De GDPR is niet de reden dat je pipeline kwakkelt. Wat wel kwakkelt, is de versie van de GDPR die rondgaat in marketing Slack-kanalen — een mix van geruchten over risico-aversie, halfvergeten cookiebanner-theater en die ene LinkedIn-thread van een consultant die een cursus verkoopt. Hier zijn vijf van de duurste mythen, elk met de eerlijke realiteit en een volgende stap die je maandag meteen kunt zetten.
Let op
Dit is een marketingartikel, geen juridisch advies. Toezichthouders kunnen details veranderen; overleg bij twijfel over jouw specifieke situatie met je DPO of juridisch adviseur. Dat gezegd hebbende — de onderstaande mythen zijn geen twijfelgevallen.
Mythe 1 — "Alles heeft toestemming nodig"
Realiteit: toestemming is één van de zes rechtsgronden in Art. 6 GDPR, niet de standaard. Gerechtvaardigd belang (Art. 6(1)(f)) is een volwaardige rechtsgrond op zich en wordt expliciet genoemd voor direct marketing onder Recital 47. B2B-websitebezoeker-identificatie op bedrijfsniveau — zonder persoonlijk profileren, zonder tracking van individuele gebruikers — kwalificeert zich doorgaans onder gerechtvaardigd belang, mits je een correcte afwegingstoets (LIA) hebt vastgelegd.
Wat te doen: stop met het reflexmatig vragen om toestemming voor zaken die dat niet nodig hebben. Documenteer je afwegingstoets (LIA) voor de gevallen die wel kwalificeren. Bewaar toestemmingsschermen voor wat er echt om vraagt, zoals advertentie-cookies van derden. Je gebruikers zullen je dankbaar zijn; je conversieratio ook.
Mythe 2 — "IP-adressen zijn altijd verboden terrein"
Realiteit: IP-adressen zijn persoonsgegevens wanneer ze gekoppeld kunnen worden aan een individu. Het verwerken ervan is niet verboden — het vereist een rechtsgrond en evenredige waarborgen. B2B-identificatie herleidt het IP doorgaans naar een bedrijf (een organisatie, geen persoon), bewaart het ruwe IP slechts gedurende een kort technisch venster en verkoopt of verrijkt nooit individueel gedrag. Dat is een heel ander verwerkingsprofiel dan de ad-tech scenario's waar de "IP = verboden" mythe op doelt.
Wat te doen: houd de IP-verwerkingsperiode kort, wees hier expliciet over in je privacyverklaring en beschrijf de transformatie (IP → bedrijf, niet IP → persoon). Als je een verwerker gebruikt, leg dit dan vast in je Art. 28 DPA.
Mythe 3 — "Alleen first-party betekent geen inzicht"
Realiteit: deze mythe verwart twee totaal verschillende zaken. Toestemming voor cookies (ePrivacy / TDDDG § 25 in Duitsland) is een regel over wat je opslaat op het apparaat van de bezoeker, en maakt onderscheid tussen cross-site advertentie-opslag en een functionele first-party identifier op je eigen domein. Identificatie van het bedrijf achter een bezoek gebeurt server-side tegen geverifieerde B2B-data — dit is een aparte verwerkingsactiviteit die uitsluitend onder de GDPR valt. Je kunt jezelf beperken tot een first-party functionele identifier en toch weten dat Bosch op je prijzenpagina was.
Wat te doen: scheid deze twee vragen eerst in je eigen hoofd. "Wat sla ik op in de browser?" (ePrivacy antwoord: waarschijnlijk niets behalve wat strikt noodzakelijk is). "Wat verwerk ik van het bezoek?" (GDPR antwoord: waarschijnlijk onder gerechtvaardigd belang voor identificatie op bedrijfsniveau).
Mythe 4 — "GDPR verbiedt B2B-tracking"
Realiteit: de GDPR reguleert de verwerking van persoonsgegevens. Het reguleert "tracking" niet als een algemene categorie, en het verbiedt zeker geen B2B-marketing — Recital 47 stelt expliciet dat direct marketing een gerechtvaardigd belang is. Wat streng gereguleerd is, is de gedragstracking van natuurlijke personen voor advertentietargeting. Bedrijfsidentificatie, zonder individuele profilering, bevindt zich in een heel ander universum.
Wat te doen: beschrijf nauwkeurig in je eigen documentatie wat je wel en niet doet. "We identificeren bezoekende bedrijven. We tracken geen individuele site-gebruikers. We verkopen geen data." Precieze taal beschermt je veel beter dan vage taal.
Mythe 5 — "Een cookiebanner lost alles op"
Realiteit: een banner is een mechanisme om toestemming te verkrijgen voor de opslag van cookies en vergelijkbare technologieën. Het is geen universeel GDPR-vrijbewijs. Een banner bovenop een verwerking plaatsen die onderliggend niet rechtmatig is, maakt de verwerking niet legaal; het maakt alleen de interface lelijker. Omgekeerd heeft een correct uitgevoerd proces onder gerechtvaardigd belang geen banner nodig om rechtmatig te zijn.
Wat te doen: je banner heeft maar één taak — het verzamelen van toestemming voor opslag die niet strikt noodzakelijk is. Al het andere hoort thuis in een privacyverklaring, een DPA en interne documentatie. Als je banner meer doet dan dat, gebeurt dat waarschijnlijk niet op de juiste manier.
De vijf mythen naast elkaar
| Mythe | Realiteit | Referentie |
|---|---|---|
| Alles heeft toestemming nodig | Toestemming is één van de zes gronden; GB is een geldige grond voor B2B-marketing | Art. 6(1)(f); Recital 47 |
| IP-adressen zijn verboden | Persoonsgegevens — vereist een rechtsgrond en evenredige waarborgen | Art. 4(1), Art. 6 |
| Alleen first-party geeft geen inzicht | ePrivacy regelt opslag; GDPR regelt verwerking. Dit zijn aparte zaken. | ePrivacy Richtlijn; TDDDG §25 (DE) |
| GDPR verbiedt B2B-tracking | Het reguleert persoonsgegevens; B2B direct marketing is een erkend GB | Recital 47 |
| Een banner lost alles op | Een banner regelt toestemming voor opslag. Het legaliseert geen ongerelateerde verwerking. | ePrivacy |
Het patroon in alle vijf
Elke mythe vervangt een specifieke regel door een vage 'vibe'. De regels zelf laten over het algemeen meer ruimte voor doordachte B2B-marketing dan deze vibes suggereren. Het lezen van het eigenlijke artikel dat je citeert kost tien minuten en bespaart je kwartalen aan zelfopgelegde beperkingen.
Dit is geen uitnodiging om roekeloos te zijn. Het is een uitnodiging om je niet langer te laten intimideren door regelgeving die je niet hebt gelezen. GDPR-first marketing bestaat; veel van deze aanpakken verslaan 'consent-only' marketing op de metrics die er echt toe doen.
Dit artikel bevat algemene informatie voor B2B-marketingteams en is geen juridisch advies. Bevestig jouw specifieke situatie altijd bij je DPO of juridisch adviseur.
Gepubliceerd door
lead.box Team
Meer artikelen
Zie lead.box in actie op je eigen verkeer
Start gratis — geen kaart, geen salesgesprek nodig. Of boek een rondleiding van 20 minuten als je liever hulp krijgt.