Nieuw: Xendy werkt in Claude en ChatGPT.Bekijk hoe het werkt

Privacy en regels

E-mailmarketing en de AVG: wat mag wel en wat niet.

Voor nieuwsbrieven gelden in Nederland twee wetten tegelijk. De Telecommunicatiewet bepaalt wie je mag mailen, de AVG hoe je met hun gegevens omgaat. Hieronder lees je per situatie wat mag, hoe je toestemming bewijst en wat er in elke mail moet staan, met een beslistabel, een check per persoon en een checklist.

Joeri Ras · Oprichter van Xendy

Bijgewerkt op 20 oktober 2026 · 9 min lezen · Eerder verschenen op nextmessage.nl

Dit artikel is uitleg, geen juridisch advies. Twijfel je over je eigen situatie, leg die dan voor aan een jurist.

In het kort

Reclame mailen mag alleen met voorafgaande toestemming (opt-in). Dat geldt in Nederland ook voor zakelijke adressen.
Uitzondering: bestaande klanten, over je eigen gelijksoortige producten. Voorwaarde is dat ze bij de aankoop konden weigeren en zich in elke mail kunnen afmelden. Dat heet de soft opt-in.
Toestemming moet je kunnen bewijzen. De ACM gaat uit van vijf jaar na verzending.
Elke mail noemt duidelijk wie de afzender is en heeft een werkende afmeldmogelijkheid.
Je e-mailtool verwerkt gegevens namens jou. Daarvoor sluit je een verwerkersovereenkomst.
De ACM houdt toezicht op de spamregels, de Autoriteit Persoonsgegevens (AP) op de AVG.

Twee wetten: de spamregels en de AVG

	Telecommunicatiewet, art. 11.7	AVG
Gaat over	Wie je ongevraagd mag mailen	Hoe je met persoonsgegevens omgaat
Kern	Opt-in, met een paar uitzonderingen	Grondslag, informatie, rechten, beveiliging
Toezicht	ACM	Autoriteit Persoonsgegevens
Maximale boete	€ 900.000 of 1% van de omzet, als dat meer is	€ 20 miljoen of 4% van de wereldwijde jaaromzet, als dat meer is (€ 10 miljoen of 2% voor onder meer een ontbrekende verwerkersovereenkomst)

Artikel 11.7 is op 1 juli 2026 aangepast. Voor e-mail verandert er inhoudelijk niets, maar (oud-)klanten ongevraagd bellen mag niet meer, op uitzonderingen voor uitgevers en goededoelenloterijen na. De plicht om in elke mail je identiteit en een afmeldadres te noemen, staat sindsdien in lid 7 in plaats van lid 6. Oudere artikelen noemen dus soms het verkeerde lid.

Wanneer mag je iemand mailen?

Met toestemming (opt-in)

De hoofdregel staat in artikel 11.7, lid 1: reclame per e-mail is verboden, tenzij je kunt aantonen dat de ontvanger vooraf toestemming gaf. Volgens de ACM en de AVG is toestemming alleen geldig als die:

actief is gegeven: geen vooraf aangevinkt vakje, niet via je algemene voorwaarden en niet onder druk;
specifiek over reclame gaat, apart van andere dingen zoals het accepteren van voorwaarden;
geïnformeerd is: de lezer weet wie je bent en waarvoor hij toestemming geeft;
net zo makkelijk in te trekken is als te geven.

Een goed aanmeldvinkje (niet vooraf aangevinkt):

☐ Ja, stuur mij de nieuwsbrief van [bedrijf] met tips en aanbiedingen, ongeveer twee keer per maand. Afmelden kan altijd, met één klik onderaan elke mail.

Waar en hoe je aanmeldingen verzamelt, lees je in Nieuwsbrief maken.

