Mag je klanten mailen zonder toestemming? Het spamverbod uitgelegd

Mag je zomaar een commerciële mail sturen?

Nee. Ongevraagde commerciële berichten sturen is in Nederland verboden, tenzij de ontvanger daar vooraf toestemming voor gaf of tenzij hij al klant bij je is. Die regel staat in artikel 11.7 van de Telecommunicatiewet en heet in de wandelgangen het spamverbod. Hij gaat niet alleen over e-mail. De wet spreekt over elektronische berichten, en daar valt een WhatsApp-bericht, een sms of een pushbericht met een aanbieding erin net zo goed onder.

Dat maakt de regel praktischer dan hij klinkt. E-mail en tekstberichten zijn de kanalen waar je klanten echt zitten: volgens het CBS gebruikte in 2025 ruim 90 procent van de bevolking van 12 jaar of ouder deze vormen van online communicatie. Wie zijn klantcontact automatiseert, automatiseert dus precies het kanaal waar deze wet over gaat.

Voor AI ligt het nog een graad scherper. Artikel 11.7 noemt letterlijk automatische oproep- en communicatiesystemen zonder menselijke tussenkomst. Dat is geen restant uit het faxtijdperk dat je kunt negeren — het is de beschrijving van een systeem dat zelf berichten opstelt en verstuurt. Zet je zoiets aan op je mailbox of je WhatsApp-nummer, dan zit je niet aan de rand van deze wet maar in het midden.

Wat het spamverbod letterlijk verbiedt

De kern van artikel 11.7, eerste lid, bestaat uit drie stukken die alle drie waar moeten zijn voordat het verbod aanslaat. Het gaat om communicatie die ongevraagd is, met een commercieel, ideëel of charitatief doel, verstuurd via een elektronisch bericht of een automatisch communicatiesysteem. Ontbreekt er één, dan valt het bericht buiten het verbod. Een antwoord op een vraag die de klant zelf stelde is niet ongevraagd. Een factuur heeft geen commercieel doel. Een brief op papier is geen elektronisch bericht.

Twee dingen worden vaak verkeerd begrepen. Ten eerste beschermt het verbod niet alleen consumenten: ook zakelijke ontvangers vallen eronder. Het idee dat "B2B mailen vrij is" klopt niet. Ten tweede gaat het niet alleen over verkoop. De wet noemt ook ideële en charitatieve doeleinden, dus een oproep om te doneren of te steunen valt er net zo goed onder als een kortingsactie.

Belangrijk is verder wie moet bewijzen dat het goed zat. Dat ben jij, de verzender. Je moet kunnen aantonen dat de ontvanger vooraf toestemming gaf, of dat de klantuitzondering van toepassing was. Een lijst met adressen zonder herkomst is dus geen bewijs, maar het tegendeel: als je niet kunt laten zien waar een adres vandaan komt, kun je ook niet laten zien dat je mocht mailen.

De Autoriteit Consument & Markt vat de regel op zijn eigen voorlichtingspagina samen in drie zinnen: stuur alleen naar mensen die vooraf toestemming gaven, maak duidelijk wie de afzender is, en maak afmelden makkelijk. Die drie punten zijn een bruikbare zelftest. Kun je bij één van de drie geen ja zeggen, dan verstuur je het bericht niet.

De uitzondering: je eigen klanten mag je wel benaderen

De uitzondering die voor het MKB het meest uitmaakt, staat in hetzelfde artikel, in het derde lid. Kort gezegd: contactgegevens die je hebt gekregen bij de verkoop van je eigen product of dienst, mag je gebruiken om diezelfde klant te benaderen over je eigen gelijksoortige producten of diensten. De toezichthouder zegt het in gewone taal zo: bestaande klanten mag je ongevraagd berichten sturen over producten of diensten die te maken hebben met eerdere aankopen, ze moeten zich kunnen afmelden, en het moet duidelijk zijn dat jij de afzender bent.

Aan die uitzondering hangen vier voorwaarden, en ze gelden allemaal tegelijk.

• De gegevens komen uit een verkoop. Niet uit een gekocht bestand, niet van een beurs, niet van een website die je hebt afgestruind. Uit een transactie tussen jou en die klant.
• Het gaat om je eigen gelijksoortige producten of diensten. Niet die van een partner, en niet iets uit een heel ander deel van je aanbod.
• Bij het verzamelen van het adres is duidelijk en uitdrukkelijk de gelegenheid geboden om bezwaar te maken. Dat moet gratis en makkelijk kunnen. Een bestelformulier waar nergens staat dat het adres ook voor aanbiedingen wordt gebruikt, voldoet daar niet aan.
• Bij elk volgend bericht bied je die mogelijkheid opnieuw. Eén keer bij de aankoop is niet genoeg.

