Van wie zijn de klantgegevens van je klantenkaart? Zo exporteer je ze

De klantenlijst van je loyaliteitsprogramma is van jou. Onder de AVG (GDPR) is de zaak die de kaart uitgeeft de verwerkingsverantwoordelijke (degene die bepaalt waarom de gegevens worden verzameld), en de loyaltytool is alleen een verwerker (de software die ze voor jou opslaat en verwerkt, volgens jouw instructies). Die verdeling bepaalt wie de gegevens van je klanten mag exporteren, verwijderen of hergebruiken. De adder onder het gras zit in het contract: in de voorwaarden van een tool kan alsnog staan dat jouw klanten in hun eigen app terechtkomen, dat ze worden samengevoegd met die van andere winkels, of dat de lijst bij hen blijft als jij vertrekt. Lees dus de drie checks hieronder voordat je tekent.

De meeste pagina's hierover zijn geschreven voor datateams van grote merken: eigendomsmodellen, governanceboards, AI-audits. Deze is voor de eigenaar van een paar zaken die op het punt staat een jaarabonnement te tekenen en net van een zakenpartner de vraag kreeg: "en van wie is de klantenlijst, van ons of van hen?" Je klantinzichten zijn alleen iets waard als de lijst erachter van jou is en blijft, dus daar beginnen we. Dit is geen juridisch advies; de wetsartikelen staan erbij zodat je de tekst zelf kunt nalezen.

#Van wie zijn de klantgegevens in een loyaliteitsprogramma?

Van jou, in de betekenis die ertoe doet. De AVG gebruikt het woord "eigenaar" niet. De wet vraagt wie bepaalt waarom en hoe persoonsgegevens worden gebruikt. Dat is de verwerkingsverantwoordelijke, en als jij een klantenkaart uitgeeft, ben jij dat. Het bedrijf dat de software draait is een verwerker: het mag de gegevens alleen verwerken volgens jouw schriftelijke instructies (artikel 28). Datzelfde artikel zegt dat de verwerker een contract met jou moet hebben waarin staat wat hij met de gegevens doet, en dat hij ze aan het eind van de dienst verwijdert of aan jou teruggeeft, wat jij maar wilt.

De vraag aan een loyaltytool is dus niet "van wie zijn de gegevens". De vraag is: "waar is jullie verwerkersovereenkomst, en wat staat erin?" Een verwerkersovereenkomst (DPA) is het contract waar artikel 28 om vraagt. Vraag erom voordat je tekent, niet erna, en kijk of de drie zinnen hieronder erin staan.

Dit zegt de verwerkersovereenkomst van Passtastic, zodat je iets hebt om mee te vergelijken (laatst bijgewerkt op 1 oktober 2026): "Wij verwerken de gegevens van jouw klanten alleen volgens jouw instructies." "Wij gebruiken de gegevens van jouw klanten niet voor onze eigen doeleinden." "Wij verkopen ze niet en delen ze niet met andere ondernemers." Die geldt automatisch voor elk account, en in het privacybeleid op passtastic.io/privacy-policy staat wat er wordt verzameld en wie het verwerkt. Vraag elke leverancier om diezelfde drie zinnen zwart op wit. Stuur je partner die twee pagina's (de verwerkersovereenkomst en het privacybeleid) en vraag de andere leveranciers om de hunne.

Eén kanttekening voordat je verdergaat. Een verwerkersovereenkomst haalt de wettelijke verantwoordelijkheid nooit bij jou weg. Artikel 5 zegt dat de verwerkingsverantwoordelijke "verantwoordelijk is voor de naleving" en die "moet kunnen aantonen". De tool bewaart de gegevens veilig; jij blijft degene die besloot ze te verzamelen, en degene aan wie een klant een mail stuurt.

#Wat mag een loyaltytool met je lijst doen? Drie dingen om te checken

Op papier regelt het contract het eigendom. In de praktijk hangt het af van drie dingen die je op een voorwaardenpagina makkelijk over het hoofd ziet.

