Recht op verwijdering AVG: wat te doen bij een wisverzoek van een prospect

Het recht op verwijdering — ook wel het recht op wissing of recht om vergeten te worden — geeft iedere betrokkene het recht om te verzoeken dat een instelling zijn of haar persoonsgegevens wist. Wanneer een prospect dat verzoek indient, moet de hogeschool of universiteit binnen één maand handelen. Uitstelgedrag of een onvolledige uitvoering leidt direct tot een risico op handhaving door de Autoriteit Persoonsgegevens (AP).

Voor de volledige context van AVG-compliance in het hoger onderwijs, lees onze complete AVG-gids voor studentengegevens.

Wat is het recht op verwijdering onder de AVG?

Het recht op verwijdering is verankerd in artikel 17 van de AVG. Het stelt betrokkenen in staat hun gegevens te laten wissen wanneer er geen geldige rechtsgrondslag meer bestaat voor de verwerking. Voor onderwijsinstellingen die prospectgegevens verwerken voor wervings- en marketingdoeleinden is dit recht bijzonder relevant: de verwerking is doorgaans gebaseerd op toestemming of gerechtvaardigd belang, twee grondslagen die onder bepaalde omstandigheden wegvallen.

De verplichting geldt voor alle onderwijsinstellingen in Nederland: HBO-instellingen (hogescholen), WO-instellingen (universiteiten), particuliere hogescholen en private universiteiten. De Uitvoeringswet AVG (UAVG) preciseert een aantal nationale modaliteiten, maar laat de termijn van één maand voor beantwoording van verzoeken ongewijzigd. Wanneer de verwerking complex is of het volume aan verzoeken groot, is een eenmalige verlenging met twee maanden toegestaan — mits de prospect hiervan binnen de eerste maand op de hoogte wordt gesteld.

Het recht op verwijdering geldt voor iedereen van wie de instelling persoonsgegevens verwerkt: toekomstige studenten die een brochure hebben aangevraagd, deelnemers aan een Open Dag, contacten via Studielink die geen aanmelding hebben voltooid, of personen die via een chatbot of contactformulier in het CRM zijn terechtgekomen. Het maakt niet uit of de prospect zich uiteindelijk heeft aangemeld of niet.

De drie belangrijkste gronden voor een wisverzoek

Een prospect kan een wisverzoek indienen op meerdere gronden. In de praktijk komen drie situaties het meest voor in de context van studentenwerving.

Intrekking van toestemming is de meest voorkomende grond. Zodra een prospect zijn toestemming intrekt, heeft de instelling geen rechtsgrondslag meer voor de verwerking van zijn gegevens voor marketingdoeleinden. Het wisverzoek volgt dan vanzelf. De AP heeft benadrukt dat de intrekking van toestemming even eenvoudig moet zijn als het verlenen ervan.

Gegevens niet langer noodzakelijk doet zich voor wanneer het doel waarvoor de gegevens zijn verzameld niet meer van toepassing is. Als een prospect drie jaar geleden interesse heeft getoond maar sindsdien geen contact meer heeft gehad, vervalt de grondslag voor verwerking. De instelling hoeft in dat geval niet te wachten op een wisverzoek — de gegevens hadden al verwijderd moeten zijn.

Recht van bezwaar geeft prospects de mogelijkheid bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang, inclusief direct marketing. Zodra bezwaar wordt gemaakt tegen direct marketing, moet de instelling de verwerking voor dat doel onmiddellijk staken — dit is absoluut en vereist geen verdere afweging.

Wanneer mag een instelling een wisverzoek weigeren?

Artikel 17 lid 3 van de AVG bevat een limitatieve lijst van uitzonderingen op het recht op verwijdering. Instellingen die deze uitzonderingen inroepen, moeten dat schriftelijk motiveren en kunnen een wissing gedeeltelijk weigeren.

Wettelijke verplichting. Wanneer de instelling wettelijk verplicht is bepaalde gegevens te bewaren, gaat die verplichting voor. Een voorbeeld: financiële gegevens die onder de fiscale bewaarplicht van zeven jaar vallen, hoeven niet te worden gewist ook al dient de betrokkene een verzoek in. Hetzelfde geldt voor gegevens die de instelling moet bewaren voor rapportage aan DUO of andere overheidsinstanties.

Lopende overeenkomst of precontractuele maatregelen. Als de prospect al een formele aanmelding heeft ingediend en een toelatingsprocedure loopt, mag de instelling de gegevens bewaren die strikt noodzakelijk zijn voor de afronding van die procedure. Na afronding van de procedure vervalt deze uitzondering.

