E-mailmarketing en de AVG: wat mag wel en wat niet?

Bij e-mailmarketing en de AVG gaat het om twee wetten tegelijk. De Telecommunicatiewet bepaalt of je iemand reclame mag mailen: alleen met toestemming vooraf, met een uitzondering voor bestaande klanten en een smalle uitzondering voor zakelijke adressen. De AVG bepaalt hoe je met de gegevens van je lijst omgaat: welke grondslag je hebt, wat je bewaart, met welke tool je werkt en waar die de gegevens opslaat.

Let op: dit artikel is algemene informatie over de regels zoals die in oktober 2026 in de wet en bij de toezichthouders staan. Het is geen juridisch advies. Twijfel je over jouw situatie, bijvoorbeeld over een bestaand adressenbestand, vraag dan een jurist of privacyspecialist om mee te kijken.

Twee wetten: de Telecommunicatiewet en de AVG

Veel ondernemers zeggen “de AVG” als ze het over nieuwsbrieven hebben, maar de bekendste regel, dat je niet zonder toestemming reclame mag mailen, komt uit een andere wet. Het helpt om de twee uit elkaar te houden, omdat ze elk een andere vraag beantwoorden en een andere toezichthouder hebben.

Je moet aan allebei voldoen. Een adres dat je volgens de Telecommunicatiewet mag mailen, kan onder de AVG nog steeds verkeerd bewaard of gedeeld worden. En andersom maakt een nette privacyverklaring een ongevraagde reclamemail niet toegestaan.

De hoofdregel: toestemming vooraf

De kern staat in het eerste lid van artikel 11.7 van de Telecommunicatiewet. Elektronische berichten voor commerciële, ideële of charitatieve doeleinden zijn verboden, “tenzij de verzender kan aantonen dat de desbetreffende eindgebruiker daarvoor voorafgaand toestemming heeft verleend”. Twee dingen vallen op. De regel geldt dus ook voor goede doelen en verenigingen, niet alleen voor bedrijven die iets verkopen. En de bewijslast ligt bij jou als verzender.

Een nieuwsbrief van een bedrijf heeft vrijwel altijd een commercieel doel: je wilt dat lezers klant worden of blijven. Ga er dus van uit dat de regel op je nieuwsbrief van toepassing is, ook als die vooral tips bevat.

Wat telt als toestemming

De ACM legt op haar pagina Spam voorkomen in uw reclame uit waar toestemming aan moet voldoen:

• De ontvanger koos er bewust voor. Een vooraf aangevinkt vakje, druk uitoefenen of een zin in je algemene voorwaarden telt niet.
• De keuze ging duidelijk over reclame of wervende berichten.
• Je kunt de toestemming tot vijf jaar na verzending aantonen.

De AVG sluit daarop aan. Volgens artikel 4 van de AVG is toestemming een “vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting”. Specifiek betekent in de praktijk: iemand die zich aanmeldt voor je maandelijkse nieuwsbrief, heeft daarmee nog geen toestemming gegeven voor dagelijkse aanbiedingen van partners. Ook Ondernemersplein noemt het met zoveel woorden: vink bij het afrekenen in je webwinkel niet standaard het vakje voor mailings aan.

Toestemming kunnen aantonen

Omdat jij moet bewijzen dat iemand toestemming gaf, is vastleggen net zo belangrijk als vragen. Leg per adres minstens vast wanneer de aanmelding binnenkwam, via welk formulier of welke bron, en welke tekst er bij het aanmeldvakje stond. Veel e-mailtools leggen datum en bron vast bij een aanmelding via hun eigen formulier; controleer of de jouwe dat doet en of je het kunt exporteren. Bij adressen die je zelf importeert, bijvoorbeeld van een beurs of uit een oud systeem, moet je dat bewijs zelf bewaren.

