Winacties en de AVG: toestemming, nieuwsbriefaanmeldingen en data

Onder de AVG (GDPR) zijn het organiseren van een winactie en het sturen van marketing achteraf twee verschillende doelen, en elk doel heeft een eigen rechtsgrond nodig. Toestemming voor marketing moet vrij gegeven zijn, en artikel 7, lid 4, zegt dat daarbij ten sterkste rekening moet worden gehouden met de vraag of een dienst afhankelijk wordt gemaakt van toestemming die daarvoor niet nodig is. Daarom gebruiken veel merken een apart, niet-aangevinkt vakje voor de nieuwsbrief en laten ze mensen meedoen, of ze het vakje nu aanvinken of niet.

Winacties zijn een van de beste manieren om aanmeldingen en marketingtoestemming te verzamelen. Ze betekenen ook dat je persoonsgegevens verzamelt, vaak van duizenden mensen in een paar dagen. Deze gids loopt door de AVG-vragen die je vóór de lancering moet beantwoorden: rechtsgrond, de koppelingsvraag, hoe je om toestemming vraagt, wat je deelnemers vertelt, hoe lang je gegevens bewaart, gegevens van winnaars en verwerkers, met aantekeningen voor Denemarken en Duitsland.

Dit artikel is algemene informatie, geen juridisch advies. Lees het als een lijst met onderwerpen om met je juridisch adviseur door te nemen.

Twee doelen, twee vragen

De meeste winacties verwerken persoonsgegevens voor minstens twee dingen:

1. De winactie organiseren. De deelname registreren, controleren of mensen zich aan de regels houden, een winnaar trekken, contact met die winnaar opnemen en de prijs leveren.
2. Marketing. Nieuwsbrieven, sms'jes of aanbiedingen sturen na de winactie.

De AVG noemt de rechtsgronden in artikel 6, lid 1, waaronder toestemming (a), verwerking die nodig is voor een overeenkomst waarbij de persoon partij is (b) en gerechtvaardigd belang (f). Het Europees Comité voor gegevensbescherming (EDPB) legt in zijn richtsnoeren 05/2020 inzake toestemming uit dat toestemming niet de juiste grondslag is als de verwerking in feite nodig is om een overeenkomst uit te voeren, en dat toestemming en overeenkomst niet mogen worden samengevoegd of door elkaar gehaald.

Welke grondslag past bij de deelnamegegevens van jouw winactie, is een vraag voor je juridisch adviseur. Het belangrijkste is dat je de twee doelen gescheiden houdt in je formulier, je teksten en je administratie.

Marketing per e-mail en sms valt ook onder nationale marketingregels. In Denemarken en Duitsland eisen die regels voorafgaande toestemming van de ontvanger voordat je marketing per e-mail stuurt (zie de aantekeningen per land hieronder). Organiseer je een winactie in Nederland of België, check de regels daar dan met een jurist.

Wat "vrij gegeven" betekent

De AVG definieert toestemming als vrij, specifiek, geïnformeerd en ondubbelzinnig. De richtsnoeren van het EDPB zeggen dat "vrij" echte keuze en controle inhoudt, en dat toestemming niet geldig is als mensen zich gedwongen voelen toestemming te geven of negatieve gevolgen ondervinden als ze nee zeggen.

Artikel 7, lid 4 is de bepaling die vaak de koppelingsregel wordt genoemd:

"Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst."

Overweging 43 voegt toe dat toestemming wordt geacht niet vrij te zijn gegeven als de uitvoering van een overeenkomst, ook een dienst, afhankelijk is van toestemming die daarvoor niet nodig is. Het EDPB zegt dat de bewijslast bij de organisator ligt, en dat gevallen waarin zo'n voorwaarde de toestemming niet ongeldig maakt "zeer uitzonderlijk" zullen zijn.

Tegelijk zegt het EDPB dat de AVG "niet alle prikkels uitsluit", maar dat de organisator moet kunnen aantonen dat de toestemming toch vrij werd gegeven. Een prijs is een prikkel. Of je te ver gaat als je deelname afhankelijk maakt van toestemming voor de nieuwsbrief, is de vraag hieronder.

Mag je een nieuwsbriefaanmelding verplichten voor een winactie?

Dit is een van de meest gestelde vragen, en het eerlijke antwoord is dat het afhangt van het land en van hoe de winactie is opgezet, en dat toezichthouders het niet allemaal met elkaar eens zijn.

• Het algemene standpunt van het EDPB over voorwaardelijkheid is streng, zoals hierboven geciteerd.
• In Duitsland schreef de toezichthouder voor gegevensbescherming van Noordrijn-Westfalen in zijn jaarverslag over 2021 dat een winactie afhankelijk maken van toestemming voor de nieuwsbrief meestal in strijd is met de koppelingsregel, maar dat het mogelijk kan zijn de koppeling in plaats daarvan op een overeenkomst te baseren, als de ruil transparant is en de winactie niet als "gratis" wordt gepresenteerd. Een Duits gerechtshof in hoger beroep (OLG Frankfurt, 6 U 6/19, 27 juni 2019) oordeelde dat toestemming voor reclame die wordt gegeven om mee te doen aan een trekking vrijwillig kan zijn, zoals samengevat door de Duitse federatie van consumentenorganisaties (in het Duits).
• In Denemarken zegt de richtlijn van de consumentenombudsman over winacties en toestemming (in het Deens) dat je, onder de marketingregels, een consument mag belonen voor het geven van toestemming voor marketing met deelname aan een winactie, zolang duidelijk is dat er toestemming wordt verzameld. Dezelfde richtlijn zegt dat ze de regels voor gegevensbescherming niet behandelt en verwijst daarvoor naar de Deense toezichthouder Datatilsynet.

