CRM en de AVG: wat mag je vastleggen over klanten?

Een CRM is een verzameling persoonsgegevens. Namen, e-mailadressen, telefoonnummers, notities over gesprekken: zodra je het over een persoon hebt, valt het onder de AVG. Ook als je alleen zakelijk werkt, want de contactpersoon bij je zakelijke klant is gewoon een mens met privacyrechten.

Dat klinkt zwaarder dan het is. Met een paar heldere afspraken over wat je vastlegt, hoe lang je het bewaart en wie erbij kan, ben je als MKB-bedrijf al een heel eind. Dit artikel legt uit hoe dat werkt in een CRM. Het is praktische uitleg, geen juridisch advies: twijfel je over je eigen situatie, raadpleeg dan een jurist of privacyadviseur.

Wat zijn persoonsgegevens in een CRM?

Persoonsgegevens zijn alle gegevens die iets zeggen over een herkenbare persoon. In een CRM zijn dat bijvoorbeeld namen, zakelijke en privé-mailadressen, telefoonnummers, adressen, functies, notities over gesprekken en de geschiedenis van offertes en facturen van een eenmanszaak.

Een paar dingen die mensen vaak over het hoofd zien:

Zakelijke contactpersonen tellen mee. Het mailadres jan@bouwbedrijf.nl is een persoonsgegeven.
Gegevens van een eenmanszaak of zzp'er zijn vaak direct terug te leiden naar één persoon.
Notities zijn persoonsgegevens zodra ze over iemand gaan. "Jan is lastig in onderhandelen" valt er ook onder.
Mail die je aan een klant koppelt bevat vaak persoonsgegevens van meer mensen dan alleen de ontvanger.

Gegevens over een bedrijf als zodanig, zoals een KvK-nummer van een bv, vallen niet onder de AVG. De mensen in dat bedrijf wel.

Welke grondslag heb je nodig om klantgegevens vast te leggen?

Voor elke verwerking heb je een van de zes grondslagen uit artikel 6 van de AVG nodig. Voor een CRM zijn dat in de praktijk bijna altijd de overeenkomst, een wettelijke plicht of een gerechtvaardigd belang. Toestemming heb je voor gewoon klantbeheer meestal niet nodig.

De Autoriteit Persoonsgegevens (AP) legt de zes grondslagen voor ondernemers uit. In gewone taal, toegepast op een CRM:

Grondslag	In gewone taal	Voorbeeld in een CRM
Uitvoering van een overeenkomst	Je hebt de gegevens nodig om een afspraak met de klant na te komen of een offerte te maken	Adres voor de installatie, contactpersoon voor de oplevering
Wettelijke verplichting	De wet verplicht je de gegevens te bewaren	Facturen voor de Belastingdienst
Gerechtvaardigd belang	Je hebt een zakelijk belang dat zwaarder weegt dan de privacy van de persoon, na een afweging	Een aanvraag opvolgen, een bestaande klant wijzen op onderhoud
Toestemming	De persoon heeft vrij en expliciet ja gezegd, en kan dat intrekken	Aanmelding voor een nieuwsbrief
Vitaal belang	Het is nodig om iemands leven of gezondheid te beschermen	Komt in een CRM vrijwel niet voor
Algemeen belang of openbaar gezag	Een taak van algemeen belang, vooral voor overheden	Niet van toepassing voor de meeste bedrijven

Een gerechtvaardigd belang is geen vrijbrief. Volgens de AP moet je je eigen belang afwegen tegen het recht op privacy van de persoon, en moet je dat belang niet op een minder ingrijpende manier kunnen bereiken. Leg die afweging kort vast, bijvoorbeeld in je verwerkingsregister.

Voor mailings met reclame gelden naast de AVG nog aparte regels. Wil je nieuwsbrieven sturen, zoek dan uit wat daarvoor geldt of vraag advies. Voor het opvolgen van een aanvraag of een lopende offerte zit je met de overeenkomst of een gerechtvaardigd belang doorgaans goed.

Wat zet je wel en niet in de notities?

