Bewaartermijnen voor klantgegevens: hoe lang mag u ze bewaren volgens de AVG?

Gepubliceerd op 23 december 2025 · Laatst bijgewerkt op 14 oktober 2026

U mag klantgegevens niet langer bewaren dan nodig is voor het doel waarvoor u ze verzamelde (artikel 5 lid 1 sub e AVG); de AVG noemt zelf geen vaste termijnen, dus u bepaalt en onderbouwt die zelf. De belangrijkste uitzondering is een wettelijke bewaarplicht: gegevens die tot uw administratie horen, zoals facturen, moet u volgens de fiscale bewaarplicht zeven jaar bewaren (artikel 52 lid 4 AWR), ook als de klant om verwijdering vraagt.

Voor andere gegevens, zoals marketinglijsten, sollicitatiebrieven en camerabeelden, geldt geen wettelijke termijn maar wel het noodzakelijkheidsvereiste, en vaak een richtlijn van de Autoriteit Persoonsgegevens. Hieronder vindt u per soort gegeven een onderbouwde termijn en de stappen voor een bewaarbeleid.

Wat zegt de AVG over bewaartermijnen?

Persoonsgegevens mogen niet langer in identificeerbare vorm worden bewaard dan nodig is voor het doel van de verwerking: het beginsel van opslagbeperking. U moet kunnen aantonen dat u zich daaraan houdt (artikel 5 lid 2 AVG).

• Leg per soort gegeven het doel, de grondslag (artikel 6 AVG) en de bewaartermijn vast.
• Vermeld de bewaartermijnen, of de criteria daarvoor, in uw privacyverklaring (artikel 13 lid 2 sub a AVG).
• Verwijder of anonimiseer gegevens zodra het doel is bereikt en geen bewaarplicht meer geldt.

De Uitvoeringswet AVG vult de AVG op enkele punten aan, maar bevat geen algemene bewaartermijnen. Toezicht ligt bij de Autoriteit Persoonsgegevens. Een overzicht van de regels leest u bij privacywetgeving in Nederland.

Welke wettelijke bewaarplichten gaan voor?

Een wettelijke bewaarplicht is een grondslag om te bewaren (artikel 6 lid 1 sub c AVG) en een uitzondering op het recht op verwijdering (artikel 17 lid 3 sub b AVG). De belangrijkste plichten voor ondernemers:

• Administratie: zeven jaar volgens de fiscale bewaarplicht (artikel 52 lid 4 AWR) en de administratieplicht van rechtspersonen (artikel 2:10 lid 3 BW). Het gaat om de basisgegevens, zoals facturen, grootboek, debiteuren en contracten.
• Gegevens over onroerende zaken: negen jaar na het jaar waarin u de zaak in gebruik nam (artikel 34a Wet op de omzetbelasting 1968), in verband met de herziening van de btw-aftrek.
• Medische dossiers: twintig jaar na de laatste wijziging, of langer als dat redelijkerwijs nodig is (artikel 7:454 lid 3 BW). Dit geldt voor zorgverleners.
• Cliëntenonderzoek onder de Wwft: vijf jaar na het einde van de zakelijke relatie (artikel 33 Wwft), voor banken, notarissen, makelaars en andere Wwft-instellingen.

Let op: de bewaarplicht geldt alleen voor gegevens die echt tot de administratie behoren. Een klantenbestand voor nieuwsbrieven valt er niet onder, ook als dezelfde klant een factuur heeft gekregen. Voor gegevens van uw eigen personeel gelden aparte termijnen; zie personeelsdossiers bewaren.

Hoe lang bewaart u klantgegevens zonder wettelijke termijn?

Zolang u ze voor het doel nodig heeft, en niet langer. Hieronder de gangbare uitgangspunten; ze zijn geen wettelijke termijnen, dus onderbouw uw eigen keuze.