1. 1Een app of overzichtspagina voor consumenten. Heeft de tool een eigen app of website voor klanten, kijk dan of jouw klanten daar andere zaken te zien krijgen, en of je dat kunt uitzetten. Je wilt niet dat je vaste klanten jouw kaart toevoegen en op het volgende scherm het café aan de overkant tegenkomen. Bij Passtastic hoeven ze geen app van ons te openen: de kaart zit in Apple Wallet of Google Wallet, en er is aan geen van beide kanten een app voor nodig.
2. 2Samengevoegde of gedeelde gegevens. Bij gezamenlijke programma's, waarbij meerdere merken één kaart delen, heb je het minst te zeggen over je gegevens, want de leden zijn van het netwerk. Ook buiten zulke programma's: lees of de leverancier de gegevens van je klanten mag "aggregeren", ze over meerdere bedrijven heen mag analyseren of er AI-modellen op mag trainen. Die woorden betekenen dat je lijst wordt gebruikt voor iets anders dan jouw kaart.
3. 3Wat er gebeurt als je weggaat. Kun je alles exporteren, op elk moment, zonder het te hoeven vragen? En als je opzegt, worden de gegevens dan verwijderd, bewaard, of bewaard én gebruikt? Passtastic verwijdert de gegevens van je klanten bijvoorbeeld niet automatisch als een abonnement afloopt; je kunt ze exporteren zolang het account actief is, en wil je ze weg hebben, dan stuur je een mail en worden ze zonder onnodige vertraging verwijderd. De verwerkersovereenkomst noemt daar geen vast aantal dagen voor, dus als een termijn voor jou belangrijk is, vraag er dan schriftelijk om. Wat het antwoord ook is: leg het vast voordat er 2.000 mensen op je kaart staan.

Drie vragen die je letterlijk zo naar een leverancier kunt sturen:

“

1. Kan ik alle gegevens van mijn klanten zelf exporteren, op elk moment, zonder contact met jullie op te nemen?

2. Gebruiken, delen of tonen jullie de gegevens van mijn klanten voor iets anders dan het draaien van mijn kaart? Kunnen jullie me de clausule aanwijzen?

3. Wat gebeurt er met de gegevens als ik opzeg, hoe laat ik ze verwijderen, en binnen hoeveel dagen?

“

Een leverancier die alle drie in twee regels beantwoordt, daar kun je mee werken.

Twijfel je tussen een kaart en een eigen loyaltyapp bouwen? Voor deze vraag maakt dat niets uit. Je ontwikkelaar of app-platform is ook een verwerker, en je tekent hetzelfde contract.

#Wat verzamelt een walletkaart eigenlijk?

Minder dan mensen vrezen, en alleen wat jij vraagt. Als je een walletkaart opzet, kies je zelf welke gegevens het aanmeldformulier vraagt: voornaam, achternaam, e-mail, telefoon, verjaardag en adres, plus je eigen vragen vanaf Multi-Location. Elk veld dat je aanzet is verplicht; zet je het verzamelen van gegevens helemaal uit, dan is er geen formulier en voegt de klant de kaart meteen toe. Klanten gaan bij het aanmelden akkoord met jouw privacybeleid.

Vanaf dat moment houdt de kaart zelf bij wat er gebeurt: bezoeken, stempels of punten, hoe ver iemand is tot een beloning, welke kaart hij heeft en of die in zijn wallet zit. Apple of Google geeft bovendien voor elke geïnstalleerde kaart een wallet-pushtoken uit (de technische ID waarmee de kaart op die telefoon kan worden bijgewerkt), dat volgens het privacybeleid van Passtastic alleen wordt gebruikt om updates van de kaart te versturen.

Hoeveel hiervan ga je bewaren? Van 265 Passtastic-bedrijven met minstens 10 leden uit de afgelopen 12 maanden kreeg het mediane bedrijf er in de eerste maand 30 klanten bij. Na vier weken heb je dus meestal zo'n dertig klantrecords. Dat is weinig, en toch zijn het vanaf dag één persoonsgegevens.

