Koude acquisitie na 1 juli 2026: wat er echt veranderde

Wat er op 1 juli veranderde

Tot en met 30 juni 2026 kon je leunen op de klantrelatie-uitzondering, in de branche meestal "soft opt-in" genoemd. Die kwam erop neer dat je iemand die klant was of klant was geweest mocht benaderen over je eigen gelijksoortige producten of diensten, ook zonder dat die persoon daar vooraf toestemming voor had gegeven. Dat gold voor e-mail en het gold voor de telefoon.

Voor de telefoon is die route per 1 juli dicht. Commercieel bellen mag nu alleen nog als de gebelde daar vooraf uitdrukkelijk toestemming voor heeft gegeven. Een klantrelatie is geen toestemming meer. De ACM formuleert het zo:

"Consumenten en kleine ondernemers (zzp'ers en vof's) krijgen vanaf 1 juli meer bescherming tegen ongewenste telemarketing."

ACM, juni 2026

Let op dat rijtje. Het gaat niet alleen over consumenten. Een zzp'er en een vennoot in een vof zijn natuurlijke personen, en de telemarketingregels in de Telecommunicatiewet hangen aan dat begrip. Voor de telefoon is de scheidslijn dus wél de rechtsvorm: een BV bellen is iets anders dan de eigenaar van een eenmanszaak bellen. Onthoud dat, want straks blijkt dat precies die scheidslijn bij e-mail niet bestaat.

Wat er verder aan opvalt:

• Toestemming moet aantoonbaar zijn per telefoonnummer. In de praktijk betekent dat vastleggen wanneer die is gegeven, via welk kanaal, en met welke exacte tekst de vraag gesteld werd.
• Toestemming vragen tijdens een servicegesprek dat de klant zelf begon telt niet.
• De Tweede Kamer heeft een aantal uitzonderingen gemaakt: goede doelen, loterijen die aan goede doelen afdragen, en uitgevers van kranten, tijdschriften en periodieken mogen hun bestaande klanten nog wel bellen.
• De wijziging kwam binnen via een aanpassing van artikel 11.7 van de Telecommunicatiewet, meegelift op de Energiewet.

De mechaniek in de wettekst is aardig om te zien. De klantrelatiebepaling begint nu met de woorden "in afwijking van het eerste lid". Het eerste lid gaat over elektronische berichten. Het lid dat over telefoongesprekken aan natuurlijke personen gaat valt er niet meer onder. Vandaar dat de soft opt-in voor e-mail gewoon nog bestaat en die voor de telefoon verdwenen is.

Waarom dit ook je e-mail raakt

Niet omdat de e-mailregels veranderd zijn, want dat is niet zo. Wel omdat het gedrag van de markt verandert.

Iedere organisatie in Nederland die een belbestand van oud-klanten gebruikte om omzet op te halen is dat kanaal per 1 juli kwijt. Die budgetten en die targets verdwijnen niet, ze verhuizen. Het meest voor de hand liggende alternatief is e-mail. Reken dus op meer koude mail in Nederlandse zakelijke inboxen dit najaar, op filters die daarop reageren, en op ontvangers met een kortere lont. Wie in dat klimaat nog wil opvallen met een generieke sequence van vijf mails komt bedrogen uit. Daarover meer in waarom je koude mails niet aankomen. Een tweede alternatief is LinkedIn, dat buiten deze telemarketingregels valt; TetherReach is software om dat kanaal gestructureerd te gebruiken zonder het handmatig aan te tikken.

En er is een tweede effect, minder zichtbaar maar vervelender. Half ondernemend Nederland heeft in juli de kop "bellen mag niet meer" gelezen en daar zelf een conclusie bij verzonnen. Ik hoor beide varianten: "dus mailen mag ook niet meer" en "dus mailen is nu de veilige route". Geen van beide klopt. De e-mailregel stond er al, hij is niet strenger geworden en hij was nooit soepel.

