AVG en B2B-data: wat mag je bij prospecting?

Ja, je mag prospects benaderen, maar de AVG geldt ook in B2B. Het zakelijke e-mailadres van een inkoper is een persoonsgegeven. Je hebt dus een grondslag nodig, meestal het gerechtvaardigd belang, en je moet mensen informeren, hun bezwaar respecteren en de gegevens niet langer bewaren dan nodig.

Dit artikel legt uit wat de regels zijn en waar ze nog schuren. Het is geen juridisch advies. Twijfel je over je eigen situatie, vraag het dan aan een jurist of je functionaris gegevensbescherming.

Zijn zakelijke contactgegevens persoonsgegevens?

Vaak wel. De AVG gaat over informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Gegevens over een organisatie, een rechtspersoon, vallen er niet onder. Maar de Autoriteit Persoonsgegevens (AP) noemt zelf uitzonderingen: als het e-mailadres van een bedrijf alleen door één medewerker wordt gebruikt, of als informatie over een klein bedrijf iets zegt over de eigenaar, zijn het wél persoonsgegevens.

Voor prospecting betekent dat:

• Naam, functie, zakelijk e-mailadres en direct telefoonnummer van een contactpersoon zijn persoonsgegevens.
• Bedrijfsnaam, branche, omzetklasse en vestigingsplaats zijn dat meestal niet, zolang ze niet naar een persoon te herleiden zijn.
• Eenmanszaak, vof en maatschap zijn geen rechtspersonen. Achter zo’n bedrijf staan één of meer mensen, dus gegevens over de zaak gaan al snel ook over de eigenaar.

Werk je met een lijst van bedrijven én contactpersonen, dan valt in de praktijk bijna alles onder de AVG.

Welke grondslag heb je nodig?

De AVG kent zes grondslagen. Voor prospecting komen er twee in aanmerking:

• Toestemming. Iemand heeft zich bijvoorbeeld zelf aangemeld. Die toestemming moet je kunnen aantonen.
• Gerechtvaardigd belang (artikel 6, lid 1, onder f AVG). Dit is de grondslag waar de meeste B2B-outreach op leunt. Overweging 47 van de AVG zegt letterlijk dat verwerking voor direct marketing kan worden beschouwd als verwerking met het oog op een gerechtvaardigd belang.

Kies je grondslag vóór je begint, en leg vast waarom je voor deze grondslag kiest. De AP raadt aan de grondslag te noemen in je privacyverklaring en je verwerkingsregister.

Hoe werkt de toets voor gerechtvaardigd belang?

Het gerechtvaardigd belang is geen vrijbrief. Je moet aan drie voorwaarden voldoen, en die moet je op papier kunnen onderbouwen.

1. Het doel: heb je echt een gerechtvaardigd belang?

Volgens de AP moet het belang actueel, concreet en rechtstreeks zijn. Dus niet “misschien ooit eens klanten werven”, maar bijvoorbeeld: “wij verkopen retoursoftware aan logistieke bedrijven en willen de operationeel verantwoordelijke daarover informeren”.

2. Noodzaak: kan het ook met minder gegevens?

Is de verwerking nodig voor dat doel? De AP vraagt je te kijken of het doel ook minder ingrijpend kan worden bereikt (subsidiariteit) en of het doel in verhouding staat tot de inbreuk (proportionaliteit). Heb je voor een eerste mail echt het mobiele nummer nodig? Of alleen naam, functie en zakelijk e-mailadres?

3. Belangenafweging: wegen hun belangen niet zwaarder?

Tot slot weeg je af. De AP noemt: de gevolgen voor de persoon, hoe ernstig de inbreuk is, welke maatregelen je neemt om nadelen te beperken, en of de persoon de verwerking min of meer kan verwachten. Een operationeel directeur die een relevant zakelijk aanbod krijgt op zijn werkadres, verwacht dat eerder dan iemand die op zijn privéadres wordt benaderd.

Leg deze afweging vast. Dat heet vaak een LIA (legitimate interests assessment). De AVG schrijft die naam niet voor, maar je moet je keuze wel kunnen verantwoorden.

Wat veranderde het KNLTB-arrest?

