AVG en B2B-acquisitie: gerechtvaardigd belang in de praktijk

"De AVG gaat over consumenten, wij doen alleen B2B." Dat hoor je vaak, en het klopt niet. Zodra je een naam, een zakelijk e-mailadres of een 06-nummer van een persoon gebruikt, verwerk je persoonsgegevens, ook als die persoon bij een B.V. werkt. De AVG geldt dan gewoon.

Dat betekent niet dat B2B-acquisitie niet mag. Wel dat je een paar dingen goed moet regelen. In dit artikel lees je welke, en hoe je dat praktisch aanpakt.

Persoonsgegevens in B2B

Een persoonsgegeven is alle informatie over een herkenbare persoon. In een gemiddelde acquisitielijst staan er genoeg:

• naam en functie: "Maartje de Vries, operationeel manager";
• een persoonlijk zakelijk e-mailadres: maartje.devries@installatienoord.nl;
• een mobiel nummer;
• notities uit een gesprek, of een label als "interesse" of "later".

Een algemeen adres als info@installatienoord.nl of een algemeen kantoornummer is meestal geen persoonsgegeven, omdat het niet over één persoon gaat. Maar zodra je er een naam aan koppelt, verandert dat.

De AVG staat naast de Telecommunicatiewet. Die bepaalt of je een ongevraagde commerciële e-mail of sms mag sturen (zie Mag je bedrijven ongevraagd sms'en?). De AVG bepaalt hoe je met de gegevens omgaat. Je moet aan beide voldoen. Toezicht op de AVG ligt bij de Autoriteit Persoonsgegevens (AP).

De zes grondslagen

Je mag persoonsgegevens alleen verwerken als je daar een grondslag voor hebt. Artikel 6 van de AVG noemt er zes:

1. toestemming;
2. de uitvoering van een overeenkomst;
3. een wettelijke verplichting;
4. vitale belangen;
5. een taak van algemeen belang;
6. gerechtvaardigd belang.

Voor koude B2B-acquisitie blijven er in de praktijk twee over. Toestemming heb je meestal niet; je benadert iemand juist voor het eerst. Blijft over: gerechtvaardigd belang. Dat is geen vrijbrief, maar een grondslag waarbij je zelf moet afwegen of jouw belang zwaarder weegt dan dat van de persoon die je benadert.

Let op: heb je voor een eenmanszaak of VOF toestemming nodig onder de Telecommunicatiewet, dan heb je die toestemming hoe dan ook nodig. Gerechtvaardigd belang onder de AVG verandert daar niets aan.

Gerechtvaardigd belang en de belangenafweging

Wil je je op gerechtvaardigd belang beroepen, dan maak je een afweging in drie stappen. Schrijf die op; dan kun je later laten zien dat je erover hebt nagedacht.

1. Doel: is je belang gerechtvaardigd?

Wat wil je bereiken, en is dat een legitiem belang? Nieuwe klanten werven voor je dienstverlening is een commercieel belang. Of zo'n zuiver commercieel belang als gerechtvaardigd telt, is lang een punt van discussie geweest, en de AP was daar streng in. Inmiddels is in Europese rechtspraak bevestigd dat een commercieel belang gerechtvaardigd kán zijn, zolang het niet in strijd is met de wet. De volgende twee stappen blijven dan wel nodig.

2. Noodzaak: heb je deze gegevens echt nodig?

Gebruik je niet meer gegevens dan nodig, en kan het niet op een minder ingrijpende manier? Voor een acquisitiebericht heb je een naam, een functie, een bedrijf en een zakelijk contactgegeven nodig. Geen geboortedatum, geen privéadres, geen profiel van iemands sociale media.

3. Afweging: wat verwacht de ander?

Weeg je belang af tegen de belangen en verwachtingen van de persoon. Een paar vragen die helpen:

• Past het bericht bij iemands functie? Een inkoper die over inkoop wordt benaderd, kan dat verwachten. Een monteur die over kantoorsoftware wordt gebeld, minder.
• Hoe vaak benader je iemand, en via hoeveel kanalen?
• Kan iemand eenvoudig zeggen dat hij niets meer wil ontvangen?
• Waar komen de gegevens vandaan? Zelf gevonden op de bedrijfswebsite voelt anders dan uit een lijst van onbekende herkomst.

De informatieplicht

Je moet mensen vertellen wat je met hun gegevens doet. Kreeg je de gegevens van de persoon zelf, dan gaat het om artikel 13 van de AVG. Bij koude acquisitie kreeg je ze meestal niet van de persoon zelf, en dan geldt artikel 14. Daarin staat onder meer dat je ook moet vertellen waar je de gegevens vandaan hebt.

