AVG en loyaliteitsprogramma: wat je als ondernemer moet regelen

AVG en loyaliteitsprogramma: wat je als ondernemer moet regelen

De AVG geldt voor alles wat je over een klant vastlegt in je loyaliteitsprogramma, van e-mailadres tot aankoopgeschiedenis. Elke verwerking heeft een wettelijke grondslag nodig, en voor direct marketing is meestal toestemming vereist. Regel daarom eerst aantoonbare toestemming, een onderbouwde bewaartermijn en basisbeveiliging van de gegevens.

Kort samengevat:

• Vraag alleen gegevens die nodig zijn voor een benoemd doel; gebruik toestemming voor marketing en de uitvoering van de overeenkomst voor het beloofde stempelsaldo.
• Gebruik een leeg keuzevak voor marketing, bewaar per klant datum, tijdstip en wijze van toestemming, en maak intrekken even makkelijk als aanmelden.
• Na bezwaar moet je direct stoppen met marketing en profilering; registreer bezwaarmakers op een uitsluitingslijst, zodat zij geen berichten voor dat doel ontvangen.
• De AVG stelt geen vaste bewaartermijnen: bepaal en motiveer die per doel, verwijder verlopen gegevens periodiek en beperk toegang met passende beveiliging.
• Bij verwerking met waarschijnlijk hoog risico, zoals uitgebreide profilering, voer je een gegevensbeschermingseffectbeoordeling uit en leg je de uitkomst vast.

Inhoudsopgave

• Welke gegevens verwerkt een loyaliteitsprogramma?
• Welke wettelijke grondslag kies je wanneer?
• Hoe vraag je toestemming en leg je het bewijs vast?
• Direct marketing, profilering en het recht op bezwaar
• Beveiliging en bewaartermijnen
• Checklist: je loyaliteitsprogramma AVG-conform maken
• Hoe wij je helpen met een AVG-bewust loyaliteitsprogramma
• Privacy als concurrentievoordeel in loyalty
• Veelgestelde vragen
• Bronnen

Welke gegevens verwerkt een loyaliteitsprogramma?

De AVG staat voor Algemene Verordening Gegevensbescherming, de Europese privacywetgeving die in het Engels GDPR heet. Volgens de Autoriteit Persoonsgegevens zijn persoonsgegevens alle gegevens die direct of indirect naar een natuurlijk persoon herleidbaar zijn. Zodra je een spaarkaart aan een persoon koppelt, verwerk je dus persoonsgegevens, ook als je alleen een telefoonnummer of apparaat-ID bewaart.

Typische gegevens in een loyaliteitsprogramma:

• Naam en e-mailadres, bijvoorbeeld om een welkomstbericht of aanbieding te sturen.
• Telefoonnummer, als je klanten wilt bereiken of een kaart wilt terugvinden.
• Aankoopgeschiedenis, zoals welke behandeling een klant in je salon koos.
• Stempeldata: wanneer een klant een stempel kreeg en hoeveel er nog nodig zijn voor een beloning.
• Apparaat-ID of wallet-pas, waarmee een kaart op één telefoon is te herleiden.

Koppel elk datapunt aan een concreet doel. Een café heeft het e-mailadres nodig voor de actiemails, maar niet per se het geboortejaar. Een salon heeft de behandelhistorie nodig om een passende beloning te geven, maar niet de volledige adresgegevens. Wat je niet voor een benoemd doel gebruikt, vraag je niet uit.

Welke wettelijke grondslag kies je wanneer?

Voor elke verwerking is een grondslag uit artikel 6 AVG nodig. De Autoriteit Persoonsgegevens benadrukt dat je zelf moet afwegen welke grondslag bij welke verwerking past. Een veelgemaakte fout is marketing baseren op gerechtvaardigd belang terwijl toestemming nodig is.

Zo werkt de keuze in de praktijk:

1. Toestemming: vrij gegeven, specifiek, geïnformeerd en aantoonbaar. Gebruik dit voor nieuwsbrieven, aanbiedingen en pushberichten.
2. Uitvoering van een overeenkomst: past bij gegevens die nodig zijn om de beloning te leveren die je klant is beloofd, zoals het bijhouden van het stempelsaldo.
3. Gerechtvaardigd belang: is beperkt toepasbaar. Voor direct marketing en profilering is het vaak niet de juiste grondslag.

Pro-tip: Leg per verwerkingsdoel in één regel vast welke grondslag je koos en waarom. Zo kun je bij een vraag van een klant of toezichthouder direct onderbouwen waarom je data gebruikt.

Hoe vraag je toestemming en leg je het bewijs vast?

Goede toestemming begint bij het formulier. De ACM adviseert geen vooraf aangevinkte hokjes te gebruiken, dus de klant zet zelf actief een vinkje. Wanneer toestemming je grondslag is, moet je volgens de Autoriteit Persoonsgegevens kunnen aantonen dat je die hebt verkregen en begrijpelijke informatie geven over de verwerking.

Zo pak je het aan:

• Gebruik een leeg keuzevak voor marketing en vraag het los van de algemene voorwaarden.
• Vermeld in gewone taal waarvoor je toestemming vraagt: bijvoorbeeld “ik wil aanbiedingen ontvangen via pushbericht”.
• Bewaar per klant datum, tijdstip en de manier waarop de toestemming is gegeven.
• Maak intrekken even makkelijk als geven, bijvoorbeeld met één knop of afmeldlink.
• Verwerk een intrekking meteen en stuur daarna geen berichten meer voor dat doel.

Pro-tip: Test je eigen afmeldroute zelf: meld je aan met een testadres, trek de toestemming in en controleer of er echt niets meer binnenkomt.

