Hoe lang moet en mag je klantgesprekken via WhatsApp en e-mail bewaren?

Zodra een AI-assistent je mailbox of je WhatsApp-nummer beantwoordt, groeit er een archief waar je niet om gevraagd hebt. Duizenden berichten, met namen, telefoonnummers, adressen, klachten, afspraken en soms een foto van een kapotte ketel erbij. En dan komt de vraag: hoe lang moet dat blijven staan, en hoe lang mag dat blijven staan?

Er circuleren twee antwoorden in het MKB. Het eerste is: zeven jaar, want de Belastingdienst. Het tweede is: zo kort mogelijk, want AVG. Allebei kloppen ze half. En juist omdat ze half kloppen, gaat het mis: ondernemers zetten alles op zeven jaar, of ze laten hun chatplatform elke maand schoonvegen. Beide keuzes zijn te verdedigen voor een deel van je berichten en onverdedigbaar voor de rest.

Hieronder staat waar de zeven jaar vandaan komt, waarom de privacywet weigert een getal te noemen, en hoe je per soort bericht tot een termijn komt die je kunt uitleggen als iemand ernaar vraagt.

Waarom noemt de AVG geen enkel aantal jaren?

Dat is geen omissie. De AVG werkt met beginselen, en het beginsel dat hier geldt heet opslagbeperking: artikel 5, lid 1, onder e. Persoonsgegevens mogen niet langer worden bewaard in een vorm waarin de betrokkene identificeerbaar is dan noodzakelijk is voor het doel waarvoor je ze verwerkt. Geen jaartal, geen maximum, geen minimum. Alleen het woord noodzakelijk.

De Autoriteit Persoonsgegevens zegt het net zo droog: in de AVG staat geen concrete bewaartermijn, organisaties bepalen zelf hoe lang ze gegevens bewaren, en in andere wetten staan wel concrete termijnen. Dat betekent iets ongemakkelijks voor jou als ondernemer. De wetgever schuift de keuze naar jou toe. Jij bepaalt de termijn, en jij moet die kunnen onderbouwen.

Het gevolg is dat "we bewaren alles voor de zekerheid" geen beleid is maar het ontbreken van beleid. Noodzakelijkheid wordt namelijk gemeten tegen je doel, en het doel staat in artikel 5, lid 1, onder b: je verzamelt voor een welbepaald, uitdrukkelijk omschreven doel. Als het doel van een WhatsApp-gesprek was "de klant helpen aan een afspraak", dan is dat doel op een gegeven moment bereikt of vervallen. Vanaf dat punt heb je een nieuwe reden nodig om het bericht te blijven bewaren. Heb je die reden niet, dan hoort het weg.

Andersom geldt hetzelfde. "We wissen alles na dertig dagen, lekker veilig" is ook geen beleid als je er zakelijke afspraken tussendoor gooit die je wettelijk moet bewaren. Dan gooi je administratie weg, en dat is geen privacyprobleem meer maar een fiscaal probleem. Het beginsel van opslagbeperking vraagt dus niet om zo kort mogelijk bewaren, maar om zo lang als nodig en geen dag langer. Dat is een andere opdracht, en hij dwingt je om per soort gegeven na te denken in plaats van een enkele schuif over je hele systeem te leggen.

Zeven jaar komt uit de belastingwet, niet uit de privacywet

De termijn die iedereen kent staat in artikel 52 van de Algemene wet inzake rijksbelastingen. Het eerste lid legt de administratieplicht neer: ondernemers moeten van hun vermogenstoestand en van alles wat hun bedrijf betreft een administratie voeren, en wel zo dat de rechten en verplichtingen van het bedrijf daaruit duidelijk blijken. Het vierde lid zegt vervolgens dat administratieplichtigen die gegevensdragers zeven jaar moeten bewaren, tenzij de belastingwet iets anders bepaalt.

Let op twee dingen in die zin. Ten eerste: het gaat over gegevensdragers, niet over papier. Een chatlog is net zo goed een gegevensdrager als een ordner. Ten tweede: de plicht hangt aan het begrip administratie, niet aan het kanaal. Of iets in je boekhoudpakket staat of in een WhatsApp-thread maakt voor de wet niets uit.

Dit is dus een omgekeerde plicht ten opzichte van de AVG. De AVG zegt: weggooien tenzij je een reden hebt om te bewaren. De belastingwet zegt: bewaren, punt. Die twee botsen minder vaak dan ondernemers denken, omdat ze over verschillende dingen gaan. Ze botsen pas als je je hele berichtenstroom als een en hetzelfde ding behandelt.