Waar het in de praktijk misgaat, is bij het woord gelijksoortig. Een installatiebedrijf dat een warmtepomp heeft geplaatst, mag die klant benaderen over onderhoud aan diezelfde installatie. Datzelfde bedrijf dat plotseling zonnepanelen of een verzekering aanbiedt, zit een stuk verder van de oorspronkelijke aankoop af. Er is geen lijstje dat zegt waar de grens ligt; de vraag is of de klant dit redelijkerwijs kon verwachten toen hij bij je kocht. Hoe verder je van de eerdere aankoop af beweegt, hoe meer je toestemming nodig hebt in plaats van de uitzondering.

Nog een veelgemaakte fout: iemand die alleen een offerte opvroeg of een brochure downloadde, is geen klant. Er is geen verkoop geweest, dus de uitzondering geldt niet. Wil je die persoon later mailen, dan heb je toestemming nodig, of je vraagt het gewoon in het gesprek zelf.

Wanneer is toestemming echte toestemming?

Toestemming is een begrip uit de AVG, en het is strenger dan een vinkje. Het moet vrij gegeven zijn, specifiek, geïnformeerd en ondubbelzinnig (artikel 4, elfde lid, AVG). Vrij betekent dat je iemand niets mag onthouden als hij nee zegt. Specifiek betekent dat de toestemming ergens over gaat: "nieuwsbrief met aanbiedingen" is iets anders dan "berichten over je afspraak". Geïnformeerd betekent dat hij vooraf weet wie hem gaat mailen en waarover. Ondubbelzinnig betekent dat hij zelf iets heeft gedaan.

De Autoriteit Persoonsgegevens is daar helder over: je mag er niet van uitgaan dat iemand impliciet toestemming geeft, en vooraf aangevinkte vakjes zijn niet toegestaan. Dat raakt meer formulieren dan je denkt. Een vakje dat al aanstaat, een zin als "door verder te gaan ga je akkoord met onze nieuwsbrief", of een chatvenster dat je bij de eerste vraag stilzwijgend op de mailinglijst zet — dat is alle drie geen geldige toestemming.

Praktisch betekent dit dat je toestemming moet bewaren, niet alleen verzamelen. Leg per persoon vast wanneer het gebeurde, via welk formulier of gesprek, en met welke tekst erbij. Verandert die tekst, bewaar dan ook de oude versie. Zonder die administratie heb je bij een klacht niets in handen, want de bewijslast ligt bij jou.

Intrekken moet net zo makkelijk zijn als geven (artikel 7, derde lid, AVG). Iemand die zich afmeldt, trekt zijn toestemming in. Vanaf dat moment mag je hem geen commerciële berichten meer sturen — ook niet "nog één keer, om te vragen of het echt de bedoeling was".

Elke commerciële mail heeft een afmeldmogelijkheid nodig

Dit is de regel die het vaakst wordt vergeten bij losse berichten. Een afmeldlink hoort niet alleen in de maandelijkse nieuwsbrief; hij hoort in elk bericht met een commercieel doel. Artikel 11.7 vraagt bij elk overgebracht bericht opnieuw om die mogelijkheid, kosteloos en op een makkelijke manier. Ook moet duidelijk zijn wie de afzender is, met een adres waar iemand zich daadwerkelijk kan afmelden.

Drie dingen om na te lopen in je eigen opzet:

1. Werkt de afmeldlink ook zonder in te loggen? Een afmelding die pas werkt na het aanmaken van een account is niet makkelijk.
2. Komt de afmelding overal aan? Als je nieuwsbrieftool en je klantsysteem twee losse lijsten hebben, meldt de klant zich af in één en krijgt hij uit de andere gewoon post. Dat is dezelfde overtreding als niets doen.
3. Kan iemand zich ook afmelden in het kanaal waar hij zit? Op WhatsApp mailt niemand een afmeldadres; daar verwacht men dat "stop" gewoon werkt. Zorg dus dat je die woorden herkent en verwerkt.

Let op het verschil tussen afmelden voor reclame en afmelden voor alles. Iemand die geen aanbiedingen meer wil, mag je nog steeds mailen over zijn lopende bestelling of afspraak. Die berichten zijn geen reclame, en het zou onredelijk zijn om ze te stoppen. Andersom geldt: die servicemail is geen achterdeur om alsnog een aanbieding te bezorgen.

