Hoelang mag je klantgegevens bewaren? AVG en fiscale bewaarplicht naast elkaar

Je houdt ergens een lijst met klanten bij. Naam, adres, e-mailadres, misschien een telefoonnummer en een notitie over wat ze ooit hebben gekocht. Die lijst staat in je boekhoudpakket, in een CRM, in een Excel-bestand naast de administratie, of in alle drie.

Voor die lijst gelden twee regelingen die niets met elkaar te maken hebben, maar wel allebei bepalen wat je ermee mag doen. De Algemene verordening gegevensbescherming (AVG) zegt dat je persoonsgegevens niet langer mag bewaren dan nodig is voor het doel waarvoor je ze verzamelde. De fiscale bewaarplicht zegt dat je je administratie, inclusief de klantgegevens die daarin staan, minimaal zeven jaar moet bewaren.

Die twee regelingen botsen niet zozeer als dat ze langs elkaar heen lopen: de ene zet een bovengrens (niet te lang), de andere een ondergrens (niet te kort). Het probleem is dat bijna geen ondernemer dat onderscheid maakt in zijn systemen. Alles staat op één hoop, en die hoop wordt nooit opgeruimd.

Hoe groot dat risico is, liet de aanval op telecomprovider Odido begin 2026 zien. Hackers publiceerden gegevens van 6,5 miljoen mensen en 600.000 bedrijven, en honderden van de gedupeerden waren al jaren geen klant meer. De Autoriteit Persoonsgegevens (AP) onderzoekt nu of Odido die gegevens langer bewaarde dan nodig was. Vicevoorzitter Monique Verdier vatte het principe erachter kernachtig samen:

"Wat er niet is, kan ook niet worden gestolen."

De AVG noemt dit het beginsel van opslagbeperking. Overweging 39 bij de verordening stelt dat organisaties ervoor moeten zorgen dat de opslagperiode van persoonsgegevens tot een strikt minimum wordt beperkt, en dat je als bedrijf zelf termijnen moet vaststellen voor het wissen van gegevens of voor periodieke toetsing daarvan.

Er staat geen getal in de wet. Geen 'twee jaar' of 'vijf jaar' dat voor iedereen geldt. In plaats daarvan moet jij het doel van de verwerking bepalen, en daar een termijn aan koppelen die je kunt uitleggen. Verkoop je iets aan een klant, dan heb je die gegevens nodig zolang de overeenkomst loopt en zolang je er nog iets mee moet, zoals garantie of nazorg. Stuur je iemand een nieuwsbrief, dan heb je die gegevens nodig zolang hij abonnee is, of tot hij zich uitschrijft.

'Voor het geval dat we nog eens iets aan deze klant willen verkopen' is geen geldig doel. Dat criterium komt steeds terug: bewaren omdat het misschien nog van pas komt, is precies het soort bewaren dat de AVG wil voorkomen.

Dit betekent niet dat je alles na een jaar moet wissen. Het betekent dat je per categorie gegevens een keuze moet maken en die moet kunnen onderbouwen, bijvoorbeeld in je verwerkingsregister. Artikel 30 van de AVG vraagt daar expliciet naar: de beoogde bewaartermijn per categorie van gegevens.

Tegenover de AVG staat de fiscale bewaarplicht, en die regeling werkt precies omgekeerd: hij verplicht je om te bewaren, niet om te wissen.

Volgens Ondernemersplein, het overheidsloket voor ondernemers, moet je de basisgegevens van je administratie minimaal zeven jaar bewaren. Daaronder valt onder meer je debiteuren- en crediteurenadministratie en je in- en verkoopadministratie, met andere woorden: de facturen waarop klantnamen, adressen en bedragen staan. Voor gegevens over onroerende zaken, zoals een bedrijfspand, geldt een termijn van tien jaar.

