Je huidige e-mailmarketingtool wordt duurder, of je hebt een platform gevonden dat beter aansluit bij je werkwijze. Exporteren, importeren, klaar, denk je. Maar op het moment dat je een e-maillijst naar een ander platform verplaatst, draag je persoonsgegevens over van de ene verwerker naar de andere. Dat is precies waar de AVG om de hoek komt kijken. Zet je de stappen in de verkeerde volgorde, dan riskeer je een ongeldige verwerkingsgrondslag of een datalek zonder documentatie om jezelf te verdedigen. Dit stappenplan loopt de AVG-verplichtingen na in de volgorde waarin ze zich voordoen: vóór, tijdens en na de migratie.

Stap 1: Breng je huidige verwerkingssituatie in kaart

Voordat je ook maar iets exporteert, moet je weten wat er precies in je lijst staat en op welke juridische basis je die gegevens verwerkt. Een e-maillijst bevat vaak meer dan alleen e-mailadressen. Denk aan voor- en achternamen, bedrijfsnamen, klikgedrag, aanmelddata, segmentatietags of zelfs aankoophistorie. Elk van die velden is een persoonsgegeven en valt onder de AVG.

Noteer ook op welke rechtsgrond je de gegevens verwerkt. Voor de meeste nieuwsbrieflijsten is dat toestemming. Voor klantcommunicatie na een aankoop kan het gerechtvaardigd belang of de uitvoering van een overeenkomst zijn. Die rechtsgrond bepaalt straks of je abonnees opnieuw moet benaderen. Leg dit nu vast, want je hebt het nodig bij stap 3 en stap 6.

Stap 2: Sluit eerst een verwerkersovereenkomst met het nieuwe platform

Dit is de stap die de meeste ondernemers overslaan, en het is precies de stap die als eerste moet gebeuren. Zodra je ook maar één e-mailadres naar een nieuw platform stuurt, verwerk je persoonsgegevens via die nieuwe partij. Zonder verwerkersovereenkomst (ook wel DPA, Data Processing Agreement, genoemd) is dat in strijd met artikel 28 van de AVG.

Een verwerkersovereenkomst moet minimaal bevatten: het doel en de duur van de verwerking, welke categorieën persoonsgegevens worden verwerkt, de beveiligingsmaatregelen die de aanbieder treft, de afspraken over subverwerkers (andere partijen die de aanbieder inschakelt), en de procedure bij een datalek. Grote platforms zoals Mailchimp, ActiveCampaign of Brevo bieden standaard een DPA aan, meestal te vinden in je accountinstellingen of op verzoek. Controleer of die overeenkomst al actief is in jouw account voordat je de export start. Bij kleinere of minder bekende aanbieders is het verstandig om de DPA handmatig te activeren en een kopie op te slaan.

Stap 3: Controleer of bestaande toestemmingen geldig blijven

Hier zit een veelgemaakte denkfout. Toestemming is in de meeste gevallen platformonafhankelijk. Als iemand zich via jouw website heeft aangemeld voor jouw nieuwsbrief, dan heeft die persoon toestemming gegeven aan jou als verwerkingsverantwoordelijke, niet aan het specifieke platform waarop je destijds werkte. Een migratie naar een ander platform maakt die toestemming niet ongeldig.

Je hoeft dus in de meeste gevallen geen nieuwe opt-in te vragen. Dat geldt zolang je de toestemming kunt aantonen met een datumstempel, de tekst van de opt-in op het moment van aanmelding, en het IP-adres of een andere identificeerbare bevestiging. Exporteer die bewijs-data mee naar het nieuwe platform en sla ze op.

Er zijn situaties waarin toestemming wél opnieuw nodig is. Dat is het geval als de oorspronkelijke opt-in platform-specifiek was geformuleerd, bijvoorbeeld: “Ik geef toestemming om e-mails te ontvangen via [naam van het oude platform]”. Dat is zeldzaam maar niet onmogelijk. Controleer de exacte formulering in je archief. Twijfel je? Vraag juridisch advies of kies voor een herbevestigingscampagne voor het deel van je lijst waarvan je geen bewijsstukken hebt.

Stap 4: Beëindig of pas de overeenkomst met de oude aanbieder aan

Na de migratie heb je de gegevens niet meer nodig bij de oude aanbieder. Artikel 28 van de AVG verplicht verwerkers om persoonsgegevens na afloop van de dienst te wissen of terug te geven. Stuur je oude aanbieder een schriftelijk verzoek, bij voorkeur per e-mail zodat je een bewijs hebt, om alle gegevens te verwijderen zodra je account wordt beëindigd. Leg de bevestiging op.

Let op opzegtermijnen. Sommige platforms hanteren een maandelijkse of jaarlijkse facturering. Je betaalt soms nog door terwijl je al bent overgestapt. Zorg dat je de opzeging op tijd indient en vraag expliciet om een bevestiging van gegevenswissing. Bewaar die bevestiging minimaal drie jaar, voor het geval de Autoriteit Persoonsgegevens (AP) ooit vragen stelt.

