Ja, de AVG geldt ook als u uitsluitend met andere bedrijven werkt. De verordening kijkt niet naar wie uw klant is, maar naar wat u verwerkt: zodra u de naam, het e-mailadres, het telefoonnummer of de functie van een contactpersoon vastlegt, verwerkt u een persoonsgegeven. Dat die contactpersoon namens een bedrijf belt of mailt, maakt voor de wet geen verschil.
De verwarring ontstaat omdat mensen de AVG associëren met consumentengegevens: bestellingen, klantaccounts, nieuwsbrieven. Maar een factuuradres met de naam van een inkoper, een CRM-regel met het mobiele nummer van een contactpersoon, of een mailwisseling met een leverancier vallen allemaal onder dezelfde regels. Het gaat om de gegevens van een natuurlijk persoon, niet om het soort relatie dat u met dat bedrijf heeft.
Wat wel en niet verandert bij B2B
Het feit dat u in een B2B-omgeving werkt, verandert de kern van de AVG niet, maar wel de praktische lading ervan. Veel van de verplichtingen die zwaar voelen bij consumentendata, zoals toestemming vragen voor marketing of uitleggen waarom u gegevens verzamelt, hebben bij zakelijke contactgegevens vaak een andere, lichtere invulling. Er is bijvoorbeeld vaker een gerechtvaardigd belang om een contactpersoon te benaderen over een lopende opdracht dan bij een willekeurige consument. Dat neemt niet weg dat u nog steeds moet kunnen uitleggen waarom u die gegevens vasthoudt en hoelang.
Wat ook niet verandert: de verplichting om deze gegevens veilig te bewaren, en het recht van de contactpersoon zelf om te vragen wat u over hem of haar heeft vastgelegd. Een inkoper bij een klant kan in theorie een inzageverzoek doen, net als een particuliere klant. De AVG maakt daarin geen onderscheid naar wie de vraag stelt.
Praktijkvoorbeelden
Een installatiebedrijf dat alleen met andere bedrijven werkt, heeft meestal toch een CRM vol namen, telefoonnummers en e-mailadressen van contactpersonen bij klanten en leveranciers. Een HR-manager die cv's van sollicitanten bewaart, verwerkt persoonsgegevens, ook als de vacature voor een technische functie binnen een B2B-bedrijf is. Een kantoormanager die bezoekers laat intekenen bij binnenkomst, legt eveneens namen vast van mensen die namens een ander bedrijf langskomen.
In geen van deze gevallen gaat het om consumentengegevens in de klassieke zin, en toch vallen ze onder dezelfde verordening. Het onderscheid dat er in de praktijk wel toe doet, is niet B2B versus B2C, maar: gaat het om een natuurlijk persoon die herkenbaar is, of om volledig geanonimiseerde of puur zakelijke gegevens zoals een KvK-nummer of een algemeen info@-adres zonder naam.
Wat dit betekent voor uw verwerkingsregister
Omdat zakelijke contactgegevens onder de AVG vallen, horen ze ook thuis in uw verwerkingsregister: waar ze vandaan komen, waarom u ze bewaart, wie er toegang toe heeft en hoelang u ze bewaart. Bij veel MKB-bedrijven blijkt dit juist de categorie te zijn die over het hoofd wordt gezien, omdat de aandacht uitgaat naar personeelsdossiers of klantgegevens van eindconsumenten. In de kennisbank met uitleg per situatie vindt u meer achtergrond over wanneer gegevens als persoonsgegevens gelden en wanneer niet.
Als u SaaS-tools gebruikt voor uw CRM, mailverkeer of facturatie, verwerken die tools vaak ook deze zakelijke contactgegevens. Dat is relevant voor de verwerkersovereenkomsten die u met die leveranciers heeft of zou moeten hebben, en voor de vraag welke tool welke gegevens precies verwerkt. Via de meestgestelde vragen over de AVG in de praktijk leest u hoe dat samenhangt met uw bredere verplichtingen.
Of uw specifieke situatie onder bepaalde uitzonderingen valt, of welke grondslag precies van toepassing is op uw manier van werken, is iets wat per bedrijf verschilt en waarover u bij twijfel het beste een jurist of de Autoriteit Persoonsgegevens kunt raadplegen. Wat wel voor vrijwel elk bedrijf geldt: als u persoonsgegevens van contactpersonen vastlegt, zonder dat u precies weet welke en waarom, is dat een goed startpunt om op orde te brengen.
Zelf nagaan waar u staat
Wilt u snel zien welke gegevensstromen in uw bedrijf meetellen, inclusief de zakelijke contactgegevens van klanten en leveranciers? Doe de gratis quick-scan of lees eerst hoe gdpria.eu de informatie uit de AVG en de toezichthouders structureert, en maak een zakelijk account aan als u uw register wilt laten opbouwen uit de tools die u al gebruikt.