B2B-koude e-mail onder de AVG: wat mag er echt?

Elk B2B-team stelt voor de eerste campagne dezelfde vraag: mogen we bedrijven mailen die daar nooit om hebben gevraagd? In het grootste deel van Europa is het antwoord ja, onder voorwaarden. Die voorwaarden zijn dit hele artikel.

De verwarring komt meestal doordat twee wetten door elkaar lopen. De AVG bepaalt of je de gegevens mag hebben en gebruiken. De spamregels uit de ePrivacy-richtlijn, die elk land in een eigen nationale wet heeft gezet, bepalen of je het bericht mag versturen. Je moet aan allebei voldoen, en juist bij die tweede lopen de landen uiteen.

Dit artikel is algemene informatie, geen juridisch advies. Leg je eigen situatie voor aan een jurist in je eigen land.

Een bedrijfsadres en een persoon met een naam zijn niet hetzelfde

De AVG beschermt persoonsgegevens: informatie over een geïdentificeerde of identificeerbare levende persoon. Een bedrijf is geen persoon. Het vestigingsadres van een bakkerij, het algemene telefoonnummer en een mailbox als [email protected] horen bij een rechtspersoon, dus daar zegt de verordening veel minder over.

De grens verschuift zodra er een mens in het record verschijnt. Een adres dat is opgebouwd uit een voor- en achternaam is een persoonsgegeven, net als een vermelding met "eigenaar: Maria Santos". Een eenmanszaak is het lastigste geval: bij een bedrijf van één persoon is het bedrijfsadres vaak ook het adres van die persoon, waardoor één regel in je bestand tegelijk bedrijfsgegeven en persoonsgegeven is.

Een werkbare vuistregel voor niet-juristen: behandel elk record waarin een mens bij naam staat als persoonsgegeven, en kies voor het kanaal dat het bedrijf zelf publiceert als je de keuze hebt.

Gerechtvaardigd belang, de gebruikelijke grondslag voor B2B-acquisitie

De AVG kent zes grondslagen. Voor koude acquisitie zijn er maar twee realistisch: toestemming, die je per definitie nog niet hebt, en gerechtvaardigd belang.

Overweging 47 zegt dat het verwerken van persoonsgegevens voor direct marketing kan worden beschouwd als een gerechtvaardigd belang. Let op het woord "kan". De Europese toezichthouders hebben duidelijk gemaakt dat direct marketing niet automatisch gerechtvaardigd is en dat je dat moet aantonen, met een toets in drie stappen:

Een echt belang. Iets concreets, actueels en rechtmatigs. "Wij verkopen planningssoftware aan tandartspraktijken en willen praktijken in Lyon bereiken die die nog niet hebben" is een belang. "Wij willen meer leads" niet.
Noodzaak. Kun je hetzelfde bereiken met minder persoonsgegevens? Als een algemene bedrijfsmailbox volstaat, heb je het adres van een met naam genoemde persoon niet nodig.
Een belangenafweging. Wegen de rechten en de redelijke verwachtingen van de persoon zwaarder dan jouw belang? Iemand die op een werkadres wordt benaderd over iets dat echt bij zijn functie past, verwacht dat bericht veel eerder dan een particulier thuis.

Wat de afweging jouw kant op laat vallen, is weinig spectaculair: het aanbod past bij wat het bedrijf doet, je verzamelt het minimum, je maakt eerlijk duidelijk wie je bent, en nee zeggen is gratis en makkelijk. Wat de afweging tegen je laat uitvallen: een gekochte lijst, een verborgen afzender en een afmeldformulier met drie velden.

Schrijf die afweging op vóór de campagne, niet na een klacht. Eén pagina is genoeg. Kun je niet uitleggen waarom een bakker een mail over bakkerijsoftware zou verwachten, dan heb je geen zaak.