Leg alleen vast wat je nodig hebt voor het doel waarvoor je het CRM gebruikt. Dat heet dataminimalisatie en staat in artikel 5 van de AVG. In notities gaat dit het vaakst mis, omdat het een vrij tekstveld is.

Schrijf notities alsof de klant ze ooit te lezen krijgt, want met een inzageverzoek kan dat zomaar.

Wel vastleggen	Niet vastleggen
Wat is afgesproken en wanneer	Oordelen over iemands karakter
Technische wensen, zoals type cv-ketel of hostingpakket	Gezondheidsinformatie, ook niet terloops
Voorkeur voor contact, zoals liever mail dan bellen	Informatie over geloof, politieke voorkeur of afkomst
Status van een offerte en waarom de klant twijfelt	Roddels of informatie van derden die niets met de opdracht te maken heeft
Wie bij de klant beslist	Kopieën van identiteitsbewijzen zonder wettelijke noodzaak

Gegevens over gezondheid, geloof, politieke voorkeur, etniciteit en een aantal andere onderwerpen zijn bijzondere persoonsgegevens. Die mag je volgens artikel 9 van de AVG in principe niet verwerken, behalve in specifieke uitzonderingen. Een installateur die noteert dat een klant slecht ter been is, heeft vaak een goede bedoeling. Schrijf dan liever het praktische gevolg op: "graag afspraak op begane grond, bel vooraf aan".

Hoe lang mag je klantgegevens in je CRM bewaren?

Niet langer dan nodig. De AVG noemt zelf geen vaste termijnen; volgens de AP bepaal je die zelf, rekening houdend met wettelijke termijnen, en leg je vast waarom je voor een termijn kiest. Zie de uitleg van de AP over het bewaren van persoonsgegevens.

De bekendste wettelijke termijn is de fiscale bewaarplicht. Volgens de Belastingdienst bewaar je je administratie, zoals debiteuren, verkoopadministratie en grootboek, zeven jaar. Voor gegevens over onroerende zaken geldt tien jaar. De termijn begint pas als een gegeven niet meer actueel is, bijvoorbeeld na afloop van een contract.

Hieronder een voorbeeld van een bewaarbeleid voor een CRM. De termijnen voor leads en notities zijn een keuze die je zelf maakt en onderbouwt, geen wettelijke regel.

Soort gegeven	Bewaartermijn in dit voorbeeld	Waarom
Facturen en creditnota's	7 jaar	Fiscale bewaarplicht
Contracten met klanten	Looptijd plus 7 jaar	Onderdeel van de administratie
Offertes die tot een opdracht leidden	7 jaar	Onderbouwing van de factuur
Leads en offertes zonder opdracht	Bijvoorbeeld 1 à 2 jaar na laatste contact	Eigen keuze, daarna is opvolgen niet meer logisch
Notities bij klanten die geen klant meer zijn	Bijvoorbeeld 2 jaar na einde relatie	Eigen keuze, voor eventuele vragen of garantie
Nieuwsbriefaanmelding	Tot afmelding	Toestemming vervalt bij intrekken

Zet een terugkerende taak in je agenda, bijvoorbeeld elk kwartaal, om oude leads op te schonen. Anders gebeurt het niet.

Welke rechten hebben je klanten, en hoe regel je die in je CRM?

Mensen hebben onder meer recht op inzage, correctie, verwijdering en overdracht van hun gegevens. Je moet op een verzoek zo snel mogelijk reageren, en uiterlijk binnen een maand. De AP beschrijft in stap 5 van haar stappenplan hoe je daarmee omgaat.

In complexe gevallen mag je die termijn met maximaal twee maanden verlengen, maar dan laat je binnen de eerste maand weten dat het langer duurt en waarom. Wat betekenen de rechten in een CRM?

