lijst waar je adressen op hebt gezet die er eigenlijk niet om hebben gevraagd.
Opt-in en double opt-in in gewone taal
Opt-in is het moment waarop iemand zich aanmeldt voor je mailings. Denk aan een inschrijfformulier op je website, een vinkje bij een download of een aanmelding tijdens een gesprek. De persoon kiest er bewust voor om op je lijst te komen, en dat is precies wat de regels vragen.
Bij double opt-in voeg je een extra stap toe. Nadat iemand zich heeft aangemeld, stuur je een bevestigingsmail met een link. Pas als die link wordt aangeklikt, staat het adres definitief op je lijst. Zo weet je zeker dat het adres klopt en dat de persoon achter dat adres het ook echt was die zich aanmeldde.
Double opt-in is niet in alle gevallen wettelijk verplicht, maar het geeft je wel het sterkste bewijs dat iemand toestemming heeft gegeven. En dat bewijs is goud waard als er ooit vragen komen.
In de praktijk zien we dat double opt-in je lijst gezonder houdt. Je vangt typefouten in adressen op, je houdt nepaanmeldingen buiten de deur en je begint elke relatie met een actieve bevestiging. Het kost een mailtje extra, maar het levert een lijst op waar je op kunt bouwen. Meer over het opzetten van zo’n lijst lees je in onze uitleg over e-mailmarketing.
De bestaande-klant-uitzondering: de soft opt-in
Er is een situatie waarin je iemand mag mailen zonder dat die persoon vooraf expliciet toestemming heeft gegeven. Dat is de zogeheten soft opt-in, en die staat in de Telecommunicatiewet. Het gaat om mensen die al klant bij je zijn en van wie je het e-mailadres hebt gekregen tijdens een verkoop.
De gedachte erachter is logisch. Iemand die net een dienst bij je heeft afgenomen, mag je benaderen over vergelijkbare diensten of producten. Je hebt immers al een relatie. Wel zijn er een paar voorwaarden waar je aan moet voldoen, en die zijn belangrijk om scherp te hebben.
Ten eerste mag je alleen mailen over je eigen, gelijksoortige aanbod. Ten tweede moet je de klant bij het verkrijgen van het adres al de kans hebben gegeven om bezwaar te maken. En ten derde moet elke mail die je daarna stuurt opnieuw een duidelijke afmeldmogelijkheid bevatten. Mis je een van die voorwaarden, dan val je terug op gewone toestemming.
Wat we hier vaak terugzien, is twijfel over wie nu precies een bestaande klant is. Iemand die ooit een offerte opvroeg maar nooit iets afnam, valt er bijvoorbeeld niet onder. Bij twijfel is het verstandiger om alsnog toestemming te vragen, want dan zit je hoe dan ook goed.
Een afmeldmogelijkheid in elke mail
Een van de meest concrete regels is dat elke commerciële mail een manier moet bevatten om zich af te melden. Dat geldt of je nu op basis van toestemming of soft opt-in mailt. Mensen moeten zich op elk moment kunnen uitschrijven, en wel net zo makkelijk als ze zich hebben aangemeld.
In de praktijk is dat meestal de bekende afmeldlink onderaan je nieuwsbrief. Belangrijk is dat die link echt werkt en dat een afmelding ook daadwerkelijk wordt verwerkt. Iemand die zich uitschrijft en daarna toch weer mail krijgt, raakt terecht geïrriteerd, en dat is precies wat de regels willen voorkomen.
De meeste e-mailtools regelen dit automatisch voor je. Toch is het goed om af en toe te controleren of het ook echt soepel loopt. Een afmelding moet zonder gedoe verlopen, zonder dat iemand eerst moet inloggen of een lang formulier moet invullen. Hoe lichter die drempel, hoe netter je het doet.
Een prettige bijkomstigheid is dat een makkelijke afmelding je lijst schoon houdt. Mensen die geen interesse meer hebben, verdwijnen vanzelf, en je houdt een groep over die jouw mail echt wil lezen. Dat is uiteindelijk fijner voor iedereen.
De verwerkersovereenkomst met je e-mailtool
Vrijwel niemand verstuurt nieuwsbrieven nog handmatig. Je gebruikt een tool, en die tool slaat de gegevens van je contacten op en verwerkt ze namens jou. In AVG-termen is zo’n leverancier een verwerker, en met een verwerker hoor je een verwerkersovereenkomst te sluiten.
Die overeenkomst legt vast wat de tool met de gegevens mag doen, hoe die beveiligd worden en wat er gebeurt als er iets misgaat. Het klinkt formeel, maar in de praktijk hebben de meeste bekende e-mailpartijen zo’n overeenkomst gewoon klaarliggen. Je hoeft hem alleen op te zoeken, te lezen en te accepteren.