Bestaande klanten mailen: de soft opt-in

Lid 4 van artikel 11.7 bevat de uitzondering die in de marketingwereld soft opt-in heet. Je mag zonder voorafgaande toestemming reclame mailen als je kunt aantonen dat je het adres van een klant kreeg “in het kader van de verkoop van een product of dienst”. Daar horen drie voorwaarden bij:

1. Alleen je eigen gelijksoortige producten of diensten. Een webwinkel in koffiebonen mag een klant mailen over nieuwe koffiesoorten. Een mail over de fietsen die een zakenpartner verkoopt, valt daar niet onder.
2. Afmelden bij het verzamelen. Op het moment dat je het adres verzamelt, bijvoorbeeld bij het afrekenen, moet de klant “duidelijk en expliciet” de kans krijgen om kosteloos en eenvoudig bezwaar te maken.
3. Afmelden in elke mail. Heeft de klant zich niet verzet, dan moet die kans er bij elke volgende mail opnieuw zijn.

Let op wat er niet staat. De uitzondering gaat over klanten en over een verkoop. Iemand die een offerte aanvroeg maar niets kocht, valt er volgens de tekst van de wet niet zonder meer onder. Hetzelfde geldt voor iemand die alleen je contactformulier invulde. De ACM vat het samen als berichten over producten of diensten die passen bij eerdere aankopen. Sommige andere bronnen formuleren het ruimer; houd bij twijfel de wettekst aan, of vraag alsnog toestemming.

Een praktisch gevolg: de afmeldoptie bij het afrekenen moet er vanaf het begin zijn. Heb je jarenlang klantadressen verzameld zonder die optie, dan kun je je voor die adressen niet zomaar op lid 4 beroepen.

Zakelijke adressen: B2B is geen vrijbrief

Een hardnekkig misverstand is dat je bedrijven vrij mag mailen. De Telecommunicatiewet spreekt van eindgebruikers, en volgens artikel 1.1 van die wet is dat een “natuurlijke persoon of rechtspersoon”. De hoofdregel van toestemming vooraf geldt dus ook voor een bv of een stichting.

Lid 3 van artikel 11.7 maakt wel een uitzondering voor rechtspersonen en voor mensen die handelen in de uitoefening van hun beroep of bedrijf, zoals een zzp’er in zijn rol als ondernemer. Je hebt dan geen toestemming vooraf nodig als je een elektronisch adres gebruikt dat door de ontvanger juist bestemd en bekendgemaakt is voor het ontvangen van commerciële berichten, en je het gebruikt in lijn met dat doel. Een tweede uitzondering in lid 3 betreft ontvangers buiten de Europese Economische Ruimte, waarvoor de regels van dat land gelden.

Wat betekent dat in de praktijk?

• Een adres dat een bedrijf op zijn site zet met de tekst “voor aanbiedingen van leveranciers” mag je gebruiken voor een aanbod dat daarbij past.
• Een algemeen contactadres voor klantvragen is daar niet automatisch voor bedoeld. Daar moet je dus voorzichtig mee zijn.
• Gegevens uit het Handelsregister mag je volgens KVK alleen voor e-mailmarketing gebruiken als je de betrokkenen vooraf om toestemming vraagt en die toestemming vastlegt.

En dan is er de AVG. Een adres als voornaam.achternaam@bedrijf.nl hoort bij een herkenbaar persoon en is daarmee een persoonsgegeven in de zin van artikel 4 van de AVG. Ook als de Telecommunicatiewet je mail toestaat, heb je voor dat adres dus nog een grondslag nodig en gelden alle andere AVG-regels.

Wat de AVG daarnaast van je vraagt

Stel dat je volgens de Telecommunicatiewet mag mailen. Dan begint de AVG pas. Die gaat over alles wat je met de adressen en de bijbehorende gegevens doet: verzamelen, opslaan, analyseren en delen met je e-mailtool.

Een grondslag kiezen

De AVG kent zes grondslagen, en volgens Ondernemersplein mag je de reden voor verwerking niet zelf bedenken. Voor e-mailmarketing spelen er twee een rol:

• Toestemming (artikel 6, lid 1, onder a). De logische grondslag voor iedereen die zich zelf aanmeldt. Volgens artikel 7 moet je die toestemming kunnen aantonen, mag de betrokkene haar altijd intrekken, en moet intrekken “even eenvoudig als het geven ervan” zijn.
• Gerechtvaardigd belang (artikel 6, lid 1, onder f). Overweging 47 van de AVG zegt dat verwerking voor direct marketing kan worden beschouwd als verwerking met het oog op een gerechtvaardigd belang. Dat past bij de soft opt-in voor bestaande klanten. Het is wel geen automatisme: je moet afwegen of je belang zwaarder weegt dan dat van de klant, en wat die redelijkerwijs mag verwachten.