Naast de fiscale plicht loopt er nog een civielrechtelijke administratieplicht mee. Voor rechtspersonen staat die in Boek 2 van het Burgerlijk Wetboek en die rust op het bestuur; voor de eenmanszaak en de zzp'er staat een vergelijkbare plicht in Boek 3, artikel 15i. Praktisch gezien loop je met de fiscale lijn vrijwel altijd goed, maar het is nuttig om te weten dat dit geen "Belastingdienstregel" is die je met een telefoontje kunt wegonderhandelen. Het is een plicht die op je onderneming rust en, bij een rechtspersoon, op de mensen die haar besturen.

Een klantgesprek is iets anders dan een factuur

Hier zit de kern. De Belastingdienst schrijft zelf dat communicatiemiddelen die hoofdzakelijk privé worden gebruikt — een privé-e-mailadres, WhatsApp, en vergelijkbare kanalen — tot de administratie kunnen behoren als ze ook zakelijk worden gebruikt. Dat woordje kunnen doet al het werk. Het betekent niet dat elk berichtje in je zakelijke WhatsApp zeven jaar moet blijven staan. Het betekent dat het kanaal je niet redt: je kunt niet zeggen "het was maar een appje" over een bericht waarin je een prijs afspreekt.

De praktische toets die je erop kunt leggen is deze vraag: legt dit bericht een recht of een verplichting van mijn bedrijf vast, of maakt het duidelijk hoe een bedrag tot stand is gekomen?

• "Akkoord, dan zetten we hem donderdag in en het wordt het pakket dat we besproken hebben" — dat is administratie.
• "Je krijgt tien procent korting omdat we vorige keer te laat waren" — dat is administratie, want het verklaart je factuur.
• "De monteur is onderweg, hij staat er over twintig minuten" — dat is geen administratie.
• "Zijn jullie zaterdag open?" — dat is geen administratie.

Het overgrote deel van wat een AI-assistent afhandelt valt in de tweede categorie. Openingstijden, routebeschrijvingen, "waar blijft mijn pakket", een vraag over parkeren. Dat zijn persoonsgegevens, want er hangt een telefoonnummer of e-mailadres aan, maar het is geen administratie. Er is geen wet die je verplicht om die berichten te bewaren, en dus valt het terug op artikel 5 AVG: zo kort als je doel toestaat.

Het gevolg voor je inrichting is belangrijk. Je hebt niet een enkele termijn nodig maar twee stromen. Een stroom waar de bewaarplicht op zit, en een stroom waar de wisplicht op zit. Wie dat niet scheidt, kiest automatisch voor de langste termijn over alles heen — en dat is precies de keuze die de toezichthouder niet accepteert.

Wanneer begint die zeven jaar eigenlijk te lopen?

Bijna iedereen rekent vanaf de datum van het bericht. Dat is niet wat de Belastingdienst zegt. Voor het bepalen van de start van de bewaartermijn geldt de actuele waarde van een gegeven: zolang een gegeven actueel blijft, hoort het bij de administratie, en pas als die actualiteitswaarde vervalt begint de termijn te lopen.

Dat verandert je rekensom. Een onderhoudscontract dat drie jaar doorloopt en waarover jullie in dezelfde WhatsApp-thread blijven appen, is die hele looptijd actueel. De klok begint dus niet bij het eerste bericht. Hetzelfde geldt voor de stamgegevens van een klant: zolang die klant klant is, is het adres actueel.

Praktisch betekent dit dat een simpele regel als "verwijder automatisch alles ouder dan X" in je chatplatform je niet compliant maakt, in geen van beide richtingen. Te kort ingesteld gooi je lopende dossiers weg. Te lang ingesteld bewaar je jarenlang gesprekken die nergens meer over gaan. De bruikbare aanpak is: hang de termijn aan het dossier of de klantrelatie, niet aan de datum van het losse bericht. Dat vraagt iets van je inrichting, want veel chatplatformen kennen alleen een instelling per berichtdatum. Kun je het niet fijnmazig regelen, kies dan bewust: haal wat bij de administratie hoort periodiek uit het kanaal en zet het in je boekhouding, zodat je in het gespreksarchief zelf een korte termijn kunt aanhouden.

Zo bepaal je per soort bericht een termijn

Je hoeft hier geen jurist voor te zijn. Loop per categorie berichten vier vragen langs, in deze volgorde.

1. Is er een wettelijke bewaarplicht? Zit het bericht in de administratie, dan is de termijn gegeven en heb je geen keuze. Klaar.
2. Heb ik het nog nodig voor het doel waarvoor ik het kreeg? Zo niet, dan is de standaard: weg. Ook als het handig zou zijn om het te houden.
3. Heb ik het nodig voor een reëel risico? Een lopende klacht, een garantiekwestie, een geschil dat eraan kan komen. Dat mag een reden zijn om langer te bewaren, maar het moet een concreet risico zijn, geen algemeen gevoel.
4. Geldt er een sectorregel? Zorg, financiële dienstverlening en juridische dienstverlening hebben eigen wettelijke termijnen die voorrang hebben boven je eigen keuze.

