U verkoopt een schilderij van 14.000 euro en de koper betaalt keurig per bank. Toch moet u zijn identiteit vaststellen, want voor kunsthandel geldt de Wwft al vanaf 10.000 euro, ook zonder contant geld. En het herkomstdossier van datzelfde schilderij bevat namen van vorige eigenaren die u nooit heeft gesproken. Twee alledaagse situaties, twee AVG-vragen.
Voor de meeste handelaren begint de Wwft pas bij contante betalingen vanaf 10.000 euro. Voor kunsthandelaren en bemiddelaars bij kunstverkoop ligt dat strenger: het cliëntenonderzoek geldt bij transacties vanaf 10.000 euro, ongeacht hoe er wordt betaald. Voor antiek dat geen kunstvoorwerp is, blijft de contante drempel het ijkpunt. In beide gevallen geldt hetzelfde AVG-beginsel: de wettelijke plicht is uw grondslag om identiteitsgegevens vast te leggen, maar niet meer dan de wet vraagt, en niet langer dan de Wwft-bewaartermijn. Wat u concreet kunt doen: bepaal per verkoop of u onder het kunstregime of onder de contante drempel valt, leg vast welke gegevens u dan registreert, en bewaar die apart van uw gewone klantenbestand.
Wwft + art. 6 AVGEen goed herkomstdossier is goud waard: vorige eigenaren, erfgenamen, veilingdata, soms correspondentie. Maar die vorige eigenaren zijn ook mensen van wie u persoonsgegevens verwerkt zonder dat zij dat weten. De AVG kent daarvoor een informatieplicht: wie gegevens niet van de betrokkene zelf krijgt, moet die persoon in beginsel informeren. Er bestaan uitzonderingen, bijvoorbeeld als dat een onevenredige inspanning zou vergen, maar dan moet u die afweging wel kunnen laten zien. Wat u concreet kunt doen: beperk het dossier tot wat de herkomst echt onderbouwt, noteer waarom informeren wel of niet haalbaar is, en zet in uw privacyverklaring dat u herkomstgegevens verwerkt en met welk doel.
art. 14 + art. 5 AVGWie stukken in consignatie neemt of inkoopt van particulieren, krijgt regelmatig een ID-kopie of eigendomsbewijs gemaild. Die mails blijven jaren staan, met paspoortkopieën die voor identiteitsfraude bruikbaar zijn. De AVG vraagt passende beveiliging en opslagbeperking, en juist een mailbox biedt geen van beide: geen toegangsbeperking per dossier, geen einddatum, en bij een gekraakt mailaccount ligt alles tegelijk op straat. Wat u concreet kunt doen: vraag alleen een kopie als een wettelijke plicht dat vergt, laat documenten aanleveren via een beveiligde omgeving in plaats van per mail, verplaats wat al in de mailbox staat naar een afgeschermde map en verwijder de mail, en plan een vast opruimmoment voor afgeronde consignaties.
art. 5 + art. 32 AVGNa een beurs ligt er een stapeltje visitekaartjes, en de verleiding is groot om al die adressen op de uitnodigingslijst voor de volgende expositie te zetten. Toch mag dat niet zomaar: voor commerciële e-mail is vooraf toestemming nodig. Alleen voor bestaande klanten geldt een versoepeling, en dan nog uitsluitend voor vergelijkbaar eigen aanbod en met een afmeldmogelijkheid in elk bericht. Een visitekaartje aannemen is geen aanmelding. Wat u concreet kunt doen: vraag op de beurs expliciet of iemand de uitnodigingen wil ontvangen en leg dat vast, zet in elke mailing een werkende afmeldlink, en verwijder adressen waarvan u niet meer weet hoe ze op de lijst kwamen.
art. 11.7 Telecommunicatiewet + art. 6 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa, bij verkopen of bemiddeling vanaf 10.000 euro per transactie, ook als de koper per bank betaalt. U moet dan de identiteit van uw klant vaststellen en ongebruikelijke transacties melden bij FIU-Nederland. Handelt u in antiek dat geen kunstvoorwerp is, dan geldt het cliëntenonderzoek bij contante betalingen vanaf 10.000 euro.
In beginsel wel: wie persoonsgegevens verwerkt die niet van de betrokkene zelf komen, heeft een informatieplicht. Er zijn uitzonderingen, bijvoorbeeld als de persoon onvindbaar is of informeren een onevenredige inspanning kost. Leg die afweging vast, dan kunt u hem later laten zien.
Niet automatisch. Voor commerciële mail is vooraf toestemming nodig, en een ontvangen visitekaartje is geen toestemming. Vraag het ter plekke expliciet, noteer datum en context, en zorg dat elke mailing een afmeldlink heeft.
Zolang de consignatie loopt en er daarna nog aanspraken kunnen volgen, plus de fiscale bewaarplicht van zeven jaar voor de facturen. Gegevens die u alleen voor het Wwft-cliëntenonderzoek vastlegde, bewaart u volgens de Wwft-termijn en daarna niet langer. Ruim afgeronde dossiers periodiek op.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.