Wat mag je opslaan in je CRM onder de AVG?

Je mag persoonsgegevens verwerken als je daarvoor een grondslag hebt, bijvoorbeeld uitvoering van een overeenkomst, gerechtvaardigd belang, toestemming of een wettelijke verplichting. Je moet voor elk doel vaststellen welke gegevens nodig zijn en ze niet langer bewaren dan noodzakelijk. Bijzondere persoonsgegevens, zoals gezondheidsgegevens, horen in een gewoon CRM vrijwel nooit thuis.

Hoe lang mag je klantgegevens bewaren in je CRM?

De AVG noemt geen vaste bewaartermijn. Volgens de Autoriteit Persoonsgegevens bepaal je zelf hoe lang je gegevens bewaart, niet langer dan noodzakelijk, tenzij een andere wet een termijn voorschrijft. Voor de financiële administratie geldt volgens de Belastingdienst een bewaarplicht van zeven jaar.

Heb je een verwerkingsovereenkomst nodig voor je CRM-leverancier?

Ja, als de leverancier persoonsgegevens namens jou verwerkt, sluit je een verwerkersovereenkomst (artikel 28 AVG). Veel leveranciers bieden die aan in hun voorwaarden of via je accountinstellingen. Controleer of je hem hebt geaccepteerd.

Hoe snel moet je reageren op een verwijderverzoek?

Volgens de Autoriteit Persoonsgegevens moet een organisatie binnen 1 maand reageren op een verzoek; die termijn kan met maximaal 2 maanden worden verlengd als je dat binnen de eerste maand meldt. Is er een wettelijke bewaarplicht, bijvoorbeeld voor facturen, dan kun je die gegevens niet wissen.

Mag je zakelijke e-mailadressen gebruiken voor marketing zonder opt-in?

Dat hangt af van de ontvanger. Artikel 11.7 van de Telecommunicatiewet verbiedt ongevraagde commerciële e-mail zonder voorafgaande toestemming. Voor zakelijke ontvangers geldt een beperkte uitzondering (lid 3), alleen als het adres door de ontvanger voor dit doel is bestemd en bekendgemaakt. Een zakelijk adres van een eenmanszaak kan van een natuurlijk persoon zijn, en de AVG geldt ook voor zakelijke contactpersonen. Twijfel je, vraag dan toestemming en bied altijd een afmeldmogelijkheid.

GDPR en CRM: Wat Mag Je Opslaan van je Klanten? (AVG 2026)

Q: Wat zijn de risico's als je CRM niet AVG-proof is?

De Autoriteit Persoonsgegevens kan boetes opleggen. Voor de zwaarste overtredingen is het maximum 20 miljoen euro of 4% van de wereldwijde jaaromzet, het hoogste bedrag (artikel 83 lid 5 AVG).

Een veelgestelde vraag van mkb-ondernemers die met een CRM starten: “Mag ik dit eigenlijk opslaan?” De AVG verbiedt goede klantrelaties niet. Ze vraagt dat je een reden hebt voor wat je opslaat, transparant bent en gegevens niet langer bewaart dan nodig.

Dit artikel zet de basisregels voor een CRM op een rij, met de Autoriteit Persoonsgegevens (AP) als bron voor de AVG-onderdelen. Het is algemene informatie, geen juridisch advies.

Bekijk ook ons beste CRM-software overzicht voor de pakketten en prijzen.

Kort antwoord: Je mag persoonsgegevens in je CRM opslaan als je er een grondslag voor hebt, zoals uitvoering van een overeenkomst, gerechtvaardigd belang of toestemming. Je bewaart ze niet langer dan noodzakelijk; een vaste maximale termijn noemt de AVG niet. Voor facturen geldt een bewaarplicht van zeven jaar. Met je CRM-leverancier sluit je een verwerkersovereenkomst.

De grondslagen voor een CRM

De AVG kent zes grondslagen. Voor een CRM zijn meestal deze drie relevant.

Uitvoering van een overeenkomst

Is iemand klant, dan mag je de gegevens bewaren die nodig zijn om de overeenkomst uit te voeren: naam, adres, orderhistorie, betaalgegevens.

Gerechtvaardigd belang

Je mag gegevens verwerken als je daar een gerechtvaardigd belang bij hebt en dat belang zwaarder weegt dan de belangen van de betrokkene. Leg die afweging vast. Dit is een afweging per geval, geen vrijbrief voor alle zakelijke contactgegevens.