Bestaande klanten (soft opt-in)

Klanten mag je zonder voorafgaande toestemming mailen, onder vier voorwaarden uit lid 4:

Je kreeg het adres van de klant bij de verkoop van een product of dienst.
Je mailt over eigen, gelijksoortige producten of diensten.
De klant kreeg bij het verzamelen duidelijk de kans om gratis en makkelijk te weigeren.
Hij kan zich in elke mail afmelden.

In de checkout kan dat zo:

Je ontvangt af en toe tips en aanbiedingen die passen bij je aankoop. ☐ Liever niet

Let op wie geen klant is. Volgens de AP is iemand die alleen een account aanmaakte, een enquête invulde of meedeed aan een winactie géén klant. Daarvoor heb je dus gewoon toestemming nodig.

Zakelijke adressen

In Nederland geldt de opt-in ook voor bedrijven. Er zijn twee uitzonderingen (lid 3): adressen die een bedrijf zelf bekendmaakt om reclame op te ontvangen, zoals salesaanbiedingen@bedrijfsnaam.nl in het voorbeeld van de AP, en bedrijven buiten de EER als je de regels van dat land volgt. Een info@-adres of jan@bedrijf.nl valt volgens de wettekst en het voorbeeld van de AP niet onder de eerste uitzondering; daarvoor heb je toestemming of een klantrelatie nodig.

Dat de regel ook voor bedrijven geldt, is niet theoretisch. Toezichthouder OPTA, nu de ACM, beboette Companeo in 2012 voor bijna 15 miljoen mails aan vooral zakelijke ontvangers zonder geldige toestemming.

Goede doelen en ideële organisaties

Voor donateurs is er een eigen uitzondering (lid 5). Kreeg je het adres bij een schenking, dan mag je mailen voor je eigen ideële of charitatieve doelen. Ook dan moet de donateur bij het verzamelen en in elke mail kunnen weigeren. Voor vrijwilligers en bezoekers van je evenementen geldt die uitzondering bij e-mail niet: daar vraag je toestemming.

Beslistabel: mag ik deze persoon mailen?

Situatie	Mag je mailen?	Voorwaarde
Meldde zich aan met een leeg vinkje dat hij zelf aanvinkte	Ja	Bewijs bewaren; alleen mailen waarvoor hij toestemming gaf
Kocht iets en kon bij het afrekenen weigeren	Ja, over eigen gelijksoortige producten	Afmeldmogelijkheid in elke mail
Kocht iets, maar kon bij het afrekenen niet weigeren	Nee	Eerst geldige toestemming; voor klantgegevens van vóór 2021 bestaat een overgangsregel (art. 20.7 Tw), laat die toetsen
Maakte alleen een account aan, zonder aankoop	Nee	Toestemming nodig
Deed mee aan een winactie	Alleen met een aparte toestemming	Een apart vinkje; meedoen alleen is geen toestemming
Zakelijk adres (info@, jan@bedrijf.nl)	Nee, tenzij toestemming of klant	Uitzonderingen: adressen die het bedrijf voor reclame publiceerde, en bedrijven buiten de EER
Donateur van je goede doel	Ja, voor je eigen doelen	Kon bij de schenking en in elke mail weigeren
Kind jonger dan 16	Alleen met toestemming van een ouder of voogd	Vanaf 12 jaar mag het kind zelf intrekken
Gekochte of gehuurde adreslijst	Nee	Je kunt geen toestemming aantonen
Iemand die zich afmeldde	Nee	Adres op een blokkeerlijst houden

Liever per persoon nagaan? Beantwoord een paar vragen:

Mag ik deze persoon mailen?

Beantwoord een paar vragen over één persoon of een groep. Je ziet welke regel geldt en wat je ervoor moet regelen.

Hoe kwam je aan dit e-mailadres?

Een hulpmiddel bij de regels uit artikel 11.7 van de Telecommunicatiewet, geen juridisch advies.

