Hoe lang mag je klantgegevens in je CRM bewaren volgens de AVG?

• De AVG kent geen vaste termijn; het uitgangspunt is 'niet langer dan nodig' (opslagbeperking).
• Basisgegevens van je administratie bewaar je volgens de Belastingdienst 7 jaar.
• Leg per soort gegevens een termijn vast en vermeld die in je privacyverklaring.
• Een CRM kan termijnen afdwingen met automatische signalering of anonimisering.
• Verwijderen of anonimiseren is het eindpunt, niet een archiefmap waar niemand naar kijkt.

Artikel 5 van de AVG bevat het beginsel van opslagbeperking: persoonsgegevens mogen niet langer in een vorm die mensen identificeerbaar maakt worden bewaard dan nodig is voor het doel waarvoor ze worden verwerkt. De AVG zelf noemt geen concrete termijnen. Je bepaalt dus zelf hoe lang je gegevens bewaart, en je moet dat kunnen onderbouwen als iemand, of de toezichthouder, ernaar vraagt.

Daarnaast moet je mensen volgens artikel 13 van de AVG vertellen hoe lang je hun gegevens bewaart, of, als dat niet kan, welke criteria je gebruikt om die termijn te bepalen. Een vage zin als 'zolang als nodig' in je privacyverklaring geeft die informatie niet. Is de termijn verstreken, dan verwijder je de gegevens of maak je ze anoniem.

Sommige gegevens moet je juist bewaren. De Belastingdienst schrijft voor dat je de basisgegevens van je administratie zeven jaar bewaart: onder meer het grootboek, de debiteuren- en crediteurenadministratie en de in- en verkoopadministratie. Voor gegevens over onroerende zaken geldt tien jaar. De termijn gaat pas lopen als een gegeven niet meer actueel is; bij een contract van vier jaar telt de bewaartermijn pas vanaf het einde daarvan.

Voor een CRM betekent dat: de gegevens die nodig zijn voor facturen en betalingen van een klant, bewaar je zeven jaar. Notities over een telefoongesprek of een lead die nooit klant werd, vallen daar niet onder.

Onderstaande tabel is een praktisch vertrekpunt, geen wettelijke norm. Pas hem aan op je eigen situatie, leg de keuze vast en zet hem in je privacyverklaring.

Een bewaarbeleid op papier helpt niet als het CRM alles voor altijd vasthoudt. De meeste systemen bewaren standaard alles, en niemand ruimt op. Daarom hoort het bewaren in het systeem zelf geregeld te zijn.

• Geef elke relatie een status: lead, offerte, klant, oud-klant.
• Leg de datum van laatste contact of laatste factuur automatisch vast.
• Laat het CRM signaleren welke relaties hun termijn hebben bereikt, in een vaste lijst die iemand maandelijks doorloopt.
• Anonimiseer waar je statistieken wilt houden: aantallen en bedragen blijven, naam en contactgegevens verdwijnen.
• Verwijder ook bijlagen en e-mails die bij de relatie horen, niet alleen het contactrecord.
• Leg vast wie bevoegd is om te verwijderen, zodat niet iedereen alles kan wissen.

Een klant kan vragen om zijn gegevens te verwijderen. Dan verwijder je wat je niet meer nodig hebt, maar gegevens met een wettelijke bewaarplicht, zoals facturen, mag je bewaren tot die termijn verstreken is. Leg uit wat je bewaart en waarom. Een CRM waarin per relatie zichtbaar is welke gegevens onder de fiscale bewaarplicht vallen, maakt zo'n verzoek een kwestie van minuten in plaats van uren zoeken.

Heb je een klein klantenbestand dat je jaarlijks met de hand doorloopt, en staat je bewaarbeleid in je privacyverklaring, dan is een geautomatiseerde oplossing niet direct nodig. Het wordt pas lastig als gegevens op meerdere plekken staan: mailbox, spreadsheet, telefoon en CRM. Dan weet niemand meer wat waar bewaard wordt.

Next Growth bouwt CRM-systemen met statussen, eigenaarschap en opruimregels als onderdeel van het ontwerp, met de data op naam van de klant. Een website met CRM begint bij € 6.995. Dit artikel is geen juridisch advies; laat je bewaarbeleid bij twijfel toetsen door een privacyspecialist.

1. Belastingdienst: Hoelang moet u gegevens bewaren?
2. AVG artikel 5: beginselen inzake verwerking van persoonsgegevens (opslagbeperking)
3. AVG artikel 13: te verstrekken informatie, waaronder de bewaartermijn
4. ACM: Spam voorkomen in uw reclame