De informatieplicht als de gegevens niet van de persoon zelf komen

Artikel 14 gaat precies over de situatie van koude acquisitie: je hebt persoonsgegevens ergens anders vandaan dan bij de persoon zelf, bijvoorbeeld uit een openbare vermelding of van een bedrijfswebsite. Dan ben je die persoon informatie verschuldigd.

De lijst ligt vast: wie je bent en hoe je bereikbaar bent, de doelen en de grondslag, de categorieën gegevens die je hebt, wie ze nog meer ontvangt, hoe lang je ze bewaart, waar je ze vandaan hebt en of die bron openbaar was, en de rechten van de persoon: inzage, rectificatie, verwijdering, beperking, bezwaar en een klacht bij de toezichthouder. Beroep je je op gerechtvaardigd belang, noem dat belang dan.

De timing gaat het vaakst mis. De hoofdregel is een redelijke termijn en uiterlijk één maand nadat je de gegevens hebt gekregen. Maar gebruik je de gegevens om de persoon te benaderen, dan schuift de deadline naar voren, naar het eerste contact. Bij koude e-mail is dat de eerste mail zelf, niet de tweede.

In de praktijk is een korte alinea onderaan het bericht genoeg: wie je bent, waar je het bedrijf hebt gevonden, waarom je schrijft, plus een link naar een privacypagina met de volledige lijst. Artikel 14 kent uitzonderingen, waaronder onevenredige inspanning, maar leun daar bij marketing niet op. Die alinea schrijven is goedkoper dan discussiëren over de uitzondering.

De ePrivacy-laag, en waarom het land de doorslag geeft

Ook met een solide gerechtvaardigd belang valt het versturen zelf onder de spamregels. Die kwamen als Europese richtlijn en niet als verordening, dus elk land schreef een eigen versie, en die versies verschillen echt. Drie schetsen op hoofdlijnen.

Nederland. De spamregels staan in de Telecommunicatiewet en worden gehandhaafd door de ACM, de Autoriteit Consument en Markt. Een hardnekkig misverstand is dat het Nederlandse spamverbod alleen consumenten beschermt. Dat is niet zo: het geldt ook voor bedrijven, dus het uitgangspunt voor berichten aan ondernemingen is toestemming, met smalle uitzonderingen zoals een bestaande klantrelatie. Hoe dan ook moet de afzender duidelijk herkenbaar zijn en heeft elk bericht een snelle en gratis afmeldmogelijkheid nodig.

Duitsland. Het strengste van de drie. E-mailreclame vereist er in beginsel voorafgaande uitdrukkelijke toestemming op grond van het mededingingsrecht, de rechter heeft geen algemene uitzondering gemaakt voor zakelijke ontvangers of algemene bedrijfsmailboxen, en de bewijslast voor toestemming ligt bij de afzender. Behandel Duitsland als een markt waar toestemming voorop staat.

Frankrijk. Het meest werkbaar van de drie voor B2B. Toezichthouder CNIL aanvaardt dat het benaderen van een professional op een zakelijk adres op gerechtvaardigd belang kan rusten, zolang het bericht aansluit bij het werk van die persoon, de afzender herkenbaar is en elk bericht een eenvoudige en gratis manier biedt om bezwaar te maken. Algemene adressen als contact@ of info@ horen bij het bedrijf en niet bij een individu.

Eén onderscheid telt overal: verschillende landen behandelen een eenmanszaak als een consument, omdat een bedrijf van één persoon juridisch een natuurlijke persoon is. Kan je lijst een bv niet van een eenmanszaak onderscheiden, pas dan de strengste regel toe op die regel.

Segmenteer dus op land vóór je verstuurt, niet erna. Waar toestemming feitelijk vereist is, gebruik je eerst een ander kanaal en bewaar je koude e-mail voor de landen met een afmeldregime.

Registers, verwijderverzoeken en de blokkadelijst

Register van verwerkingen. Artikel 30 vraagt verwerkingsverantwoordelijken om een schriftelijk register: doelen, categorieën gegevens en betrokkenen, ontvangers, bewaartermijnen, doorgiften en een algemene beschrijving van je beveiliging. Er is een uitzondering voor organisaties onder 250 medewerkers, maar die vervalt zodra de verwerking structureel is in plaats van incidenteel. Een lopend acquisitieprogramma is per definitie structureel, dus houd het register bij.