Instelling of verdediging van rechtsvorderingen. Wanneer de instelling verwikkeld is in of zich voorbereidt op een juridisch geschil waarbij de betrokken gegevens relevant zijn, mag zij de wissing uitstellen voor de duur van de procedure. Dit is een smalle uitzondering die niet willekeurig kan worden ingeroepen.

Gedeeltelijke weigering is het meest voorkomende scenario in de praktijk. De instelling wist de marketinggegevens (e-mailadres in het CRM, chatbotgesprekken, profieldata), maar bewaart een minimum aan gegevens dat noodzakelijk is voor de wettelijke verplichting of het rechtsvorderingsverweer. Zij is verplicht de prospect te informeren welke gegevens zijn gewist en welke zijn bewaard, en op welke grondslag.

Vijf stappen voor een correcte afhandeling van een wisverzoek

Een wisverzoek vereist een gestructureerde procedure. Onderstaande tijdlijn is gebaseerd op de AP-aanbevelingen en de eenmaandstermijn van de AVG.

Dag 1-2: ontvangst en bevestiging. Bevestig de ontvangst van het verzoek schriftelijk, bij voorkeur per e-mail. Noteer de datum van ontvangst — die bepaalt de wettelijke termijn. Controleer of het verzoek voldoende duidelijk is om te behandelen; als nadere identificatie nodig is, vraag dat dan onmiddellijk op.

Dag 3-7: identificatie en inventarisatie. Breng in kaart in welke systemen de gegevens van de betrokkene aanwezig zijn: CRM, e-mailmarketingplatform, chatbotgeschiedenissen, evenementenregistraties, gedeelde bestanden, back-ups. Betrek de FG (Functionaris voor de Gegevensbescherming) als de instelling die heeft. Controleer of een uitzondering van artikel 17 lid 3 van toepassing is.

Dag 8-20: uitvoering van de wissing. Verwijder de gegevens in alle geïdentificeerde systemen. Zorg dat de verwijdering ook de back-upsystemen bereikt, of documenteer de bewaartermijn van de back-ups. Als een gedeeltelijke weigering aan de orde is, documenteer dan de grondslag.

Dag 21-25: verificatie. Controleer of de wissing effectief is uitgevoerd in alle systemen. Test een zoekopdracht op het e-mailadres of de naam van de betrokkene in het CRM en de e-mailmarketinglijsten.

Dag 26-30: beantwoording. Stel een schriftelijk antwoord op: bevestig de uitgevoerde wissing, specificeer welke gegevens zijn gewist en — bij een gedeeltelijke weigering — welke zijn bewaard en op welke grondslag. Bewaar een kopie van het antwoord in het dossier. De termijn van één maand is een fatale termijn: een te laat antwoord is op zichzelf al een schending van de AVG.

Bewaartermijnen: wat de AP adviseert voor prospectgegevens

De AP adviseert een maximale bewaartermijn van drie jaar na het laatste actieve contact voor marketinggegevens en prospectdata in het onderwijs. Deze aanbeveling sluit aan bij de bredere richtsnoeren van het Europees Comité voor gegevensbescherming (EDPB). Na drie jaar zonder contact is er geen geldige grondslag meer voor het bewaren van de gegevens — de instelling moet dan zelf tot wissing overgaan, zonder te wachten op een verzoek.

Voor afgewezen aanvragers geldt een kortere termijn. De AP adviseert voor gegevens van prospects die een aanmelding hebben ingediend maar zijn afgewezen een bewaartermijn van zes maanden na de afwijzingsbeslissing. Na die periode heeft de instelling geen operationele rechtvaardiging meer voor het bewaren van het dossier. De enige uitzondering is wanneer een bezwaarprocedure loopt of een gerechtelijk geschil aanhangig is.

Voor gegevens verzameld via Studielink gelden de regels van het platform zelf in aanvulling op de AVG-verplichtingen van de instelling. Studielink fungeert als zelfstandig verwerkingsverantwoordelijke voor het deel van de verwerking dat op zijn platform plaatsvindt; de instelling is verwerkingsverantwoordelijke voor de gegevens die zij na de overdracht verwerkt.

De AP-richtlijnen voor het onderwijs bevatten specifieke aanbevelingen voor instellingen die grote aantallen prospect- en studentendossiers verwerken. Een geautomatiseerd verwijderingssysteem in het CRM — ingesteld op basis van het laatste contactmoment — is de meest effectieve manier om te zorgen dat bewaartermijnen ook daadwerkelijk worden nageleefd.

