Franchise starten in België: regel je klantgegevens

Je bestaande zaak heeft waarschijnlijk een klantenbestand, een reserveringssysteem of een klantenkaart. Zodra een zelfstandige franchisenemer daarmee gaat werken, veranderen de verantwoordelijkheden. Klantgegevens mogen niet automatisch door de hele franchisegemeenschap circuleren. Breng daarom vóór je eerste franchisestart in kaart wie welke gegevens nodig heeft, voor welk doel en onder welke afspraken.

1. Begin bij gegevensstromen, niet bij software

Een centraal klantensysteem lijkt efficiënt, maar bepaal eerst wat je ermee wilt organiseren. Een afspraak bevestigen, een klacht behandelen en een reclamecampagne versturen zijn verschillende verwerkingen. Ze vragen niet noodzakelijk dezelfde gegevens of dezelfde toegang.

Maak een overzicht met per verwerking:

• welke klantgegevens worden verzameld;
• waar ze vandaan komen;
• waarvoor ze worden gebruikt;
• welke onderneming en medewerkers toegang krijgen;
• welke softwareleveranciers betrokken zijn;
• wanneer gegevens worden verwijderd of geanonimiseerd.

Neem ook minder zichtbare kanalen op: contactformulieren, gedeelde mailboxen, kassasystemen, camerabeelden en spreadsheets. Een goed afgeschermd centraal systeem helpt weinig wanneer medewerkers volledige klantenlijsten downloaden naar persoonlijke toestellen.

Praktisch voorbeeld: een franchisenemer heeft contactgegevens nodig om een bestelling af te handelen. Jij wilt als franchisegever verkoopontwikkelingen vergelijken. Daarvoor kunnen geaggregeerde cijfers volstaan, zonder namen of e-mailadressen. Verzamel centraal niet méér persoonsgegevens dan voor het concrete doel nodig is.

2. Bepaal de privacyrol per verwerking

In België gelden de Algemene verordening gegevensbescherming, doorgaans AVG genoemd, en de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Die regels gelden ook binnen een franchisegemeenschap.

De franchiseovereenkomst bepaalt niet op zichzelf wie welke privacyrol heeft. Doorslaggevend is wie feitelijk de doeleinden en essentiële middelen van een verwerking vaststelt.

Er zijn drie belangrijke situaties:

• Afzonderlijke verwerkingsverantwoordelijken: iedere onderneming bepaalt zelf waarom en hoe zij bepaalde klantgegevens verwerkt. Gegevens uitwisselen vraagt dan een eigen juridische beoordeling; een verwerkersovereenkomst volstaat niet.
• Gezamenlijke verwerkingsverantwoordelijken: franchisegever en franchisenemer bepalen samen de doeleinden en essentiële middelen. Artikel 26 AVG vereist dan een regeling over hun respectieve verplichtingen. De wezenlijke inhoud daarvan moet beschikbaar zijn voor klanten.
• Verwerkingsverantwoordelijke en verwerker: de ene partij verwerkt uitsluitend namens en volgens instructies van de andere. Dan is een overeenkomst volgens artikel 28 AVG nodig.

Eén onderneming kan voor verschillende verwerkingen verschillende rollen hebben. Beoordeel dus afzonderlijk de lokale verkoopadministratie, een gezamenlijke klantenkaart en centrale marketing. Laat de gekozen indeling juridisch toetsen voordat je standaarddocumenten opstelt.

3. Maak klantgebruik en marketing afzonderlijk duidelijk

Een klant die bij één vestiging koopt, verwacht niet noodzakelijk reclame van alle aangesloten ondernemers. Een gezamenlijk merk maakt afzonderlijke ondernemingen niet automatisch tot één verwerkingsverantwoordelijke.

Bepaal per doel de rechtsgrond. Gegevens die noodzakelijk zijn voor een bestelling kunnen bijvoorbeeld worden verwerkt voor de uitvoering van die overeenkomst. Wettelijke administratieverplichtingen kunnen een andere grondslag vormen. Voor marketing moet je afzonderlijk beoordelen welke rechtsgrond én welke regels voor het communicatiekanaal gelden.

Bij reclame per elektronische post speelt naast de AVG ook de Belgische regelgeving over elektronische reclame. Ga niet uit van onbeperkt hergebruik van klantadressen. Eventuele uitzonderingen op voorafgaande toestemming hebben voorwaarden en gelden niet vanzelf voor andere ondernemingen binnen de franchisegemeenschap.

Zorg dat je privacyverklaring begrijpelijk vermeldt wie verantwoordelijk is, waarvoor gegevens worden gebruikt, met wie ze worden gedeeld en hoe klanten hun rechten uitoefenen. Toestemming, wanneer nodig, mag niet worden verstopt in algemene voorwaarden.

Richt bovendien één duidelijke route in voor inzage-, verwijderings- en bezwaarverzoeken. Spreek intern af wie een verzoek ontvangt, doorstuurt en beantwoordt, zodat een klant niet tussen vestiging en hoofdkantoor blijft hangen.

4. Veranker de afspraken vóór de ondertekening

België kent specifieke precontractuele informatieverplichtingen voor commerciële samenwerkingsovereenkomsten, waaronder veel franchiseovereenkomsten. Die staan in boek X, titel 2 van het Wetboek van economisch recht. Volgens artikel X.27 moet de kandidaat minstens één maand vóór het sluiten van de overeenkomst het ontwerpcontract en het precontractuele informatiedocument ontvangen, schriftelijk of op een duurzame, toegankelijke drager.

Maak verplichte klantensystemen, bijbehorende kosten en beperkingen op gegevensgebruik daarom tijdig duidelijk in het contractuele dossier. Laat beoordelen welke belangrijke bepalingen ook in het informatiedocument moeten worden toegelicht. Een privacybijlage vervangt die informatieplicht niet.

Leg concreet vast wie toegangsrechten beheert, softwareleveranciers controleert en verwijdering uitvoert. Vermijd de vage formulering dat alle klantgegevens jouw ‘eigendom’ zijn. Die zegt niets over een rechtsgrond en zet de rechten van klanten niet opzij.

5. Test toegang en incidenten vóór de opening

Test met fictieve klantgegevens of een medewerker uitsluitend de noodzakelijke informatie ziet. Controleer ook wat gebeurt bij een functiewijziging, een vertrekkende medewerker en een verkeerd verstuurde klantenlijst.

Maak een korte incidentprocedure met contactpersonen en escalatiestappen. Een verwerker meldt een persoonsgegevensinbreuk zonder onredelijke vertraging aan de verantwoordelijke. Die beoordeelt of melding aan de Gegevensbeschermingsautoriteit nodig is, waar mogelijk binnen 72 uur na kennisname. Niet ieder incident is meldplichtig; documenteer wel de beoordeling.

Praktische takeaway: start pas met echte klantgegevens wanneer je gegevensstromen, privacyrollen, klantinformatie en toegangsrechten op elkaar aansluiten. Zo krijgt je franchisegemeenschap een werkbare basis zonder onnodige privacyrisico’s.