Dataminimalisatie in gewone taal: vraag alleen wat je gaat gebruiken. Stuur je nooit een verjaardagstraktatie, vraag dan niet naar de verjaardag. Een cafégroep heeft geen postadres nodig. Hoe meer een veld over iemand zegt (een verjaardag, een huisadres), hoe beter je reden moet zijn om ernaar te vragen.

Waar je de lijst voor gebruikt, als hij eenmaal van jou is: zien wie nieuw is, wie vaste klant is en wie stilletjes is weggebleven. De Customers-pagina (klantenpagina) van Passtastic maakt die groepen op elk abonnement voor je aan, inclusief nieuwe leden en iedereen die al 30 dagen niet terug is geweest, en vanaf diezelfde pagina kun je een groep een bericht sturen, een stempel of punten geven of een notitie achterlaten. De cijfers die ertoe doen, zijn de simpele: hoeveel mensen kwamen terug, hoeveel zijn er nog actief en hoeveel kaarten zijn klaar om in te wisselen. Blijft dat laatste getal rond de nul hangen, dan betekent dat meestal dat de kaart te moeilijk vol te krijgen is, niet dat je klanten lui zijn.

Een aanmeldtekst die je kunt aanpassen voor je privacybeleid of het bordje bij de kassa, geschreven voor een café dat Bean & Bridge heet (een voorbeeld, geen juridische tekst): "We gebruiken je naam en telefoonnummer om je Bean & Bridge-kaart te laten werken en je op de hoogte te houden van beloningen en aanbiedingen bij ons. We delen ze met niemand. Je kunt ons altijd vragen om ze in te zien, aan te passen of te verwijderen."

#De AVG voor een kleine zaak, in vijf regels

De wet is lang. Voor een klantenkaart dekken vijf regels het grootste deel van wat je moet doen, met het artikel erbij:

Geldt dit voor een café met één vestiging? Ja. Artikel 3 koppelt de reikwijdte aan waar het bedrijf gevestigd is en noemt geen ondergrens voor omvang of omzet. In het Verenigd Koninkrijk gelden dezelfde regels nog steeds, als UK GDPR, en de ICO heeft richtlijnen die speciaal voor kleine organisaties en zzp'ers zijn geschreven. In de VS geldt de Californische CCPA onder andere voor bedrijven met meer dan 25 miljoen dollar omzet, of die de persoonsgegevens van 100.000 of meer inwoners of huishoudens in Californië kopen, verkopen of delen, dus de meeste zelfstandige winkels vallen erbuiten; check de regels van je eigen staat. Waar je ook zit: zegt een klant "verwijder mijn gegevens", doe het dan gewoon. Het kost je niets en je houdt de goodwill.

De boetes zijn echt (tot 20 miljoen euro of 4% van de wereldwijde omzet voor de zware categorie), maar voor een winkel is het echte risico niet de boete. Het is een vaste klant die zich bedrogen voelt en dat rondvertelt.

#Zo exporteer je je klantenlijst

In Passtastic is exporteren een kwestie van twee klikken, en het zit in elk abonnement, ook Single Location. Je hebt er de rol Editor of hoger voor nodig.

1. 1Open Customers (klanten) in de zijbalk.
2. 2Wil je een deel van de lijst, filter dan op kaart of op status (bijvoorbeeld alleen actieve klanten).
3. 3Klik rechtsboven, naast de zoekbalk, op Download customers (klanten downloaden).

Het bestand heet passusers_YYYY-MM-DD.csv en opent in Excel, Google Spreadsheets of Numbers. Elke rij is één kaart: naam, voornaam, achternaam, e-mail, telefoon, kaartnaam en -type, status, aanmaakdatum, vervaldatum en eventuele eigen velden zoals verjaardag. Een klant met twee kaarten staat op twee rijen; de kolom Person Key (persoonssleutel) is op beide rijen hetzelfde, dus sorteer op die kolom en je ziet alle kaarten van één persoon bij elkaar.

Dat CSV-bestand is ook wat artikel 20 bedoelt met "een gestructureerde, gangbare en machineleesbare vorm". Stap je over naar een andere tool, dan is dit het bestand dat je meeneemt. Vraagt één klant om zijn eigen gegevens, stuur dan nooit de hele export, want daar staat iedereen van de kaart in: open zijn record op de Customers-pagina en stuur wat daar staat, of maak een kopie van het CSV-bestand, haal alle rijen weg behalve de zijne (die met zijn Person Key) en stuur die.