Stap 5: Beveilig de dataoverdracht zelf

De export van je lijst is het meest kwetsbare moment in het hele proces. Een CSV-bestand met duizenden e-mailadressen is een doelwit als het onbeveiligd wordt verstuurd of opgeslagen. Versleutel het exportbestand met een wachtwoord en stuur dat wachtwoord via een apart kanaal mee, als je het bestand toch via e-mail moet delen. Beter nog: gebruik de directe importfunctie van het nieuwe platform, zodat het bestand nooit via je eigen apparaten gaat.

Is de nieuwe aanbieder gevestigd buiten de Europese Economische Ruimte (EER)? Dan zijn er extra regels. Je mag persoonsgegevens alleen overdragen naar landen buiten de EER als er een adequaatheidsbesluit van de Europese Commissie van toepassing is (voor het Verenigd Koninkrijk geldt momenteel zo’n besluit), of als de aanbieder standaardcontractbepalingen (SCCs) hanteert. Die SCCs zijn onderdeel van de verwerkersovereenkomst die je in stap 2 hebt gesloten. Controleer dit expliciet als je overstapt naar een aanbieder die servers in de VS of Azië gebruikt.

Stap 6: Werk je verwerkingsregister bij

Als je meer dan 250 medewerkers hebt, of als je op structurele basis bijzondere persoonsgegevens verwerkt, ben je wettelijk verplicht een verwerkingsregister bij te houden. Maar ook als dat formeel niet voor jou geldt, is een register sterk aan te raden. Het helpt je bij audits, bij vragen van abonnees over hun rechten, en bij incidenten.

Pas in je verwerkingsregister minimaal de volgende velden aan na de migratie: de naam van de verwerker (het nieuwe platform), de locatie van de gegevensopslag, de datum van de wijziging, en de naam van de verwerkersovereenkomst inclusief versienummer of datum. Noteer ook wie de wijziging heeft doorgevoerd. In een eenmanszaak ben jij dat zelf; in een groter team wijs je hier een vaste persoon voor aan.

Stap 7: Communiceer de overstap aan je abonnees

Je bent niet wettelijk verplicht om abonnees te informeren over een platformwissel, zolang de doeleinden van de verwerking niet veranderen en je rechtsgrond intact blijft. Toch is het een goed idee om er iets over te zeggen, al is het kort. Het voorkomt verwarring als abonnees een e-mail ontvangen vanuit een iets ander technisch afzenderadres, en het is transparant wat de AVG sowieso van je verwacht.

Houd de boodschap neutraal en praktisch. Vermijd dramatische taal als “wij slaan uw gegevens nu elders op” want dat wekt onnodig onrust. Een voorbeeld van een migratiemail die werkt: “We zijn overgestapt naar een nieuw e-mailplatform. Je ontvangt onze nieuwsbrief gewoon op hetzelfde adres. Niets verandert voor jou. Wil je je afmelden? Dat kan altijd via de link onderaan elke e-mail.” Dat is voldoende. Meer hoef je in de meeste gevallen niet te zeggen.

Stap 8: Test en verifieer na de migratie

De migratie is pas klaar als je hebt gecontroleerd dat alles klopt. Stuur een testmail naar een eigen testaccount en controleer of de afmeldlink werkt en naar de juiste landingspagina leidt. Controleer ook of de dubbele opt-in flow nog correct werkt als je een aanmeldformulier op je website hebt.

Vraag bij de oude aanbieder schriftelijk om een bevestiging dat alle gegevens zijn verwijderd. Sommige platforms doen dit automatisch 30 tot 90 dagen na accountopzegging; anderen doen het alleen op expliciet verzoek. Log in op het oude account als je dat nog kunt en verifieer dat de lijsten leeg zijn of dat het account is verwijderd.

Leg ten slotte een aantoonbaar bewijs van de hele migratie vast. Bewaar de verwerkersovereenkomsten van beide platforms, de exportdatum, de bevestiging van gegevenswissing bij de oude aanbieder, en eventuele communicatie met abonnees. Als de AP ooit vraagt hoe je e-maillijst migreren AVG-conform is verlopen, heb je alles bij de hand.

De technische kant van een e-mailmigratie duurt vaak een middag. De juridische kant vraagt meer aandacht, maar is goed te behappen als je de volgorde aanhoudt: eerst een verwerkersovereenkomst sluiten met het nieuwe platform, dan exporteren, dan de oude aanbieder netjes afsluiten, en tot slot je verwerkingsregister bijwerken. Een kleine lijst maakt deze stappen niet overbodig. Als een abonnee of toezichthouder later vragen stelt, is je documentatie het enige wat telt.