Blog · Privacy & AVG
AVG voor het autobedrijf: klantgegevens op orde
Elke verwerking van persoonsgegevens heeft een grondslag nodig; de AVG kent er zes, waaronder de uitvoering van een overeenkomst en het gerechtvaardigd belang. Bewaar niets langer dan nodig. Voor camerabeelden hanteert de Autoriteit Persoonsgegevens vier weken als richtlijn, tenzij u een incident moet afhandelen. Maakt u bij verhuur of verkoop een kopie van een identiteitsbewijs, dan moeten de pasfoto en het BSN afgeschermd worden — en vaak volstaat alleen het soort document en het nummer.
De AVG heeft in de autobranche een vervelende reputatie: een papieren verplichting die niets oplevert. Dat is jammer, want in een vak waar vertrouwen de doorslag geeft, is zorgvuldig omgaan met klantgegevens geen administratieve last maar onderdeel van uw product. Dit artikel laat zien waar een autobedrijf persoonsgegevens verwerkt, welke regels er concreet gelden en waar het in de praktijk misgaat — zonder juridisch jargon.
U verwerkt meer gegevens dan u denkt
De eerste stap is simpelweg zien waar het gebeurt. Voor een gemiddeld autobedrijf is dat op meer plekken dan de meeste eigenaren zich realiseren:
| Plek | Waar u op moet letten |
|---|---|
| Klantdossier & koopovereenkomst | Grondslag is meestal de overeenkomst zelf; let op de bewaartermijn na afloop |
| Werkplaatsadministratie | Kenteken plus klantgegevens; alleen bewaren wat u voor het werk en de wet nodig heeft |
| WhatsApp en e-mail | Gesprekken staan vol persoonsgegevens en blijven vaak eindeloos staan |
| Camerabeelden | Richtlijn van de AP: vier weken, tenzij er een incident loopt |
| Proefrit-gegevens | Pasfoto en BSN afschermen; vaak volstaat soort document en nummer |
| Advertentiefoto's | Personen, reflecties en woonomgeving kunnen herleidbaar zijn |
Grondslag: de vraag die u eerst moet beantwoorden
Alles begint bij één vraag: waarom mag ik deze gegevens hebben? De AVG noemt zes grondslagen, waarvan er voor een autobedrijf vooral vier relevant zijn: de uitvoering van een overeenkomst (u verkoopt of repareert een auto), een wettelijke plicht (bijvoorbeeld uw fiscale bewaarplicht), toestemming (bijvoorbeeld voor een nieuwsbrief) en het gerechtvaardigd belang.
Dat laatste is de meest gebruikte en de minst begrepen. Een gerechtvaardigd belang is geen vrijbrief: het vraagt een afweging tussen úw belang en de privacy van de klant, en die afweging moet u kunnen uitleggen. "Het is handig voor ons" is geen gerechtvaardigd belang.
Praktisch bruikbaar onderscheid: gegevens die u nodig heeft om de auto te leveren of te repareren, heeft u vrijwel altijd terecht. Gegevens die u bewaart "omdat het ooit van pas kan komen", hebben zelden een grondslag. Dat verschil dekt in de praktijk het grootste deel van de vragen.
Camerabeelden: de vier weken-richtlijn
Vrijwel elk autobedrijf heeft camera's — logisch, er staat voor tonnen aan voorraad buiten. Camerabeelden zijn persoonsgegevens, dus geldt ook hier: niet langer bewaren dan nodig.
De Autoriteit Persoonsgegevens hanteert vier weken als richtlijn voor de bewaartermijn van camerabeelden. Die termijn is niet dwingend voorgeschreven, maar geeft wel een duidelijke indicatie van de periode waarbinnen bewaren doorgaans nog noodzakelijk is. Loopt er een incident dat u nog moet afhandelen, dan mogen die specifieke beelden langer bewaard blijven tot het is afgerond.
Waar het meestal misgaat, is niet in het beleid maar in de instelling van het systeem: een recorder die standaard drie maanden bewaart omdat de schijf dat toelaat. Niemand heeft er ooit een besluit over genomen — en dat is precies het probleem.
Het rijbewijs bij een proefrit
Een klant wil een proefrit maken en uw verkoper vraagt om het rijbewijs. Volstrekt begrijpelijk: er gaat een auto van tienduizenden euro's mee de weg op. Maar hier gelden wél regels.
Bij verhuur of verkoop van een auto mag een bedrijf onder bepaalde voorwaarden een kopie van een identiteitsbewijs maken. Daarbij moeten de pasfoto en het burgerservicenummer worden afgeschermd. En belangrijk voor de praktijk: in veel gevallen heeft u helemaal geen kopie nodig — het noteren van het soort document en het documentnummer volstaat dan. Dat is niet alleen netter richting de klant, het scheelt u ook een dossier met gevoelige gegevens dat u moet beveiligen en opruimen.
De precieze voorwaarden verschillen per situatie; voor de officiële lijn is de Autoriteit Persoonsgegevens de bron, niet dit artikel.
Bewaartermijnen: het stille probleem
Als er één plek is waar autobedrijven structureel de fout in gaan, is het hier. Niet door iets verkeerds te dóén, maar door nooit iets weg te gooien. Een WhatsApp-gesprek uit 2019, een klantdossier van iemand die allang ergens anders koopt, camerabeelden van een half jaar geleden.