Wil je het bestand overslaan, dan kan dat op twee manieren. Vanaf Multi-Location kan Zapier elke nieuwe aanmelding, stempel of beloning doorsturen naar de tools die je al gebruikt, en de API en webhooks doen hetzelfde voor een koppeling op maat. Op Single Location exporteer je met de hand. Denk in beide gevallen na voordat je de lijst in een nieuwsbrieftool plakt: bij het aanmelden heb je mensen verteld waar je hun gegevens voor gebruikt, en een wekelijkse e-mail stond daar misschien niet bij. Staat hij er niet bij, vraag het dan eerst. De wallet-melding is wél het kanaal waarvoor ze zich hebben aangemeld; hier lees je wat je in een wallet-melding kunt sturen.

#Wat doe je als een klant zegt: "verwijder mijn gegevens"?

Verwijderen, zonder onnodige vertraging en uiterlijk binnen een maand (de wet staat twee maanden extra toe voor ingewikkelde verzoeken, en zo ingewikkeld is het jouwe niet). Dat staat in artikel 17 en artikel 12(3). Voor een winkel is dit zelden meer dan één gesprek, een paar klikken en het woord DELETE typen.

In Passtastic kan het verzoek bij de klant beginnen. Op de pagina "Mijn gegevens" vult hij een zescijferige code uit zijn e-mail in en vraagt hij om verwijdering. Er wordt dan nog niets gewist; hij krijgt in je Customers-lijst de markering "Deletion requested" (verwijdering aangevraagd), en jij kiest:

• Erase (wissen): opent Delete permanently (definitief verwijderen) voor die klant en beëindigt zijn sessies. Alleen Admins en Owners kunnen dit.
• Dismiss (afwijzen): haalt de markering weg zonder iets te verwijderen, voor een verzoek dat per ongeluk is gedaan of op een andere manier is opgelost. Editors en hoger kunnen dit.

Met de hand verwijderen: open Customers, open de klant, kies Delete permanently in het menu ⋯, kies alleen deze kaart of de persoon met al zijn kaarten, typ DELETE en klik op Delete forever (voorgoed verwijderen). Wil je er meerdere tegelijk opruimen, dan vinkt een Admin of Owner de rijen aan in Customers en klikt op Delete permanently in de balk die verschijnt. Terugdraaien kan in geen van beide gevallen. Verwijderen wist het profiel, de bezoeken, de punten en de scangeschiedenis; een paar records blijven bewaard zonder persoonsgegevens (berichtlogs zonder de tekst, betaalrecords zonder het e-mailadres).

Eén ding kan de wet niet veranderen: de kaart blijft op de telefoon van de klant staan. Apple en Google laten een aanbieder geen pass van een toestel halen, dus de kaart werkt gewoon niet meer en verhuist naar de verlopen kaarten. Vraagt de klant ernaar, zeg dan dat de kaart niet meer werkt en dat hij hem zelf kan verwijderen.

Voor dubbele records en leden die misschien nog terugkomen, kun je beter Mark inactive (markeren als inactief) gebruiken. Dat blokkeert de voordelen bij de scanner, bewaart de geschiedenis en het saldo, en is terug te draaien. Bewaar Delete permanently voor het echte verzoek, en voor leden die je nooit meer een bericht stuurt.

#Wie in je team kan de lijst zien en exporteren?

Een lijst is net zo privé als je nieuwste medewerker. Passtastic heeft vier rollen, en voor de gegevens draait het om twee vragen: wie kan exporteren en wie kan wissen?