Welke grondslag je ook kiest, artikel 21 van de AVG geeft iedereen het recht om bezwaar te maken tegen direct marketing. Na zo’n bezwaar mag je de gegevens niet meer voor dat doel gebruiken, en je moet uiterlijk bij het eerste contact duidelijk op dat recht wijzen.

Niet meer vragen dan je gebruikt

Artikel 5 van de AVG schrijft minimale gegevensverwerking voor: gegevens moeten beperkt zijn tot wat nodig is voor het doel. Ondernemersplein geeft precies het voorbeeld van de nieuwsbrief: daarvoor heb je een e-mailadres nodig, maar geen geboortedatum. Een voornaam voor een persoonlijke aanhef is te verdedigen als je die echt gebruikt. Vraag je om een woonplaats of verjaardag, dan moet je kunnen uitleggen waarvoor.

Voor bewaren geldt hetzelfde principe. Volgens Ondernemersplein staat er in de wet geen vaste bewaartermijn; je mag gegevens niet langer bewaren dan nodig. Leg daarom zelf vast hoe lang je bijvoorbeeld inactieve abonnees bewaart, en vermeld in je privacyverklaring wat je met de gegevens doet.

Een veelgemaakte fout hoort hier ook bij: een e-mailadres dat je kreeg om een factuur te sturen, mag je volgens Ondernemersplein niet zomaar gebruiken om reclame te sturen. Het doel waarvoor je een gegeven verzamelde, bepaalt wat je ermee mag.

Een verwerkersovereenkomst met je e-mailtool

Je e-mailtool slaat je lijst op en verstuurt namens jou. Daarmee is de tool een verwerker. Artikel 28 van de AVG eist dat je dat vastlegt in een overeenkomst, waarin onder meer staat dat de verwerker de gegevens alleen volgens jouw schriftelijke instructies verwerkt. Ondernemersplein voegt eraan toe dat je zelf verantwoordelijk blijft voor wat je uitbesteedt.

Veel tools bieden zo’n overeenkomst standaard aan, vaak als Data Processing Addendum of DPA. Mailchimp schrijft bijvoorbeeld dat het voor het grootste deel van de gegevens optreedt als verwerker volgens zijn Data Processing Addendum. Zoek dat document op voor je tool, lees het en bewaar het bij je administratie. Vergelijk je nog tools, dan staat de afweging tussen bekende namen in ons artikel over Mailchimp, Brevo en Klaviyo.

Gegevens buiten de EU

Veel e-mailtools zijn Amerikaans. Volgens artikel 44 van de AVG mag je persoonsgegevens alleen buiten de EU doorgeven als aan de voorwaarden in dat hoofdstuk is voldaan. Voor de Verenigde Staten nam de Europese Commissie op 10 juli 2023 een adequaatheidsbesluit aan voor het EU-US Data Privacy Framework. Gegevens mogen daardoor vrij naar Amerikaanse bedrijven die aan dat framework deelnemen. Neemt een bedrijf niet deel, dan zijn passende waarborgen nodig, zoals de standaardbepalingen uit artikel 46.

Mailchimp meldt bijvoorbeeld dat zijn servers in de Verenigde Staten staan en dat de EU-standaardbepalingen in zijn DPA zijn opgenomen. Dat maakt de tool niet verboden, maar het is wel iets wat je moet weten en kunnen uitleggen. Kijk bij je eigen tool waar de gegevens staan en op welke basis ze worden doorgegeven. Een Europese tool met opslag in de EU maakt dit deel eenvoudiger.

Dubbele opt-in: niet verplicht, wel het beste bewijs

Bij dubbele opt-in krijgt een nieuwe inschrijver eerst een mail met een bevestigingslink, en pas na het klikken staat hij op je lijst. Artikel 11.7 en artikel 7 van de AVG eisen dat je toestemming kunt aantonen, maar schrijven geen methode voor. In de wettekst en de toezichtbronnen die we raadpleegden staat dubbele opt-in dan ook niet als verplichting.