Wat we ondernemers aanraden, is om even na te gaan waar je gegevens worden opgeslagen. Staan de servers binnen de Europese Unie, of daarbuiten? Bij opslag buiten de EU gelden aanvullende regels, en het is goed om te weten hoe je leverancier daarmee omgaat. Die informatie staat meestal in de privacyverklaring of het verwerkersregister van de aanbieder.
Het mooie is dat dit eenmalig werk is. Heb je je verwerkersovereenkomst eenmaal geregeld en je leverancier gecontroleerd, dan kun je daarna gewoon je werk doen. Het is een vinkje dat je zet en waar je vervolgens vanuit gaat.
Bewaartermijnen en niet meer verzamelen dan nodig
De AVG vraagt dat je niet meer gegevens verzamelt dan je echt nodig hebt, en dat je ze niet langer bewaart dan nodig is. Dat principe heet dataminimalisatie, en het is eenvoudiger dan het woord doet vermoeden. Vraag alleen wat je gebruikt, en ruim op wat je niet meer gebruikt.
Voor e-mailmarketing betekent dit bijvoorbeeld dat je niet standaard om een geboortedatum, telefoonnummer en adres hoeft te vragen als je alleen een nieuwsbrief verstuurt. Een e-mailadres en misschien een voornaam zijn vaak genoeg. Hoe minder je vraagt, hoe lager de drempel om zich aan te melden trouwens ook.
Hoe lang mag je gegevens bewaren?
De AVG noemt geen vast aantal jaren voor e-mailadressen. De regel is dat je gegevens bewaart zolang je ze redelijkerwijs nodig hebt voor het doel waarvoor je ze verzamelde. Voor een nieuwsbrief betekent dat meestal: zolang iemand ingeschreven blijft en je mail openstelt voor ontvangst.
Het is verstandig om je lijst regelmatig op te schonen. Adressen die al lange tijd geen enkele mail meer openen, kun je opnieuw benaderen of verwijderen. Dat houdt je lijst niet alleen netjes binnen de regels, het houdt ook je cijfers gezond. Wie wil weten wat zijn lijst doet, vindt handvatten in onze uitleg over data en conversie.
Recht op inzage en verwijdering
Onder de AVG hebben mensen een aantal rechten als het om hun gegevens gaat. Voor e-mailmarketing zijn vooral het recht op inzage en het recht op verwijdering belangrijk om te kennen. Iemand mag je vragen welke gegevens je van hem hebt, en mag je ook vragen om die te wissen.
Krijg je zo’n verzoek, dan hoor je daar binnen een redelijke termijn op te reageren. In de praktijk komt het vaak neer op het opzoeken van iemands gegevens in je e-mailtool en het tonen of verwijderen ervan. De meeste tools maken dat eenvoudig, met een zoekfunctie en een knop om een contact te wissen.
Wat ondernemers soms vergeten, is dat een afmelding en een verwijderverzoek niet hetzelfde zijn. Iemand die zich afmeldt, wil geen mail meer, maar je mag het adres nog wel bewaren om te voorkomen dat hij per ongeluk opnieuw wordt aangeschreven. Vraagt iemand expliciet om verwijdering, dan haal je de gegevens echt weg.
Het helpt om vooraf te bedenken hoe je met zulke verzoeken omgaat. Een klein stappenplannetje, ook al is het maar in je hoofd of op één A4, zorgt dat je niet hoeft te improviseren als er een vraag binnenkomt. Rust en duidelijkheid maken dit soort momenten een stuk lichter.
Wat te doen bij een datalek
Een datalek is een situatie waarin persoonsgegevens in verkeerde handen komen of verloren raken. Bij e-mailmarketing kun je denken aan een mailing die per ongeluk naar de verkeerde groep gaat met alle adressen zichtbaar in het cc-veld, of aan een tool die gehackt wordt. Het overkomt meer organisaties dan je denkt.
Gebeurt het, dan is het belangrijk om kalm te blijven en de stappen te volgen. Je beoordeelt eerst hoe ernstig het lek is en welke gegevens erbij betrokken zijn. Afhankelijk daarvan kan het nodig zijn om het te melden bij de Autoriteit Persoonsgegevens, en in sommige gevallen ook bij de mensen om wie het gaat.
Voor die meldingen gelden termijnen, en die kunnen krap zijn. Daarom is het slim om van tevoren te weten wie binnen je bedrijf hierover gaat en waar je de melding doet. Heb je een functionaris voor gegevensbescherming of een jurist, dan is dat het moment om die te betrekken. Beter een keer te veel overlegd dan een melding gemist.
