Voor ondernemers

AVG en de betaalgegevens van je klanten

Als winkelier verwerk je minder persoonsgegevens dan je denkt, maar op drie punten gaat het regelmatig mis.

Laatst gecontroleerd in Q3 2026 door de redactie van Pininfo

Bij een gewone pinbetaling krijg jij als winkelier geen naam en geen volledig pasnummer. Het meeste zit bij je acquirer, die daarvoor zelf verwerkingsverantwoordelijke is. Dat maakt jouw plichten beperkt maar niet leeg.

De drie punten waar het misgaat

1Bonnen met te veel gegevens die je bewaart in een doos achter de toonbank. Op je eigen exemplaar horen alleen de laatste cijfers van de pas te staan.
2Klantenkaarten en spaarprogramma’s waarin je aankoopgedrag koppelt aan een persoon. Dát is een verwerking met een grondslag en een bewaartermijn, en die moet je kunnen uitleggen.
3Camerabeelden bij de kassa, die vaak langer worden bewaard dan nodig en zelden een vastgelegd doel hebben.

Nooit volledige kaartnummers

Een volledig kaartnummer of een pincode opschrijven, fotograferen of in je kassa opslaan mag niet, ook niet tijdelijk en ook niet met de beste bedoelingen. Dat raakt zowel de AVG als de kaartregels.

Wat je op orde hebt

Een verwerkersovereenkomst met je kassaleverancier als die gegevens namens jou verwerkt
Een bewaartermijn voor camerabeelden, meestal enkele weken
Een privacyverklaring als je een klantenprogramma hebt
Een procedure als een klant vraagt welke gegevens je van hem hebt

Bij een datalek

Raakt er informatie kwijt die tot personen herleidbaar is, dan geldt de meldplicht bij de Autoriteit Persoonsgegevens binnen tweeënzeventig uur. Gaat het uitsluitend om transactiegegevens bij je acquirer, dan ligt de melding bij hen. Vraag je leverancier vooraf wie waarvoor aan de lat staat; dat gesprek voer je liever niet tijdens een incident.