Lang hield de AP vol dat een zuiver commercieel belang nooit een gerechtvaardigd belang kon zijn. Daarom kreeg de tennisbond KNLTB in 2019 een boete van 525.000 euro: de bond had ledengegevens tegen betaling aan sponsors gegeven, die de leden daarna telefonisch en per post benaderden.

De rechtbank Amsterdam legde de vraag voor aan het Hof van Justitie van de EU. Op 4 oktober 2024 deed het Hof uitspraak (zaak C-621/22). De kern:

• Een gerechtvaardigd belang hoeft niet in de wet te staan. Het moet wel rechtmatig zijn.
• Ook een commercieel belang kan dus een gerechtvaardigd belang zijn.
• De verwerking moet wel strikt noodzakelijk zijn, en de belangen en grondrechten van de betrokkenen mogen in het licht van alle omstandigheden niet zwaarder wegen.

De staatssecretaris van Justitie en Veiligheid schreef de Tweede Kamer op 16 oktober 2024 dat het Hof hiermee rechtsonzekerheid heeft weggenomen, en dat ook een zuiver commercieel belang kan kwalificeren als gerechtvaardigd belang.

Hoe reageerde de AP?

Op 18 oktober 2025 meldde de AP dat zij en de KNLTB de zaak beëindigen. De AP schrijft zelf dat het Hof oordeelde dat de AP het begrip “te streng had uitgelegd”. Tegelijk benadrukt de AP dat het Hof “geen vrijbrief” gaf: het moet écht noodzakelijk zijn, de inbreuk op de privacy moet beperkt zijn, en het telt mee of mensen het redelijkerwijs kunnen verwachten en of ze goed geïnformeerd zijn. De AP verlaagde de boete tot 250.000 euro, min de kosten van een voorlichtingscampagne die de bond start, en zou het definitieve besluit uiterlijk in juni 2026 vaststellen.

Wat betekent dat voor jou? Je commerciële belang telt nu mee als belang. Maar de toezichthouder kijkt nog steeds streng naar noodzaak en verwachtingen. Het arrest ging bovendien over het doorverkopen van ledengegevens, niet over B2B-mail. Hoe de afweging bij prospecting uitvalt, blijft per geval verschillen.

Wat moet je prospects vertellen?

Heb je de gegevens niet van de persoon zelf, bijvoorbeeld uit een database, van LinkedIn of via een verrijkingstool, dan geldt artikel 14 AVG. Je moet onder meer vertellen:

• wie je bent en hoe je bereikbaar bent;
• welke gegevens je verwerkt, waarvoor en op welke grondslag;
• welk gerechtvaardigd belang je hebt, als je daarop leunt;
• hoe lang je de gegevens bewaart;
• welke rechten de persoon heeft, waaronder bezwaar en een klacht bij de AP;
• uit welke bron de gegevens komen, en of dat een openbare bron is.

Wanneer?

Artikel 14, lid 3 geeft de termijn: binnen een redelijke termijn en uiterlijk binnen een maand na verkrijging. Gebruik je de gegevens om contact op te nemen, dan uiterlijk bij het eerste contact. Voor outreach is dat dus je eerste mail.

In de praktijk zet je een korte zin in je mail met een link naar een privacyverklaring die deze punten behandelt. De AP noemt een gelaagde privacyverklaring als goede vorm. Er bestaat een uitzondering voor “onevenredige inspanning”, maar wie de persoon toch al mailt, kan zich daar lastig op beroepen.

Hoe lang mag je prospectdata bewaren?

De AVG noemt geen vaste termijn. Volgens de AP bepaal je zelf hoe lang, maar niet langer dan nodig voor het doel, en je moet het kunnen onderbouwen. Leg de termijn en de reden vast en noem hem in je privacyverklaring.

Een paar vragen die helpen:

• Hoe lang loopt een campagne, en hoe lang daarna is opvolging nog redelijk?
• Wat doe je met mensen die nooit reageren?
• Wanneer is een contact verouderd, bijvoorbeeld omdat iemand van baan is gewisseld?

Is de termijn voorbij, dan verwijder of anonimiseer je de gegevens. Of eerder, als iemand bezwaar maakt.

Wat als iemand bezwaar maakt?

Tegen direct marketing heeft iemand altijd recht van bezwaar (artikel 21, lid 2 AVG). Maakt iemand bezwaar, dan mag je zijn gegevens niet meer voor direct marketing gebruiken (lid 3). De AP voegt toe dat je niet mag vragen waarom.

