Hoe lang mag je klantgegevens bewaren?

Het korte antwoord: de AVG noemt geen concreet aantal jaren. De regel is dat je gegevens niet langer bewaart dan nodig is voor het doel waarvoor je ze hebt verzameld. Daarnaast geldt voor je administratie een fiscale bewaarplicht van zeven jaar, en tien jaar voor gegevens over onroerende zaken. Alles wat onder geen van beide valt, ruim je op zodra het doel verdwenen is.

Dit is algemene uitleg en geen juridisch advies. Twijfel je over een specifieke situatie, leg die dan voor aan een jurist of aan je accountant.

Waarom er geen simpel getal bestaat

De meeste ondernemers zoeken naar één termijn die overal voor geldt. Die bestaat niet, en dat is geen slordigheid in de wet maar een keuze. De AVG werkt met het beginsel van opslagbeperking: je bewaart persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor je ze verzamelde. Wat noodzakelijk is, verschilt per soort gegeven.

Het e-mailadres van iemand die drie jaar geleden een offerte aanvroeg en nooit meer reageerde, heeft een ander doel dan de factuur die je die klant hebt gestuurd. De eerste bewaar je omdat je hoopt ooit nog zaken te doen, de tweede omdat de Belastingdienst dat van je eist. Alleen bij de tweede staat het aantal jaren vast.

Praktisch betekent dit dat je de vraag omdraait. Niet: hoe lang mag ik dit bewaren? Maar: waarom bewaar ik dit nog, en is die reden er over een jaar nog steeds?

De termijnen die wel vastliggen

Er zijn twee harde ankerpunten waar je niet omheen kunt.

Zeven jaar voor je administratie. Als ondernemer ben je verplicht je administratie zeven jaar te bewaren. Daar vallen facturen, contracten, betalingen en de gegevens van je debiteuren onder. Dat is geen keuze en het wint van je opruimdrift: een klant die vraagt of je al zijn gegevens wilt wissen, kan niet eisen dat je facturen uit je boekhouding haalt.

Tien jaar voor onroerende zaken. Gaat het om gegevens rond onroerend goed, dan wordt die zeven jaar tien jaar.

Daarnaast is er een derde, zachtere factor: veel vorderingen uit een overeenkomst verjaren pas na vijf jaar. Zolang er een conflict of een openstaande verplichting kan ontstaan, heb je een reden om dossierstukken te bewaren. Die reden verdwijnt op enig moment vanzelf.

Denk per soort gegeven, niet per klant

Het helpt om je gegevens in een paar groepen te verdelen en per groep één keer te bepalen wat er gebeurt.

Facturen en betalingen. Zeven jaar, punt. Deze horen thuis in je boekhouding en niet ook nog eens los in tien mappen op je computer.

Klantdossiers van lopende relaties. Bewaar je zolang de relatie loopt. Voor terugkerende klanten is dat lang en dat is prima, want het doel bestaat nog.

Afgeronde projecten. Hier is de vraag hoe waarschijnlijk het is dat je er nog op terugvalt. Voor veel diensten is een paar jaar na oplevering redelijk, aansluitend op de periode waarin nog een klacht of een claim kan komen.

Leads die nooit klant werden. Dit is de groep waar het meeste onnodig blijft hangen. Iemand die twee jaar geleden een keer informeerde en nooit meer reageerde, is geen contact meer maar ruis. Kies een termijn, bijvoorbeeld één of twee jaar na het laatste contact, en houd je eraan.

Nieuwsbriefinschrijvingen. Bewaar je zolang iemand ingeschreven staat. Schrijft iemand zich uit, dan houd je alleen het minimum over dat nodig is om te voorkomen dat hij bij een volgende import opnieuw mail krijgt.

Aantekeningen en notities. Alles wat je over iemand opschrijft is ook een persoonsgegeven, ook als het in een vrij tekstveld staat. Schrijf daarom niets op wat je niet zou willen voorlezen als de klant erom vraagt, want dat recht heeft hij.