Recht op inzage. De persoon krijgt een kopie van de gegevens die je over hem hebt, inclusief notities. Een CRM met een export per contact scheelt je hier veel zoekwerk.
Recht op correctie. Onjuiste gegevens pas je aan. Dat is meestal een kwestie van het veld wijzigen.
Recht op verwijdering. Je verwijdert de gegevens, tenzij je ze moet bewaren. Een factuur valt onder de fiscale bewaarplicht en blijft dus staan; notities en leadgegevens kunnen meestal wel weg.
Recht op overdraagbaarheid. In bepaalde gevallen, zoals bij een overeenkomst, krijgt de persoon zijn gegevens in een gangbaar, machineleesbaar formaat, zoals CSV.
Recht van bezwaar. Baseer je een verwerking op gerechtvaardigd belang, dan kan iemand daartegen bezwaar maken. Bij direct marketing moet je dan stoppen.

Spreek intern af wie verzoeken afhandelt, en zorg dat het CRM zo is ingericht dat je binnen een uur alles over één persoon kunt vinden.

Heb je een verwerkersovereenkomst nodig met je CRM-leverancier?

Ja. Je CRM-leverancier verwerkt persoonsgegevens namens jou, en is daarmee een verwerker. Volgens artikel 28 van de AVG leg je de afspraken met een verwerker vast in een overeenkomst. Jij blijft verantwoordelijk.

In een verwerkersovereenkomst staat onder meer:

welke gegevens de leverancier verwerkt, waarvoor en hoe lang;
dat de leverancier alleen op jouw instructie werkt;
dat medewerkers van de leverancier geheimhouding hebben;
welke beveiligingsmaatregelen de leverancier neemt;
dat de leverancier je zo snel mogelijk informeert bij een datalek;
welke subverwerkers worden ingeschakeld, zoals een hostingpartij;
wat er met de gegevens gebeurt als je stopt.

Vraag de verwerkersovereenkomst op vóórdat je echte klantgegevens importeert. Een leverancier die er geen heeft of er vaag over doet, valt af. Let ook op koppelingen: als je CRM gegevens naar een boekhoudpakket of mailbox stuurt, heb je met die partijen ook een verwerkersovereenkomst nodig.

Waarom is hosting binnen de EU belangrijk?

Omdat doorgifte van persoonsgegevens naar landen buiten de EU extra eisen stelt. Blijven de gegevens binnen de EU, dan heb je daar geen extra werk aan.

Veel CRM-leveranciers werken met internationale hostingpartijen. Dat is niet per definitie een probleem, maar je moet dan wel weten waar de data staat en op welke basis ze buiten de EU komt. Vraag het na en laat het in de verwerkersovereenkomst opnemen. Neem dit mee als criterium als je een CRM-systeem kiest.

Welke beveiliging hoort bij een CRM?

De AVG vraagt passende beveiliging, afgestemd op hoe gevoelig de gegevens zijn. De AP zegt in stap 4 van haar stappenplan dat je dat zelf voor je situatie bepaalt. Voor een CRM komt het neer op drie praktische dingen.

Tweestapsverificatie (2FA). Een gestolen wachtwoord is de meest voorkomende ingang. Met 2FA is een wachtwoord alleen niet genoeg. Stel het bij voorkeur verplicht in voor het hele team.
Rollen en rechten. Niet iedereen hoeft alles te zien. Een monteur heeft de werkbon nodig, niet het hele factuuroverzicht. Een stagiair hoeft geen export te kunnen maken.
Audit log. Een logboek dat laat zien wie wat heeft bekeken of gewijzigd. Handig bij een datalek, en bij de vraag waarom een klant ineens verdwenen is.

Daarnaast: haal oud-medewerkers direct uit het systeem, deel geen logins en exporteer niet onnodig naar Excel-bestanden die rondzwerven op laptops. Meer over inrichten lees je in het stappenplan voor CRM-implementatie.

Hoe helpt Hello CRM bij de AVG?

Hello CRM is Nederlandse CRM-software en host binnen de EU, in Frankfurt. Elke organisatie heeft een strikt gescheiden omgeving, en jij blijft eigenaar van je data. Een verwerkersovereenkomst is op aanvraag beschikbaar.