Chatbot-AI en CRM: praktische consequenties

De inzet van een AI-chatbot voor studentenwerving vergroot het volume van prospectgegevens aanzienlijk en maakt de afhandeling van wisverzoeken complexer. Instellingen die Skolbot gebruiken verwerken gemiddeld 195 gekwalificeerde leads per maand (Bron: Skolbot Benchmark 2024-2025, panel van 18 instellingen). Bij dat volume, en met een jaarlijks wispercentage van enkele procenten, komt een instelling al snel uit op tientallen wisverzoeken per jaar — waarbij elk verzoek meerdere systemen raakt.

De chatbot slaat gesprekshistorie op die persoonsgegevens bevat: naam, e-mailadres, gevolgde opleidinginteresses, soms gevoelige informatie die de prospect spontaan deelt (financiële situatie, beperking, familieomstandigheden). Bij een wisverzoek moeten deze chatbotgegevens worden meegenomen in de inventarisatie. Een duidelijke datamapping — welke systemen bevatten welke gegevens van welke prospect — is een voorwaarde voor een correcte en tijdige afhandeling.

Het CRM vormt het centraal register van prospectdata en is daarmee het primaire systeem bij de uitvoering van een wisverzoek. Zorg dat het CRM een verwijderingsfunctie heeft die ook de gegevens uit e-mailsegmenten, automatiseringsflows en campagnehistorie wist. Een uitschrijving uit de e-maillijst is niet hetzelfde als een wissing uit het CRM — de AP maakt dit onderscheid expliciet.

Praktische aanbevelingen voor instellingen met een AI-chatbot:

• Stel in de chatbotinstellingen een automatische verwijderingstermijn in voor gesprekshistorie (maximaal 12 maanden voor gegevens die niet zijn omgezet naar een actief dossier).
• Documenteer in de verwerkersovereenkomst met de chatbot-leverancier de procedure voor wissing op verzoek van de instelling.
• Zorg dat het CRM een centrale logging bijhoudt van wisverzoeken en de uitgevoerde acties per systeem.
• Train het toelatings- en marketingteam op de procedure: wie ontvangt het verzoek, wie voert de wissing uit, wie beantwoordt de prospect?

Voor de specifieke AVG-vereisten voor chatbots in het onderwijs, lees ons artikel over bescherming van gegevens van prospects. Voor cookie-toestemming en formulieren, zie onze gids over cookie-toestemming voor hogescholen. De complete AVG-audit checklist voor uw instelling vindt u in ons artikel over de AVG-audit voor hogescholen.

FAQ

Moet een wisverzoek schriftelijk worden ingediend?

Nee. De AVG stelt geen vormvereisten aan het wisverzoek. Een mondelinge mededeling, een e-mail of een bericht via de chatbot zijn allemaal geldig. De instelling mag de identiteit van de verzoekenaar redelijkerwijs vaststellen, maar mag geen buitensporige informatie vragen. Als de identiteit voldoende duidelijk is uit de context (bekende naam en e-mailadres in het CRM), volstaat dat.

Wat als de prospect geen e-mailadres of naam opgeeft?

Als de instelling de betrokkene niet kan identificeren, is zij niet verplicht te zoeken. Zij mag wel vragen om aanvullende informatie — zolang dat proportioneel is. Als de instelling de betrokkene na verificatie niet kan terugvinden in haar systemen, beantwoordt zij het verzoek met de mededeling dat er geen gegevens zijn gevonden.

Moet ook de back-up worden gewist?

Technisch gesproken moeten gegevens ook uit back-ups worden verwijderd, maar de AP erkent dat dit in de praktijk niet altijd onmiddellijk mogelijk is. Acceptabele werkwijze: documenteer de aanwezigheid van de gegevens in de back-up, verwijder ze bij de eerstvolgende geplande back-up-cyclus en leg dit vast in het dossier van het wisverzoek.

Kan de instelling een wisverzoek weigeren als de prospect nog een openstaande factuur heeft?

Ja, in beperkte mate. Financiële gegevens die nodig zijn voor de inning van een vordering of die onder de fiscale bewaarplicht vallen, hoeven niet te worden gewist. De overige prospectgegevens (marketingprofiel, chatbotgesprekken, opleidingsinteresses) moeten wel worden gewist. De instelling geeft een gemotiveerde gedeeltelijke weigering voor de financiële gegevens.

Is de FG verplicht bij elk wisverzoek betrokken?

Niet noodzakelijk bij routineverzoeken. De procedure kan worden uitgevoerd door het toelatings- of marketingteam, mits er een gedocumenteerde werkwijze bestaat. De FG moet worden betrokken bij complexe gevallen: gedeeltelijke weigeringen op grond van artikel 17 lid 3, conflicten met de betrokkene, of verzoeken die meerdere wettelijke grondslagen raken. De AP adviseert in ieder geval een jaarlijkse rapportage van wisverzoeken aan de FG.