Toestemming

Toestemming moet vrij, specifiek en geïnformeerd zijn, en de betrokkene kan haar altijd intrekken. Zorg dat je kunt aantonen wanneer en waarvoor iemand toestemming gaf.

De andere drie grondslagen (wettelijke verplichting, vitale belangen en taak van algemeen belang) komen in een gewoon mkb-CRM zelden voor.

Wat sla je op? Wees selectief

Basiscontactgegevens: naam, functie, bedrijf, zakelijk e-mailadres en telefoonnummer, voor zover je ze nodig hebt voor de relatie.
Communicatiegeschiedenis: correspondentie, gespreksnotities, offertes en tickets; bewaar wat relevant is voor de relatie.
Transactiegegevens: orders, facturen en betalingen. Voor de financiële administratie geldt volgens de Belastingdienst een bewaarplicht van zeven jaar.
Gedragsgegevens: websitebezoek, e-mailopens, downloads. Dit kan alleen als je er een grondslag voor hebt en bezoekers erover informeert (privacyverklaring en cookiebanner). Het feit dat het technisch kan, is geen reden om het vast te leggen.
Bijzondere persoonsgegevens: gegevens over gezondheid, godsdienst, politieke voorkeur en dergelijke horen in een gewoon CRM vrijwel nooit thuis. Gebruik vrije notitievelden daarom niet voor zulke informatie.
Privégegevens: noteer privé-telefoonnummers of -adressen alleen als de betrokkene die voor dit doel heeft gegeven.

Bewaartermijnen

De AP schrijft: de AVG noemt geen concrete bewaartermijn; organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren, niet langer dan noodzakelijk, tenzij andere wetten (zoals de belastingwetgeving) een termijn voorschrijven. Er is geen formule: je stelt per doel vast wat in jouw situatie passend is en legt dat vast.

Twee vaste punten:

Facturen en financiële administratie: zeven jaar (Belastingdienst).
Sollicitanten die niet worden aangenomen: gebruikelijk is de gegevens uiterlijk 4 weken na afloop van de procedure te verwijderen; met toestemming van de sollicitant is maximaal 1 jaar redelijk (AP).

Voor alle andere contacten, zoals voormalige klanten en leads, bepaal je zelf een termijn en leg je die vast. Stel in je CRM herinneringen in voor contacten die lang inactief zijn, en ruim ze bewust op. Zie ook CRM-data opschonen: stappenplan.

De verwerkersovereenkomst met je CRM-leverancier

Een cloud-CRM verwerkt persoonsgegevens namens jou. Jij bent de verwerkingsverantwoordelijke en de leverancier de verwerker; de AVG vraagt dan een verwerkersovereenkomst (artikel 28). De AP beschrijft op autoriteitpersoonsgegevens.nl wat daarin moet staan.

Controleer bij elk CRM, zoals Pipedrive, HubSpot of Monday CRM:

Is er een verwerkersovereenkomst en heb je die geaccepteerd?
Waar worden de gegevens opgeslagen? Staan ze buiten de EU, welk doorgiftemechanisme geldt dan (bijvoorbeeld standaardcontractbepalingen)?
Welke subverwerkers gebruikt de leverancier?
Kun je contacten exporteren, corrigeren en verwijderen?

Wij hebben de voorwaarden van deze leveranciers niet vergeleken; kijk daarvoor op hun eigen privacy- en trustpagina’s.

E-mailmarketing: toestemming

Artikel 11.7 van de Telecommunicatiewet verbiedt ongevraagde commerciële berichten per e-mail, tenzij de verzender kan aantonen dat de ontvanger vooraf toestemming gaf. Lid 3 kent een uitzondering voor berichten aan rechtspersonen en aan personen die handelen in de uitoefening van beroep of bedrijf, maar alleen als je contactgegevens gebruikt die de ontvanger daarvoor heeft bestemd en bekendgemaakt, en in overeenstemming met dat doel (lees de wettekst op wetten.overheid.nl). Let op:

Een zakelijk e-mailadres kan van een natuurlijk persoon zijn, bijvoorbeeld bij een eenmanszaak.
De AVG geldt ook voor de persoonsgegevens van een zakelijke contactpersoon.
Twijfel je, vraag dan toestemming, en bied altijd een eenvoudige afmeldmogelijkheid.

