Automatisering en GDPR: wat mag je wel en niet met klantdata?

Je wilt je offertes, opvolgmails en herinneringen automatiseren, maar je vraagt je af of dat wel past binnen de GDPR (in België ook AVG genoemd). Goed nieuws: automatisering en GDPR gaan prima samen, zolang je een paar basisregels respecteert. Slecht nieuws: veel KMO's kennen die regels niet, en de Gegevensbeschermingsautoriteit bundelde ze niet voor niets in een eigen gids voor kleine en middelgrote ondernemingen.

In dit artikel lees je wat je met klantdata wel en niet mag doen als je werkt met AI-automations, en welke vijf regels je meteen kan toepassen.

Verandert automatiseren iets aan de GDPR-regels?

Nee. De regels gelden voor je Excel, je mailbox en je automation op exact dezelfde manier. Een automation is gewoon een snellere manier om dezelfde gegevens te verwerken. Wat wél verandert: je verwerkt sneller en op grotere schaal, dus slordigheden vallen harder op.

Drie begrippen helpen je om het overzicht te houden:

✓Persoonsgegevens: alles wat naar een persoon leidt, zoals naam, e-mailadres, telefoonnummer, adres of gespreksinhoud.
✓Verwerking: bijna alles wat je ermee doet, van opslaan tot doorsturen of automatisch mailen.
✓Verwerker: elke tool of leverancier die in jouw opdracht met die gegevens werkt.

Regel 1: Heb een reden om de data te gebruiken

Je mag klantdata enkel gebruiken als je daar een geldige grondslag voor hebt. Voor de meeste automations in een KMO komt dat neer op twee situaties:

✓Uitvoering van een overeenkomst: je stuurt een offerte, factuur of afspraakbevestiging omdat de klant daarom vroeg.
✓Gerechtvaardigd belang of toestemming: voor opvolgmails, reviewverzoeken en nieuwsbrieven moet je goed nadenken. Voor commerciële mails is vaak toestemming nodig.

Een betaalherinnering voor een openstaande factuur is dus iets anders dan een marketingmail naar iedereen in je klantenlijst. Je automation moet dat onderscheid kunnen maken.

Regel 2: Verzamel niet meer dan nodig

Automations nodigen uit tot "we nemen alles mee, voor het geval dat". Doe dat niet. Vraag jezelf bij elke stap af welk gegeven je écht nodig hebt. Een afspraakherinnering heeft een naam, een tijdstip en een telefoonnummer of mailadres nodig, geen volledige klantfiche.

Regel 3: Weet waar je data naartoe gaat

Elke tool in je keten is een verwerker. Dat geldt voor je CRM, je mailtool, je agenda en je koppelingen via Zapier of Make. Met elke verwerker maak je afspraken over wat die met de data mag doen, meestal in een verwerkersovereenkomst.

Praktisch betekent dit:

✓Maak een lijstje van alle tools die klantdata aanraken.
✓Controleer of er een verwerkersovereenkomst is.
✓Kijk waar de data staat. Servers binnen Europa maken het eenvoudiger.

Bij Compañero draaien onze oplossingen GDPR/AVG-conform op Europese servers, zodat je op dat punt niet zelf hoeft te zoeken.

Regel 4: Wees transparant, ook over AI

Klanten hebben het recht te weten wat je met hun gegevens doet. Zet het in je privacyverklaring: welke gegevens, waarom, hoe lang en wie ze verwerkt. Gebruik je een AI-telefonist of AI-chatbot, zeg dan ook dat de klant met AI praat. Hoe dat zit voor telefonie lees je in ons artikel over AI Act artikel 50.

Regel 5: Zorg voor een uitweg en een noodplan

Een klant kan vragen om zijn gegevens in te kijken, te verbeteren of te laten wissen. Als die gegevens verspreid zitten over vijf gekoppelde tools, wordt dat snel een zoektocht. Een goed opgezette automation maakt dat net makkelijker: je weet precies waar welk gegeven staat.

Ook voor het noodgeval maak je afspraken. Een datalek moet je in principe binnen 72 uur melden aan de toezichthouder, tenzij het onwaarschijnlijk is dat het een risico inhoudt voor de betrokkenen. Hoe dat meldproces werkt, lees je op de pagina van de Gegevensbeschermingsautoriteit over een gegevensinbreuk melden en beheren. Wie vooraf weet wie wat doet, verliest geen kostbare uren.

Wat mag je niet doen?

Enkele valkuilen die we vaak zien:

✗Klantlijsten in een gratis AI-tool plakken zonder te weten wat die tool met de gegevens doet.
✗Mails sturen naar contacten die nooit toestemming gaven en dit "automatisering" noemen.
✗Gevoelige gegevens (zoals gezondheidsinfo) verwerken in tools zonder passende afspraken.
✗Belangrijke beslissingen over mensen volledig automatisch laten nemen, bijvoorbeeld een klant weigeren zonder dat er ooit een mens naar kijkt.

Een snelle GDPR-checklist voor je automations

Welke gegevens gebruikt de automation, en zijn ze echt nodig?
Op welke grondslag gebruik je ze?
Welke tools raken de data, en is er een verwerkersovereenkomst?
Staat het in je privacyverklaring?
Weet je wie wat doet bij een vraag van een klant of bij een datalek?

Kan je alle vijf met ja beantwoorden? Dan sta je al verder dan veel bedrijven.

Waar begin je?

Begin niet met alle automations tegelijk. Kies één proces, zoals leadopvolging of afspraakherinneringen, en bouw het meteen correct op. Met onze AI-automations werken we in drie stappen: kennismakingsgesprek, offerte op maat, implementatie en opvolging. Wil je zien welke processen bij jou kunnen, lees dan ook hoe je de volledige klantreis automatiseert.

Veelgestelde vragen

Mag ik klantdata gebruiken voor automatische opvolgmails?

Dat hangt af van het soort mail. Een bevestiging, offerte of betaalherinnering hoort bij de uitvoering van je overeenkomst. Voor commerciële mails heb je meestal toestemming nodig. Twijfel je, vraag dan advies aan een jurist of aan de Gegevensbeschermingsautoriteit.

Moet ik een verwerkersovereenkomst afsluiten met mijn automation-partner?

Ja, zodra een partner of tool in jouw opdracht persoonsgegevens verwerkt, hoort daar een verwerkersovereenkomst bij. Vraag er altijd naar voor je start.

Wat als een klant vraagt om zijn gegevens te wissen?

Je moet dat verzoek in principe behandelen, behalve wanneer je de gegevens nog moet bewaren, bijvoorbeeld voor je boekhouding. Daarom is het handig om te weten in welke tools de gegevens staan.

Is een AI-automation onveiliger dan handmatig werken?

Niet per se. Een goed opgezette automation verwerkt data consequenter dan handmatig werk, met minder losse bestandjes en doorgestuurde mails. Het risico zit in slordige opzet, niet in de automatisering zelf.

Dit artikel is algemene informatie en geen juridisch advies. Heb je een specifieke vraag, raadpleeg dan een jurist.