Waar moet je volgens de AVG op letten als je klantgegevens in de garage bewaart?

Een garage die keuringsdatums bewaakt, houdt een bestand bij met namen, kentekens, telefoonnummers en een stukje historie per auto. Dat mag, maar de AVG stelt eisen aan het waarom, het hoelang en het hoe. Dit artikel loopt langs de punten die aan de balie en in de kaartenbak echt spelen, zonder juridisch jargon.

Welke gegevens er in een autobedrijf rondgaan

Wie zijn eigen administratie eerlijk bekijkt, schrikt vaak van de hoeveelheid. Naam, adres, telefoonnummer, e-mailadres, kenteken, kilometerstand, de reparatiehistorie van jaren, soms een rekeningnummer en een enkele losse notitie over een klant die moeilijk bereikbaar is.

Zodra die gegevens aan een persoon te koppelen zijn, zijn het persoonsgegevens. Bij een particuliere klant hoort het kenteken daar gewoon bij: het is een sleutel naar een naam en een adres. De Algemene verordening gegevensbescherming geldt sinds 25 mei 2018 en wordt in Nederland aangevuld door de Uitvoeringswet AVG. De Autoriteit Persoonsgegevens houdt er toezicht op.

Het uitgangspunt van die regels is eenvoudiger dan de naam doet vermoeden: verzamel wat je nodig hebt voor een duidelijk doel, bewaar het niet langer dan nodig, en zorg dat anderen er niet zomaar bij kunnen. Voor een werkplaats is dat goed te doen.

Wat je beter niet vastlegt

• Gezondheidsgegevens van klanten, zoals een notitie over een aandoening waardoor iemand slecht kan instappen. Dat zijn bijzondere persoonsgegevens volgens artikel 9 van de AVG en die vragen een veel zwaarder regime.
• Kopieën van identiteitsbewijzen die je voor een keuring of een reparatie helemaal niet nodig hebt.
• Vrije opmerkingen over het karakter of het betaalgedrag van een klant die je niet zou willen voorlezen als hij ernaar vraagt.
• Gegevens van gezinsleden die geen partij zijn bij de opdracht, tenzij daar een concrete reden voor is.

De grondslag: waarom je die herinnering mag sturen

Elke verwerking heeft een reden nodig die de AVG erkent. Voor een autobedrijf ligt die reden meestal dicht bij de opdracht zelf: je hebt een auto gekeurd, je legt vast wat je hebt gedaan en je informeert de eigenaar wanneer de volgende keuring in beeld komt. Dat hoort bij de dienst die je levert.

Belangrijker dan het etiket dat je erop plakt, is dat je de keuze een keer doordenkt en opschrijft. Waarom benader je deze klant, met welk bericht, en hoe kan hij ervan af? Als je die drie vragen kunt beantwoorden, ben je in de praktijk een heel eind.

Afmelden moet altijd kunnen

Bezwaar maken is een van de rechten die de verordening aan betrokkenen geeft. Praktisch betekent dat: in elk digitaal bericht een duidelijke manier om te stoppen, en aan de telefoon een collega die een afmelding meteen in het bestand zet in plaats van op een briefje.

Een afmelding die niet verwerkt wordt, is dubbel schadelijk. Je schendt een recht van je klant en je stuurt berichten naar iemand die zeker geen afspraak gaat maken. In het overzicht van fouten die APK-herinneringen hun effect kosten staat die valkuil niet voor niets tussen de duurste.

Hoe lang bewaar je wat

In een garage lopen twee klokken door elkaar. De fiscale bewaarplicht voor je administratie is 7 jaar; voor gegevens over onroerende zaken is dat 10 jaar. Die termijn gaat over facturen, werkorders en grootboek, niet over je adressenbestand voor herinneringen.

Voor het contactbestand geldt geen vaste termijn. Daar bepaal je zelf een redelijke grens en houd je je eraan. Een klant die twee keuringsrondes niet heeft gereageerd en van wie de auto niet meer op zijn naam staat, hoort niet eindeloos in je verzendlijst te blijven staan.

Gegeven	Waarvoor je het houdt	Wat een redelijke termijn is
Factuur en werkorder	Fiscale administratie en garantiediscussies	De bewaarplicht van 7 jaar
Naam en contactgegevens	Afspraken maken en herinneren	Zolang de klant terugkomt, daarna opschonen
Kenteken en vervaldatum	Terugtellen naar het juiste moment	Tot de auto aantoonbaar niet meer van deze klant is
Vrije notities	Intern geheugen bij de balie	Zo kort mogelijk, en alleen zakelijk geformuleerd

Opschonen is bovendien gewoon prettig werk: het maakt je verzendlijst korter en je cijfers eerlijker. Welke stappen daarbij horen, staat in de checklist om je klantenbestand op te schonen.

Wat je op papier moet hebben

Een verwerkingsregister

Artikel 30 van de AVG vraagt om een register van verwerkingen. Er bestaat een uitzondering voor organisaties met minder dan 250 medewerkers, maar die vervalt zodra de verwerking niet incidenteel is, een risico voor betrokkenen oplevert of bijzondere persoonsgegevens betreft. Een bestand dat het hele jaar door wordt gebruikt om klanten te benaderen, is niet incidenteel. In de praktijk geldt de plicht dus vrijwel altijd.

