Reviews vragen en de AVG: wat mag je met klantgegevens?

#Waar de AVG wél en niet over gaat

De AVG is de Europese privacywet. Die gaat over persoonsgegevens: alles waarmee je een persoon kunt herkennen. Een naam, een mailadres, een telefoonnummer, een adres, een klantnummer dat aan een persoon hangt. Ook een zakelijk mailadres met een naam erin hoort daarbij.

De vraag “wil je ons een review geven?” valt daar niet onder. Die vraag stellen aan iemand die voor je neus staat, raakt de AVG niet. Wat de AVG wel raakt, is het moment waarop je gegevens uit je administratie pakt om die vraag te versturen. Dat heet in de wet verwerken, en daar heb je een geldige reden voor nodig.

#Mag je klanten mailen of appen voor een review?

Hier lopen twee sets regels door elkaar, en dat is precies waarom veel ondernemers het onduidelijk vinden.

• De AVG gaat over de gegevens: mag jij dit mailadres hiervoor gebruiken, en heb je dat ergens opgeschreven?
• De regels voor ongevraagde berichten gaan over het bericht zelf: mag je iemand ongevraagd benaderen, en kan hij zich afmelden? Die regels staan niet in de AVG maar in de telecomwetgeving, en er is een aparte toezichthouder voor.

In grote lijnen: voor commerciële berichten aan consumenten is het uitgangspunt dat iemand daar vooraf mee heeft ingestemd. Er bestaat een uitzondering voor mensen die al klant bij je zijn, maar die uitzondering heeft voorwaarden. Denk aan: je hebt de gegevens zelf gekregen bij een eerdere aankoop, het bericht gaat over iets vergelijkbaars, en de klant kan zich in elk bericht afmelden.

Of een reviewverzoek onder die uitzondering valt, kunnen wij niet voor je beslissen — dat hangt af van je bedrijf en van wat je klant bij je heeft gekocht. De veilige lijn is: behandel een reviewverzoek als een bericht dat jij verstuurt omdat jij er iets aan hebt, en zorg dus dat het aan dezelfde eisen voldoet als je andere klantmails.

Wat je in elk geval zelf kunt nalopen

• Is duidelijk wie de afzender is en waarom deze klant dit bericht krijgt?
• Kan de klant zich afmelden, en gebeurt er ook echt iets als hij dat doet?
• Gebruik je alleen gegevens die je van de klant zelf hebt gekregen, en geen ingekochte of ergens vandaan geplukte adressen?
• Vraag je het één keer, en niet drie keer achter elkaar?
• Staat in je privacyverklaring dat je klantgegevens ook hiervoor gebruikt?

Welk kanaal in de praktijk het beste bij jouw bedrijf past, staat in reviews vragen per e-mail, WhatsApp of met een kaartje?

#Wanneer heb je toestemming nodig?

Toestemming is één van de redenen die de wet toestaat om persoonsgegevens te gebruiken. Het is niet de enige, en ook niet automatisch de beste: toestemming die je vraagt, kan je klant ook weer intrekken.

Waar het misgaat, is dat “toestemming” in de AVG een strikte betekenis heeft. Het moet in elk geval:

• vrij gegeven zijn — iemand mag er ook nee tegen zeggen zonder gevolgen;
• specifiek zijn — toestemming voor de nieuwsbrief is niet hetzelfde als toestemming voor een reviewverzoek;
• geïnformeerd zijn — de klant weet waar hij ja tegen zegt;
• een actieve handeling zijn — een vakje dat al is aangevinkt telt niet, en zwijgen is geen ja;
• in te trekken zijn, net zo makkelijk als hij is gegeven.

Praktisch betekent dat: als je bij het afrekenen of in je opdrachtbevestiging een los, leeg vinkje zet met een zin als “je mag me later een keer om een review vragen”, dan heb je iets in handen. Vink je het vakje zelf alvast aan, of verstop je het in een lange lap tekst, dan heb je niets.

#Wat mag je bewaren, en hoe lang?

De AVG kent geen lijstje met bewaartermijnen per soort gegeven. Wat er wel in staat, komt neer op twee gedachten: bewaar niet méér dan je nodig hebt, en niet langer dan je nodig hebt. Wat “nodig” is, moet je zelf kunnen uitleggen.

• Niet meer dan nodig. Voor een reviewverzoek heb je een mailadres nodig. Geen geboortedatum, geen notities over hoe de klant overkwam.
• Niet langer dan nodig. Bepaal zelf een termijn die je kunt uitleggen en houd je eraan. Let op: voor je administratie gelden aparte bewaarplichten, dus “alles weggooien” is ook geen oplossing.
• Houd afmeldingen bij. Wie zegt geen berichten meer te willen, moet je kunnen terugvinden. Dat is meteen de reden dat je zo iemand niet zomaar helemaal wist.
• Beperk wie erbij kan. Een klantenbestand hoort niet in een gedeelde map waar het hele team in kijkt.