Artikel 21, lid 4 zegt bovendien dat je dit recht uiterlijk bij het eerste contact uitdrukkelijk onder de aandacht moet brengen, duidelijk en gescheiden van andere informatie. Een afmeldzin onderaan elke mail is dus geen luxe.

Praktisch: verwerk een “nee” of “haal me van de lijst” meteen, in alle campagnes en mailboxen tegelijk. Zorg dat die persoon niet via een nieuwe import opnieuw in een campagne belandt.

Heb je een verwerkersovereenkomst nodig?

Ja, als een tool prospectgegevens voor jou verwerkt. Denk aan een CRM, een verrijkingsdienst of een outreachplatform. Jij bent dan de verwerkingsverantwoordelijke, de tool is de verwerker. Artikel 28, lid 3 AVG verplicht een schriftelijke verwerkersovereenkomst. De AP benadrukt dat beide partijen in overtreding zijn als die ontbreekt.

Volgens de AP staat er onder meer in: onderwerp, duur, aard en doel van de verwerking; dat de verwerker alleen op jouw instructie werkt en de gegevens niet voor eigen doelen gebruikt; geheimhouding; beveiliging; regels voor subverwerkers; hulp bij verzoeken van betrokkenen en datalekken; en wat er met de gegevens gebeurt als de dienst stopt.

Let op: ook met een verwerkersovereenkomst blijf jij verantwoordelijk voor je grondslag en je targeting.

Hoe dat bij Re:Shark zit

Voor de prospectdata in je campagnes ben jij de verwerkingsverantwoordelijke en is Re:Shark je verwerker, vastgelegd in onze verwerkersovereenkomst. Voor onze eigen website- en klantgegevens zijn wij zelf de verantwoordelijke. Je grondslag om mensen te benaderen blijft jouw verantwoordelijkheid. Details staan in de privacyverklaring en de voorwaarden en verwerkersovereenkomst.

Wat als data buiten de EU gaat?

Persoonsgegevens mogen alleen naar een land buiten de Europese Economische Ruimte (EER) als dat land voldoende bescherming biedt, of met extra waarborgen. De AP noemt onder meer een modelcontract van de Europese Commissie. Voor de Verenigde Staten gelden aparte regels; het hangt ervan af of de ontvangende organisatie meedoet aan het Data Privacy Framework.

Vraag bij elke tool dus: waar staan de gegevens, welke subverwerkers zijn er, en op welke grond gaan gegevens eventueel de EER uit? Het antwoord hoort in de privacyverklaring of de verwerkersovereenkomst te staan.

Re:Shark slaat data op en verwerkt die op eigen infrastructuur in de EU. Doorgifte buiten de EU gebeurt alleen met de waarborgen die de AVG toestaat. Hosting, verwerkingslocaties en subverwerkers staan in de privacyverklaring.

Checklist voor AVG-proof prospecting

• Doelgroep afgebakend. Je weet welke functies en bedrijven je benadert, en waarom je aanbod voor hen relevant is.
• Grondslag gekozen en vastgelegd. Bij gerechtvaardigd belang: doel, noodzaak en belangenafweging op papier.
• Minimale gegevens. Alleen wat je nodig hebt voor de eerste benadering.
• Informatie bij het eerste contact. Wie je bent, waarom je mailt, waar de gegevens vandaan komen, link naar je privacyverklaring.
• Bezwaar makkelijk en direct verwerkt. In elke mail, in alle campagnes.
• Bewaartermijn bepaald. En een vaste routine om oude prospectdata op te ruimen.
• Verwerkersovereenkomst met elke tool. Inclusief subverwerkers en locatie van de data.
• Doorgifte buiten de EER gecontroleerd.
• Verwerkingsregister bijgewerkt.

Wil je weten hoe Re:Shark contactgegevens aanvult en controleert? Lees meer over verrijking en e-mailoutreach. Hoe je een cold e-mail schrijft die antwoord krijgt, lees je in Cold e-mail in B2B. Over de techniek achter het verzenden gaat E-mail deliverability: zo kom je in de inbox.

Dit artikel is algemene informatie, geen juridisch advies. De regels en hun uitleg kunnen veranderen. Stand van zaken: 30 september 2026.