Zo'n register hoeft geen boekwerk te zijn. Een overzicht van een paar bladzijden volstaat: welke gegevens, waarvoor, waar ze staan, wie erbij kan en hoelang je ze houdt.

Een verwerkersovereenkomst met je leveranciers

Laat je een softwareleverancier gegevens verwerken, dan schrijft artikel 28 van de AVG een verwerkersovereenkomst voor. Dat geldt voor je garagepakket, voor je boekhoudpakket en voor de partij die je herinneringen verstuurt.

Vraag er ook naar waar de gegevens staan en wat er gebeurt als je stopt. Een leverancier die niet kan uitleggen hoe je je eigen bestand exporteert, geeft je een reden om verder te kijken.

Wanneer een DPIA aan de orde is

Een data protection impact assessment, geregeld in artikel 35 van de AVG, is bedoeld voor verwerkingen met een hoog risico. Een adressenbestand met kentekens en vervaldatums valt daar doorgaans niet onder. Ga je verder, bijvoorbeeld met camerabeelden of uitgebreide profielen van rijgedrag, dan verandert dat beeld en is de vraag wel terecht.

Wat een klant van je mag vragen

De verordening geeft betrokkenen zes rechten: inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar. In een garage komen vooral de eerste drie voorbij, meestal bij de balie en zonder formele brief.

Een verzoek moet binnen een maand worden beantwoord. Is de zaak ingewikkeld, dan mag je die termijn met maximaal twee maanden verlengen, mits je dat laat weten. Spreek intern af wie zulke verzoeken oppakt, zodat het niet blijft liggen op een dag waarop de werkplaats vol staat.

Bereid je ook voor op de simpelste vraag van allemaal: welke gegevens heb je van mij? Wie zijn bestand op orde heeft, beantwoordt die vraag in een paar minuten. Hoe zo'n vraag tussen alle andere werkzaamheden past, is te zien in de geschetste werkweek van een universele garage.

Als er toch iets misgaat

Een datalek is niet altijd een hack. Een laptop die uit de bedrijfsbus verdwijnt, een verzendlijst die per ongeluk naar de verkeerde ontvanger gaat of een uitdraai die op de toonbank blijft liggen, tellen ook mee.

Datalekken moeten binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens worden gemeld, tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor de betrokkenen. Alle datalekken moeten hoe dan ook intern worden geregistreerd, ook de kleine.

De maximale boete onder de AVG bedraagt 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Voor een autobedrijf is dat plafond theoretisch, maar het geeft aan hoe serieus de wetgever dit neemt. Het praktische risico zit dichter bij huis: een klant die zijn vertrouwen kwijtraakt, komt niet terug.

Maatregelen die in een werkplaats passen

• Iedere medewerker een eigen inlog, geen gedeeld wachtwoord op een briefje bij de balie.
• Het baliescherm zo draaien dat wachtende klanten niet meelezen in andermans dossier.
• Papieren werklijsten aan het eind van de dag versnipperen in plaats van in de oud-papierbak gooien.
• Oude computers en telefoons leegmaken voordat ze de deur uitgaan.
• Een back-up die je ook echt een keer hebt teruggezet, zodat je weet dat hij werkt.

Cookies op je eigen website

Cookies vallen onder artikel 11.7a van de Telecommunicatiewet. Voor functionele cookies en analytische cookies met geringe gevolgen voor de privacy is geen toestemming nodig; voor tracking- en advertentiecookies wel. Wie alleen een afsprakenformulier en een contactpagina heeft, komt daar met een korte, eerlijke uitleg prima uit.

Let vooral op meegeleverde scripts van derden. Een chatvenster of een videospeler zet soms meer neer dan je denkt, en dat is dan alsnog jouw verantwoordelijkheid als beheerder van de site.

Van regels naar dagelijkse praktijk

Het aardige aan deze regels is dat ze grotendeels samenvallen met goed vakwerk. Een schoon bestand, kloppende datums, afmeldingen die verwerkt worden en gegevens die niet rondslingeren: dat is precies wat ook je planning ten goede komt.

Software helpt daar alleen bij als ze het simpel houdt. De herinneringsmodule van APK Wacht bewaart per klant niet meer dan nodig is om terug te tellen en op tijd een bericht klaar te zetten, houdt afmeldingen bij en laat je je eigen bestand op elk moment exporteren. De gegevens staan op servers binnen de Europese Unie en er hoort een verwerkersovereenkomst bij zoals artikel 28 voorschrijft.

Waarom die keuzes zo zijn gemaakt en hoe deze site tot stand komt, licht Jimenez Julien op zijn auteurspagina toe.

Conclusie: privacy is administratie, geen juridisch project

De AVG vraagt van een autobedrijf geen dikke map, maar een paar duidelijke afspraken: weten welke gegevens je hebt, weten waarom, ze niet te lang bewaren, afmeldingen serieus nemen en een lek melden als het gebeurt. Wie dat op orde heeft, kan met een gerust hart herinneringen versturen.

APK Wacht is zo gebouwd dat die orde vanzelf ontstaat: één plek voor de vervaldatums, één plek voor de contactvoorkeuren en een export die altijd van jou blijft. Wil je nagaan hoe dat met jouw huidige bestand uitpakt, vraag dan een demonstratie aan via het contactformulier. Je krijgt binnen twee werkdagen antwoord, met een concreet voorstel voor jouw situatie.