Leads kopen betekent werken met persoonsgegevens: een naam, een telefoonnummer, een adres, soms een indicatie van budget of situatie. Dat maakt de Algemene Verordening Gegevensbescherming (AVG) rechtstreeks van toepassing, zowel op de partij die de aanvraag opvangt als op het bedrijf dat de lead ontvangt. Dit artikel zet op een rij wat daarvoor geregeld moet zijn — generiek en zonder verzonnen jurisprudentie of boetebedragen.
Toestemming van de aanvrager
De basis van elke rechtmatige lead is toestemming. Wanneer iemand een formulier invult om een offerte of kennismaking aan te vragen, moet die persoon vooraf duidelijk geïnformeerd zijn over wat er met zijn gegevens gebeurt: dat zijn aanvraag wordt doorgezet naar één bedrijf dat past bij zijn vraag en regio, en met welk doel — namelijk om contact op te nemen over die aanvraag. Deze grondslag valt onder artikel 6 lid 1 sub a AVG: verwerking op basis van toestemming.
Toestemming moet vrijwillig, specifiek, geïnformeerd en ondubbelzinnig zijn. Dat betekent onder meer dat een vooraf aangevinkt akkoordvakje niet volstaat, dat de aanvrager moet kunnen begrijpen waarvoor hij toestemming geeft, en dat die toestemming beperkt is tot het doel waarvoor ze gegeven is — het doorzetten van de aanvraag naar één passende partij, niet een onbeperkt gebruik van de gegevens voor andere doeleinden.
Naast de toestemming zelf geldt de informatieplicht van artikel 13 AVG: de aanvrager moet weten wie zijn gegevens verzamelt, met welk doel, hoe lang ze bewaard worden en welke rechten hij heeft — waaronder het recht op inzage, correctie en verwijdering. Deze informatie hoort bij het intakeformulier, niet pas achteraf.
Rolverdeling: verzamelaar en afnemer
Bij leads kopen zijn er twee partijen met een eigen verantwoordelijkheid, en die verantwoordelijkheid verschuift op het moment van levering.
De partij die de aanvraag opvangt — bijvoorbeeld via een informatie- of vergelijkingssite — is verantwoordelijk voor de verzameling: het intakeformulier, de geïnformeerde toestemming en de controle op de aanvraag voordat deze wordt doorgezet. Deze partij bepaalt met welk doel de gegevens verzameld worden en op welke grondslag.
Na levering gaat de verantwoordelijkheid voor de verdere verwerking over naar de afnemer: het bedrijf dat de lead ontvangt en opvolgt. Daarna bepaalt de afnemer zelf hoe hij met de gegevens omgaat — hoe hij ze opslaat, wie er intern toegang toe heeft en hoe lang hij ze bewaart voor zijn eigen administratie of CRM. Deze knip in verantwoordelijkheid moet voor beide partijen helder zijn: de verzamelende partij is niet verantwoordelijk voor wat de afnemer na levering met de gegevens doet, en de afnemer is niet verantwoordelijk voor hoe de aanvraag oorspronkelijk is verzameld.
Geen doorverkoop
Een aanvraag wordt eenmalig en exclusief geleverd aan het bedrijf waarvoor de aanvrager toestemming heeft gegeven. De gegevens worden niet nogmaals doorverkocht aan een ander bedrijf, en ook niet gedeeld met derden buiten het doel waarvoor de aanvrager toestemming gaf. Dit sluit direct aan bij de toestemming zelf: die is verleend voor doorzetting naar één partij met een specifiek doel, niet voor bredere verspreiding.
Bewaartermijn
De AVG vraagt om een bewaartermijn die niet langer is dan noodzakelijk voor het doel van de verwerking. Voor de verzamelende partij betekent dit dat een aanvraag na levering en na afhandeling van eventuele reclamaties niet onbeperkt bewaard blijft, maar na een vastgestelde periode wordt verwijderd of geanonimiseerd. Voor de afnemer geldt een vergelijkbaar principe voor zijn eigen administratie: gegevens van een aanvrager die geen klant is geworden, horen niet zonder reden jarenlang in een CRM te blijven staan.
Wat de afnemer zelf moet regelen
Met de levering van een lead is de verantwoordelijkheid van de afnemer niet klaar — die begint dan juist. Een aantal punten moet de afnemer zelf op orde hebben.
Een eigen privacyverklaring. Zodra de afnemer contact opneemt en de gegevens in zijn eigen systemen verwerkt, moet hij de aanvrager kunnen informeren over zijn eigen verwerking: wat hij ermee doet, hoe lang hij het bewaart en bij wie de aanvrager terechtkan met vragen.
Alleen benaderen over de aanvraag. De toestemming die de aanvrager gaf, is gekoppeld aan het specifieke doel van de aanvraag — een offerte, een kennismaking, informatie over een dienst. Gegevens gebruiken voor een ander doel, zoals een algemene nieuwsbrief, vraagt een aparte toestemming die niet automatisch is inbegrepen.
Verwijderverzoeken opvolgen. Een aanvrager die vraagt om verwijdering van zijn gegevens, heeft daar op grond van de AVG recht op. De afnemer moet zo’n verzoek kunnen herkennen en binnen de daarvoor geldende termijn afhandelen, ook wanneer de aanvraag oorspronkelijk via een derde partij is binnengekomen.
Bijzondere persoonsgegevens horen niet in een lead
Artikel 9 AVG stelt strengere eisen aan bijzondere categorieën van persoonsgegevens: gegevens over gezondheid, religie, seksuele geaardheid, ras of strafrechtelijk verleden, bijvoorbeeld. Dergelijke gegevens horen niet thuis in een gewoon intakeformulier voor een lead en worden ook niet gevraagd of doorgegeven. Een lead beperkt zich tot gewone contact- en projectgegevens die nodig zijn om de aanvraag te kunnen beoordelen en op te volgen.
Leads kopen bij Aanloop AI
Wilt u weten hoe de toestemming, controle en levering van aanvragen precies zijn ingericht? Bekijk het aanbod op /leads-kopen/, lees de werkwijze op /leads-kopen/hoe-het-werkt/ of raadpleeg de volledige voorwaarden op /leads-kopen/voorwaarden/.