AVG voor garages: herinneringen, bewaren en foto's

Als garage verwerk je elke dag persoonsgegevens. Namen, telefoonnummers, adressen, kentekens en werkorders. Daarvoor geldt de AVG (Algemene verordening gegevensbescherming). De toezichthouder is de AP (Autoriteit Persoonsgegevens).

Je hebt altijd een grondslag nodig

De AVG noemt zes 'grondslagen': redenen waarom je gegevens mag gebruiken. Voor een garage zijn er drie belangrijk:

• Overeenkomst. Je hebt naam, telefoonnummer en kenteken nodig om de reparatie te doen en de factuur te sturen. Een bericht "je auto is klaar" valt hieronder.
• Wettelijke plicht. Je moet facturen 7 jaar bewaren voor de Belastingdienst.
• Gerechtvaardigd belang. Je hebt een eigen, redelijk belang, en de privacy van de klant weegt niet zwaarder.

Daarnaast is er toestemming. Die moet vrij, duidelijk en aantoonbaar zijn. De AP zegt: je kiest zelf de grondslag, en je moet kunnen uitleggen waarom.

Mag je een APK-herinnering sturen?

Een APK-herinnering (Algemene Periodieke Keuring) aan een vaste klant is gebruikelijk. Veel garages baseren die op gerechtvaardigd belang. Het Europese Hof van Justitie besliste op 4 oktober 2024 (de zaak van de tennisbond KNLTB) dat ook een commercieel belang een gerechtvaardigd belang kan zijn. Maar alleen als het gebruik echt nodig is en de klant het redelijkerwijs kan verwachten. Of een APK-herinnering daar altijd onder valt, is niet zwart-wit. Leg je afweging vast.

Stuur je de herinnering per e-mail, sms of app? Dan geldt ook de Telecommunicatiewet (artikel 11.7). Voor reclame via zulke kanalen heb je in principe toestemming nodig. Er is één uitzondering: bestaande klanten mag je zonder toestemming benaderen met aanbiedingen voor je eigen, vergelijkbare producten of diensten. Daarbij moet je:

• de klant bij het verzamelen van zijn gegevens de kans geven om nee te zeggen;
• in elk bericht een gratis en makkelijke manier geven om zich af te melden;
• stoppen zodra iemand bezwaar maakt.

Een bestaande klant is iemand die iets bij je heeft gekocht of een dienst heeft afgenomen. Wie zich alleen aanmeldde voor een nieuwsbrief of meedeed aan een prijsvraag, is volgens de AP geen klant.

Marketing: toestemming per doel

Een winteractie voor banden of een nieuwsbrief naar mensen die nog nooit klant waren? Dan heb je vooraf toestemming nodig. Vraag die apart, niet weggestopt in de algemene voorwaarden. Leg vast wanneer en hoe iemand toestemming gaf.

Hoe lang bewaar je klantgegevens?

De AVG noemt geen vaste termijn. Je bewaart gegevens niet langer dan nodig voor je doel. Kies per doel een termijn en zet die in je privacyverklaring. Is de termijn voorbij, dan verwijder of anonimiseer je de gegevens.

Gaat een andere wet voor, dan houd je je aan die wet. Facturen en je administratie bewaar je bijvoorbeeld 7 jaar voor de Belastingdienst. Vraagt een klant om verwijdering, dan blijven die fiscale stukken dus bestaan.

Foto's van auto's en kentekens

Een kenteken is te koppelen aan een eigenaar via het register van de RDW (Rijksdienst voor het Wegverkeer). Daarom geldt het in veel gevallen als een indirect persoonsgegeven. Dat betekent:

• Foto's in de werkorder (schade bij binnenkomst, een versleten remschijf) zijn prima. Ze horen bij de opdracht. Bewaar ze niet langer dan nodig.
• Foto's op social media of je website zijn reclame. Maak het kenteken onherkenbaar of vraag de klant vooraf om toestemming. Dat geldt zeker als de klant of een huis herkenbaar in beeld is.

Je softwareleverancier

Je garage is verantwoordelijk voor de gegevens (verwerkingsverantwoordelijke). Een softwareleverancier die gegevens voor jou opslaat, is verwerker. Daarvoor sluit je een verwerkersovereenkomst.

Hoe Brugwacht helpt

Brugwacht legt toestemmingen vast per doel en per kanaal. Een servicebericht, een APK-herinnering en een marketingbericht zijn aparte keuzes. APK-herinneringen gaan 8, 4 en 1 week voor de vervaldatum, en stille uren worden gerespecteerd. Bewaartermijnen stel je per categorie in, bijvoorbeeld foto's en berichten standaard 2 jaar en financiële gegevens 7 jaar. Bij een inzage- of verwijderverzoek maak je zelf een export of anonimiseer je de klant. Brugwacht controleert daarbij de fiscale bewaarplicht. De verwerkersovereenkomst accepteer je in de app. De gegevens staan in de EU.