Je abonnement bepaalt hoe ver een rol reikt. Single Location (één zaak) heeft 2 teamleden en Multi-Location (tot 3 zaken) 5; op beide ziet elke Editor de hele lijst en kan hij die exporteren, alle zaken inbegrepen. Geef de Editor-rol dus alleen aan mensen die je de lijst toevertrouwt. Groups & Brands (tot 10 zaken, 20 teamleden) is het abonnement waarop je een Viewer of Editor kunt beperken tot bepaalde zaken; een beperkte Viewer ziet geen e-mailadressen of telefoonnummers van klanten en kan niet exporteren. Drie cafés passen dus in Multi-Location, met één lijst die alle Editors delen; draai je één kaart op al je vestigingen en wil je dat elke manager alleen zijn eigen zaak ziet, dan heb je Groups & Brands nodig, met Admin voor het hoofdkantoor.

Admins en Owners zien ook het Changes-log (wijzigingenlog): elke stempel, elk punt, elke notitie of saldowijziging vanuit het dashboard, met de naam van degene die het deed. Editors en Viewers zien de regels zonder namen. Dat is het antwoord op "wie heeft dinsdag 40 punten op de kaart van Tom gezet?"

#Wat gebeurt er met de gegevens als je weggaat of overstapt?

Eerst exporteren, dan beslissen. Volgens artikel 28 verwijdert de verwerker de gegevens aan het eind van de dienst of geeft hij ze terug, wat jij maar wilt, dus je moet twee dingen regelen: welke van de twee, en wanneer. Noch artikel 28, noch de verwerkersovereenkomst van Passtastic noemt een aantal dagen, dus een datum spreek je zelf met de leverancier af.

Bij Passtastic blijven het account en de gegevens staan als je het abonnement opzegt; er wordt niets automatisch verwijderd, je kunt terugkomen, en stuur je een mail, dan worden ze zonder onnodige vertraging verwijderd. Het account verwijderen is de andere route: dat haalt de organisatie, de kaarten, de berichten en de klantrecords weg, de passes in wallets stoppen met werken, en alleen de Owner kan het. De eerste stap in de helpgids is dan ook: exporteer eerst je klantenlijst.

De andere kant op, naar een nieuwe tool, gaat ook met een bestand. Passtastic importeert een CSV- of Excel-bestand van maximaal 10.000 rijen, koppelt voornaam, achternaam, e-mail, telefoon en een saldokolom, en vraagt je te bevestigen dat je een echte klantrelatie met deze mensen hebt en ze over hun kaart mag berichten. Importeren zet bij niemand een kaart op de telefoon: elke klant tikt op zijn eigen uitnodigingslink, en wie al bekend is op e-mail of telefoon, wordt bijgewerkt en niet dubbel aangemaakt.

Abonnementen beginnen bij €39 per maand voor één vestiging en €99 per maand voor maximaal drie, met 14 dagen gratis proberen zonder creditcard; wat elk abonnement kost staat op de prijzenpagina, en exporteren zit in elk abonnement.

#Drie zaken, drie vragen

• Niamh runt drie cafés in Dublin. De vraag van haar partner ging over eigendom. Haar antwoord is de verwerkersovereenkomst: verwerker, geen ander gebruik, verwijderd op verzoek. Ze stuurt de drie vragen naar twee leveranciers en tekent bij degene die antwoordt.
• De nagelsalon van Ines, Lacquer Lane, vraagt naar verjaardagen. Ze stuurt een verjaardagstraktatie, dus het veld verdient zijn plek. Het adresveld, dat ze nooit gebruikte, zet ze uit, en het formulier is een regel korter.
• Pedal Post, een fietsenwinkel, krijgt zijn eerste mail met "verwijder mijn gegevens". De klant had het al via de kaart aangevraagd; de eigenaar klikt op Erase, antwoordt "gedaan", en alles bij elkaar kost het vier minuten, geen maand.

De gegevens zijn een bijproduct van een kaart die werkt. Je klanten hebben ze aan je uitgeleend voor de kaart; bewaar ze op een plek waar je ze kunt meenemen, en de vraag van wie ze zijn is beantwoord voordat iemand hem stelt.

“

Toen ze zagen dat ze geen app hoefden te installeren en geen stapel beveiligings- en toestemmingsvragen hoefden te accepteren (het is gewoon gekoppeld aan mijn account, meer niet), kregen we daar heel goede reacties op.

(Vertaald uit het Engels)

“

Alex, eigenaar van Rewind

Read their story →