CRM en AVG: wat je checkt voordat je klantgegevens opslaat

Een AVG-proof CRM is geen product met een badge. Het is een CRM plus de contracten, instellingen en gewoonten waarmee je je eigen plichten onder de AVG nakomt, en die plichten liggen bij jou als verwerkingsverantwoordelijke: een rechtmatige grondslag voor elk gebruik van persoonsgegevens, een verwerkersovereenkomst met de aanbieder die ze opslaat, antwoorden voor mensen die vragen wat je van hen bewaart, en wissing zodra je de gegevens niet meer nodig hebt. Een CRM-aanbieder kan dat makkelijk of moeilijk maken, maar geen enkele CRM maakt je uit zichzelf compliant.

Deze gids somt de plichten op die voor een CRM tellen, met hun artikelnummers, laat zien wat je in het contract en de subverwerkerslijst van elke aanbieder controleert, loopt een inzage- en een wissingsverzoek door en beschrijft waar Customermates staat, inclusief wat het niet claimt. Customermates publiceert de gids en komt voor in gemarkeerde onderdelen. Het is algemene informatie, geen juridisch advies: vraag een jurist of je functionaris voor gegevensbescherming naar je eigen situatie. De EU-wetsbronnen en de juridische pagina's van Customermates zijn gecontroleerd op 11 november 2026; de juridische pagina's veranderen, dus lees de actuele verwerkersovereenkomst en lijst met subverwerkers voordat je op deze pagina vertrouwt.

Wat vraagt de AVG van een CRM?

De AVG (Algemene verordening gegevensbescherming, Verordening (EU) 2016/679, in het Engels GDPR, tekst op EUR-Lex) certificeert geen software. Ze reguleert de organisatie die bepaalt waarom en hoe persoonsgegevens worden gebruikt, de verwerkingsverantwoordelijke, en een aanbieder die de gegevens namens haar verwerkt, de verwerker. Een CRM vol namen, e-mailadressen en gesprekken bevat persoonsgegevens, dus jij bent de verwerkingsverantwoordelijke en de aanbieder die ze voor je opslaat is een verwerker. De tabel koppelt de plichten die voor een CRM het belangrijkst zijn aan de artikelen.

De pagina van de Europese Commissie over de beginselen van de AVG geeft de begrijpelijke versie, en de Richtlijnen 07/2020 van het Europees Comité voor gegevensbescherming leggen de rollen van verwerkingsverantwoordelijke en verwerker in detail uit. Een CRM-database die met deze plichten in gedachten is gebouwd, begint met minder velden en duidelijke eigenaren.

Bestaat er een AVG-proof CRM?

Geen enkele CRM is uit zichzelf AVG-proof. Naleving beschrijft hoe je een tool gebruikt: wat je verzamelt, op welke grondslag, hoe lang je het bewaart en hoe je verzoeken beantwoordt. Wat een aanbieder eerlijk kan bieden, is smaller en controleerbaar:

• een verwerkersovereenkomst die art. 28 lid 3 dekt;
• een openbare lijst met subverwerkers en een beschreven proces voor wijzigingen;
• duidelijke informatie over waar gegevens worden verwerkt en welk mechanisme elke doorgifte buiten de EER dekt;
• beveiligingsmaatregelen die in het contract staan;
• productfuncties om de gegevens van één persoon te vinden, te corrigeren, te exporteren en te verwijderen; en
• een uitweg: teruggave of verwijdering van je gegevens aan het eind.

Zie een badge als "AVG-proof" of "made in Europe" als een marketingclaim. De AVG voorziet in goedgekeurde certificering (art. 42), dus vraag welke certificering, van welk orgaan, voor welke dienst. Customermates heeft geen nalevingscertificering; hosting in een EU-regio is een hostingfeit, geen certificering.

Maakt het uit waar de CRM-aanbieder en zijn servers zitten?

