Een klant mailt een Excel met twintigduizend namen en adressen voor een gepersonaliseerde mailing. Het bestand gaat naar de studio, naar de printstraat en blijft daarna op de server staan 'voor de herdruk'. Wie drukwerk personaliseert of mailings verzorgt, verwerkt structureel persoonsgegevens van andermans klanten, en dat brengt eigen verplichtingen mee.
Print u gepersonaliseerd drukwerk of verzorgt u de verzending van een mailing, dan verwerkt u het adresbestand in opdracht van uw klant. De klant bepaalt doel en inhoud, u voert uit: daarmee bent u verwerker en vraagt de AVG om een verwerkersovereenkomst tussen u beiden. In de grafische praktijk ontbreekt die bijna altijd; het bestand komt per mail of WeTransfer binnen en niemand tekent iets. Zonder overeenkomst is niet geregeld wat u met het bestand mag, wie het beveiligt en wat er gebeurt als het lekt. Wat u kunt doen: neem één standaard verwerkersovereenkomst op in uw orderproces, net zoals u aanleverspecificaties meestuurt. Eén keer opstellen, bij elke opdracht meetekenen.
art. 28 AVGNa de mailing blijft het adresbestand ergens hangen: op de FTP-server, in de mailbox van de orderbegeleider, in de klantmap 'voor als er een herdruk komt'. Zo stapelen zich in de loop van jaren tientallen bestanden met honderdduizenden adressen op, verspreid over systemen waar niemand meer naar omkijkt. Dat botst met twee regels tegelijk: gegevens niet langer bewaren dan nodig, en ze passend beveiligen. Eén gehackte mailbox is dan meteen een groot datalek. Wat u kunt doen: spreek met de klant af hoe lang u het bestand bewaart, bijvoorbeeld tot de klus is afgerond en gefactureerd, verwijder het daarna aantoonbaar, en laat aanlevering via een beveiligd kanaal lopen in plaats van losse mailbijlagen.
art. 5 + art. 32 AVGSoms levert de klant niet alleen het bestand, maar vraagt hij ook advies of zelfs adressen erbij. Wees daar voorzichtig mee. Voor papieren direct mail heeft de verzender een grondslag nodig, meestal een gerechtvaardigd belang bij bestaande klantrelaties. Voor e-mailcampagnes geldt bovendien het spamverbod van de Telecommunicatiewet, dat in de regel voorafgaande toestemming van de ontvanger eist. Gekochte of gescrapete lijsten zijn voor e-mail vrijwel altijd een probleem, en als uitvoerder wilt u niet tussen een boetezaak en uw klant in zitten. Wat u kunt doen: vraag bij twijfel waar de adressen vandaan komen, leg vast dat de klant verantwoordelijk is voor de rechtmatigheid van de lijst, en werk niet mee aan e-mailcampagnes op gekochte adressen.
art. 6 AVG + art. 11.7 TelecommunicatiewetDrukkerijen kijken streng naar aanleverbestanden, maar zelden naar de eigen website. Laadt de site lettertypen rechtstreeks bij Google of draait er Amerikaanse analytics, dan verlaat het IP-adres van elke bezoeker de EU zonder uitleg. Het uploadformulier waarmee klanten bestanden aanleveren vraagt om naam, e-mail en bestanden vol persoonsgegevens, en dan hoort er een privacyverklaring te zijn die uitlegt wat daarmee gebeurt. Bij veel grafische bedrijven ontbreekt die, of de link wijst naar een pagina die niet meer bestaat. Wat u kunt doen: host lettertypen zelf, beperk trackers tot wat u echt gebruikt, en zet een kloppende, bereikbare privacyverklaring bij elk formulier. Dit is precies het deel dat iedereen van buitenaf kan zien, ook uw klanten.
art. 13 + art. 44 e.v. AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanVoor de inhoud en herkomst is uw klant als verwerkingsverantwoordelijke aanspreekbaar. Maar u heeft eigen plichten als verwerker: het bestand beveiligen, het alleen voor deze opdracht gebruiken en het niet langer bewaren dan afgesproken. Een verwerkersovereenkomst legt die verdeling vast.
Zo lang als voor de opdracht nodig is, en dat is meestal kort: tot de mailing verzonden en de factuur betaald is. 'Voor een eventuele herdruk' telt alleen als u dat met de klant heeft afgesproken, met een concrete termijn. Verwijder het bestand daarna ook echt, inclusief de kopie in de mailbox.
Ja, de plicht hangt niet af van de omvang. Het mag wel licht: een standaarddocument van een paar pagina's dat u bij elke order meestuurt is genoeg. Veel drukkerijen nemen het op in de algemene voorwaarden plus een korte bijlage per opdracht.
Nee. U verwerkt het bestand alleen voor het doel van de klant die het aanleverde. Hergebruik voor een andere klant of voor eigen acquisitie is een verwerking zonder grondslag, en het beschadigt bovendien het vertrouwen van uw opdrachtgever.
Liever niet. Voor commerciële e-mail is in de regel voorafgaande toestemming van de ontvanger nodig, en die ontbreekt bij gekochte of gescrapete lijsten vrijwel altijd. Wijs de klant daarop en leg schriftelijk vast dat de rechtmatigheid van de lijst zijn verantwoordelijkheid is.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.