Verwijderverzoeken. Als iemand antwoordt "haal me van je lijst", is dat bezwaar. Bij direct marketing is bezwaar absoluut: geen afweging, je stopt. Handel snel, vraag niet naar een reden en vraag niet om een identiteitsbewijs als het verzoek van het betreffende adres komt.

De blokkadelijst. Hier zit de valkuil. Honoreer je "verwijder mij" door het hele record te wissen, dan vind je hetzelfde bedrijf volgend kwartaal opnieuw in je zoekopdracht en mail je het weer. Bewaar het absolute minimum om het adres te herkennen, in een aparte lijst die alleen dient om verzending te blokkeren, en controleer elke campagne daartegen. Dat ene veld is geen schending van het verwijderverzoek, het is hoe je de belofte nakomt.

Wat de regels vragen, en hoe Leadralia dat oplost

Eis	Wat het in de praktijk betekent	Hoe Leadralia het oplost
Een grondslag	Gerechtvaardigd belang, vooraf afgewogen en vastgelegd	Alleen openbare bedrijfsgegevens: de openbare vermelding en de eigen website van het bedrijf, nooit gekochte databases of datahandelaren
Relevantie voor het werk	Het aanbod past bij wat dat bedrijf echt doet	Je zoekt op bedrijfstype en gebied, dus de doelgroep staat vast voordat er één woord is geschreven
Transparantie bij het eerste contact	De informatie uit artikel 14 bereikt de persoon in het eerste bericht	Elk bericht bevat een bronzin van één regel (de gegevens komen uit openbare online bronnen); wie je bent en waarom je schrijft, zet je in je eigen tekst
Een makkelijke manier om nee te zeggen	Een werkende, gratis afmeldmogelijkheid in één stap	Elk bericht zegt: stuur "nee" naar dit adres en er komt niets meer; dat wordt automatisch verwerkt voor elke afzender op Leadralia, en mail naar België bevat daarnaast een afmeldlink
Bezwaar en verwijdering	Een verwijderverzoek snel en zonder voorwaarden uitvoeren	Een selfservice-portaal voor privacyrechten: een bedrijf vraagt om verwijdering en dat gebeurt meteen
Dataminimalisatie	Bewaar wat het doel vraagt, niet meer	Naam, adres, telefoon, website, beoordeling, recensies en één geverifieerd e-mailadres per bedrijf
Juistheid	Blijf geen dode of verkeerde adressen mailen	Elk adres wordt op bezorgbaarheid geverifieerd voordat verzenden mogelijk is, en harde bounces worden onthouden
Geen doorverkoop	De gegevens gaan niet naar anderen	Leadralia verkoopt nooit data, en meet op de eigen site alleen advertenties voor bezoekers die toestemming gaven

Hoe Leadralia dit ingebouwd heeft

Dit is productgedrag, geen belofte op een beleidspagina.

Alleen openbare bedrijfsgegevens. Elk record komt uit wat een bedrijf zelf publiceert: de openbare vermelding en de eigen website. Geen gekochte database, geen datahandelaar, en daarom is de bronregel in je artikel 14-melding kort en waar.

De bron en de uitweg gaan mee met het bericht. Elk bericht eindigt met een bronzin van één regel (de bedrijfsgegevens komen uit openbare online bronnen) en een regel die zegt: stuur "nee" naar dit adres en u ontvangt niets meer. Alles wat op dat adres binnenkomt, wordt automatisch verwerkt, voor elke afzender op Leadralia, en mail naar België bevat daarnaast een afmeldlink. Je kunt dus niet per ongeluk een campagne zonder die twee versturen.

Verificatie vooraf, vastlegging achteraf. Adressen worden op bezorgbaarheid gecontroleerd voordat verzenden mogelijk is, harde bounces worden onthouden, en elke afschrijving en terugbetaling staat in je walletgeschiedenis.

