De AVG heeft leadgeneratie niet onmogelijk gemaakt, wel slordigheid. Wie zijn grondslagen, processen en tooling op orde heeft, groeit gewoon door. Dit is wat je moet regelen.

Contactgegevens zijn persoonsgegevens

Een zakelijk e-mailadres met een naam erin, een direct telefoonnummer, een LinkedIn-profiel: het zijn allemaal persoonsgegevens onder de AVG. Wie leads genereert (B2B of B2C), verwerkt dus persoonsgegevens en heeft daarvoor een geldige grondslag nodig.

De grondslag: gerechtvaardigd belang of toestemming

Voor B2B-marketing is "gerechtvaardigd belang" vaak de werkbare grondslag: direct marketing aan zakelijke beslissers kan daaronder vallen, mits je een belangenafweging documenteert en een duidelijke opt-out biedt. Bij B2C-marketing is toestemming vaker vereist of veiliger. Toestemming moet vrij, specifiek en aantoonbaar zijn: een vooraf aangevinkt vakje telt niet.

E-mail, telefoon en tracking: wat mag wanneer

  • Koude zakelijke e-mail: alleen met opt-in of onder strikte voorwaarden; check de Telecommunicatiewet naast de AVG
  • Telefonische acquisitie richting bedrijven: toegestaan met opt-out, maar respecteer bezwaar direct en registreer het
  • Consumentenmarketing: strengere eisen; vaak toestemming en respect voor opt-outregisters
  • Tracking en marketingcookies op je site: altijd voorafgaande toestemming via een consent-banner, anders geen pixel

De informatieplicht die bijna iedereen vergeet

Verzamel je gegevens niet rechtstreeks bij de persoon zelf, bijvoorbeeld via dataleveranciers of scraping, dan geldt artikel 14: je moet de betrokkene binnen een maand of bij het eerste contact vertellen welke gegevens je hebt, waarvoor, en waar ze vandaan komen. Neem dit op in je eerste outreach of privacyverklaring.

Rechten van betrokkenen: richt het proces in

Inzage, correctie, verwijdering, bezwaar: elk verzoek moet binnen een maand afgehandeld zijn. Praktisch betekent dit één centraal e-mailadres, een suppressielijst zodat verwijderde contacten niet opnieuw geïmporteerd worden, en logging van elke opt-out.

Compliant werken is een concurrentievoordeel: schone data, betere afleverbaarheid en outreach die niet als spam voelt, converteert aantoonbaar beter.

De praktische checklist

  • Grondslag per kanaal gedocumenteerd (belangenafweging of consent-log)
  • Verwerkersovereenkomsten met CRM-, e-mail- en advertentieplatformen
  • Bewaartermijnen ingesteld: weg met leads die twee jaar stil zijn
  • Opt-out in elke uiting en een suppressielijst in je CRM
  • Consent-banner voor cookies, gekoppeld aan je tagmanager

Veelgestelde vragen

Geldt de AVG ook voor B2C-leadgeneratie?

Ja. De AVG geldt voor elke verwerking van persoonsgegevens van natuurlijke personen in de EU, of je nu B2B- of B2C-leads verzamelt. Bij B2C is toestemming vaker de juiste of veiligere grondslag, en gelden naast de AVG vaak strengere telecom- en consumentenregels.

Mag ik LinkedIn-profielen gebruiken voor koude outreach?

Een LinkedIn-profiel bevat persoonsgegevens. Je hebt een geldige grondslag nodig, moet de betrokkene informeren (vaak via artikel 14) en moet bezwaar respecteren. Scrapen in strijd met de gebruiksvoorwaarden of zonder grondslag is riskant. Behandel LinkedIn-data net zo zorgvuldig als elke andere leadbron.

Wat is het verschil tussen toestemming en gerechtvaardigd belang?

Toestemming is een actieve, vrije en specifieke ja van de betrokkene, die aantoonbaar moet zijn. Gerechtvaardigd belang vraagt een belangenafweging: jouw belang mag de privacy van de betrokkene niet onevenredig schaden, en er moet een duidelijke opt-out zijn. Voor B2B-direct marketing is gerechtvaardigd belang vaak werkbaar; voor veel B2C-kanalen is toestemming sterker of verplicht.

Hoe lang mag ik leadgegevens bewaren?

Zo lang als nodig voor het doel, niet langer. Stel bewaartermijnen in (bijvoorbeeld verwijderen of anonimiseren van leads die lange tijd stil zijn) en documenteer die. Er is geen vaste AVG-termijn in maanden; de proportionaliteit telt.

Wat moet ik doen als iemand bezwaar maakt of verwijdering vraagt?

Handel het verzoek binnen een maand af, verwijder of blokkeer de gegevens waar dat moet, en zet het contact op een suppressielijst zodat het niet opnieuw wordt geïmporteerd. Log de opt-out. Bezwaar tegen direct marketing moet je in beginsel honoreren.

Zijn marketingcookies op mijn landingspagina altijd toestemmingsplichtig?

Marketing- en trackingcookies die niet strikt noodzakelijk zijn, vereisen voorafgaande toestemming via een consent-banner. Zonder toestemming mag je geen marketingpixel laden. Functionele cookies die strikt nodig zijn voor de dienst, vallen daar meestal buiten.

Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg voor jouw specifieke situatie een privacyjurist.