Actieve en inactieve klanten

Zolang de klantrelatie loopt, mag u de gegevens bewaren die u voor de uitvoering van de overeenkomst nodig heeft (artikel 6 lid 1 sub b AVG). Daarna mag u gegevens bewaren zolang een klant nog een vordering kan instellen, bijvoorbeeld over een gebrek; zo’n vordering verjaart bij consumentenkoop twee jaar na de klacht (artikel 7:28 BW) en verder meestal vijf jaar (artikel 3:310 BW).

Bepaal vooraf wanneer een klant als inactief geldt, bijvoorbeeld na een bepaald aantal jaren zonder bestelling, en verwijder dan wat niet onder de administratie valt.

Marketing en nieuwsbrieven

Voor e-mailmarketing aan particulieren heeft u toestemming nodig, behalve bij eigen klanten voor vergelijkbare producten, mits u bij elke mail een afmeldmogelijkheid geeft (artikel 11.7 Telecommunicatiewet). Na afmelding verwijdert u het adres uit de verzendlijst; alleen een afmeldregistratie om het adres niet opnieuw te mailen mag u bewaren.

Telefonische verkoop aan consumenten mag sinds 1 juli 2021 alleen met toestemming, of aan eigen klanten gedurende een beperkte periode na het einde van de klantrelatie (artikel 11.7 Telecommunicatiewet en de daarop gebaseerde regels). Bewaar telefoonnummers voor dat doel daarom niet langer dan die periode.

Sollicitanten, bezoekers en camerabeelden

Volgens de Autoriteit Persoonsgegevens bewaart u sollicitatiegegevens tot vier weken na afloop van de procedure, of met toestemming van de sollicitant tot een jaar. Camerabeelden bewaart u volgens de AP in de regel maximaal vier weken, tenzij een incident is vastgelegd dat u moet afhandelen.

Voor een bezoekersregistratie bij de receptie geldt geen vaste termijn; een korte periode die past bij het beveiligingsdoel ligt voor de hand. Meer over camera’s leest u bij cameratoezicht door de werkgever.

Wat doet u bij een verzoek om verwijdering?

U beslist binnen een maand na ontvangst; bij complexe of veel verzoeken mag u die termijn met twee maanden verlengen, mits u de klant daarover binnen de eerste maand informeert (artikel 12 lid 3 AVG). Weigeren mag alleen op een grond uit artikel 17 lid 3 AVG.

• een wettelijke bewaarplicht, zoals de fiscale bewaarplicht;
• de gegevens zijn nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering;
• archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistiek;
• redenen van algemeen belang op het gebied van volksgezondheid.

Weigert u, dan legt u uit waarom en wijst u de klant op het recht om te klagen bij de AP of naar de rechter te gaan. Geldt een bewaarplicht maar is het gegeven voor de rest niet meer nodig, beperk dan het gebruik: bewaar het alleen voor de administratie. Lees ook over het recht om vergeten te worden.

Wat is het verschil tussen anonimiseren en pseudonimiseren?

Geanonimiseerde gegevens zijn niet meer tot een persoon te herleiden en vallen niet onder de AVG; die mag u onbeperkt bewaren. Gepseudonimiseerde gegevens, waarbij namen zijn vervangen door een code, zijn met een sleutel wel herleidbaar en blijven persoonsgegevens (overweging 26 AVG).

Echte anonimisering is lastig: een combinatie van postcode, geboortedatum en aankoopgedrag kan iemand al herkenbaar maken. Behandel gegevens bij twijfel als persoonsgegevens.

Hoe stelt u een bewaarbeleid op?

Begin bij het verwerkingsregister (artikel 30 AVG). De uitzondering voor organisaties met minder dan 250 werknemers geldt alleen bij incidentele verwerkingen zonder bijzondere gegevens; bijna elke onderneming die structureel klantgegevens verwerkt, moet een register bijhouden, met daarin de beoogde bewaartermijnen.

