AVG-proof klanttevredenheidsonderzoek opzetten in Nederland

Stap 1: De juiste rechtsgrond kiezen

Voordat je ook maar één enquêtevraag schrijft, moet je weten op welke AVG-grondslag je de verwerking baseert. Voor commerciële B2B-klantonderzoeken zijn er twee realistische opties: gerechtvaardigd belang (artikel 6 lid 1 sub f) of toestemming (artikel 6 lid 1 sub a). De keuze bepaalt hoe je de rest van je onderzoek inricht.

Wanneer volstaat gerechtvaardigd belang?

Gerechtvaardigd belang is de meest gebruikte grondslag voor commerciële klanttevredenheidsonderzoeken. Je kunt hierop steunen als je aan drie voorwaarden voldoet: je hebt een legitiem en concreet belang, de verwerking is noodzakelijk om dat belang te bereiken, en de privacybelangen van de klant wegen na een zorgvuldige afweging niet zwaarder. In de praktijk betekent dit dat je als B2B-bedrijf je klanten een NPS- of CSAT-enquête kunt sturen op basis van gerechtvaardigd belang, zolang het doel beperkt blijft tot het verbeteren van je eigen dienstverlening.

Een concreet voorbeeld: je verwerkt het e-mailadres en de antwoorden van een bestaande klant om je servicekwaliteit te meten. Die klant kon dit redelijkerwijs verwachten, de verwerking is minimaal en het doel is helder. Dat voldoet aan de driestappentoets. Leg de belangenafweging altijd schriftelijk vast in een Legitimate Interest Assessment (LIA), want de Autoriteit Persoonsgegevens kan ernaar vragen.

Wanneer is toestemming verplicht?

Toestemming is nodig wanneer gerechtvaardigd belang niet haalbaar is: als je bijzondere persoonsgegevens verwerkt (zoals gezondheidsdata), als je de antwoorden wilt hergebruiken voor andere doeleinden, of als je mensen benadert die geen klant zijn. Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Gebruik een duidelijk aanvinkvakje in de uitnodigingsmail en zorg dat het vakje nooit vooraf is aangevinkt.

Stap 2: Privacyinformatie opstellen voor je klanten

Zodra je de rechtsgrond hebt bepaald, vertaal je die naar begrijpelijke informatie voor je klanten. Dit is geen juridische bijlage die niemand leest, maar een korte, duidelijke tekst die bij elke uitnodiging hoort. De AVG verplicht je om betrokkenen actief te informeren, en dat geldt ook bij klanttevredenheidsonderzoeken.

Je privacyverklaring of deelnemersinformatie moet minimaal de volgende elementen bevatten:

• Naam en contactgegevens van de verwerkingsverantwoordelijke
• Doel van het onderzoek en de rechtsgrond
• Welke persoonsgegevens worden verwerkt
• Ontvangers van de data, zoals de enquêtetool of een onderzoeksbureau
• Bewaartermijn of de criteria waarmee die wordt bepaald
• Rechten van betrokkenen: inzage, bezwaar en verwijdering, en hoe die uit te oefenen
• Of deelname vrijwillig is
• Contactgegevens van de functionaris gegevensbescherming (FG), indien aangesteld
• Of er sprake is van geautomatiseerde besluitvorming of profilering, en zo ja: welke logica daarbij wordt gehanteerd

Hoe communiceer je dit in de uitnodigingsmail?

Je hoeft niet de volledige privacyverklaring in de uitnodigingsmail op te nemen. Verwijs in de mail naar een aparte privacypagina en vermeld minimaal het doel van het onderzoek, de bewaartermijn en een contactpersoon voor vragen. Schrijf op B1-taalniveau en vermijd AVG-jargon richting de ontvanger. 'Wij verwerken uw gegevens op grond van artikel 6 lid 1 sub f' begrijpt niemand; 'Uw antwoorden bewaren we maximaal 12 maanden om onze service te verbeteren' is veel duidelijker.

Stap 3: AVG-compliant tool kiezen en verwerkersafspraken vastleggen

Tools die data standaard naar servers in de VS sturen zonder passende grondslag, zijn in strijd met de AVG.

De keuze van je enquêtetool is een AVG-beslissing. Elke tool die persoonsgegevens verwerkt namens jou, is een verwerker in de zin van de AVG. Jij bent als verwerkingsverantwoordelijke verplicht een verwerkersovereenkomst te sluiten, en die mag je niet overslaan.

Let bij de keuze van een enquêteplatform op deze punten:

• Data-opslag binnen de Europese Economische Ruimte
• Een duidelijk doorgiftemechanisme bij eventuele subverwerkers buiten de EER (standaardcontractbepalingen)
• Technische beveiligingsmaatregelen zoals versleuteling en toegangsbeperking
• De mogelijkheid om gegevens te verwijderen of te exporteren bij beëindiging van de dienst

Verwerkersovereenkomst: de essentiële onderdelen

Op grond van artikel 28 AVG moet de verwerkersovereenkomst minimaal het volgende regelen:

• Onderwerp, duur en doel van de verwerking
• De instructie dat de verwerker alleen handelt op jouw schriftelijke opdracht
• Geheimhoudingsverplichting voor het personeel van de verwerker
• Concrete beveiligingsmaatregelen
• Regels voor subverwerkers, inclusief het schriftelijk toestemmingsvereiste
• Meldplicht bij datalekken
• Teruggave of verwijdering van data na afloop van de dienstverlening

Feedback Analytics: AVG-klaar voor Nederlandse B2B-teams

Feedback Analytics is ontworpen voor Europese B2B-teams en levert een verwerkersovereenkomst die aansluit op de vereisten van artikel 28 AVG. Data wordt opgeslagen binnen de EU en subverwerkers zijn AVG-conform geregeld. De setup, inclusief alle privacywaarborgen, is in enkele minuten afgerond, ook zonder technische achtergrond. Het platform ondersteunt daarnaast eigen domeinverzending via SPF/DKIM, zodat ook de e-mailbezorging van je uitnodigingen professioneel en consistent verloopt.

