AVG en direct marketing: regels Nederland 2026

In één zin. Direct marketing in Nederland staat onder dubbel toezicht: AVG (AP) regelt grondslag en data, Telecommunicatiewet (ACM) regelt het kanaal — en sinds de wijziging Tw per 1 juli 2021 geldt strikt opt-in voor telemarketing aan consumenten, waardoor het Bel-me-niet Register zijn rol heeft verloren.

Belangrijkste punten

• Per 1 juli 2021: opt-in vereist voor telemarketing aan consumenten.
• E-mail/SMS marketing: altijd opt-in tenzij bestaande-klant-uitzondering.
• Bel-me-niet Register opgeheven (was opt-out, nu opt-in default).
• Bestaande klanten mogen aangeboden worden voor soortgelijke producten met opt-out.
• ACM-boetes: tot 900 K EUR per overtreding.
• B2B marketing: lichtere regels maar wel AVG.

“De betrokkene heeft te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor direct marketing.” (art. 21 lid 2 AVG)

1. Veelvoorkomende fouten direct marketing

• Cold calling consumenten na 1 juli 2021 zonder opt-in (Tw-overtreding, ACM-boete).
• E-mail aan ingekochte adressen zonder herkomst-toestemming.
• Soft opt-in toegepast op nieuwe productcategorie buiten “soortgelijk”.
• Opt-out alleen via callcenter, niet per e-mail/web.
• Suppressielijst niet gedeeld tussen merken binnen concern.
• Custom Audience-upload zonder informatieplicht aan klanten.
• Retargeting-pixel actief vóór toestemming cookies.
• Bewijs toestemming niet bewaard (consent records ontbreken).

2. Wettelijk kader marketing

• AVG art. 6 (grondslag), art. 21 (bezwaar tegen marketing).
• Tw art. 11.7 (e-mail/SMS) en 11.7a (cookies).
• Tw art. 11.5 (telemarketing).
• Wet handhaving consumentenbescherming (ACM).
• ePrivacy Verordening (in onderhandeling).

2. Telemarketing aan consumenten

Per 1 juli 2021: opt-in vereist (wijziging Tw). Geen aanroep mogelijk zonder voorafgaande toestemming. Bel-me-niet Register is hierdoor de facto vervangen door opt-in default.

Uitzondering: bestaande klantrelatie voor soortgelijke producten. Definitie bestaande klant: heeft eerder gekocht binnen redelijk recente periode (interpretatie ACM: doorgaans 2-5 jaar afhankelijk van product).

Opt-out moet bij elk gesprek geboden worden.

3. Telemarketing B2B

B2B niet onder opt-in regime. Maar:

• Tw art. 11.5 lid 4: rechtspersonen moeten opt-out kunnen registreren (Bel-me-niet Zakelijk Register, opgeheven 2021).
• AVG geldt voor persoonsgegevens contactpersonen (naam, zakelijk telefoon).
• Gerechtvaardigd belang als grondslag, mits proportioneel.
• ACM-handhaving op overlast B2B-bellijsten (2024).

4. E-mail en SMS marketing (Tw 11.7)

Hoofdregel: opt-in toestemming vereist.

Uitzondering bestaande klantrelatie (Tw 11.7 lid 3):

• Gegevens verkregen bij verkoop product/dienst.
• Zelfde soort producten/diensten aanbieden.
• Opt-out aangeboden bij verkrijging EN bij elke marketing-uiting.
• Geen toestemming nodig, wel opt-out elke keer.

Toepassing: nieuwsbrief naar klanten OK met opt-out; naar leads alleen met opt-in.

5. Postmailing en folders

Geen specifieke Tw-regel — alleen AVG. Grondslag: gerechtvaardigd belang. Opt-out via:

• Sticker “Nee-Ja” / “Nee-Nee” (geen wettelijke status, wel gangbaar).
• Postfilter (postfilter.nl, freemkb).
• Eigen unsubscribe in brieven.

Adresgegevens uit publieke bronnen of bestaande relatie. Geen aankoop van adressen bij ongereguleerde lijstaanbieders.

6. Double opt-in best practice

Voor e-mail nieuwsbrief:

1. Inschrijfformulier (geen voorgevinkte vakjes).
2. Bevestigings-e-mail naar adres.
3. Klik op bevestigingslink = double opt-in.

Bewaar bewijs: tijdstip, IP, formuliertekst, bevestiging timestamp. Bij ACM- of AP-controle: bewijslast op verzender.

Voor webshops komen al deze kanalen samen met cookies en retargeting — zie de AVG-gids voor e-commerce en webshops.

7. Lijsten en data-aankoop

Aankoop adressen van datamakelaars is hoog risico:

• Herkomst-toestemming onmogelijk te verifiëren.
• De Autoriteit Persoonsgegevens heeft datahandel als handhavingsprioriteit 2026.
• Verwerkingsverantwoordelijke = aankoper, dus zelf grondslagrisico.
• Beste praktijk: vermijden tenzij solide herkomst.

Adressen uit KvK voor zakelijke mailing: technisch toegestaan maar AP en ACM kritisch op kwaliteit + opt-out.

8. Profilering en gepersonaliseerde marketing

Personalisatie op gedrag, locatie, interesses:

• Toestemming voor tracking (cookies, pixels) — zie de eisen in de gids AVG-toestemming voor cookies.
• Gerechtvaardigd belang voor segmentatie eigen klantbestand.
• Bij geautomatiseerde beslissingen met effect (kortingsalgoritme): art. 22-waarborgen.
• DPIA bij grootschalige profilering.