Direct marketing, profilering en het recht op bezwaar

Klanten mogen bezwaar maken tegen direct marketing en profilering. Doen ze dat, dan moet de verwerking voor dat doel onmiddellijk stoppen. Dat geldt ook voor een klant die al jaren spaart: één bezwaar volstaat om de marketingberichten te beëindigen.

Telefonische benadering wordt strenger. De regels voor telemarketing veranderen. Controleer de actuele voorwaarden bij de ACM voordat je consumenten of kleine ondernemers belt. Per consument moet je dat kunnen aantonen.

Wat je daarvoor op orde hebt:

• Een vast adres of knop om bezwaar te registreren.
• Een uitsluitingslijst waarop bezwaarmakers direct belanden.
• Een aparte toestemming voor telefonische benadering, los van e-mail en push.
• Een afspraak wie in je team bezwaren verwerkt.

Beveiliging en bewaartermijnen

De AVG vraagt om passende technische en organisatorische maatregelen tegen ongeoorloofde verwerking en verlies. Voor bewaartermijnen geldt: er staan geen vaste termijnen in de AVG. Je bepaalt ze per doel, onderbouwt ze en vermeldt ze in je privacyverklaring.

Werk in deze volgorde:

1. Beperk toegang: alleen medewerkers die klantgegevens nodig hebben, krijgen een eigen account met passend niveau.
2. Versleutel gegevens bij opslag en verzending, en gebruik sterke wachtwoorden met twee stappen.
3. Houd een logboek bij van wie klantgegevens inziet of wijzigt.
4. Stel per doel een bewaartermijn vast, bijvoorbeeld voor stempeldata na het laatste bezoek, en leg de reden vast.
5. Plan een vaste opschoning in, zodat verlopen gegevens echt verdwijnen.
6. Overweeg een DPIA als je verwerking waarschijnlijk een hoog risico voor klanten meebrengt, zoals uitgebreide profilering. De GDPR kent een DPIA-plicht voor die situaties; leg de uitkomst vast.

Checklist: je loyaliteitsprogramma AVG-conform maken

Loop dit af bij de start of bij een controle van je bestaande programma:

• Elk datapunt heeft een doel en een grondslag.
• Toestemming is ingericht, met een bewijslog per klant.
• Intrekking van toestemming is getest en werkt direct.
• Bewaartermijnen staan ingesteld en er is een periodieke opschoning.
• Toegangsbeheer en versleuteling zijn ingeregeld.
• Procedures voor inzage, verwijdering en bezwaar zijn vastgelegd, met een verantwoordelijke.
• De privacyverklaring is bijgewerkt en het verwerkingsregister wordt bijgehouden.

Meer praktische stappen voor de inrichting vind je in onze handleiding over het opzetten van een digitaal loyaliteitsprogramma.

Hoe wij je helpen met een AVG-bewust loyaliteitsprogramma

Met Beepify bieden we digitale spaarkaarten die direct in Apple Wallet en Google Wallet staan, dus je klanten hoeven geen extra app te installeren. Stempels geef je uit via QR-scanning. Pushberichten verstuur je, en je kaart stel je helemaal in je eigen huisstijl in.

Wil je zien hoe dat in jouw zaak werkt? Probeer Beepify en bekijk de abonnementen op onze prijspagina. Starter kost € 45,00 per maand, of € 540 per jaar.

Privacy als concurrentievoordeel in loyalty

Een ondernemer die zorgvuldig met klantdata omgaat, wint iets wat geen korting kan kopen: vertrouwen. Een expert schreef al kort na de invoering van de AVG dat je de wet moet zien als kans om vertrouwen te winnen door transparant te zijn en klanten controle te geven. Wie dat serieus neemt, krijgt klanten die zich vrijwillig aanmelden en sneller terugkomen. Begin met de checklist hierboven en verbeter stap voor stap. Een goed ingerichte tool maakt dat een stuk eenvoudiger.

— erenmette

Dit artikel bevat algemene informatie en vervangt niet het advies van een gekwalificeerde advocaat. Raadpleeg een gekwalificeerde juridische professional over uw eigen situatie voordat u op basis van deze inhoud handelt.

Veelgestelde vragen

Wat is de wet persoonsgegevens?

De AVG is de Europese privacywetgeving voor de verwerking van persoonsgegevens. Wie een loyaliteitsprogramma draait, moet rekening houden met de AVG.

Wat is de GDPR-wetgeving?

GDPR is de Engelse naam voor de AVG, Regulation (EU) 2016/679. Het is dezelfde regelgeving als de AVG en regelt hoe organisaties persoonsgegevens verwerken.

Wanneer wordt persoonsgegevens verwerkt volgens de AVG?

Zodra je gegevens verzamelt, opslaat, gebruikt of verstuurt die naar een persoon te herleiden zijn. Dat geldt dus al bij het bewaren van een e-mailadres of stempelsaldo op naam.

Waar staat AVG voor?

AVG staat voor Algemene Verordening Gegevensbescherming. Het is de Nederlandse benaming van de Europese privacywet die de rechten van betrokkenen beschermt.

Moet ik toestemming vragen voor een digitale spaarkaart?

Niet voor elke verwerking. Voor het bijhouden van het stempelsaldo kan uitvoering van de overeenkomst volstaan, maar voor marketingberichten en pushnotificaties vraag je meestal toestemming.

Bronnen

• Onderzoektips
• Autoriteitpersoonsgegevens
• Vooraf aangevinkte hokjes | ACM

Aanbevelingen

• Loyaliteitsprogramma voorbeelden: 12 die echt werken
• Loyaliteitsprogramma opzetten in 7 stappen
• Loyaliteitsprogramma kosten: wat betaal je en wat levert het op?
• Puntenkaart of stempelkaart? Zo kies je de juiste kaart