Gebruik je de gegevens om iemand te benaderen, dan moet je die informatie uiterlijk bij het eerste contact geven. Denk aan:

• wie je bent en hoe iemand je kan bereiken;
• waarom je iemand benadert, en op welke grondslag;
• welke gegevens je gebruikt, en waar je ze vandaan hebt;
• hoe lang je ze bewaart;
• welke rechten iemand heeft, waaronder het recht van bezwaar.

Dat past niet in een sms van 160 tekens. Veel bedrijven werken daarom gelaagd: de kern in het bericht zelf (wie je bent, waarom je iemand benadert, hoe je je afmeldt), en de rest in een privacyverklaring die makkelijk te vinden is. In een e-mail is ruimte voor een korte regel met een verwijzing naar die verklaring. Hoe je dit voor jouw situatie precies invult, is een goed punt om te laten toetsen.

En als iemand vraagt "hoe komen jullie aan mijn nummer?", geef dan direct en eerlijk antwoord.

Het recht van bezwaar

Bij direct marketing heeft iedereen een absoluut recht van bezwaar (artikel 21 van de AVG). Zegt iemand dat hij niet meer benaderd wil worden, dan stop je. Er valt niets af te wegen, en je hoeft er ook niet over in discussie.

Bezwaar komt niet altijd als het woord STOP. "Haal me uit jullie bestand", "geen interesse, niet meer mailen" of "hoe komen jullie aan mijn nummer, ik wil dit niet" is net zo goed bezwaar. Behandel het zo:

• stop direct met alle berichten, op alle kanalen;
• zet het contact op een afmeldlijst die ook geldt als je later een nieuwe lijst importeert;
• bevestig kort, als dat past, dat iemand niets meer van je hoort.

Het recht van bezwaar moet je bovendien uiterlijk bij het eerste contact onder de aandacht brengen. Een duidelijke afmeldmogelijkheid in elk bericht helpt daarbij. In Ontdooi komt wie zich afmeldt op een afmeldlijst voor alle kanalen, die ook na een nieuwe import blijft gelden.

Bewaartermijnen

De AVG noemt geen vaste termijn, maar zegt: niet langer dan nodig. Leg zelf vast hoe lang je wat bewaart, en houd je daaraan. Een voorbeeld van zo'n afspraak:

• contacten die niet reageerden, verwijder je na een vaste periode als je ze niet opnieuw benadert;
• contacten met een lopend gesprek bewaar je zolang dat gesprek loopt;
• klanten vallen onder je gewone klantadministratie.

Eén uitzondering: van mensen die bezwaar maakten, bewaar je juist het minimum dat nodig is om ze niet opnieuw te benaderen. Een afmeldlijst die je weggooit, werkt niet.

Gekochte lijsten

Koop je een bestand met contactpersonen, dan ben jij verantwoordelijk voor wat je ermee doet. "De leverancier zei dat het AVG-proof was" is geen verweer. Vraag vóór je koopt:

• Waar komen de gegevens vandaan, en hoe zijn ze verzameld?
• Zijn de personen geïnformeerd dat hun gegevens voor dit doel worden gedeeld?
• Hoe actueel zijn ze, en hoe vaak worden ze bijgewerkt?
• Staat de rechtsvorm erin, zodat je weet wie je onder de Telecommunicatiewet mag benaderen?
• Hoe gaat de leverancier om met mensen die bezwaar hebben gemaakt?

Kan de leverancier dit niet helder beantwoorden, koop dan niet. En onthoud dat je bij een gekochte lijst de bron moet kunnen noemen als iemand ernaar vraagt.

AVG en Telecommunicatiewet samen

De twee wetten vullen elkaar aan. Een overzicht voor een koude sms of e-mail:

Meer over de regels per kanaal vind je op Wetgeving.

Checklist

1. Je weet welke persoonsgegevens je gebruikt, en het zijn er niet meer dan nodig.
2. Je hebt je belangenafweging opgeschreven: doel, noodzaak, afweging.
3. Elk bericht noemt je bedrijf en heeft een afmeldmogelijkheid.
4. Je privacyverklaring is vindbaar en noemt ook de bron van gegevens.
5. Je kunt direct en eerlijk zeggen waar je iemands gegevens vandaan hebt.
6. Bezwaar verwerk je direct, op alle kanalen, en het blijft gelden na een nieuwe import.
7. Je hebt een bewaartermijn afgesproken en ruimt op.
8. Bij gekochte lijsten heb je de herkomst nagevraagd.

Dit artikel is algemene informatie en geen juridisch advies. Twijfel je over je eigen situatie, laat het dan toetsen.