WhatsApp en de AVG in je sportschool: wanneer toestemming?

Deel wat je sportschool verstuurt in drie groepen in. Alleen voor de derde heb je vooraf toestemming nodig.

1. Antwoorden. Iemand stuurt je een bericht en jij antwoordt. Lisa Jansen vraagt of er nog plek is in de les van dinsdagavond, en jij laat het haar weten.
2. Berichten over het lidmaatschap. Boekingsbevestigingen, een les die verschuift, een herinnering aan een geboekte les, een vraag over een mislukte betaling.
3. Aanbiedingen. Alles wat verkoopt: een tienrittenkaart, een blok personal training, zomerkorting, een evenement met een prijs.

Het doel beslist. De ACM, die toezicht houdt op de spamregel, omschrijft spam als een e-mail, sms of appbericht dat reclame maakt en zonder toestemming is verstuurd.

In Nederland verbiedt de Telecommunicatiewet, artikel 11.7, eerste lid reclame via elektronische berichten zonder voorafgaande toestemming. De ACM zegt duidelijk dat dit ook voor WhatsApp geldt: "Voorkom spam als u reclame maakt via e-mail, whatsappjes of andere elektronische berichten".

Eén uitzondering past goed bij sportscholen. Volgens de AP hoef je geen toestemming te vragen als je bestaande klanten benadert met aanbiedingen voor je eigen, gelijksoortige producten.

Voor een sportschool kan dat gaan om een rittenkaart, een PT-blok of een upgrade die je een huidig lid aanbiedt. Dat geldt alleen als:

• Het om een klant gaat. Diegene kocht bij je een lidmaatschap, een rittenkaart of een andere dienst.
• Het aanbod over je eigen, vergelijkbare dienst gaat. Een product van een partner telt niet. Of een aanbod "vergelijkbaar" is, blijft een inschatting.
• Diegene vanaf het begin, en in elk bericht, nee kon zeggen. De wet vraagt om een kosteloze, eenvoudige manier om bezwaar te maken op het moment dat je het nummer verzamelt, en opnieuw in elke aanbieding (art. 11.7 lid 4). Voor nummers die vóór 1 juli 2021 zijn verzameld, vervalt door een overgangsregel het deel bij het verzamelen (art. 20.7); de manier om in elke aanbieding nee te zeggen blijft gelden.

Elke aanbieding, aan wie dan ook, moet ook de echte afzender noemen (de naam van je sportschool, geen schuilnaam) en een werkende manier geven om af te melden, zegt de ACM.

Ja, over waar de lead om vroeg, als die heeft ingestemd met berichten van je sportschool. Boekt Lisa Jansen een gratis proefles op je website, dan beantwoord je haar eigen vraag als je haar laat weten hoe laat ze verwacht wordt en wat ze mee moet nemen.

Aanbiedingen zijn iets anders. Volgens de AP is iemand die zich alleen aanmeldde voor een nieuwsbrief, een enquête invulde of meedeed aan een prijsvraag geen bestaande klant. Een lead van een gratis proeflesformulier is dat waarschijnlijk ook niet. Een lead komt dus niet zonder ja op je lijst voor aanbiedingen: vraag erom op het formulier. Een betaalde proefles is een grijs gebied; beroep je je erop, vraag dan een jurist.

De wet is één slot. WhatsApp voegt er een tweede aan toe. De Business Messaging Policy, die geldt voor de Business-app en het platform, zegt dat een bedrijf alleen contact mag opnemen met mensen die hun nummer hebben gegeven en hebben aangegeven berichten van dat bedrijf te willen krijgen.

Dat is strenger dan de wet. Een boekingsbevestiging vraagt geen toestemming voor marketing, maar WhatsApp verwacht wel een opt-in voordat jij een chat begint. Een lid dat zelf als eerste schrijft, is de chat begonnen. Wanneer je zelf als eerste mag appen, lees je in de 24-uursregel van WhatsApp.

De opt-in vraagt minder dan veel mensen denken. Volgens Meta mag de opt-in algemeen zijn en hoeft hij WhatsApp niet te noemen, maar moet hij wel duidelijk maken dat iemand kiest voor berichten van jouw bedrijf, en de naam van het bedrijf noemen. Je mag hem online, persoonlijk of op papier vragen.

Eén formulier kan beide sloten regelen met twee aparte vragen. Een voorbeeldtekst voor een inschrijf- of proeflesformulier, zonder garantie dat die aan de regels voldoet:

☐ Ja, [naam sportschool] mag me via WhatsApp berichten sturen over mijn proefles, boekingen en lidmaatschap. Ik kan op elk moment vragen om daarmee te stoppen.

☐ Ja, stuur me via WhatsApp ook aanbiedingen van [naam sportschool], zoals rittenkaarten en evenementen. Ik kan op elke aanbieding STOP antwoorden.