Het resultaat schrijf je op in een tabel zoals hieronder. De kolom die er echt toe doet is de laatste: de grond. Een termijn zonder grond is een gok, en een gok kun je niet uitleggen.

Voorbeeld van een bewaarschema voor klantberichten via e-mail en WhatsApp: per soort bericht een termijn en de grond waarop die termijn berust.

Soort bericht	Termijn	Grond
Bevestiging van een order, offerte, prijsafspraak of korting	Zeven jaar	Artikel 52, lid 4, AWR — het bericht hoort bij de administratie
Correspondentie over een factuur, betaalregeling of creditering	Zeven jaar	Artikel 52, lid 4, AWR — het verklaart een bedrag in je boekhouding
Klacht over een geleverde order, met de afhandeling erbij	Zeven jaar	Artikel 52 AWR, want het raakt rechten en verplichtingen uit de overeenkomst
Servicevraag zonder gevolg (openingstijden, bezorgstatus, route)	Kort, zelf vast te stellen	Artikel 5, lid 1, onder e, AVG — doel bereikt, dus niet langer noodzakelijk
Afgebroken gesprek dat nergens toe leidde	Zo kort mogelijk	Artikel 5, lid 1, onder e, AVG — er is geen doel meer om aan te bewaren
Sollicitatie of open aanmelding die via de mailbox binnenkomt	Uiterlijk vier weken na het einde van de procedure; langer alleen met toestemming van de sollicitant	Richtlijn van de Autoriteit Persoonsgegevens voor sollicitatiegegevens
Gesprek dat onderdeel is van een lopend geschil	Zolang het geschil loopt, daarna afsluiten	Noodzakelijk voor de eigen rechtspositie; een concreet risico, geen algemene voorzichtigheid
Bericht van een patiënt of cliënt in de zorg	Eigen wettelijke termijn, los van dit schema	Artikel 7:454 BW (WGBO) — het dossier kent een eigen bewaartermijn

Wat als je gesprekken bij een leverancier staan?

Dit is het punt waar het bij AI-klantcontact het vaakst misgaat. Je berichten staan in een chatplatform, een helpdesktool of een AI-omgeving van iemand anders. Dat voelt als hun probleem. Dat is het niet.

De Belastingdienst schrijft dat als je je administratie geheel of gedeeltelijk door derden laat bijhouden, ook de gegevens die die derden over je onderneming hebben bewaard moeten worden — en dat je je administratie ook moet bewaren nadat je je onderneming hebt beëindigd. De bewaarplicht verhuist dus niet mee naar je leverancier. Hij blijft bij jou liggen.

Dat heeft drie concrete gevolgen voor de manier waarop je een leverancier kiest:

• Kun je eruit? Vraag naar een export van gesprekken in een leesbaar formaat, en test die export een keer echt. Een leverancier die alleen een dashboard biedt is een risico op het moment dat je overstapt of stopt.
• Wat doet zijn eigen bewaarinstelling? Sommige platformen wissen logs standaard na een korte periode, andere bewaren alles eeuwig. Allebei kunnen ze in strijd zijn met wat jij hebt vastgelegd. Zet je eigen termijn in het systeem, of accepteer bewust wat er staat en schrijf op waarom.
• Wat gebeurt er bij het einde van het contract? Leg vast dat je je data terugkrijgt voordat er gewist wordt, en op welke termijn de leverancier daarna wist. Dit hoort in de verwerkersovereenkomst die je op grond van artikel 28 AVG toch al met hem moet hebben.

Denk hierbij ook aan het praktische deel: je moet je bestanden bij een controle nog kunnen openen en gebruiken. Een export die je over vijf jaar met geen enkel programma meer leest, is geen bewaarde administratie. Bewaar dus liever een neutraal, leesbaar bestandsformaat dan een archief dat alleen binnen de software van een leverancier open te krijgen is.

Wat als een klant zegt: wis alles wat je van me hebt?

Dat verzoek gaat over artikel 17 AVG, het recht op gegevenswissing. De hoofdregel is dat je zonder onredelijke vertraging wist. Maar het derde lid van dat artikel maakt een uitzondering voor verwerking die nodig is om te voldoen aan een wettelijke verplichting. En de fiscale bewaarplicht is zo'n wettelijke verplichting.