Drie plekken worden door elkaar gehaald: waar de aanbieder is gevestigd, waar zijn database draait en waar elke andere aanbieder in de keten gegevens verwerkt. De AVG eist geen hosting in de EU. Ze beperkt doorgiften buiten de EER (art. 44 tot en met 46) en maakt jou aanspreekbaar voor de hele keten van verwerkers. Een aanbieder in Duitsland kan zijn applicatie bij een Amerikaanse hostingpartij draaien, en een Amerikaanse aanbieder kan een database in Frankfurt draaien. Dat is de echte vraag achter een zoekopdracht naar een Duitse of Europese CRM: lees alle drie de plekken, niet de kop.

Voor Customermates zeggen de juridische pagina's dit (zoals gepubliceerd op 11 november 2026):

De lijst met subverwerkers bevat elke aanbieder met doel, locatie en doorgiftegrondslag, en de beveiligingsdocumentatie legt de scheiding tussen tenants uit en waar inloggegevens staan. De samenvatting: een exploitant in Duitsland, een database geconfigureerd in een EU-regio en Amerikaanse aanbieders in de keten, en daarom telt de lijst zwaarder dan een landnaam.

Wat moet een verwerkersovereenkomst voor een CRM bevatten?

Art. 28 lid 3 somt de minimale inhoud van een verwerkerscontract op. Leg de overeenkomst van een aanbieder naast de punten a tot en met h. De rechterkolom toont de verwerkersovereenkomst van Customermates, waarvan de sectienummers verwijzen naar de gepubliceerde verwerkersovereenkomst.

Lees ook de beperkingen. De verwerkersovereenkomst stelt wat ze niet kan beloven: voor gekoppelde accounts heeft ze geen contractueel recht op verwijdering per account tegenover Unipile en kan ze alleen om verwijdering verzoeken, en ruwe binnenkomende records die niet aan een klant kunnen worden toegeschreven, worden zonder vaste termijn bewaard voor foutanalyse. Een verwerkersovereenkomst die haar grenzen noemt, is makkelijker te beoordelen dan een die er geen noemt.

Kijk ook hoe ze wordt gesloten. Een document publiceren sluit het niet: de verwerkersovereenkomst van Customermates gaat voor een klant in wanneer een bevoegde beheerder haar tijdens de onboarding samen met de Voorwaarden accepteert, en een kopie in tekstvorm is op verzoek beschikbaar. De Duitse versie is leidend en de Engelse is een gemaksvertaling.

Hoe behandel je een inzage- of wissingsverzoek in een CRM?

Dit is de test van elke CRM-inrichting: iemand schrijft "wat bewaar je over mij?" of "verwijder mijn gegevens". De stappen hieronder gebruiken Customermates, en de volgorde werkt in elke tool.

1. Leg het verzoek vast en bevestig wie vraagt

   Noteer de datum waarop je het ontving: de termijn van één maand uit art. 12 lid 3 begint dan. Bevestig de identiteit in verhouding tot de gegevens, zonder meer te verzamelen dan daarvoor nodig is.

2. Vind elk record

   Druk op Cmd of Ctrl en K. Globaal zoeken doorzoekt elke lijst die je kunt lezen en vindt een contactpersoon via elk e-mailadres of telefoonnummer in diens Contactgegevens; zoek ook op de naam, en open gekoppelde organisaties en deals. Gesprekken vallen niet onder deze zoekopdracht: de Inbox, beschikbaar vanaf Pro met een gekoppeld account, heeft een eigen zoekfunctie.

3. Verzamel de gegevens

   Filter elke lijst op de persoon en kies dan Exporteren als Excel of Exporteren als JSON bij Meer acties. De export bevat wat de lijst met je filters toont, tot 5.000 records, en alleen velden die je rol kan lezen. Customermates heeft geen export van een heel account, dus herhaal dit per lijst waarin de persoon voorkomt, en voeg toe wat in je e-mail, spreadsheets en andere tools staat.

