Ja, een kleine Belgische zaak kan een klantenclub houden die de GDPR respecteert, op voorwaarde dat ze enkel nuttige gegevens verzamelt en voor elk doel een rechtsgrond heeft. Voor de kaart zelf volstaat in principe de overeenkomst; voor promotionele berichten voorziet u de toestemming van de klant.
Het is minder ingewikkeld dan het lijkt. Deze gids loopt door welke gegevens u vraagt, welke rechtsgrond bij elk gebruik past, wat u aan de leden moet vertellen en hoe u een verzoek tot verwijdering behandelt. Een checklist van tien punten sluit het artikel af.
Welke gegevens vraagt een klantenclub echt?
De basisregel van de GDPR is minimalisering: u verzamelt niet meer dan u nodig hebt. Voor een stempelkaart is dat verrassend weinig.
Om de kaart te laten werken, hebt u doorgaans nodig:
- Een voornaam, zodat het team de klant kan begroeten en kan nagaan dat de juiste kaart gescand wordt.
- Een e-mailadres, om de kaart terug te vinden bij een nieuwe telefoon en te verwittigen dat een beloning klaarstaat.
- De stempelgeschiedenis, dat wil zeggen wanneer een stempel werd toegevoegd en wanneer een beloning werd gebruikt. Zonder dat is er geen kaart.
Wat u normaal niet vraagt: rijksregisternummer, postadres, telefoonnummer, geslacht, geboortedatum. Elk extra veld is een gegeven dat u moet kunnen verantwoorden, beschermen en vermelden. Een korter formulier gaat ook sneller aan de toonbank: meer klanten schrijven zich in.
Welke rechtsgrond voor welk gebruik?
De GDPR vraagt dat u voor elk doel een rechtsgrond kiest. Voor een klantenclub komen er vaak twee terug.
| Doel | Gebruikelijke rechtsgrond | Opmerking |
|---|---|---|
| De kaart laten werken (stempels, beloningen) | Overeenkomst (art. 6, 1, b) | De klant heeft de kaart gevraagd |
| Promotionele berichten, nieuwigheden | Toestemming, afzonderlijk te vragen | Facultatief vakje, niet vooraf aangevinkt |
| Interne statistieken over bezoeken | Gerechtvaardigd belang of overeenkomst, naargelang | Hou het sober en transparant |
Voor promotionele e-mails en berichten komen de Belgische regels over elektronische communicatie bovenop de GDPR, en die voorzien in principe in een voorafgaande toestemming, met beperkte uitzonderingen. Het veiligst is om elke promotionele melding, ook op een kaart in Apple Wallet of Google Wallet, als een e-mail te behandelen: stuur ze enkel naar klanten die ja gezegd hebben.
Wat vertelt u de leden?
Artikelen 13 en 14 van de GDPR vragen om duidelijke informatie. Voor een kleine club volstaat een kort privacybeleid, bereikbaar vanuit de inschrijving. Het vermeldt:
- wie u bent en hoe men u kan bereiken,
- welke gegevens u verzamelt en waarom,
- op welke grondslag (overeenkomst, toestemming),
- hoelang u ze bewaart,
- met wie u ze deelt, bijvoorbeeld uw kaartleverancier,
- de rechten van de klant: inzage, verbetering, verwijdering, intrekking van de toestemming, klacht bij de GBA.
Schrijf het in eenvoudig Nederlands, en in het Frans als u ook Franstalige klanten bedient.
Hoe behandelt u een verzoek tot verwijdering?
Een klant kan vragen dat zijn gegevens gewist worden. U moet in principe binnen een maand antwoorden (art. 12 van de GDPR). Concreet:
- Controleer wie het vraagt, bijvoorbeeld vanaf het e-mailadres dat aan de kaart gekoppeld is.
- Verwijder de kaart en de bijhorende gegevens, of anonimiseer wat om een wettelijke reden bewaard moet blijven.
- Bevestig schriftelijk aan de klant.
Leg ook een standaardbewaartermijn vast. Een eenvoudige regel, zoals kaarten zonder activiteit na twee jaar wissen, is beter te verdedigen dan alles onbeperkt bewaren.
En de leverancier van de kaart?
U bent de verwerkingsverantwoordelijke: u beslist waarom en hoe de gegevens gebruikt worden. De leverancier van de digitale kaart is een verwerker, en de GDPR (art. 28) vraagt een schriftelijke overeenkomst met hem. Controleer waar de gegevens gehost worden, hoe ze beschermd zijn, of u ze kunt exporteren en wat er gebeurt bij het einde van het contract. Bij een lek van persoonsgegevens moet de verwerkingsverantwoordelijke dit in principe binnen 72 uur melden aan de GBA (art. 33): uw verwerker moet u dus onverwijld verwittigen.
Checklist in tien punten
- Ik vraag enkel voornaam en e-mail, tenzij ik een specifieke behoefte heb.
- De kaart steunt op de overeenkomst, niet op een afgedwongen toestemming.
- Promotionele berichten zitten achter een afzonderlijk, facultatief en niet vooraf aangevinkt vakje.
- Ik heb een kort privacybeleid, in de talen van mijn klanten.
- Ik heb een verwerkersovereenkomst met mijn leverancier.
- Ik weet waar de gegevens gehost worden.
- Ik heb een bewaartermijn en ik respecteer die.
- Ik weet hoe ik een verzoek tot inzage of verwijdering binnen een maand behandel.
- Mijn team weet dat het de klantenlijst niet mag kopiëren naar een persoonlijke spreadsheet.
- Ik weet dat ik bij een lek snel moet reageren en de GBA indien nodig moet verwittigen.
Kort samengevat
Een klantenclub is verenigbaar met de GDPR: weinig gegevens, een duidelijke rechtsgrond per gebruik, de toestemming van de klant voor promotie en een overeenkomst met uw leverancier. Om te begrijpen wat de kaart kost, leest u wat een digitale klantenkaart kost, of keert u terug naar de startpagina. Verstuurt u meldingen, lees dan ook hoe u uw klanten niet irriteert met pushberichten.