Opruimen is geen eenmalige actie

Een bewaarbeleid dat alleen op papier bestaat, verandert niets. Wat werkt is een moment in je jaar waarop je het echt doet, bijvoorbeeld in dezelfde week als je jaarafsluiting. Je loopt dan drie dingen langs: contacten zonder activiteit sinds een bepaalde datum, oude aanvragen die nergens toe leidden, en uitschrijvingen die nog volledig in je bestand staan.

Dat is meteen het moment waarop je merkt hoeveel je systeem waard is. Kun je niet filteren op laatste contactmoment, dan kun je ook niet opruimen, en blijft alles staan bij gebrek aan overzicht. In een fatsoenlijk klantenbestand is dit een filter en een selectie, geen dag werk. Hoe je een contact netjes weghaalt of onherkenbaar maakt, staat in verwijderen of anonimiseren.

Verwijderen of anonimiseren

Deze twee worden vaak door elkaar gehaald. Verwijderen betekent dat het contact weg is, inclusief de geschiedenis. Anonimiseren betekent dat de persoonsgegevens eruit gaan, maar dat de zakelijke feiten blijven staan: er was in dat jaar een opdracht van dit type met deze omzet, alleen niet meer te herleiden tot een persoon.

Voor je eigen cijfers is anonimiseren meestal de betere keuze. Je houdt je omzethistorie en je rapportages kloppend, terwijl je toch geen persoonsgegevens meer bewaart die je niet nodig hebt. Vraagt iemand expliciet om verwijdering, dan is anonimiseren van het dossier vaak precies wat je wilt doen, met uitzondering van de stukken die onder de fiscale bewaarplicht vallen.

Leg vast wat je hebt afgesproken

Je hoeft hier geen dik document van te maken. Een half A4 met per soort gegeven de termijn en de reden is genoeg, en het is precies wat je nodig hebt als iemand ernaar vraagt. Noteer er ook bij op welke grondslag je gegevens verwerkt en waar je toestemming vandaan komt, bijvoorbeeld bij nieuwsbrieven. Hoe je toestemming vastlegt in je systeem is daarbij belangrijker dan de tekst van je privacyverklaring, want dat is het bewijs.

Wat je vooral wilt voorkomen is dat klantgegevens op vijf plekken tegelijk staan: in je mailbox, in een spreadsheet, in je offerteprogramma en in twee telefoons. Dan is elke bewaartermijn theorie, want je weet niet eens meer wat je hebt. Eén plek waar het klantcontact samenkomt, maakt opruimen pas mogelijk. Wil je klein beginnen, dan kun je dat met een gratis CRM prima uitproberen voordat je er iets aan uitgeeft. En let er bij het binnenhalen van nieuwe contacten op dat je niet meer vraagt dan je gebruikt, want dat scheelt later opruimwerk: daarover gaat klantgegevens verzamelen.

Veelgestelde vragen

Moet ik gegevens wissen als een klant daarom vraagt?

Meestal wel, maar niet altijd en niet alles. Het recht op vergetelheid geldt niet voor gegevens die je wettelijk moet bewaren, zoals facturen binnen de fiscale bewaarplicht. Wat je wel kunt doen is de rest van het dossier verwijderen of anonimiseren en de klant uitleggen welk deel blijft staan en waarom.

Mag ik oude leads gewoon in mijn bestand laten staan?

Alleen zolang je een reden hebt om ze te bewaren. Een lead uit een jaar geleden waar je nog contact mee wilt, is te verdedigen. Een aanvraag van vijf jaar terug waar nooit iets uitkwam, niet meer. Kies een termijn die je ook echt uitvoert, want een beleid dat je nooit toepast is slechter dan geen beleid.

Hoe lang bewaar ik gegevens van iemand die zich uitschrijft voor mijn nieuwsbrief?

De inschrijving zelf stop je direct. Het e-mailadres houd je alleen aan om te voorkomen dat diegene bij een volgende actie opnieuw wordt aangeschreven. Bewaar in dat geval zo min mogelijk: het adres en de datum van uitschrijving zijn genoeg.