Voor dat tweede vakje moet toestemming een echte keuze zijn: geen vooraf aangevinkt vakje, en niet weggestopt in je algemene voorwaarden. Intrekken moet net zo makkelijk zijn als geven. En volgens de ACM moet je de toestemming tot 5 jaar na verzending kunnen aantonen, dus houd bij wie wat heeft aangevinkt, en wanneer. Voor de uitzondering voor leden houd je ook bij dat het nummer uit een aankoop kwam.

Dat medewerkers leden appen vanaf hun eigen telefoon, is niet per se verboden, maar je sportschool is wel verantwoordelijk voor die chats. Dat geeft drie problemen:

• De chats verdwijnen met de medewerker. Als een coach weggaat, gaan de nummers en de geschiedenis van leden mee.
• Een verwijderverzoek moet elke telefoon bereiken. Vraagt Lisa Jansen je om haar gegevens te wissen, dan lukt dat niet op een telefoon die jij niet beheert.
• Een verloren telefoon kan een datalek zijn. De AP zegt dat je een datalek mogelijk binnen 72 uur moet melden, en noemt het op afstand wissen van een smartphone als een van de stappen.

Groepsapps voor lessen voegen er nog één aan toe: elk lid ziet het nummer van elk ander lid.

De praktische oplossing is één nummer van de sportschool waar het team vanuit werkt, op toestellen van de sportschool of in een inbox, in plaats van coaches op hun eigen telefoon. Zet multifactorauthenticatie aan: de AP raadt dat aan voor zakelijke chatapps zoals WhatsApp. Hoe een team één nummer deelt, lees je in WhatsApp Business met meerdere gebruikers.

Blessures en medische notities zijn gezondheidsgegevens, een bijzondere categorie onder de AVG. Houd ze daarom liever buiten de chat, tenzij je er een duidelijke grondslag voor hebt. Vraag via WhatsApp nooit om pas-, rekening- of identiteitsnummers; het eigen beleid van WhatsApp verbiedt dat.

Iedereen kan op elk moment bezwaar maken tegen direct marketing. Je sportschool moet dan stoppen, en de AP zegt dat je niet mag vragen waarom. De AVG zegt ook dat je uiterlijk in je eerste bericht op dit recht moet wijzen (art. 21 lid 4).

"Stop" onder een aanbieding betekent: stop met de aanbiedingen, niet met antwoorden op vragen over boekingen. Leg het vast, haal diegene van je lijst voor aanbiedingen en blijf gewoon berichten over het lidmaatschap sturen.

Mensen kunnen je ook vragen hun gegevens te wissen. Die moeten weg zodra je ze niet meer nodig hebt voor hun doel; voor aanbiedingen is dat zodra iemand toestemming intrekt of bezwaar maakt tegen marketing.

In je privacyverklaring hoort te staan dat je sportschool WhatsApp gebruikt en waarvoor; de AVG vraagt je om doelen en grondslag te noemen als je gegevens verzamelt (art. 13).

Software die berichten van leden voor je afhandelt (een inbox, een AI-agent, een boekingssysteem dat WhatsApp-berichten stuurt) maakt de leverancier verwerker, en de AVG vereist een verwerkersovereenkomst met die partij. De verwerkingsvoorwaarden van WhatsApp gelden voor WhatsApp, niet voor het bedrijf dat ertussen zit.

Vraag vier dingen:

1. Krijg ik jullie verwerkersovereenkomst?
2. Waar worden de gegevens van onze leden opgeslagen, en hoe lang?
3. Wie bij jullie kan onze chats zien?
4. Hoe verwijder ik de gegevens van één persoon overal als die daarom vraagt?

Op het platform is Meta ook verwerker, en Meta zegt dat klanten zelf aan hun verplichtingen onder de AVG moeten voldoen. Hoe de app en het platform zich in de dagelijkse praktijk verhouden, lees je in WhatsApp Business-app of API.

Regymo draait op het officiële WhatsApp Business-platform. Hier lees je de verwerkersovereenkomst.

1. Deel in wat je verstuurt: antwoorden, berichten over het lidmaatschap, aanbiedingen.
2. Zet twee aparte vakjes op je inschrijf- en proeflesformulieren.
3. Noem in elke aanbieding je sportschool en geef een manier om af te melden; leg elke afmelding vast.
4. Haal chats met leden van de telefoons van medewerkers en zet ze op één nummer van de sportschool, met multifactorauthenticatie.
5. Verwijder chats die je niet meer nodig hebt, overal waar ze staan.
6. Vraag elke leverancier om een verwerkersovereenkomst; noem WhatsApp in je privacyverklaring.
7. Zit je in België of Luxemburg, check dan de lokale regel voor aanbiedingen.