Toestemming bewijzen

De wet zegt dat jij moet kunnen aantonen dat iemand toestemming gaf, en de ACM gaat uit van vijf jaar na verzending. Bewaar per contact:

het e-mailadres en het moment van aanmelden;
de bron: welk formulier, welke pagina of de checkout;
de tekst die bij het vinkje stond, en de versie van je privacyverklaring;
of en wanneer hij zich afmeldde.

In Xendy zie je per contact wanneer hij is aangemaakt en of hij zich afmeldde. De bron en de tekst van je aanmeldvinkje bewaar je zelf, bijvoorbeeld in je formuliertool of je webshop. Koppel je Shopify via de Xendy-app, dan komt de toestemming uit Shopify mee, met de datum.

Is double opt-in verplicht? Nee. Geen Nederlandse wet schrijft het voor. Het is wel een stevig bewijs dat iemand zich echt aanmeldde, en het houdt typfouten en nepadressen uit je lijst. Google raadt het ook aan.

Importeer je een bestaande lijst, vraag je dan af waar de toestemming vandaan komt. Kun je dat niet laten zien, mail die adressen dan niet.

Wat er in elke mail moet staan

Wie je bent. Je echte bedrijfsnaam als afzender, geen fantasienaam.
Een werkende afmeldmogelijkheid. Volgens de ACM snel en gratis, dus niet via een ingewikkelde vragenlijst. Vraag niet waarom iemand zich afmeldt; de AP zegt dat je dat niet mag vragen. Wil je feedback, stel dan na de afmelding een vrijblijvende vraag.
Afmelden met één klik. Mail je in bulk, dan eisen Gmail en Yahoo ook afmelden met één klik via de mailheader, verwerkt binnen twee dagen. Meer daarover in SPF, DKIM en DMARC.
Herkenbaar als reclame. De mail moet duidelijk herkenbaar zijn als reclame; een eerlijke onderwerpregel helpt daarbij.

Wat de AVG daarnaast van je vraagt

Een grondslag. Waar de spamregels toestemming eisen, is toestemming ook je AVG-grondslag. Bij de soft opt-in kan het gerechtvaardigd belang je grondslag zijn.
Informatie vooraf. Je privacyverklaring vertelt wie je bent, waarvoor je de gegevens gebruikt, hoe lang je ze bewaart, welke rechten mensen hebben en of gegevens buiten de EU gaan. Link er bij je aanmeldformulier naar.
Bezwaar is absoluut. Maakt iemand bezwaar tegen direct marketing, dan stop je, zonder te vragen waarom.
Niet meer dan nodig. Vraag alleen wat je gebruikt: een e-mailadres en eventueel een voornaam. Een geboortedatum alleen als je er echt iets mee doet.
Een bewaartermijn. De AVG noemt geen vaste termijn; je kiest er zelf een per doel en zet die in je privacyverklaring. Schoon inactieve contacten na die termijn op. Wie zich afmeldde, houd je alleen nog op een blokkeerlijst, zodat je hem niet opnieuw mailt.
Een verwerkersovereenkomst met je e-mailtool. Volgens de AP zijn beide partijen aansprakelijk als die ontbreekt.
Doorgifte buiten de EU. Gebruikt je tool Amerikaanse diensten, dan moet die doorgifte geregeld zijn, bijvoorbeeld via het EU-VS Data Privacy Framework. Het Gerecht van de EU liet dat in september 2025 in stand; er loopt nog een hoger beroep.
Kinderen. Onder de 16 is toestemming van een ouder of voogd nodig. Sinds 1 september 2026 mag een kind van 12 of ouder zijn toestemming zelf intrekken.

Mag je opens en kliks nog meten?

Dat staat ter discussie. De Europese privacytoezichthouders (EDPB) schreven in oktober 2024 dat trackingpixels in e-mail onder dezelfde regel vallen als cookies; volgens de EDPB geldt dat ook voor trackinglinks. De AP zegt dat voor trackingpixels “dezelfde regels” gelden als voor cookies. In 2026 hebben de Franse en de Italiaanse toezichthouder al regels gepubliceerd die toestemming vragen voor pixels in e-mail. In Nederland is er nog geen specifieke richtlijn.