Stap 4: Technische maatregelen: beveiliging, minimalisatie en bewaring

Naast de contractuele kant zijn er technische maatregelen die de AVG van jou als verwerkingsverantwoordelijke vereist. Dit zijn geen optionele verbeteringen; het zijn basisvereisten op grond van artikel 32 AVG. De wet schrijft geen specifieke tools voor, maar eist wel passende maatregelen die zijn afgestemd op het risico van je verwerking.

Gegevensminimalisatie en pseudonimisering in de praktijk

Vraag in je enquête alleen wat je écht nodig hebt voor het onderzoeksdoel. Naam en e-mailadres heb je nodig voor follow-up, maar niet voor de analyse van antwoorden. Gebruik pseudonimisering door responsen te koppelen aan een intern respondent-ID in plaats van direct aan klantgegevens. Gepseudonimiseerde data blijft onder de AVG vallen zolang herleiding naar een persoon mogelijk is, maar het verlaagt het risico aanzienlijk bij een eventueel datalek.

Zodra follow-up niet meer nodig is, anonimiseer je de data. Na anonimisering valt die buiten de AVG-scope. Schakel ook IP-adresregistratie uit als je tool dat standaard bijhoudt en je het IP-adres niet nodig hebt.

Bewaartermijnen vastleggen en naleven

Er is geen wettelijke vaste termijn voor klanttevredenheidsdata; je stelt die zelf vast op basis van je doel. Een gangbare aanpak voor B2B-teams is ruwe antwoorden verwijderen na 12 tot 24 maanden en geanonimiseerde trenddata langer bewaren voor benchmarking. Dit is een praktijkvoorbeeld, geen wettelijke norm; onderbouw je gekozen termijn in je LIA en verwerkingsregister.

Documenteer de termijn in je verwerkingsregister en stel automatische verwijdering of een herinneringsnotificatie in via je tool of CRM. Zonder gedocumenteerde termijn loop je risico bij een controle van de Autoriteit Persoonsgegevens.

Stap 5: Wanneer is een DPIA verplicht voor je klantonderzoek?

Voor de meeste standaard B2B-klanttevredenheidsonderzoeken is een DPIA (Data Protection Impact Assessment) niet verplicht. In specifieke gevallen is een DPIA echter wel degelijk vereist, en het niet uitvoeren ervan is een serieus nalevingsrisico dat kan leiden tot boetes of handhaving.

De criteria die een DPIA activeren

Een DPIA is verplicht als de verwerking waarschijnlijk een hoog risico oplevert voor betrokkenen. De Europese privacytoezichthouders (EDPB) hebben in hun richtlijnen negen risicocriteria vastgesteld, waaronder grootschalige verwerking, verwerking van bijzondere persoonsgegevens zoals gezondheidsdata, systematische monitoring of profilering, en verwerking van gegevens over kwetsbare groepen. Als je verwerking aan twee of meer van deze criteria voldoet, is een DPIA in de regel verplicht.

De praktische vuistregel voor B2B: een regulier NPS- of CSAT-onderzoek onder bestaande zakelijke klanten activeert normaal gesproken geen DPIA.

Wat een geldige DPIA moet bevatten

Als een DPIA wél nodig is, moet die minimaal vier elementen bevatten: een beschrijving van de verwerking (welke data, welke methode, welk doel), een onderbouwing van de noodzaak en proportionaliteit, een risico-inschatting voor betrokkenen, en de maatregelen die je neemt om die risico's te beperken. Als de risico's hoog blijven ondanks je maatregelen, is voorafgaande raadpleging bij de Autoriteit Persoonsgegevens verplicht voordat je met de verwerking start.

Praktische checklist: zo start je AVG-compliant

Je hebt nu de vijf bouwstenen voor een AVG-conform klantonderzoek. Hier zijn ze in de volgorde die je moet aanhouden:

• Bepaal de rechtsgrond en leg de belangenafweging schriftelijk vast in een LIA als je kiest voor gerechtvaardigd belang.
• Stel privacyinformatie op en verwerk die in je uitnodigingsmail, met een link naar je volledige privacyverklaring.
• Kies een AVG-compliant tool met EU-dataopslag en sluit een verwerkersovereenkomst die voldoet aan artikel 28 AVG.
• Pas technische maatregelen toe: minimaliseer de data die je verzamelt, pas pseudonimisering toe en stel bewaartermijnen in met automatische verwijdering.
• Beoordeel of een DPIA nodig is en documenteer je conclusie, ook als die is dat een DPIA niet verplicht is.

Van compliance-zorg naar eerste meting

Wie direct wil starten zonder de compliance zelf op te bouwen, kiest voor een platform dat al deze vereisten standaard inbouwt. Feedback Analytics combineert enquêtebouw, slimme vraaglogica, geautomatiseerde opvolgflows en realtime analyses in één AVG-conform platform, inclusief verwerkersovereenkomst en EU-dataopslag.

Zo beantwoord je de vraag hoe je een AVG-compliant klanttevredenheidsonderzoek uitvoert niet alleen in theorie, maar ook in de praktijk. Met de vijf stappen uit dit artikel zet je je eerste AVG-conform klantonderzoek op zonder maanden juridisch overleg.