In elk pakket zitten tweestapsverificatie, die je verplicht kunt stellen, rollen en rechten, teams en een audit log. Voor privacyverzoeken is er een AVG-export en -verwijdering in de app. Gevoelige koppelingsgegevens worden versleuteld opgeslagen. Meer hierover op de pagina beveiliging en privacy. Wil je zelf verwerkersovereenkomsten met je eigen klanten afsluiten, dan zit er vanaf Pro een contractsjabloon voor in digitaal ondertekenen van contracten.

De AVG naleven blijft jouw verantwoordelijkheid: een CRM geeft je de middelen, jij maakt de afspraken over wat je vastlegt en hoe lang.

Checklist: CRM en de AVG

Je weet welke persoonsgegevens in je CRM staan, ook in notities en gekoppelde mail.
Per soort gegeven heb je een grondslag bepaald, en bij gerechtvaardigd belang de afweging vastgelegd.
Het team weet wat wel en niet in notities hoort.
Er staan geen bijzondere persoonsgegevens in het CRM zonder geldige uitzondering.
Je hebt bewaartermijnen per soort gegeven vastgelegd en onderbouwd.
Facturen en administratie bewaar je minstens zeven jaar.
Er is een terugkerende taak om oude leads en notities op te schonen.
Je kunt binnen een maand reageren op inzage-, correctie- en verwijderingsverzoeken.
Je hebt een verwerkersovereenkomst met je CRM-leverancier en met gekoppelde diensten.
Je weet waar de gegevens gehost worden.
Tweestapsverificatie staat aan voor iedereen.
Rollen en rechten zijn ingesteld, en oud-medewerkers zijn uit het systeem.
Er is een audit log en je weet waar je die vindt.
Je privacyverklaring beschrijft wat je in het CRM vastlegt.

Een compleet overzicht van wat de AVG van ondernemers vraagt, vind je in het stappenplan AVG op orde voor ondernemers en mkb van de AP. Ben je nog aan het kiezen, lees dan ook waar kleine bedrijven op letten bij een CRM of bekijk CRM voor het MKB.

Veelgestelde vragen

Heb je toestemming nodig om klanten in je CRM te zetten?

Meestal niet. Voor het vastleggen van gegevens die je nodig hebt om een offerte te maken of een opdracht uit te voeren, is de uitvoering van een overeenkomst de gebruikelijke grondslag. Voor het opvolgen van een aanvraag of het informeren van bestaande klanten kan een gerechtvaardigd belang volstaan, mits je die afweging maakt en vastlegt. Toestemming speelt vooral bij nieuwsbrieven en reclame. Twijfel je over jouw situatie, raadpleeg dan een jurist of privacyadviseur.

Moet je gegevens verwijderen als een klant daarom vraagt?

In principe wel, maar niet alles. Gegevens die je wettelijk moet bewaren, zoals facturen en je administratie, blijven staan tot de fiscale termijn van zeven jaar voorbij is. Notities, leadgegevens en contactvoorkeuren die je niet meer nodig hebt, verwijder je wel. Laat de persoon binnen een maand weten wat je hebt verwijderd en wat je om welke reden bewaart. Leg het verzoek en je antwoord vast.

Is een CRM-leverancier verantwoordelijk voor de AVG?

De leverancier is verwerker en moet zijn eigen verplichtingen nakomen, zoals goede beveiliging en melden van datalekken aan jou. Jij bent verwerkingsverantwoordelijke: jij bepaalt welke gegevens erin gaan, waarvoor en hoe lang. Als er iets misgaat met wat je vastlegt, ben jij daarop aanspreekbaar. Daarom leg je de afspraken met de leverancier vast in een verwerkersovereenkomst en kies je een systeem dat je helpt met rechten, 2FA en een audit log.

Mag je notities over klanten bewaren nadat de relatie is beëindigd?

Ja, zolang je er een reden voor hebt en een termijn hebt bepaald. Denk aan garantievragen na een installatie of een klant die na een jaar terugkomt. Kies een termijn die bij je bedrijf past, leg vast waarom en verwijder daarna. Notities die bij de administratie horen, zoals afspraken over een gefactureerde opdracht, vallen onder de fiscale bewaarplicht. Losse opmerkingen over een persoon horen daar niet bij.