Het is wel de sterkste vorm van bewijs. Met een enkel formulier weet je niet zeker dat het adres echt van de persoon is die het invulde; iemand kan het adres van een ander intypen. Met een bevestigingsklik heb je vastgelegd dat de eigenaar van het adres zelf ja zei, met datum en tijd. Bijkomend voordeel: tikfouten en neppe adressen komen niet op je lijst.

Het nadeel is dat een deel van de inschrijvers de bevestiging nooit afrondt. Houd de bevestigingsmail daarom kort en duidelijk, en laat de eerste echte mail direct daarna komen. Hoe je die eerste mails opbouwt, lees je in ons artikel over een welkomstreeks.

Wat in elke reclamemail moet staan

Ook als je toestemming hebt, gelden er eisen voor de mail zelf. Uit artikel 11.7 en de uitleg van de ACM en Ondernemersplein volgen deze punten:

• Een afmeldmogelijkheid in elk bericht. Snel, dus geen ingewikkelde vragenlijst, en gratis, dus niet betalen met extra gegevens of iets anders. Een afmeldlink die direct werkt, is de gebruikelijke oplossing.
• Een herkenbare afzender. Het moet duidelijk zijn dat de mail van jou komt, via je bedrijfsnaam of e-mailadres. Een fantasienaam als afzender mag volgens de ACM niet.
• Je werkelijke identiteit en een adres om af te melden. Lid 7 van artikel 11.7 vraagt de werkelijke identiteit van degene namens wie je mailt, en een geldig postadres of nummer waar de ontvanger een verzoek tot stoppen kan indienen. In de praktijk zet je je bedrijfsnaam en adres in de voettekst.
• Herkenbaar als reclame. Volgens Ondernemersplein geldt voor reclame per e-mail ook de Code reclame via e-mail, die onder meer vraagt duidelijk te maken dat het om reclame gaat.

Verwerk afmeldingen ook echt. Wie zich afmeldt of bezwaar maakt, hoort geen reclame meer te krijgen, ook niet via een tweede lijst in een andere tool.

Adressenlijsten kopen of huren

Een gekocht of gehuurd adressenbestand lijkt een snelle manier om een lijst op te bouwen. Juridisch is het bijna altijd een probleem. De toestemming moet volgens artikel 11.7 vooraf zijn gegeven en door jou als verzender kunnen worden aangetoond. Een vinkje bij een ander bedrijf voor “aanbiedingen van partners” is zelden specifiek genoeg om als toestemming voor jouw mail te gelden, en jij hebt het bewijs niet zelf in handen.

De ACM schrijft daarnaast dat de regels niet alleen gelden voor wie op verzenden drukt, maar ook voor de opdrachtgever en voor bedrijven die helpen bij het versturen, zoals leveranciers van adressenbestanden. Een leverancier die zegt dat alles in orde is, haalt de verantwoordelijkheid dus niet bij jou weg. Volgens Ondernemersplein kan de ACM voor spam een boete opleggen tot 900.000 euro per overtreding.

Hetzelfde geldt voor adressen die je van websites, LinkedIn-profielen of visitekaartjes overneemt. Een visitekaartje dat iemand je op een beurs geeft, is geen aanmelding voor je nieuwsbrief. Vraag eerst of iemand je mails wil ontvangen, en leg dat antwoord vast.

Checklist: wel en niet doen

Loop deze lijst door voordat je je volgende campagne verstuurt, of als je een bestaande lijst overneemt.

Begin je net met e-mailmarketing, dan vind je de volgorde van tool kiezen tot eerste campagne in e-mailmarketing voor beginners. De regels in dit artikel horen bij stap één van die volgorde, niet bij het einde.

Hulp nodig bij je e-mailmarketing?

De regels zijn streng, maar goed te volgen als je ze vanaf het begin inbouwt: een eerlijk aanmeldformulier, vastgelegde toestemming, een tool met een verwerkersovereenkomst en een afmeldlink die werkt. Wil je dat iemand je lijst, formulieren en tool nakijkt en daarna de nieuwsbrieven en automatische mails voor je verzorgt, kijk dan naar e-mailmarketing bij VelaVen. We werken met de regels die hier staan en zeggen het eerlijk als een vraag bij een jurist thuishoort. Voor juridisch advies over je eigen situatie blijft een jurist of privacyspecialist het juiste adres.