4. Corrigeer wat niet klopt

   Bewerk de waarde ter plekke. Dat beantwoordt een verzoek tot rectificatie onder art. 16; het Activiteitenlog registreert de wijziging met de vorige waarde, wie haar maakte en wanneer.

5. Wis en controleer dan de kopieën

   Verwijderen verplaatst het record naar de Prullenbak en uit lijsten, zoeken, widgets en exports. Open de Prullenbak en kies Permanent verwijderen om het nu te wissen, waarbij ook de veldwaarden van het record uit de geschiedenis verdwijnen; anders verdwijnt het na 30 dagen vanzelf. Berichten in een gekoppelde inbox zijn kopieën van berichten in je e-mail- of berichtenaccount, dus het origineel vraagt om dezelfde beslissing. Vraag hoe je aanbieder met back-ups omgaat: de verwerkersovereenkomst van Customermates noemt hooguit 90 dagen voor de verwijderingen die ze dekt (sectie 11).

6. Antwoord en leg vast wat je deed

   Antwoord binnen de maand en bewaar een notitie van het verzoek, de beslissing en de datum, zodat je het later kunt aantonen (art. 5 lid 2). Voeg bij een bezwaar tegen marketing (art. 21 lid 3) een veld Ja of nee toe, zoals Bezwaar tegen marketing, en laat die records weg uit elke mailinglijst.

De documentatie over de Prullenbak behandelt herstellen en permanent verwijderen, en de recordsdocumentatie behandelt filters, export en import.

Hoe richt je een CRM in voor de AVG?

Een checklist voor de eerste week, voordat er echte klantgegevens in gaan:

1. Bepaal wat elke lijst opslaat

   Minder velden betekent minder om te beschermen, te beantwoorden en te verwijderen (art. 5 lid 1, onder c). Schrijf het doel en de grondslag van elke lijst in de beschrijving, en laat bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens (art. 9), weg tenzij je een specifieke grond hebt.

2. Geef mensen alleen de toegang die ze nodig hebben

   Rollen geven per lijst toegang om aan te maken, te bewerken, te verwijderen en te lezen (Aanmaken, Bewerken, Verwijderen en Leestoegang met Alle, Toegewezen of Geen). Er zijn geen machtigingen op veldniveau, dus bewaar gevoelige informatie in een aparte lijst met beperktere toegang.

3. Plan hoe mensen vertrekken

   Een lid op Inactief zetten blokkeert in één keer diens toegang, API-sleutels en MCP-verbindingen voor de werkruimte.

4. Sluit de verwerkersovereenkomst en lees de lijst met subverwerkers

   Bewaar je kopie van de geaccepteerde versie en bekijk de lijst opnieuw als er een wijzigingsbericht komt.

5. Koppel alleen de kanalen die je gebruikt

   Elk gekoppeld account voegt een aanbieder aan de keten toe en een opgeslagen kopie van zijn berichten. Een account ontkoppelen verwijdert de opgeslagen gesprekken, berichten, deelnemers en agendagegevens van dat account, zoals de verwerkersovereenkomst beschrijft.

6. Stel per lijst een bewaarregel in en voer die uit

   Sla een weergave op van records die niet zijn bijgewerkt in de periode die je koos, bekijk die volgens een schema en verwijder wat je niet meer nodig hebt. De AVG laat de termijn aan jou (art. 5 lid 1, onder e); waar fiscaal of handelsrecht je verplicht een document te bewaren, geldt die plicht daarbovenop.

7. Houd je eigen papieren actueel

   Het register van verwerkingsactiviteiten (art. 30) en je privacyverklaring (art. 13 en 14) staan in je eigen compliancemap, niet in de documenten van de CRM-aanbieder.

Wat veranderen AI-functies onder de AVG?

