Je bureau levert elke week een bestand met verse leads aan opdrachtgevers: naam, mailadres, telefoonnummer, soms verrijkt met functie en bedrijfsgrootte. De lead zelf heeft nog nooit van jouw bureau gehoord. Precies daar begint het grootste AVG-risico van dit vak.
Wie gegevens verzamelt via een landingspagina en die vervolgens doorlevert of verrijkt, moet de betrokkene laten weten wat er gebeurt. Vult iemand een formulier in op jouw campagnesite, dan verwacht hij een whitepaper of een offerte, niet dat zijn gegevens bij andere partijen belanden of worden aangevuld met data uit andere bronnen. Art. 14 verplicht om mensen binnen een maand te informeren wanneer je gegevens over hen verwerkt die je niet rechtstreeks bij hen ophaalde, bijvoorbeeld na verrijking of aankoop. Wat je kunt doen: vermeld op het formulier namens wie je verzamelt en aan wie je levert, spreek met je opdrachtgever af wie de lead informeert, en leg per bestand vast waar het vandaan komt.
art. 14 AVGKoude acquisitiemail lijkt onschuldig, zeker zakelijk, maar de Telecommunicatiewet stelt er harde eisen aan. Mailen mag naar zakelijke adressen die daarvoor door het bedrijf zelf bestemd en bekendgemaakt zijn, zoals een adres dat op de eigen site staat voor commerciële aanbiedingen. Gescrapete LinkedIn-profielen, geraden adressen (voornaam@bedrijf.nl) en gekochte lijsten zonder aantoonbare toestemming vallen daar niet onder, en daar is in Nederland al op gehandhaafd. Wat je kunt doen: controleer van elke lijst de herkomst voordat je verzendt, verwijder bestanden waarvan je de herkomst niet kunt aantonen, en bouw campagnes op adressen met een vastgelegde aanmelding of een duidelijke zakelijke bestemming. Dat kost bereik, maar het beschermt je bureau én je opdrachtgever.
art. 11.7 Telecommunicatiewet + art. 6 AVGSEO- en leadgeneratiebureaus plaatsen vaak zelf de tags op klantsites: tagmanagers, conversiepixels, heatmaps, retargeting. Marketing-cookies mogen pas vuren na toestemming, met een weigerknop die net zo makkelijk is als accepteren; de toezichthouder heeft hier al honderden sites op aangesproken. En omdat jij de tags beheert op andermans site, hoort je rol als verwerker vastgelegd te zijn. Wat je kunt doen: test bij elke implementatie of tags echt wachten op toestemming (niet alleen of de banner er netjes uitziet), documenteer welke pixels je namens welke klant beheert, en zorg dat de verwerkersovereenkomst met je opdrachtgever de tagging en de meettools benoemt.
art. 11.7a Telecommunicatiewet + art. 28 AVGLeadbestanden hebben de neiging te blijven bestaan. De campagne van twee jaar geleden staat nog in een gedeelde map, het exportje voor die ene klant zwerft in de mail, en het CRM bevat leads die nooit iets zijn geworden. Elke rij is een persoonsgegeven waarvoor je moet kunnen uitleggen waarom je het nog hebt, en misschien ooit bruikbaar telt niet als reden. Wat je kunt doen: geef elke campagne bij de start een bewaartermijn, verwijder geleverde bestanden aan jouw kant na een afgesproken periode, ruim gedeelde mappen en mailbijlagen op, en spreek met opdrachtgevers af wanneer zij hun kopie vernietigen. Eén opschoonronde per kwartaal maakt dit beheersbaar.
art. 5 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanNee. LinkedIn-profielen oogsten is in strijd met de AVG en met de voorwaarden van het platform, en een adres dat ergens op een site staat is daarmee nog niet bestemd voor commerciële mail. Ook geraden adressen zijn niet toegestaan. De Autoriteit Persoonsgegevens heeft hier al boetes voor opgelegd.
Allebei kunnen een informatieplicht hebben, afhankelijk van wie wat met de gegevens doet. Praktisch: spreek per campagne af wie het regelt en leg dat vast. De lead moet in elk geval binnen een maand weten wie zijn gegevens heeft en waarvoor.
Alleen met een grondslag, en de betrokkene moet weten dat het gebeurt. Verrijking uit openbare bronnen voelt onschuldig, maar het blijft een verwerking waarvoor de informatieplicht van art. 14 AVG geldt. Wees vooral terughoudend met gegevens die iets over de persoon zelf zeggen in plaats van over het bedrijf.
Zo lang als nodig voor het doel, en dat is bij een campagne meestal kort. Een lead die niet converteert heeft na een paar maanden geen doel meer. Leg je termijnen vast per campagne en ruim structureel op; dat is ook richting opdrachtgevers een professioneel verhaal.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.