Wat je nu kunt doen:

Zeg in je privacyverklaring en bij je aanmeldformulier dat je meet of mails worden geopend en waarop wordt geklikt.
Overweeg om dat expliciet in je aanmeldtekst op te nemen.
Stuur meer op kliks en omzet dan op opens. Opens zijn sinds Apple Mail Privacy Protection toch al onbetrouwbaar.

Wat je e-mailtool voor je moet regelen

Controleer bij elke tool of hij dit doet. In Xendy werkt het zo:

Wat	In Xendy
Verwerkersovereenkomst	Accepteer je in je account; de volledige tekst, met alle subverwerkers, staat in de helpdesk
Waar de gegevens staan	Je account en je contacten staan bij TransIP in Nederland
Verzending	Via Amazon SES in Frankfurt, binnen de EER
Afmelden	Elke mail heeft een afmeldlink en de headers voor afmelden met één klik; wie via de mailheader afmeldt, is meteen afgemeld
Bounces en klachten	Contacten met een bounce of een spamklacht zet Xendy automatisch uit
Webshopkoppeling	Xendy haalt alle klanten op. Mail alleen wie toestemming gaf of onder de soft opt-in valt, en zet de rest bij Geblokkeerde contacten
Shopify	Via de Xendy-app komt de marketingstatus uit Shopify mee, en gaat een afmelding in Xendy terug naar Shopify
WordPress en WooCommerce	De plugin Xendy Connect koppelt formulieren met een verplichte toestemmingsstap, en zet een aanmeldvinkje in de checkout
Toegang	Tweestapsverificatie is verplicht voor elk account

Hoe je dit in Xendy instelt, lees je in de helpdesk: AVG in Xendy.

Checklist

Boetes en handhaving

De ACM kan voor overtreding van de spamregels een boete opleggen tot € 900.000, of 1% van de omzet als dat meer is. Bij herhaling binnen vijf jaar gaat het maximum omhoog. Een bekend voorbeeld is affiliatenetwerk Daisycon: € 810.000 voor ruim twee miljard mails zonder aangetoonde toestemming en afmeldlinks die niet werkten. De rechter verlaagde dat in 2018 naar € 770.000. De laatste jaren richt de ACM zich vooral op telemarketing. Voor de AVG kan de AP boetes opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet, als dat meer is.

Bronnen

Telecommunicatiewet, artikel 11.7 en artikel 11.7a
ACM: Spam voorkomen in uw reclame; boete Daisycon; boete Companeo
AP: Reclame, Digitale direct marketing, Grondslag toestemming, Recht van bezwaar, Tracking pixel, Verwerkersovereenkomst
AVG (Verordening 2016/679)
Gerecht van de EU: persbericht over het Data Privacy Framework (Latombe, september 2025)
EDPB: Guidelines 2/2023 over de reikwijdte van art. 5(3) ePrivacy
CNIL: aanbeveling over trackingpixels in e-mail; Garante: provvedimento n. 284

Veelgestelde vragen.

Nee. Het is wel een praktische manier om toestemming aan te tonen.

Ja, over je eigen gelijksoortige producten, als ze bij de aankoop konden weigeren en zich in elke mail kunnen afmelden.

In Nederland meestal niet. Uitzonderingen zijn adressen die een bedrijf zelf publiceert om reclame op te ontvangen, en bedrijven buiten de EER als je de regels van dat land volgt.

De ACM gaat uit van vijf jaar na verzending.

Ja, met een apart vinkje voor de nieuwsbrief. Meedoen alleen telt niet als toestemming.

In Nederland is er nog geen aparte richtlijn, maar volgens de AP gelden voor trackingpixels dezelfde regels als voor cookies. Vermeld het in elk geval in je privacyverklaring.

Staat je vraag er niet bij?