1. Inventariseer welke klantgegevens u in welke systemen bewaart.
2. Bepaal per categorie het doel, de grondslag en een eventuele wettelijke bewaarplicht.
3. Koppel aan elke categorie een termijn en een startmoment, zoals het einde van het boekjaar of van de klantrelatie.
4. Regel automatische verwijdering, ook in back-ups en bij verwerkers zoals uw CRM-leverancier.
5. Controleer jaarlijks of de verwijdering werkt en pas het register aan.

Leg in de verwerkersovereenkomst vast dat de verwerker gegevens na afloop verwijdert of teruggeeft (artikel 28 lid 3 sub g AVG); zie ook de verplichtingen van een verwerker. Een voorbeeld van de opbouw van uw beleid vindt u bij een stappenplan voor het privacybeleid.

Wat zijn de risico’s van te lang bewaren?

Te lang bewaren is een overtreding van artikel 5 AVG, waarvoor de AP een boete kan opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet als dat hoger is (artikel 83 lid 5 AVG). Daarnaast vergroot elk overbodig gegeven de schade bij een datalek.

Een datalek met risico voor de betrokkenen meldt u binnen 72 uur bij de AP (artikel 33 AVG), en bij een hoog risico ook aan de betrokkenen zelf (artikel 34 AVG). Klanten kunnen daarnaast schadevergoeding vorderen (artikel 82 AVG). Beveilig bewaarde gegevens passend (artikel 32 AVG) en beperk de toegang tot wie ze nodig heeft.

Waar let u als ondernemer op?

• Scheid administratiegegevens (zeven jaar) van marketing- en klantenservicegegevens (korter).
• Noem uw bewaartermijnen concreet in de privacyverklaring.
• Verwijder afgewezen sollicitanten na vier weken, tenzij zij toestemming gaven.
• Stel camerasystemen in op automatisch overschrijven na maximaal vier weken.
• Controleer of uw verwerkers na afloop van het contract gegevens verwijderen.

Wat kunnen wij voor u doen bij bewaartermijnen en de AVG?

• Uw verwerkingsregister en bewaartermijnen beoordelen tegen de AVG en sectorale bewaarplichten, als ICT-recht advocaat.
• Een bewaarbeleid en privacyverklaring opstellen.
• Verwerkersovereenkomsten opstellen of toetsen.
• Een verzoek om inzage of verwijdering binnen de termijn van een maand beantwoorden.
• U bijstaan bij een onderzoek of boetetraject van de Autoriteit Persoonsgegevens.

Samengevat

• De AVG kent geen vaste termijnen: bewaar niet langer dan nodig (artikel 5 lid 1 sub e AVG).
• Administratie bewaart u zeven jaar (artikel 52 lid 4 AWR), ook bij een verwijderverzoek.
• Voor sollicitaties en camerabeelden hanteert de AP vier weken als uitgangspunt.
• Leg termijnen vast in het verwerkingsregister en de privacyverklaring, en regel automatische verwijdering.

Veelgestelde vragen

Moet ik een klant verwijderen die daarom vraagt terwijl ik nog facturen heb?

De facturen bewaart u zeven jaar op grond van de fiscale bewaarplicht. Andere gegevens van die klant, zoals een account of marketingprofiel, verwijdert u wel, tenzij u ze nodig heeft voor een rechtsvordering.

Vanaf wanneer loopt de termijn van zeven jaar?

In de praktijk vanaf het einde van het boekjaar waarin het stuk is opgemaakt of de boeking is verwerkt. Voor een langlopend contract is dat dus later dan de datum van ondertekening.

Mag ik oude klantgegevens bewaren voor statistiek?

Ja, als u ze echt anonimiseert. Gepseudonimiseerde gegevens blijven onder de AVG vallen; dan heeft u een grondslag en passende waarborgen nodig (artikel 89 AVG).

Geldt de bewaartermijn ook voor back-ups?

Ja. Als een back-up niet direct kan worden opgeschoond, zorg dan dat verwijderde gegevens bij terugzetten niet opnieuw worden gebruikt en dat de back-up zelf binnen een vaste periode vervalt.

Lees ook: wanneer is een functionaris gegevensbescherming verplicht? en privacy by design.