Servicebericht of reclame? Het doel bepaalt het, niet het sjabloon

De grens tussen een servicebericht en een commercieel bericht is de belangrijkste grens in dit hele onderwerp, en hij loopt niet langs het soort mail maar langs het doel ervan. Een servicebericht is nodig om te doen wat je hebt afgesproken: de bestelling bevestigen, de afspraak verzetten, laten weten dat de monteur later komt. Een commercieel bericht is bedoeld om iets te verkopen of om de klant iets te laten doen wat hij nog niet had gevraagd.

Het lastige geval is het gemengde bericht: een afspraakherinnering met onderaan een actie, of een factuur met een aanbeveling erin. De wet kijkt naar het doel van de communicatie, niet naar het label dat jij op het sjabloon plakt. Zodra een deel van het bericht commercieel is, moet dat deel de toets doorstaan: toestemming of de klantuitzondering, plus een afmeldmogelijkheid. Een servicebericht wordt niet automatisch reclame door één zin, maar het wordt het ook niet automatisch níét door de kop "servicebericht" erboven te zetten.

Per soort bericht: is er vooraf toestemming nodig, en waarop rust dat oordeel?

Soort bericht	Toestemming vooraf nodig?	Grond
Antwoord op een vraag die de klant zelf stelde	Nee	Het bericht is gevraagd; artikel 11.7 gaat over ongevraagde communicatie
Orderbevestiging, factuur of verzendbericht	Nee	Servicebericht: nodig voor de uitvoering van de overeenkomst, geen commercieel doel
Afspraakbevestiging of herinnering	Nee	Servicebericht bij een lopende afspraak
Storingsmelding of terugroepactie	Nee	Informatie over een geleverd product, geen commercieel doel
Aanbieding aan een bestaande klant over een gelijksoortig product	Nee, mits	Klantuitzondering: gegevens uit een eerdere verkoop, eigen gelijksoortig aanbod, bezwaarmogelijkheid bij het verzamelen én in elk bericht
Aanbieding aan een bestaande klant over iets heel anders	Ja	Valt buiten "eigen gelijksoortige producten of diensten"
Nieuwsbrief aan iemand die alleen een offerte opvroeg	Ja	Er is geen verkoop geweest, dus geen klantrelatie in de zin van de uitzondering
Nieuwsbrief aan een gekocht of geschraapt adressenbestand	Ja	De toestemming is niet aan jou gegeven en is niet aantoonbaar
WhatsApp-actie naar je klantenbestand	Nee, mits	Elektronisch bericht: dezelfde voorwaarden als bij e-mail
Servicebericht met een aanbieding erin	Ja, voor het commerciële deel	Het doel telt, niet het sjabloon; het commerciële deel valt onder het verbod
Bericht aan iemand die zich heeft afgemeld	Mag niet	De toestemming is ingetrokken; alleen service die nodig is voor de overeenkomst blijft over

Waarom een AI-antwoord dat verschil moet kennen

Zodra een AI-assistent je mailbox of WhatsApp beantwoordt, verplaatst de grens uit de vorige paragraaf zich van een sjabloon naar een systeem dat per bericht een keuze maakt. Dat is een echt verschil. Een sjabloon is één keer beoordeeld en daarna voorspelbaar. Een taalmodel formuleert elke keer opnieuw, en de verleiding is groot om het te laten "meedenken": een klant vraagt naar de levertijd en krijgt er een aanbeveling bij. Dat is behulpzaam bedoeld en verandert het bericht juridisch van karakter.

Er zijn drie plekken waar dit concreet fout gaat.

• Het antwoord verkoopt mee. Een reactie op een vraag is gevraagde communicatie. Een spontane aanbieding erbij is dat niet. Als het systeem zelf mag besluiten om iets te verkopen, kan het van elke servicemail een commercieel bericht maken zonder dat iemand dat doorheeft.
• Het systeem bouwt zelf een lijst. Elke binnenkomende mail levert een adres op. Wordt dat adres automatisch aan een campagne toegevoegd, dan mail je straks mensen die nooit iets kochten en nooit iets toestonden.
• Het systeem herkent een afmelding niet. "Graag geen mail meer", "stop" en "haal me van de lijst" komen binnen als gewone berichten. Als een assistent daar vriendelijk op antwoordt maar er niets mee doet in de administratie, blijft de overtreding gewoon doorlopen.