Omdat het antwoord niet vaststaat, kiezen veel merken de optie die de minste vragen oproept: mensen kunnen meedoen zonder zich aan te melden, en de nieuwsbrief is een aparte keuze. Je krijgt misschien minder aanmeldingen per deelname, maar elke toestemming is makkelijker te verdedigen. Wil je deelname afhankelijk maken van een aanmelding, vraag dan eerst per markt juridisch advies.

Zo vraag je om toestemming

Praktische punten, gebaseerd op de AVG en de richtsnoeren van het EDPB:

• Gebruik een apart vakje dat niet vooraf is aangevinkt. Het EDPB zegt dat vooraf aangevinkte opt-in-vakjes onder de AVG ongeldig zijn, en dat stilzwijgen of niets doen geen toestemming is.
• Eén doel per toestemming. Het EDPB noemt dit granulariteit: wil je toestemming voor zowel je nieuwsbrief als het delen van gegevens met een partner, vraag dan voor elk apart.
• Zeg wie, wat en hoe. Maak duidelijk wie contact opneemt, waarover en via welke kanalen (e-mail, sms).
• Maak intrekken makkelijk. Artikel 7, lid 3 zegt dat mensen hun toestemming op elk moment kunnen intrekken, dat ze dat te horen moeten krijgen voordat ze toestemming geven, en dat intrekken net zo makkelijk moet zijn als toestemming geven.
• Zorg dat je het kunt aantonen. Onder artikel 7, lid 1, moet je kunnen aantonen dat de persoon toestemming heeft gegeven. Het EDPB raadt aan vast te leggen hoe en wanneer toestemming is gegeven en welke informatie de persoon te zien kreeg. De Deense consumentenombudsman gaat verder en zegt dat screenshots of een opname van de hele flow, van de advertentie of post tot de toestemming, kunnen vastleggen wat de deelnemer zag.

Double opt-in, waarbij mensen hun e-mailadres bevestigen door op een link te klikken, helpt je aantonen dat de persoon die meedeed eigenaar is van het adres. Of je het nodig hebt, hangt af van je markt; vraag het je adviseur.

De gratis generator voor toestemmingsteksten schrijft de tekst bij het vakje, de double opt-in-mail en een regel voor je privacyverklaring.

Wat je deelnemers vertelt (artikel 13)

Verzamel je gegevens rechtstreeks bij mensen, dan noemt artikel 13 wat je ze op het moment van verzamelen moet vertellen. Bij een winactie betekent dat meestal:

• Wie je bent en hoe je bereikbaar bent (en je functionaris voor gegevensbescherming, als je die hebt)
• De doelen en de rechtsgrond voor elk doel: de winactie en, apart, marketing
• Je gerechtvaardigde belangen, als je je daarop beroept
• Wie de gegevens ontvangt, zoals je e-mailtool of de koerier die de prijs bezorgt
• Eventuele doorgifte buiten de EU
• Hoe lang je de gegevens bewaart, of de criteria om dat te bepalen
• De rechten van mensen: inzage, rectificatie, wissing, beperking, bezwaar, overdraagbaarheid
• Het recht om toestemming op elk moment in te trekken
• Het recht om een klacht in te dienen bij een toezichthouder

Een korte tekst naast het formulier, met een link naar je privacybeleid en voorwaarden, is de gebruikelijke manier. Onze checklist voor actievoorwaarden behandelt de kant van de winactie.

Hoe lang je de gegevens bewaart

Artikel 5, lid 1, onder e zegt dat persoonsgegevens niet langer in identificeerbare vorm mogen worden bewaard dan nodig is voor het doel. In de praktijk:

• Deelnamegegevens voor de winactie: bepaal wanneer je ze verwijdert nadat de winactie is afgelopen en een eventuele klachtperiode voorbij is.
• Marketingtoestemming: bewaar haar zolang je haar gebruikt, samen met het bewijs van hoe ze is gegeven. De richtlijn van de Deense consumentenombudsman zegt dat een bedrijf documentatie van toestemming moet bewaren zolang het de persoon wil benaderen en tot twee jaar na het laatste contact.
• Winnaars: bewaar wat je nodig hebt om de prijs te leveren en vragen af te handelen, en verwijder het daarna. Check de regels voor boekhouding en belasting met je accountant.

Leg de verwijderdata vast vóór de lancering, en zet ze in je privacyinformatie.