De regel is eenvoudig: bewaar niet langer dan noodzakelijk voor het doel. Sommige gegevens moet u juist wél bewaren — uw fiscale administratie kent een eigen bewaarplicht, en een inkoopverklaring hoort in uw dossier. Het punt is dat u per soort gegeven een termijn kiest en die ook echt uitvoert. Een bewaarbeleid dat alleen op papier bestaat, is geen bewaarbeleid.
Leveranciers: vraag door voor u tekent
Zodra een leverancier persoonsgegevens namens u verwerkt — uw VMS, uw CRM, een AI-assistent — blijft ú verwerkingsverantwoordelijke. De afspraken legt u vast in een verwerkersovereenkomst: wat mag de leverancier met de gegevens doen, hoe zijn ze beveiligd, en wat gebeurt er als u stopt?
Vraag een leverancier dus niet alleen wat zijn software kan, maar ook: welke gegevens verwerkt u, waarom, waar staan ze, en wat gebeurt ermee als ik opzeg? Een partij die daar geen helder antwoord op heeft, is een risico dat u binnenhaalt.
Hoe wij het zelf doen
We vinden dat we deze vraag over onszelf net zo scherp moeten beantwoorden als we hem u aanraden te stellen. Concreet:
- De WhatsApp-assistent vraagt alleen wat nodig is om te helpen, en gevoelige onderwerpen gaan naar een mens in plaats van naar het model.
- De AI-fotokeuring beschermt privacy actief: personen en gevoelige gegevens worden geblurd. Wat er op een autofoto met een zichtbaar kenteken speelt, hebben we apart uitgewerkt.
- Onze eigen site gebruikt cookieloze analytics — we volgen u hier niet.
- Hoe wij met gegevens omgaan, staat in onze privacyverklaring.
Dat is geen marketing maar noodzaak. Wij bouwen AI voor een branche waar vertrouwen het verschil maakt; een leverancier die zelf slordig is met gegevens, kan dat vertrouwen niet leveren. Meer over hoe we die lijn doortrekken, staat in AI in de autohandel.
Deze pagina geeft algemene voorlichting over de AVG in het autobedrijf en is nadrukkelijk geen juridisch advies. Wat in uw situatie geldt, hangt af van de omstandigheden; regels en richtlijnen kunnen wijzigen. Raadpleeg voor de officiële lijn de Autoriteit Persoonsgegevens en bij twijfel een jurist of uw brancheorganisatie. Peildatum van dit artikel: juli 2026.
Veelgestelde vragen
Waar verwerkt een autobedrijf persoonsgegevens?
Op meer plekken dan de meeste bedrijven denken: in het klantdossier en de koopovereenkomst, in de werkplaatsadministratie, in WhatsApp- en e-mailgesprekken, in camerabeelden van het terrein, in gegevens die bij een proefrit worden vastgelegd, en soms op advertentiefoto's waarop personen of een woonomgeving zichtbaar zijn. Elk van die plekken vraagt om een grondslag en een bewaartermijn.
Wat is een grondslag onder de AVG?
Een grondslag is de wettelijke reden waarom u persoonsgegevens mag verwerken. De AVG kent er zes, waaronder de uitvoering van een overeenkomst, het voldoen aan een wettelijke plicht, toestemming en het gerechtvaardigd belang. Zonder een van die zes mag u de gegevens niet verwerken. Voor een autobedrijf is de uitvoering van de koop- of reparatieovereenkomst vaak de meest vanzelfsprekende grondslag.
Hoe lang mag ik camerabeelden van mijn terrein bewaren?
De Autoriteit Persoonsgegevens hanteert vier weken als richtlijn voor het bewaren van camerabeelden. Die termijn is niet dwingend, maar geeft wel aan binnen welke periode het bewaren doorgaans nog als noodzakelijk geldt. Is er een incident dat u nog moet afhandelen, dan mogen de beelden daarvan langer bewaard blijven totdat het incident is afgerond.
Mag ik het rijbewijs kopiëren bij een proefrit?
Bij verhuur of verkoop van een auto mag een bedrijf onder bepaalde voorwaarden een kopie van een identiteitsbewijs maken. Daarbij moeten de pasfoto en het burgerservicenummer worden afgeschermd. In veel gevallen volstaat het bovendien om alleen het soort document en het documentnummer te noteren in plaats van een kopie te bewaren. Raadpleeg voor de precieze regels de Autoriteit Persoonsgegevens.
Wat moet ik regelen als ik AI of software van een leverancier gebruik?
Verwerkt een leverancier persoonsgegevens namens u, dan blijft u verwerkingsverantwoordelijke en legt u de afspraken vast in een verwerkersovereenkomst. Daarin staat onder meer wat de leverancier met de gegevens mag doen, hoe ze beveiligd zijn en wat er bij beëindiging gebeurt. Vraag een leverancier dus niet alleen wat zijn software kan, maar ook welke gegevens hij verwerkt en waarom.
AI inzetten zonder uw privacybeleid te ondermijnen?
We laten u graag zien hoe onze toepassingen alleen vragen wat nodig is, gevoelige onderwerpen naar een mens sturen en privacy actief beschermen. Vrijblijvend — en we vertellen u eerlijk welke gegevens waarvoor nodig zijn.