Het beste datalek is natuurlijk het lek dat niet gebeurt. Een goed beveiligde tool, voorzichtig omgaan met grote verzendlijsten en even dubbelchecken voor je op verzenden klikt, voorkomen de meeste ongelukken. Het zijn kleine gewoontes met een groot rendement.
Je lijst stap voor stap AVG-proof maken
Als je dit allemaal leest, lijkt het misschien veel. Toch komt het neer op een handvol concrete acties die je rustig één voor één kunt afwerken. We zetten ze hier op een rij, zodat je een beeld hebt waar je staat.
Begin bij de manier waarop mensen op je lijst komen. Werk je met een duidelijk aanmeldformulier en weet je van iedereen op je lijst hoe en waarom hij erop staat? Vervolgens kijk je naar je mailings zelf: staat er een werkende afmeldlink in en is je afzender herkenbaar? Daarna pak je de achterkant: heb je je verwerkersovereenkomst geregeld en weet je waar je gegevens staan?
Tot slot kijk je naar je gewoontes op de lange termijn. Schoon je je lijst af en toe op, weet je hoe je met inzage- en verwijderverzoeken omgaat, en heb je een idee wat je doet bij een datalek? Als je op die vragen rustig ja kunt zeggen, zit je goed. En kun je dat nog niet overal, dan heb je nu een lijstje om mee aan de slag te gaan.
Privacy is uiteindelijk geen rem op je marketing, maar een teken dat je je klanten serieus neemt. Diezelfde zorgvuldigheid zie je terug in hoe wij naar online zichtbaarheid kijken met onze aanpak Triple Search Marketing: gevonden én gekozen worden, op een manier waar mensen zich prettig bij voelen. Voor de zekerheid over jouw specifieke situatie leg je dit het beste even voor aan je eigen jurist of functionaris voor gegevensbescherming.
Veelgestelde vragen over AVG en e-mailmarketing
Wat is de AVG en wat heeft die met e-mailmarketing te maken?
De AVG is de Europese privacywet die regelt hoe organisaties met persoonsgegevens omgaan. Een e-mailadres is zo’n persoonsgegeven. Zodra je adressen opslaat en gebruikt om mail te versturen, val je onder de AVG en moet je een geldige reden hebben om mensen te benaderen, zorgvuldig met hun gegevens omgaan en open zijn over wat je doet.
Mag je iemand mailen zonder toestemming?
In de meeste gevallen heb je toestemming nodig. Een uitzondering is de soft opt-in: bestaande klanten van wie je het adres tijdens een verkoop kreeg, mag je benaderen over je eigen gelijksoortige aanbod. Daarbij moet je wel vooraf de kans op bezwaar hebben geboden en in elke mail een afmeldmogelijkheid opnemen.
Wat is het verschil tussen opt-in en double opt-in?
Bij opt-in meldt iemand zich aan, bijvoorbeeld via een formulier. Bij double opt-in volgt daarna een bevestigingsmail met een link die de aanmelding definitief maakt. Double opt-in is niet altijd verplicht, maar geeft je het sterkste bewijs van toestemming en houdt je lijst schoner doordat typefouten en nepaanmeldingen eruit vallen.
Hoe lang mag je e-mailadressen bewaren onder de AVG?
De AVG noemt geen vast aantal jaren. De regel is dat je gegevens bewaart zolang je ze redelijkerwijs nodig hebt voor het doel waarvoor je ze verzamelde. Voor een nieuwsbrief betekent dat meestal zolang iemand ingeschreven blijft. Het is verstandig je lijst regelmatig op te schonen en inactieve adressen te verwijderen of opnieuw te benaderen.
Heb ik een verwerkersovereenkomst nodig met mijn nieuwsbrieftool?
Ja. Je e-mailtool verwerkt de gegevens van je contacten namens jou en geldt daarmee als verwerker. Met een verwerker hoor je een verwerkersovereenkomst te sluiten waarin staat wat er met de gegevens gebeurt en hoe ze beveiligd worden. De meeste bekende aanbieders hebben zo’n overeenkomst klaarliggen om te accepteren.
Loop je tegen vragen aan over je eigen lijst en wil je samen kijken hoe je je e-mailmarketing netjes én werkend inricht? We denken graag met je mee. In een vrijblijvend strategiegesprek kijken we rustig naar waar je staat en wat een logische volgende stap is, zonder verplichtingen. Je bent van harte welkom om eens te sparren.