Gegevens van winnaars

Vraag winnaars alleen wat je nodig hebt om de prijs te leveren, zoals een bezorgadres. Wil je de naam van de winnaar publiceren, zeg dat dan in je voorwaarden en houd het minimaal, zoals voornaam en woonplaats. Zie hoe je een winnaar kiest voor je giveaway voor het bekendmaken van winnaars met oog voor privacy.

Verwerkers en de verwerkersovereenkomst

Verwerkt een tool deelnemersgegevens namens jou, zoals een platform voor winacties, een e-mailtool of een CRM, dan is die tool je verwerker. Artikel 28, lid 3 eist een overeenkomst of andere rechtshandeling waarin het onderwerp, de duur, de aard en het doel van de verwerking, de soorten gegevens en de verplichtingen en rechten van de verwerkingsverantwoordelijke zijn vastgelegd. Zorg dat je een verwerkersovereenkomst hebt met elke tool in de keten.

Aantekeningen per land

Denemarken

Artikel 10 van de Deense wet op de marketingpraktijken (markedsføringsloven) zegt dat een bedrijf niemand per elektronische post mag benaderen voor direct marketing zonder voorafgaande toestemming, dat mensen te horen moeten krijgen dat ze die kunnen intrekken, en dat intrekken makkelijk en gratis moet zijn. Het artikel wordt geciteerd in de richtlijn van de consumentenombudsman over winacties en toestemming, die ook noemt wat de toestemmingstekst moet bevatten. De richtlijn van Datatilsynet over toestemming (in het Deens) behandelt de kant van de gegevensbescherming. Lees meer in online winacties in Denemarken en de EU.

Duitsland

Onder artikel 7, lid 2, nr. 2 van de Duitse wet tegen oneerlijke concurrentie (UWG) is reclame per e-mail zonder voorafgaande uitdrukkelijke toestemming van de ontvanger altijd een onredelijke hinder. Artikel 7, lid 3, bevat een beperkte uitzondering voor adressen die een bedrijf heeft gekregen in verband met de verkoop van goederen of diensten; of die ooit op een deelname aan een winactie van toepassing kan zijn, is een vraag voor je jurist. Voor de koppelingsvraag, zie de standpunten van de toezichthouder en de rechter hierboven, en vraag Duits juridisch advies.

Hoe Scratcher je ondersteunt

Geen enkele tool kan een campagne voor jou in orde maken: jij bepaalt de opzet, de teksten en de voorwaarden. Scratcher geeft je de instellingen om hem te organiseren zoals jij hebt besloten:

• Toestemmingsvakjes met je eigen teksten, en jij kiest welke velden verplicht zijn, zodat de nieuwsbrief optioneel kan zijn
• Double opt-in-mails (e-mailmodule: inbegrepen bij Professional, of als add-on)
• Je eigen links naar voorwaarden en privacybeleid in het aanmeldformulier
• Verwijderinstellingen, zodat jij bepaalt wanneer spelersgegevens worden verwijderd, plus export van deelnames en winnaars
• Aanmeldingen naar je e-mailtool of CRM via standaardintegraties, Zapier, de API of webhooks

Scratcher treedt op als je verwerker onder een verwerkersovereenkomst, is gecertificeerd volgens ISO/IEC 27001:2022 en host data in de EU. Lees meer op onze pagina over beveiliging en de AVG. Voor de winactie zelf, zie online winacties en giveaways en onze gids over hoe je een online winactie organiseert.

Veelgestelde vragen

Mag je een nieuwsbriefaanmelding verplichten om mee te doen aan een winactie?

Dat hangt af van het land en de opzet, en toezichthouders zijn het niet allemaal met elkaar eens. Artikel 7, lid 4, van de AVG en de richtsnoeren van het EDPB zijn streng als het gaat om een dienst afhankelijk maken van toestemming die daarvoor niet nodig is. De optie met de minste vragen is mensen laten meedoen zonder zich aan te melden en de nieuwsbrief aanbieden met een apart, niet-aangevinkt vakje.

Mag een toestemmingsvakje vooraf aangevinkt zijn?

Nee. De richtsnoeren van het EDPB zeggen dat vooraf aangevinkte opt-in-vakjes onder de AVG ongeldig zijn.

Valt een giveaway op social media onder de AVG?

Ja, als je persoonsgegevens verzamelt of gebruikt, zoals gebruikersnamen, e-mailadressen of bezorgadressen van winnaars. Zie ons artikel over regels voor winacties op Instagram en Facebook.

Hoe lang mag ik deelnames aan een winactie bewaren?

Alleen zo lang als je ze nodig hebt voor het doel. Stel een verwijderdatum in voor deelnamegegevens na de winactie, en bewaar het bewijs van marketingtoestemming zolang je erop vertrouwt.

Bouw winacties met ingebouwde toestemming

Probeer Scratcher 14 dagen gratis, zonder creditcard, of plan een afspraak, dan laten we je zien hoe je toestemming, double opt-in en verwijdering instelt.

Dit artikel is algemene informatie, geen juridisch advies. Regels verschillen per land en veranderen in de loop van de tijd, dus check de actuele regels en vraag juridisch advies voordat je een campagne lanceert.