Verwijdering is selfservice en direct. Een bedrijf dat niet in het systeem wil staan, geeft dat aan via een portaal voor privacyrechten op de site, en dat gebeurt meteen. Leadralia verkoopt nooit data en werkt onder de AVG.

Wil je de rest van het product in gewone taal, lees dan wat Leadralia doet.

Checklist voor koude e-mail

Neem deze over en loop hem langs vóór elke campagne.

Leg je afweging van het gerechtvaardigd belang vast: het belang, waarom de gegevens nodig zijn, waarom de ontvanger het bericht zou verwachten.
Controleer de regels voor elk land in de lijst en splits de lijst. Landen waar toestemming voorop staat, krijgen geen koude e-mail.
Markeer de eenmanszaken. Kun je een bv niet van een eenmanszaak onderscheiden, pas dan de strengste regel toe.
Kies het kanaal dat het bedrijf zelf publiceert boven het adres van een met naam genoemde persoon.
Maak het aanbod relevant voor dat type bedrijf. Past hetzelfde bericht bij elke branche, dan redt de belangenafweging het niet.
Zet de artikel 14-melding in het eerste bericht, met een link naar de volledige privacy-informatie.
Geef in elk bericht een gratis, makkelijke manier om nee te zeggen en test die zelf.
Wees eerlijk over wie je bent: echte afzendernaam, echt bedrijf, een antwoordadres dat een mens leest.
Verifieer de adressen, zodat je geen dode mailboxen aanschrijft.
Controleer de campagne tegen je blokkadelijst en voeg elke afmelding dezelfde dag toe.

Veelgestelde vragen

Heb ik toestemming nodig voor koude B2B-e-mail in de EU?

Onder de AVG meestal niet: gerechtvaardigd belang is de normale grondslag voor relevante B2B-acquisitie, mits je de toets in drie stappen kunt onderbouwen en makkelijk afmelden aanbiedt. Onder de nationale spamregels hangt het van het land af. Duitsland vereist feitelijk voorafgaande toestemming, Nederland neemt toestemming ook voor zakelijke ontvangers als uitgangspunt, en Frankrijk accepteert afmelden achteraf bij zakelijke adressen als het bericht bij het werk van de persoon past.

Wat moet er precies in de eerste e-mail staan?

Wie je bent en hoe je bereikbaar bent, waarom je schrijft en op welke grondslag, waar je de contactgegevens vandaan hebt en dat de bron openbaar was, hoe lang je de gegevens bewaart, de rechten van de ontvanger inclusief bezwaar en klacht, en een gratis, makkelijke manier om nee te zeggen die werkt. Een korte alinea plus een link naar een privacypagina dekt dat.

Iemand vraagt om verwijdering. Wis ik het record of bewaar ik het?

Stop meteen met berichten en verwijder het marketingrecord, maar bewaar het minimum om het adres te herkennen op een blokkadelijst. Alleen zo weet je zeker dat je die persoon niet opnieuw benadert nadat je volgende zoekopdracht je gegevens ververst. Noteer het verzoek en de datum.

De kern

Koude B2B-e-mail is in de meeste Europese landen toegestaan en echt nuttig, zolang je het behandelt als een gereguleerde activiteit en niet als een getallenspel. Zorg voor een echt belang, schrijf mensen aan voor wie het relevant is, vertel in het eerste bericht waar je ze gevonden hebt, maak weigeren moeiteloos, respecteer weigeringen voorgoed, en controleer eerst de nationale regels.

Leadralia heeft die stappen in het product gezet: alleen openbare bedrijfsgegevens, een bronzin en een afmelding met een simpel "nee" in elk bericht, verificatie vóór verzending, directe selfservice-verwijdering en geen dataverkoop. Wil je zien hoe een nette lijst van jouw markt eruitziet, doe dan één zoekopdracht gratis. Zonder creditcard.