Op de klantenkaart staat het kleurrecept van mevrouw De Vries, en daaronder: "allergisch voor PPD, alleen ammoniakvrij". Handig voor de volgende afspraak, maar juridisch is dat een gezondheidsgegeven, en daarvoor gelden strengere regels dan de meeste kapsalons doorhebben. Dit artikel loopt de plekken langs waar het in een kapsalon ongemerkt schuurt.
Een kleurrecept is een gewoon klantgegeven. Maar "allergisch voor haarverf", "psoriasis op de hoofdhuid" of "chemo, dun haar" zijn bijzondere persoonsgegevens: gegevens over gezondheid. Daarvoor geldt een verwerkingsverbod, tenzij je een uitzondering hebt. In de salonpraktijk is dat vrijwel altijd de uitdrukkelijke toestemming van de klant zelf. Dat betekent: je vraagt het expliciet, je legt vast dat de klant akkoord is, en de klant mag die toestemming later intrekken. Wat je concreet kunt doen: noteer alleen wat nodig is voor een veilige behandeling, vraag er hoorbaar of schriftelijk toestemming voor, en laat medewerkers niet vrijuit medische details in een opmerkingenveld typen. Hoe minder er staat, hoe kleiner het risico.
art. 9 + art. 7 AVGWie een boekingstool gebruikt voor afspraken, herinneringen en klantenkaarten, heeft een verwerker in de arm genomen: een partij die persoonsgegevens verwerkt in jouw opdracht. De AVG eist dat je daar een verwerkersovereenkomst mee hebt, en in de praktijk ligt die er vaak niet, of niemand weet waar. Bij grotere salonpakketten zit zo'n overeenkomst meestal in de algemene voorwaarden verstopt; bij kleinere tools of een losse agenda-app soms helemaal niet. Kijk ook waar de data staat: draait de tool op servers buiten de EU, dan komt daar het doorgifteregime bij. Concreet: maak een lijstje van elke tool die klantgegevens raakt (boekingssysteem, mailtool, boekhoudpakket), check per tool of er een verwerkersovereenkomst is en waar de data staat, en bewaar dat overzicht.
art. 28 + art. 44 e.v. AVGIn bijna elk afspraaksysteem, en in menige la, zitten kaarten van klanten die vijf jaar geleden voor het laatst in de stoel zaten. De AVG zegt dat je gegevens niet langer bewaart dan nodig voor het doel, en "misschien komt ze ooit terug" is geen doel. Er staat geen vaste termijn in de wet: je bepaalt hem zelf, legt hem vast en houdt je eraan. Een werkbare lijn voor een salon is bijvoorbeeld twee of drie jaar na het laatste bezoek, waarna de kaart wordt verwijderd. Let op het verschil met je facturen: die moet je fiscaal zeven jaar bewaren, maar dat geldt voor de administratie, niet voor de allergienotities op de klantenkaart. Concreet: kies een termijn, zet hem in je privacyverklaring en ruim één keer per jaar op.
art. 5 AVGVeel salonsites laden hun lettertypen rechtstreeks bij Google. Daardoor gaat het IP-adres van elke bezoeker naar een Amerikaanse server, zonder dat iemand daarvoor koos en meestal zonder dat het in de privacyverklaring staat. De oplossing is simpel: host de fonts op je eigen site, dat scheelt niets in het ontwerp. Kijk daarna naar je cookiebanner. Staat er wel een grote accepteerknop maar geen even makkelijke weigerknop, dan zit je fout: weigeren moet net zo eenvoudig zijn als accepteren, en de toezichthouder heeft hier honderden sites op aangesproken. Heb je alleen functionele cookies, dan heb je helemaal geen banner nodig. Concreet: laat je websitebouwer de fonts lokaal zetten en de banner een echte weigerknop geven, of haal overbodige trackers er gewoon af.
art. 44 e.v. AVG + art. 11.7a TelecommunicatiewetDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa, maar alleen met uitdrukkelijke toestemming van de klant, omdat het gezondheidsgegevens zijn. Vraag het expliciet, leg vast dat de klant akkoord is en noteer alleen wat nodig is voor een veilige behandeling. De klant mag die toestemming later intrekken.
Meestal wel. De uitzondering voor kleine bedrijven geldt alleen als je maar incidenteel persoonsgegevens verwerkt, en een vaste klantenadministratie is niet incidenteel. Het register mag een eenvoudig document zijn: welke gegevens, waarvoor, hoe lang, en met welke tools.
De wet noemt geen vaste termijn: je bepaalt zelf een redelijke termijn, legt die vast en houdt je eraan. Voor klantenkaarten is bijvoorbeeld twee of drie jaar na het laatste bezoek verdedigbaar. Facturen bewaar je fiscaal zeven jaar, maar dat geldt niet voor allergienotities.
Een herinnering aan een afspraak die de klant zelf maakte is dienstverlening, geen reclame, dus dat kan. Gebruik wel een zakelijke omgeving in plaats van je privételefoon, en zet geen gezondheidsdetails of behandelinformatie in het bericht zelf.
Ja. De AVG geldt ook voor papier zodra het een geordend bestand is, en een bak kaarten op alfabet is precies dat. Dezelfde regels over bewaartermijnen, toegang en gezondheidsgegevens gelden dus ook voor de kaartenbak naast de kassa.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.