#Wat hoort er in je privacyverklaring?

Je privacyverklaring is de plek waar je uitlegt wat je met gegevens doet. Ga je klantgegevens gebruiken om reviewverzoeken te sturen, dan hoort dat doel erin te staan. In grote lijnen benoem je per doel:

• welke gegevens je gebruikt;
• waarvoor je ze gebruikt;
• op welke grond je dat doet;
• hoe lang je ze bewaart;
• met wie je ze deelt — denk aan het mailprogramma of de reviewsoftware die je gebruikt;
• welke rechten je klant heeft en waar hij daarvoor terechtkan.

Werk je met software die de mailtjes voor je verstuurt, dan gaan je klantgegevens door de handen van dat bedrijf. Daar horen afspraken bij op papier. Dat is een van de posten die je makkelijk over het hoofd ziet als je alleen naar het maandbedrag kijkt; zie wat kost het om meer Google reviews te krijgen?

Onze eigen verklaring staat op de privacypagina. Gebruik hem gerust als voorbeeld van de vorm, maar niet als kopieerwerk: jouw doelen zijn niet de onze.

#Waarom een kaartje deze hele vraag overslaat

Er is één manier om om een review te vragen waarbij je geen enkel persoonsgegeven nodig hebt: het op het moment zelf vragen, met iets waar je klant zijn eigen telefoon tegenaan houdt. Geen adres, geen nummer, geen lijst.

• Je verzamelt niets. Er is geen bestand met klanten die nog een verzoek moeten krijgen, dus ook geen bewaartermijn en geen afmeldlijst.
• De klant kiest zelf. Wie tikt, tikt. Wie doorloopt, hoeft niets te zeggen en laat niets achter.
• Er gaat niets langs ons. Op de chip staat jouw Google-link zelf, geen doorstuuradres. Wij kunnen dus ook niet zien wie er tikt. Hoe dat technisch werkt, staat in hoe werkt NFC eigenlijk?
• Iedereen krijgt hetzelfde. Het kaartje maakt geen onderscheid tussen klanten, dus je kunt ook niet per ongeluk gaan selecteren.

Eerlijk is eerlijk: een kaartje maakt je bedrijf niet AVG-proof. Je hebt nog steeds een klantadministratie, een boekhouding en misschien een nieuwsbrief. Het scheelt je alleen dit ene verzoek, en dat is nu net het verzoek dat je bij elke klant wilt herhalen.

#Veelgestelde vragen

Mag ik zakelijke klanten wél zomaar mailen?

Ook bij bedrijven zit er meestal een persoon achter het mailadres. Een adres met een naam erin is een persoonsgegeven, ook als het op “@bedrijfsnaam.nl” eindigt. Voor een algemeen info-adres ligt het anders, maar ga er niet vanzelf van uit dat alles mag omdat het zakelijk is.

Mag ik bijhouden wie er al een review heeft geplaatst?

In de praktijk weet je dat meestal niet: Google vertelt je niet wie er achter een review zit, en een klant hoeft zijn eigen naam er niet in te zetten. Ga dus niet proberen reviews aan klanten te koppelen. Wil je voorkomen dat je iemand twee keer vraagt, houd dan alleen bij dat je het gevraagd hebt.

Een klant wil dat ik zijn gegevens verwijder. En zijn review dan?

Dat zijn twee losse dingen. Zijn gegevens staan bij jou; die haal je uit je verzendlijst. Zijn review staat bij Google, op zijn eigen account, en die kan alleen hij zelf weghalen. Wat je met een review wel en niet kunt, staat in een Google review laten verwijderen.

Mag ik reviews op mijn eigen site zetten?

Dan toon je wat iemand publiek heeft geschreven, inclusief zijn naam. Wees in elk geval transparant over waar de reviews vandaan komen en laat geen scheef beeld ontstaan door alleen de mooie eruit te pikken. Meer daarover in Google reviews op je eigen website tonen.

Moet ik iets regelen als ik het alleen mondeling vraag?

Voor de vraag zelf niet. Je gebruikt geen gegevens en je legt niets vast. Let er alleen op dat je het aan iedereen op dezelfde manier vraagt; dat is een regel van Google, niet van de privacywet.

#Kortom

Om een review vragen is niet het probleem. Het gebruik van klantgegevens om die vraag te versturen, is waar de AVG over gaat. Weet welke gegevens je gebruikt, kun je uitleggen waarom, zet het in je privacyverklaring en respecteer een afmelding. Weet je het niet zeker, kijk dan bij de Autoriteit Persoonsgegevens (opent in een nieuw tabblad) of vraag het een jurist.

En wil je de vraag stellen zonder er gegevens bij nodig te hebben, dan is het antwoord simpel: vraag het op het moment zelf. Zinnen die daarbij werken staan in zinnen om een review te vragen.