Deze termijn geldt voor een factuur, niet voor een klant. Zodra je iets aan iemand verkoopt en daar een factuur voor stuurt, moet die factuur zeven jaar in je administratie blijven staan, inclusief de klantgegevens die erop staan. Dat geldt ook als de klant na die ene aankoop nooit meer iets bij je bestelt.

Belangrijk: waar een wettelijke bewaarplicht geldt, gaat die voor op de algemene regel uit de AVG dat je niet langer mag bewaren dan nodig. Je mag een factuur dus niet vroegtijdig verwijderen omdat een klant daarom vraagt, of omdat je eigen bewaarbeleid een kortere termijn noemt. De fiscale plicht is dwingender dan je eigen beleid.

In de praktijk loop je met één klant vaak door drie verschillende situaties.

• Een factuur die je hebt verstuurd. Valt onder de fiscale bewaarplicht. Zeven jaar vast, ook als de AVG eerder zou willen dat je opruimt.
• Een offerte die nooit tot een opdracht heeft geleid. Daarvan is geen factuur, dus geen fiscale bewaarplicht. Hier geldt de AVG onverkort: zodra het doel (deze offerte beoordelen, dit contact onderhouden) is vervallen, hanteer je een eigen, onderbouwde termijn die logischerwijs korter is dan zeven jaar.
• Een e-mailadres in je nieuwsbrieflijst van iemand die al drie jaar niets heeft geopend of aangeklikt. Geen factuur, geen fiscale plicht, en het doel (deze persoon iets sturen dat hij leest) is twijfelachtig geworden. Dit is precies het type gegevens waar de AP bij Odido naar kijkt: data van mensen die allang geen klant meer zijn.

De fout die de meeste bedrijven maken, is dat ze deze drie categorieën niet uit elkaar houden. Eén CRM-export, één Excel-tab, één aanname: 'we bewaren alles zeven jaar, dat is toch de regel'. Dat is geen juridisch correcte keuze. Het is een AVG-overtreding die toevallig op dezelfde plek staat als een correcte fiscale bewaarplicht.

Dit onderscheid maken hoeft geen project van een hele dag te worden. Het komt neer op drie stappen die je één keer uitvoert en daarna periodiek herhaalt.

Eerst: knip je klantenbestand in categorieën die aansluiten op het doel. Facturen en de administratie daaromheen horen in je boekhoudpakket en blijven daar staan; de fiscale termijn regelt dat al voor je, je hoeft er niets aan te doen. Offertes, leads en nieuwsbriefabonnees horen in een apart systeem of onder een apart label, met een eigen, kortere termijn die je zelf vaststelt en opschrijft.

Daarna: kies een concrete, dateerbare trigger voor opschoning in plaats van 'na een tijdje'. Bijvoorbeeld: twaalf maanden na de laatste activiteit zonder dat er een transactie volgde, voor leads die niets zijn geworden. Of: direct na uitschrijving, plus de tijd die nodig is om dat te verwerken, voor een nieuwsbrief. Dit zijn voorbeelden van een eigen, onderbouwde keuze, geen wettelijke norm — de AVG laat het doel bepalen, maar vraagt wel dat je die keuze kunt uitleggen en vastleggen.

Pas daarna is het de moeite waard om te kijken of je dit automatisch wilt laten signaleren, bijvoorbeeld met een filter of rapport in je CRM dat laat zien welke records de grens naderen. Bij een paar honderd klanten kom je met een kwartaalcheck in een spreadsheet een heel eind; bij een paar duizend leads wordt dat foutgevoelig en kost het iemand elk kwartaal een middag. Dan loont het om het systeem dit voor je te laten bijhouden in plaats van er zelf doorheen te scrollen. Bij een klein, overzichtelijk klantenbestand is die moeite vaak niet nodig: een jaarlijkse blik in één tabblad is dan voldoende.

Wat niet werkt, is wachten tot een datalek je dwingt om uit te zoeken wie er nog in je bestand staat. Dat is wat Odido nu moet doen, onder toezicht van de AP.