9. Social media advertenties

• Eigen lijst uploaden (Custom Audience): doorgifte gegevens aan Facebook/Google. DPA + grondslag transparantie noodzakelijk.
• Lookalike audiences: derivatie op basis Custom Audience. Toestemming Custom Audience moet dit dekken.
• Retargeting via pixel: cookies-toestemming bezoekers.
• Doorgifte VS: Facebook/Google DPF-gecertificeerd, grondslag aanwezig sinds juli 2023.

Gezamenlijk verantwoordelijke (art. 26) tussen adverteerder en platform (HvJ EU Fashion ID 2019).

10. Recht op bezwaar (art. 21)

Betrokkene kan altijd bezwaar maken tegen marketing — onvoorwaardelijk en zonder verklaring (art. 21 lid 2-3). Bij bezwaar onmiddellijk stoppen, registreren in suppressielijst (permanent). Suppressielijst bevat e-mailadres, telefoonnummer, postadres en uitsluit-datum. Vraagt de betrokkene daarnaast om volledige verwijdering van zijn gegevens, dan geldt het recht op vergetelheid van artikel 17.

11. ePrivacy Verordening: toekomstig kader

De ePrivacy Verordening (in onderhandeling sinds 2017) moet ePrivacy-richtlijn 2002/58 vervangen. Verwachte impact op marketing:

• Strikter consent voor tracking technologieën buiten cookies (fingerprinting, beacons).
• Soft opt-in voor e-mail bestaande klanten blijft, mogelijk strikter omschreven.
• Telemarketing-regels geharmoniseerd EU-breed.
• Cookies-vrijstelling voor strikt technische analytics mogelijk.

Politieke status 2026: vastgelopen in trialoog. Verwacht 2027-2028 voor finaal compromis. Tot dan blijft Tw + AVG het kader voor Nederland.

12. Sancties marketingovertredingen

ACM-boetes 2024-2025: 8 grote boetes voor telemarketing zonder opt-in (varieerden 250-750 K EUR).

12. ACM-handhavingscases marketing

13. Tools en automatisering marketing-AVG

14. Compliance-checklist marketing

1. Inventariseer kanalen en lijsten.
2. Documenteer grondslag per kanaal/segment.
3. Implementeer opt-in workflows (double opt-in).
4. Suppressielijst (permanent niet-benaderen).
5. Opt-out in elke uiting.
6. Bewaar bewijs toestemming.
7. DPIA bij grootschalige profilering.
8. DPA met marketing-tools (Mailchimp, HubSpot etc).
9. Periodieke schoning lijst (inactieven uitschrijven).
10. Training marketingteam.

FAQ

Mag ik mijn klanten zonder toestemming bellen?

Nee, sinds 1 juli 2021. Telemarketing aan consumenten vereist opt-in toestemming. Uitzondering bestaande klantrelatie geldt niet voor telefonie. Voor zakelijke nummers (B2B) lichter regime maar wel zorgvuldigheid.

Mag ik nieuwsbrief sturen aan klanten?

Ja, op grond van Tw 11.7 lid 3 (bestaande klant + soortgelijk product + opt-out elke keer). Geen aparte toestemming nodig. Voor nieuwe leads of cross-sell andere productcategorie: wel opt-in.

Wat is double opt-in?

Bezoeker schrijft zich in (eerste opt-in), ontvangt bevestigings-e-mail, klikt op bevestigingslink (tweede opt-in). Bewijst echte toewijding en geldigheid e-mailadres. Standaard best practice voor nieuwsbrieven.

Mag ik adressen kopen voor mailing?

Risicovol. Herkomst-toestemming vaak niet aantoonbaar. AP heeft datahandel als handhavingsprioriteit 2026 benoemd. Beter eigen lijstopbouw via opt-in formulieren, content marketing, events.

Wat is een suppressielijst?

Permanente uitsluitlijst van personen die bezwaar maakten of zich uitschreven. Houd e-mailadres, telefoon, postadres + datum bij. Voorkom dat nieuwe lijsten weer dezelfde personen aanschrijven — AVG-overtreding bij hercontact.

Mag ik retargeting via Facebook Pixel gebruiken?

Ja, mits volledige toestemming bezoekers voor pixel-cookies (Tw 11.7a). DPA met Meta (Facebook is verantwoordelijke voor eigen verwerking + gezamenlijk verantwoordelijke voor Custom Audience-functies — Fashion ID-arrest HvJ EU 2019). Doorgifte VS: Meta is DPF-gecertificeerd sinds 2023. CMP moet bij weigering daadwerkelijk geen pixel laden.

Wat is een Custom Audience?

Eigen klantlijst uploaden naar Facebook/Google voor gerichte advertenties. Doorgifte gegevens aan platform. Vereisten: toestemming klanten voor deze deling (informeer in privacyverklaring), DPA met platform, opt-out respecteren. Lookalike audiences (algoritmische derivatie) bouwen voort op Custom Audience — zelfde toestemming nodig.

Welke gegevens mag ik bewaren in mijn marketinglijst?

E-mailadres + voornaam minimaal. Aanvullend: aankoophistorie, segmentatie-tags, opt-in datum/IP, opt-out datum. Geen bijzondere gegevens (gezondheid, religie) zonder uitdrukkelijke art. 9-grondslag. Bewaartermijn: tot opt-out (suppressielijst permanent). Inactieve leden (>2 jaar geen interactie) heroverwegen.

Zie ook: AVG in de detailhandel, AVG voor verenigingen en stichtingen en AVG voor zzp’ers.