Het praktische antwoord is dus zelden "ja" of "nee", maar een splitsing. De berichten die bij je administratie horen blijven staan, met een uitleg waarom. De rest gaat weg: de servicevragen, de afgebroken chats, het nummer in je marketinglijst. Dat is geen truc om onder een verzoek uit te komen, maar het is ook geen vrijbrief om alles te laten staan omdat er ergens in het dossier een factuur zit.

Artikel 12 AVG geeft je hier een wettelijke reactietermijn voor, en die geldt net zo goed als het verzoek per WhatsApp binnenkomt bij een AI-assistent in plaats van per aangetekende brief. Zorg dus dat zulke verzoeken herkend worden en bij een mens terechtkomen, en dat je daadwerkelijk kunt terugvinden welke berichten van welke klant zijn. Een systeem waarin je niet per persoon kunt zoeken, kan artikel 15 (inzage) en artikel 17 (wissing) niet uitvoeren, hoe goed het verder ook werkt.

Hoe leg je je bewaartermijnen vast zodat ze standhouden?

Vastleggen is hier geen bureaucratie maar de kern van je verdediging. Je hebt de termijn zelf gekozen, dus het bewijs dat die keuze redelijk was moet ook van jou komen.

Drie plekken waar het hoort te staan:

1. In je verwerkingsregister. Artikel 30, lid 1, AVG vraagt onder meer om de beoogde termijnen waarbinnen de verschillende categorieën gegevens moeten worden gewist. Dat is precies de tabel hierboven. De vaak genoemde vrijstelling voor bedrijven met minder dan 250 medewerkers geldt niet als je verwerking niet incidenteel is, en doorlopend klantcontact is per definitie niet incidenteel.
2. In je privacyverklaring. Artikel 13, lid 2, onder a, AVG verplicht je om de klant te vertellen hoe lang je zijn gegevens bewaart, of hoe je die termijn bepaalt. Schrijf daar dus geen slogan neer, maar de logica: administratie zeven jaar, overige klantcorrespondentie korter, met een uitleg per categorie.
3. In het systeem zelf. Een termijn die alleen op papier bestaat is geen termijn. Zet de retentie-instelling van je mailbox, je chatplatform en je back-ups zo dat het beleid vanzelf gebeurt, en controleer een keer per jaar of het ook echt gebeurd is.

Zet er tot slot bij wie de keuze heeft gemaakt en wanneer. Als je over drie jaar wordt gevraagd waarom servicechats na een half jaar weg zijn, is een gedateerde regel in een document een compleet ander gesprek dan een reconstructie uit je hoofd.

De vijf denkfouten die het vaakst voorkomen

• "Alles zeven jaar, dan zit ik altijd goed." Niet waar. Voor berichten zonder bewaarplicht is zeven jaar juist een overtreding van de opslagbeperking. Te lang bewaren is net zo goed fout als te kort.
• "WhatsApp is chat, dat is vluchtig." De Belastingdienst zegt letterlijk het tegenovergestelde: zakelijk gebruikte communicatiemiddelen kunnen tot de administratie horen. Het medium bepaalt niets.
• "Mijn leverancier regelt de bewaartermijnen." De plicht ligt bij jou, ook als de data fysiek bij hem staat. Hij voert uit wat jij instelt.
• "Wij zijn te klein voor dit soort regels." De administratieplicht van artikel 52 AWR geldt voor elke ondernemer, ongeacht omvang. En de AVG kent geen ondergrens voor het beginsel van opslagbeperking.
• "Het staat in onze privacyverklaring, dus het klopt." Wat je opschrijft en wat je systeem doet, moeten hetzelfde zijn. Een verklaring die belooft dat je na een jaar wist terwijl er nog vier jaar aan chats staat, is een bewijsstuk tegen jezelf.

Wat je hier deze week concreet mee kunt

1. Maak een lijstje van de soorten berichten die daadwerkelijk binnenkomen in je AI-kanalen. Vijf tot tien categorieën is genoeg, meer wordt onwerkbaar.
2. Zet achter elke categorie: hoort dit bij de administratie, ja of nee. Dat is de belangrijkste knip.
3. Vul per categorie een termijn en een grond in, in de vorm van de tabel hierboven.
4. Kijk in je mailbox, je chatplatform en je back-up wat er nu is ingesteld, en breng dat in lijn met wat je hebt opgeschreven.
5. Neem het schema op in je verwerkingsregister, en zet de bewaartermijnen in je privacyverklaring in gewone taal.

Meer is het niet. De wet vraagt hier geen perfectie, maar een keuze die je kunt uitleggen. Een ondernemer met een eenvoudig bewaarschema dat hij zelf snapt, staat er beter voor dan een ondernemer die niets heeft gekozen en hoopt dat "alles bewaren" wel veilig is.