GDPR en WhatsApp-berichten versturen — wat mag wel en niet?

"Mogen wij onze klanten eigenlijk WhatsAppen?" — het is de vraag die elke zaakvoerder zich vroeg of laat stelt. Het korte antwoord: ja, mits je drie dingen op orde hebt: een rechtsgrond (meestal opt-in), een verwerkersovereenkomst met je provider, en zicht op waar de data staat.

Disclaimer: dit artikel is algemene informatie, geen juridisch advies voor jouw specifieke situatie.

1. Rechtsgrond: opt-in is de veilige route

Voor transactionele berichten — een boekingsbevestiging, een factuur, een afspraakherinnering — kan je vaak steunen op de uitvoering van de overeenkomst: de klant boekte iets, dus verwacht die communicatie. Vraag bij het verzamelen van het telefoonnummer wél expliciet of WhatsApp oké is.

Voor marketing ligt de lat hoger: daar heb je actieve toestemming nodig (opt-in), en die moet je kunnen aantonen. Een vooraf aangevinkt vakje telt niet.

In beide gevallen geldt: opt-out moet altijd werken. Antwoordt iemand "STOP", dan stopt het. TextMeFlow verwerkt STOP-berichten automatisch en blokkeert verdere verzending naar dat nummer.

2. Verwerkersovereenkomst (DPA)

Zodra een provider namens jou telefoonnummers en berichtmetadata verwerkt, is die provider een verwerker onder artikel 28 GDPR — en dan is een DPA verplicht. Niet optioneel, niet "voor de grote bedrijven": verplicht.

Vraag je huidige WhatsApp-provider dus om zijn DPA. Krijg je geen duidelijk antwoord, dan heb je je antwoord. Bij TextMeFlow wordt de DPA automatisch geactiveerd bij elk betaald plan.

3. Waar staat de data?

De GDPR vraagt dat je weet waar persoonsgegevens verwerkt worden en dat doorgifte buiten de EU correct geregeld is. Veel WhatsApp-tools draaien op Amerikaanse servers zonder dat dat ergens duidelijk vermeld staat.

TextMeFlow verwerkt alles op EU-infrastructuur (Parijs, Frankrijk), zonder replicatie buiten de EU. Berichtinhoud loggen we niet; metadata bewaren we 90 dagen voor debugging en facturatie en anonimiseren we daarna. De details staan in ons privacybeleid.

De praktische checklist

1. ✅ Vraag toestemming voor WhatsApp-communicatie bij het verzamelen van het nummer
2. ✅ Log wanneer en hoe die toestemming gegeven werd
3. ✅ Verwerk elke opt-out onmiddellijk en automatisch
4. ✅ Teken een DPA met je provider
5. ✅ Controleer waar je provider de data host
6. ✅ Vermeld het WhatsApp-kanaal in je eigen privacyverklaring
7. ✅ Stuur enkel wat de ontvanger redelijkerwijs verwacht

Wie deze zeven punten kan afvinken, staat juridisch een stuk sterker dan de gemiddelde nieuwsbriefverzender.

Aan de slag

TextMeFlow is gebouwd om deze checklist makkelijk te maken: opt-in-tracking, automatische STOP-verwerking, EU-hosting en een DPA inbegrepen. Probeer het gratis — 50 berichten per maand, voor altijd.