Een klant wil een occasion op financiering en mailt u zijn loonstrook, een kopie van zijn rijbewijs en een bankafschrift. U stuurt alles door naar de financieringsmaatschappij en de mail blijft in uw inbox staan. In een gemiddeld autobedrijf ligt zo ongemerkt een stapel gevoelige gegevens, van de showroom tot de mailbox.
Voor een financieringsaanvraag vraagt de financier loonstroken, bankgegevens en een ID. In de praktijk loopt dat via de mailbox van de verkoper: de klant mailt alles, u stuurt het door, en beide mails blijven jaren staan. Daarmee bewaart u inkomensgegevens van tientallen klanten op een plek zonder toegangsbeperking en zonder einddatum, en bij een gehackt mailaccount ligt alles tegelijk op straat. Wat u concreet kunt doen: laat de klant documenten rechtstreeks bij de financieringsmaatschappij aanleveren via hun portaal, of gebruik een beveiligde uploadomgeving. Moet het toch per mail, verwijder de berichten dan zodra de aanvraag is afgerond, ook uit de map verzonden items en de prullenbak.
art. 5 + art. 32 AVGBij een proefrit wilt u weten wie er in uw auto wegrijdt, en dat is een begrijpelijk en gerechtvaardigd belang. Veel bedrijven maken echter standaard een kopie van het rijbewijs en bewaren die voor onbepaalde tijd. Dat wringt met het beginsel van minimale gegevensverwerking: voor de proefrit zelf volstaat het controleren van het rijbewijs en het noteren van naam en documentnummer op het proefritformulier. Een volledige kopie, met pasfoto en BSN, is meer dan het doel vraagt, zeker als die blijft liggen nadat de auto is verkocht of de klant is afgehaakt. Wat u concreet kunt doen: werk met een proefritformulier in plaats van een kopie, en vernietig de registratie zodra de proefrit zonder schade of boetes is afgewikkeld.
art. 5 + art. 6 AVGWordt een auto voor 10.000 euro of meer contant afgerekend, dan valt die transactie onder de Wwft en moet u cliëntenonderzoek doen: identiteit vaststellen en verifiëren, en ongebruikelijke transacties melden bij FIU-Nederland. Let op: alleen het contante deel telt mee voor de drempel. Een inruilauto is geen contante betaling; bij inruil met contante bijbetaling gaat het dus alleen om het bedrag dat contant wordt bijbetaald. Samenhangende contante delen tellen wel bij elkaar op, bijvoorbeeld een contante aanbetaling en een contante restbetaling bij aflevering die samen boven de drempel komen. De wettelijke plicht is meteen uw AVG-grondslag om identiteitsgegevens vast te leggen, maar alleen voor wat de Wwft vraagt. Wat u concreet kunt doen: spreek een vaste werkwijze af voor contante deals, leg per geval vast wat u registreerde en waarom, en bewaar die gegevens gescheiden van uw gewone verkoopadministratie.
Wwft + art. 6 AVGOccasionsites zijn zelden met de hand gebouwd: er draait een voorraadkoppeling, een chatwidget, statistiekcode en vaak een ingesloten YouTube-video per auto. Elk van die onderdelen kan bezoekersdata naar derden sturen, regelmatig naar de VS, zonder dat de bezoeker dat weet. Ook het lettertype dat rechtstreeks bij Google wordt geladen stuurt bij elk bezoek het IP-adres mee. En de cookiebanner die trackers al plaatst voordat iemand iets aanklikt, of waar de weigerknop verstopt zit, is precies waar de Autoriteit Persoonsgegevens sites op aanspreekt. Wat u concreet kunt doen: vraag uw sitebouwer welke externe onderdelen echt nodig zijn, host lettertypen zelf, gebruik voor video's een klik-om-te-laden-variant en controleer dat weigeren in de banner één klik kost.
art. 44 e.v. AVG + art. 11.7a TelecommunicatiewetDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanControleren mag altijd, en het noteren van naam en documentnummer op een proefritformulier is meestal voldoende om uw belang te beschermen. Een volledige kopie met pasfoto en BSN is al snel meer dan nodig. Bewaart u toch iets, vernietig het dan zodra de proefrit is afgewikkeld.
Vanaf 10.000 euro contant, ook in delen die bij elkaar horen, geldt de Wwft: identiteit vaststellen en verifiëren, en een ongebruikelijke transactie melden bij FIU-Nederland. Onder dat bedrag geldt die plicht niet via deze route. Leg vast wat u heeft gecontroleerd, dan kunt u dat later laten zien.
Laat ze zo mogelijk rechtstreeks bij de financier aanleveren, dan komen ze uw systemen niet in. Loopt het toch via u, gebruik dan een beveiligd kanaal en verwijder de documenten zodra de aanvraag rond is, ook uit uw verzonden mail.
Facturen vallen onder de fiscale bewaarplicht van zeven jaar. Voor de rest geldt: zolang het doel het vraagt, bijvoorbeeld lopende aanspraken of de onderhoudshistorie van een auto die u in onderhoud heeft. Een klant van acht jaar geleden zonder lopende relatie hoort niet meer in uw actieve bestand.
Eigen klanten mag u onder voorwaarden mailen over vergelijkbaar eigen aanbod, mits u dat bij de verkoop heeft gemeld en elke mail een afmeldmogelijkheid heeft. Gekochte adressen of adressen van mensen die alleen ooit een proefrit maakten, vallen daar niet onder.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.