Een AI-assistent voegt aanbieders aan de keten toe en stuurt tekst uit je records naar hen. Vraag bij elke AI-functie welke aanbieder welke gegevens ontvangt, of die op de lijst met subverwerkers staat, waar hij verwerkt, of hij op je gegevens traint en of je de functie kunt uitzetten.

Voor Customermates Cloud beschrijft de lijst met subverwerkers Mate: een verzoek gaat via Vercel AI Gateway naar de aanbieders die in de tabel hierboven staan en bevat alleen wat voor het antwoord nodig is. De lijst meldt een zero-data-retention-instelling op dat gateway-pad, wat een beperkte maatregel is en geen bewaarbelofte voor het CRM zelf. De Claude-modellen zijn vastgezet op een EU-inferentiezone, terwijl webzoekopdrachten en het embeddingmodel in de VS draaien. Jij bepaalt welke gegevens een verzoek bevat en blijft verantwoordelijk voor noodzaak en grondslag. Koppel je je eigen AI-client via MCP, dan verwerkt die aanbieder de gegevens onder jouw contract met hem. Zelf gehoste installaties hebben geen Mate. De gids over AI CRM vergelijkt de benaderingen.

Customermates en de AVG: wat het biedt en wat niet

Geboden, volgens de productdocumentatie en de juridische pagina's:

• de verwerkersovereenkomst en de lijst met subverwerkers voor de beheerde cloud, met het hierboven beschreven wijzigingsproces;
• rollen per lijst, een deactiveringsschakelaar voor leden en scheiding van tenants per bedrijfsaccount;
• globaal zoeken op e-mailadres of telefoonnummer, correctie ter plekke, export naar Excel en JSON per lijst en een Prullenbak met permanent verwijderen;
• een Activiteitenlog voor wijzigingen aan CRM-records en werkruimteconfiguratie, leesbaar voor rollen die toegang hebben; en
• een open-sourcekern onder de AGPL die je kunt zelf hosten.

Niet geboden, dus vraag er elders naar als je het nodig hebt:

• Customermates heeft geen nalevingscertificering en geen contractuele garantie dat alle gegevens in één regio blijven;
• het heeft geen machtigingen op veldniveau en geen export van een heel account in één stap;
• het Activiteitenlog dekt geen aanmeldingen, API-sleutels of inboxinhoud en heeft geen exportknop.

Zelf hosten verandert wie verantwoordelijk is. De AGPL-kern draait met Docker en PostgreSQL op je eigen infrastructuur, en de verwerkersovereenkomst dekt alleen de beheerde dienst: jij kiest de hosting en de aanbieders en je hebt je eigen art. 28-contracten en doorgiftewaarborgen. TLS en versleuteling in rust moet je zelf instellen. Zelf hosten gebruikt de functies van Starter, zonder de inbox en zonder Mate, en het is niet air-gapped: de eerste adresinvoer voor een land downloadt het openbare postcodebestand van dat land van GeoNames, tenzij je POSTAL_CODE_DATA_URL op off of op een mirror zet. De gids voor zelf hosten bevat de details en de pagina over open-source CRM legt de licentiegrens uit.

Wil je de punten hierboven aan je eigen situatie toetsen, lees dan eerst de verwerkersovereenkomst en de lijst met subverwerkers en start dan je proefperiode van 14 dagen: Pro, zonder creditcard. Importeer een paar testrecords voordat er echte klantgegevens in gaan en doorloop de stappen van het inzageverzoek één keer.

Veelgestelde vragen over de AVG en een CRM

Verificatie van wetgeving en bronnen van derden op 11 november 2026: Verordening (EU) 2016/679 op EUR-Lex, de e-Privacyrichtlijn, de beginselen van de AVG van de Europese Commissie en de Richtlijnen 07/2020 van het EDPB. Uitspraken over Customermates komen uit de verwerkersovereenkomst, de lijst met subverwerkers en de beveiligingsdocumentatie zoals op die datum gepubliceerd.