Automatiseren zonder privacy te schenden: een praktische gids

Je wilt automatiseren. Leads automatisch opvolgen. E-mails versturen. Klantdata koppelen tussen systemen. Maar dan hoor je dat woord: AVG. GDPR. Privacywetgeving.

En je denkt: "Mag dit eigenlijk wel?"

Goed nieuws: ja, het mag. Als je het goed doet. En "goed doen" is minder ingewikkeld dan juristen je willen laten geloven.

Dit is een praktische gids. Geen juridisch advies (daarvoor heb je een jurist nodig), maar concrete stappen om je automatiseringen AVG-proof in te richten.

De basis: wat zegt de AVG over automatisering?

De AVG (Algemene Verordening Gegevensbescherming) zegt in essentie drie dingen:

1. Je mag alleen persoonsgegevens verzamelen die je nodig hebt (dataminimalisatie)
2. Je moet toestemming hebben of een andere grondslag (rechtmatigheid)
3. Je moet gegevens beveiligen en mensen hun rechten geven (transparantie en beveiliging)

Dat is het. De rest is uitwerking van deze drie principes.

Automatisering verandert hier niks aan. De regels zijn dezelfde of je handmatig een mail stuurt of een systeem dat voor je doet. Het verschil: bij automatisering moet je vooraf nadenken in plaats van per geval.

5 concrete stappen voor AVG-proof automatisering

1. Cookie consent goed inrichten

Je website plaatst waarschijnlijk cookies. Google Analytics, Facebook Pixel, chat widgets — ze verzamelen allemaal data. De AVG zegt: niet zonder toestemming.

Wat je moet doen:

• Plaats een cookie banner die standaard alles blokkeert (opt-in, niet opt-out)
• Laad tracking scripts pas na expliciete toestemming
• Bied echte keuze: "Alles accepteren" en "Alles weigeren" moeten even makkelijk zijn
• Sla de toestemming op en maak het herroepbaar

Tools: Cookiebot (vanaf €12/maand), CookieYes (gratis tot 100 pagina's), of een custom oplossing.

Veelgemaakte fout: Een cookie banner die alleen "informeert" maar niet blokkeert. Dat is geen geldige toestemming. Google Analytics draait dan al voordat de bezoeker iets heeft geklikt.

2. E-mail opt-in: double opt-in is je vriend

Je wilt leads automatisch mailen. Prima. Maar dan moet de ontvanger daar wel toestemming voor hebben gegeven.

De gouden standaard: double opt-in.

Hoe het werkt:

1. Iemand vult een formulier in op je website
2. Je stuurt automatisch een bevestigingsmail: "Klik hier om je aanmelding te bevestigen"
3. Pas na die klik wordt het contact actief in je systeem
4. Vanaf dat moment mag je mailen

In GoHighLevel instellen:

• Ga naar Settings > Email Services
• Schakel "Double Opt-in" in bij je formulieren
• Stel een bevestigingsmail in met een duidelijke confirm-link
• Tag bevestigde contacten automatisch als "opt-in-confirmed"

Waarom double opt-in?

• Het is de veiligste juridische grondslag
• Het voorkomt valse aanmeldingen en typfouten
• Je e-maillijst is schoner (hogere open rates)
• Bij een klacht kun je exact aantonen dat iemand toestemming heeft gegeven

Tip: Bewaar het tijdstip van opt-in, het IP-adres en welk formulier is gebruikt. GoHighLevel doet dit automatisch.

3. Dataminimalisatie: vraag alleen wat je nodig hebt

Elk veld in je formulier is data die je verzamelt. En voor elk gegeven moet je kunnen uitleggen waarom je het nodig hebt.

Slechte praktijk: Een contactformulier met: naam, e-mail, telefoonnummer, bedrijfsnaam, functie, adres, geboortedatum, BSN-nummer.

Goede praktijk: Een contactformulier met: naam en e-mail. Telefoonnummer optioneel. Meer vraag je pas als het relevant wordt.

Vuistregel: Als je niet kunt uitleggen waarom je een gegeven nodig hebt voor het specifieke doel, vraag het niet.

Dit geldt ook voor automatiseringen. Als je workflow klantdata kopieert tussen systemen, kopieer dan alleen wat nodig is. Niet "even alles meenemen voor het geval dat."

4. Data retention: verwijder wat je niet meer nodig hebt

De AVG zegt: bewaar gegevens niet langer dan noodzakelijk. Maar wat is "noodzakelijk"?

Praktische richtlijnen:

• Leads die niet converteren: verwijder na 12 maanden inactiviteit
• Klantgegevens na beëindiging samenwerking: bewaar 7 jaar (fiscale bewaarplicht)
• Nieuwsbriefabonnees die uitschrijven: verwijder direct uit actieve lijsten
• Website analytics: anonimiseer na 26 maanden (Google Analytics standaard)

Automatiseer het: Bouw een workflow die automatisch:

• Inactieve leads tagt na 6 maanden
• Een heractiveringscampagne stuurt
• Na nog 6 maanden inactiviteit de gegevens verwijdert of anonimiseert
• Je een overzicht stuurt van verwijderde data

In GoHighLevel kun je dit met workflows en tags bouwen. In N8N kun je een periodieke cleanup-flow maken die je database opschoont.

5. Verwerkersovereenkomsten: sluit ze af

Elk platform waar je klantdata opslaat is een "verwerker" in AVG-termen. Je hebt met elk van hen een verwerkersovereenkomst nodig.

De belangrijkste:

• Je CRM (GoHighLevel, HubSpot, Pipedrive)
• Je e-mailprovider (Gmail, Outlook)
• Je hostingpartij (Vercel, Netlify)
• Automatiseringstools (N8N, Make, Zapier)
• Analytics (Google Analytics, Plausible)

Goed nieuws: De meeste platforms bieden standaard een verwerkersovereenkomst (DPA — Data Processing Agreement). Bij GoHighLevel vind je deze onder Settings > Compliance. Bij de meeste tools kun je de DPA downloaden via hun website.

Let op: Controleer of de data binnen de EU wordt opgeslagen, of dat er passende waarborgen zijn voor transfers buiten de EU (Standard Contractual Clauses).

Checklist: AVG-proof automatisering

Gebruik deze checklist bij elke nieuwe automatisering:

• Cookie consent correct ingesteld (opt-in, niet opt-out)
• Double opt-in actief voor e-mailmarketing
• Formulieren vragen alleen noodzakelijke gegevens
• Data retention beleid gedocumenteerd en geautomatiseerd
• Verwerkersovereenkomsten afgesloten met alle platforms
• Uitschrijflink in elke commerciële e-mail
• Privacyverklaring up-to-date en bereikbaar
• Contactpersoon voor privacyvragen benoemd
• Register van verwerkingsactiviteiten bijgehouden

Het grote plaatje

AVG-compliance is geen eenmalige actie. Het is een manier van werken. Maar als je het vanaf het begin goed inricht, kost het je bijna geen extra tijd.

De truc: bouw privacy in je automatiseringen in plaats van het er achteraf op te plakken. Double opt-in als standaard. Dataminimalisatie als uitgangspunt. Automatische opschoning als onderdeel van je workflows.

Dan kun je automatiseren wat je wilt, zonder zorgen.

Meer weten over privacy-bewust automatiseren? Lees ons privacybeleid voor hoe wij het zelf doen, of bekijk onze systeem-integraties om te zien hoe we AVG-compliant automatiseren voor onze klanten.