Een vooraf aangevinkt vakje is geen geldige toestemming. Een actief aangevinkt vakje met duidelijke uitleg, of een bevestigingsmail, is wel een manier om toestemming vast te leggen. Voor opvolging per e-mail zie de beste e-mailmarketing software.

Rechten van betrokkenen en verzoeken

De AP somt de privacyrechten op: informatie, inzage, rectificatie, verwijdering, beperking van de verwerking, gegevens overdragen, bezwaar en een menselijke blik bij besluiten. Voor alle verzoeken geldt dezelfde termijn: de organisatie reageert binnen 1 maand. Duurt het langer, dan meld je dat binnen die maand; de termijn kan met maximaal 2 maanden worden verlengd.

Een verwijderverzoek handel je zo af:

Leg het verzoek vast en bevestig de ontvangst.
Controleer wie het verzoek doet.
Controleer of een wettelijke bewaarplicht geldt, bijvoorbeeld voor facturen. Dan kun je die gegevens niet wissen.
Verwijder of anonimiseer in het CRM.
Controleer andere systemen: e-mailtool, boekhouding, ordersysteem, klantenservice en back-ups.
Bevestig de afhandeling aan de betrokkene en bewaar het bewijs.

Bij bezwaar tegen direct marketing stop je de verwerking voor dat doel.

Datalekken

Een datalek (gehackt account, verkeerd verstuurde klantlijst, gestolen laptop) is meldplichtig als het een risico voor de betrokkenen inhoudt; je maakt daarvoor een risico-afweging. Volgens de AP meld je binnen 72 uur nadat je kennis hebt gekregen van het lek, ook als je nog niet alle informatie hebt (dan doe je een eerste melding). Een late melding wordt alleen in uitzonderlijke gevallen geaccepteerd; weekend, vakantie, ziekte of drukte zijn geen geldige redenen. Ook niet-meldplichtige datalekken leg je vast in een datalekkenregister (AP).

Register van verwerkingsactiviteiten

Heb je meer dan 250 medewerkers, dan moet je een verwerkingsregister bijhouden. Met minder medewerkers moet het ook als de verwerking niet incidenteel is, als je gegevens met een hoog risico verwerkt, of als je bijzondere persoonsgegevens verwerkt. De AP merkt op dat verwerkingen in de praktijk zelden incidenteel zijn, bijvoorbeeld de gegevens van medewerkers en klanten. Een eenvoudig spreadsheet kan; je mag zelf weten hoe je het register opstelt, maar de AVG schrijft voor welke informatie erin staat.

Boetes

Voor de zwaarste overtredingen is het maximum 20 miljoen euro of 4% van de wereldwijde jaaromzet, het hoogste van de twee (artikel 83 lid 5 AVG). De hoogte hangt af van de ernst en de omstandigheden.

Praktische checklist

Er is een verwerkersovereenkomst met de CRM-leverancier.
Je weet waar de gegevens worden opgeslagen en welke subverwerkers er zijn.
Per doel heb je een grondslag vastgelegd.
Je privacyverklaring beschrijft het CRM-gebruik.
Je hebt een procedure voor inzage-, correctie- en verwijderverzoeken.
Je hebt bewaartermijnen vastgesteld.
Alleen medewerkers die het nodig hebben, hebben toegang; ex-medewerkers worden direct verwijderd.
Geen bijzondere persoonsgegevens in notitievelden.
Je weet of je een verwerkingsregister moet bijhouden.

Pipedrive en toegangsbeheer

Kies je een CRM, kijk dan niet alleen naar de prijs maar ook naar rollen en rechten, het exporteren en verwijderen van contacten en de voorwaarden voor gegevensverwerking. Via Pipedrive kun je dat in de proefperiode zelf nagaan.

Probeer Pipedrive →

Conclusie

Sla op wat je nodig hebt voor de relatie, wees transparant, stel bewaartermijnen vast en sluit een verwerkersovereenkomst. Dat laatste is de eenvoudigste stap die veel bedrijven nog niet hebben gezet. Meer lezen: HubSpot vs Pipedrive, CRM voor makelaars en CRM-fouten die mkb-bedrijven maken.

Dit artikel is informatief en vervangt geen juridisch advies. Bij complexe AVG-vraagstukken raadpleeg je een privacyadvocaat of gecertificeerde privacyprofessional.

Externe bron: Autoriteit Persoonsgegevens