De praktische oplossing is niet slimmer promptwerk, maar een grens in het systeem zelf. Bepaal vooraf welke berichtsoorten zelfstandig verstuurd mogen worden — bevestigingen, herinneringen, antwoorden op vragen — en welke altijd langs een mens gaan, namelijk alles met een aanbod erin. Leg vast dat het model geen adressen aan marketinglijsten mag toevoegen. En zorg dat afmeldwoorden een handeling in je klantsysteem zijn, niet een zin in een antwoord.

Er speelt nog iets mee. Een AI die feitelijk onjuiste informatie geeft over een product, een prijs of een levertijd, levert juridisch een misleidende handelspraktijk op — dat volgt uit artikel 193c van Boek 6 van het Burgerlijk Wetboek, en opzet is daar geen voorwaarde. Verkopen in een geautomatiseerd bericht is dus dubbel riskant: je moet niet alleen mógen mailen, de inhoud moet ook kloppen.

Wie houdt hier toezicht op?

Het spamverbod wordt gehandhaafd door de Autoriteit Consument & Markt. De ACM houdt toezicht op de regels uit hoofdstuk 11 van de Telecommunicatiewet en publiceert daar zelf voorlichting over voor ondernemers. Klachten van ontvangers komen bij dezelfde toezichthouder terecht; consumenten worden daar via het loket ConsuWijzer naartoe geleid.

De ACM is ook de toezichthouder voor oneerlijke handelspraktijken. Dat is relevant omdat die twee dingen bij geautomatiseerd klantcontact in één bericht kunnen samenvallen: een ongevraagde aanbieding die daarbovenop een onjuiste bewering bevat, is twee overtredingen in één mail.

Daarnaast is er een tweede spoor. Een e-mailadres en een telefoonnummer zijn persoonsgegevens, dus de AVG geldt er gewoon naast. Daar houdt de Autoriteit Persoonsgegevens toezicht op. Voor jou betekent dat: je hebt niet alleen een grond nodig om te mógen mailen (Telecommunicatiewet), maar ook een grondslag om de gegevens te verwerken en een privacyverklaring die vertelt wat je ermee doet (AVG). Die twee vragen worden vaak door elkaar gehaald, maar ze staan los van elkaar en moeten allebei beantwoord zijn.

En dan is er nog de partij die geen toezichthouder is maar wel meebeslist: je e-mailprovider. Klachten over ongevraagde post leiden tot filtering en blokkades. Dat is geen juridisch oordeel, maar het effect is direct merkbaar en het treft ook je gewone servicemail.

Wat je kunt nakijken voordat je iets aanzet

Loop dit rijtje langs voordat je een geautomatiseerd kanaal in gebruik neemt. Het kost een uur en het scheelt de meeste problemen.

1. Waar komt elk adres vandaan? Deel je bestand op in: gaf toestemming, is klant (met datum en aankoop), en de rest. Die laatste groep mag je niet commercieel benaderen.
2. Kun je toestemming aantonen? Per persoon: wanneer, waar, en met welke tekst. Geen administratie is geen toestemming.
3. Blijf je bij gelijksoortig aanbod? Zet naast elk soort actie welke eerdere aankoop hem rechtvaardigt. Lukt dat niet, dan is het een toestemmingsactie.
4. Zit er in elk commercieel bericht een afmeldmogelijkheid? Test hem echt, in een lege browser, zonder in te loggen.
5. Werkt een afmelding in alle systemen tegelijk? Meld jezelf af en kijk of je uit alle lijsten verdwijnt.
6. Weet je systeem wat een servicebericht is? Maak de lijst met sjablonen die zelfstandig mogen, en zet alles met een aanbod erin achter een menselijke goedkeuring.
7. Herkent het kanaal een afmelding in gewone taal? Stuur "stop" en "geen mail meer" naar je eigen nummer en kijk wat er in het klantsysteem gebeurt.
8. Staat het in je privacyverklaring? Doel, grondslag en de mogelijkheid om bezwaar te maken, in gewone taal.

De samenvatting past op een briefkaart: mailen mag naar wie het heeft toegestaan en naar je eigen klanten over wat ze eerder bij je kochten, altijd met een werkende afmeldknop en een duidelijke afzender. Alles daarbuiten is een risico dat je bewust neemt, en bij een geautomatiseerd kanaal neem je dat risico niet één keer maar bij elk bericht dat het systeem verstuurt.