De BV-mythe

Vraag een Nederlands leadgen-bureau wat koude e-mail legaal maakt en je krijgt bijna altijd hetzelfde antwoord: je mag BV's mailen, geen eenmanszaken, want een BV is een rechtspersoon en die valt onder het opt-outregime. Het staat op talloze bureau-websites en het klinkt ook alsof het klopt. Alleen staat het zo niet in de wet.

De uitzondering voor zakelijke ontvangers zit in artikel 11.7, derde lid van de Telecommunicatiewet. De aanhef daarvan luidt:

"In afwijking van het eerste en tweede lid, is geen voorafgaande toestemming vereist voor het overbrengen van ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden aan een rechtspersoon of een natuurlijke persoon die handelt in de uitoefening van zijn beroep of bedrijf, indien: (a) de verzender gebruik maakt van elektronische contactgegevens die door de desbetreffende eindgebruiker voor het ontvangen van ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden zijn bestemd en bekendgemaakt en deze worden gebruikt in overeenstemming met de door de eindgebruiker aan de contactgegevens verbonden doeleinden, of (b) de desbetreffende eindgebruiker is gevestigd buiten de Europese Economische Ruimte en voldaan wordt aan de in het desbetreffende land geldende voorschriften."

Artikel 11.7 lid 3 Telecommunicatiewet

Lees de opsomming van ontvangers nog een keer. Een rechtspersoon of een natuurlijke persoon die handelt in de uitoefening van zijn beroep of bedrijf. De eigenaar van een eenmanszaak die zijn zakelijke adres gebruikt voor zijn bedrijf zit in exact dezelfde uitzondering als een BV. Er is geen apart, ruimer regime voor rechtspersonen bij e-mail. De BV-filter beschermt je juridisch nergens tegen.

Waar komt het misverstand dan vandaan? Vermoedelijk uit twee dingen. Ten eerste uit de oude wettekst: vóór de wijzigingen van het afgelopen decennium liep de scheidslijn wél anders, en er staan blogs uit 2012 nog altijd hoog in Google. Ten tweede uit de telefoon, waar het onderscheid tussen natuurlijke en rechtspersoon écht bestaat, zoals hierboven bleek. Mensen tillen die regel over naar e-mail en niemand controleert het.

De andere helft van dezelfde zin

De uitzondering van lid 3 heeft een voorwaarde, en dat is het deel dat in de bureaubrochures altijd wegvalt. Het adres moet door de ontvanger zelf zijn bestemd en bekendgemaakt voor het ontvangen van ongevraagde commerciële communicatie, en het moet gebruikt worden in overeenstemming met het doel dat de ontvanger eraan verbond.

Neem dat letterlijk en er blijft weinig over. Een info@-adres op een contactpagina is bekendgemaakt, dat wel, maar het is bestemd voor vragen van klanten en leveranciers. Niemand publiceert zijn adres om ongevraagde verkoopmail te ontvangen. Een persoonlijk adres dat je via een dataleverancier of een e-mailfinder hebt gevonden is zelfs dat niet: het is niet door de betrokkene bekendgemaakt en al helemaal niet daarvoor bestemd.

De eerlijke conclusie is dus deze. Strikt gelezen valt vrijwel geen enkele Nederlandse koude e-mail binnen de uitzondering van lid 3, en is er dus formeel toestemming nodig die niemand heeft. Dat geldt voor ons, voor elk bureau dat je kunt inhuren en voor de sales-afdeling die het zelf doet. Wie je iets anders vertelt heeft de bepaling niet uitgelezen of hoopt dat jij dat niet doet.

Ik zet dit op mijn eigen website omdat het verandert waar je op moet sturen. Als het onderscheid tussen legaal en illegaal in de praktijk niet loopt waar de brochures het leggen, dan is "wij mailen alleen BV's" geen geruststelling. De vraag die er wel toe doet is: hoe verdedigbaar is wat je doet.

Wat je dan wel beschermt

Verdedigbaar, dus. Niet wettig. Het verschil tussen die twee woorden is het hele onderwerp van deze paragraaf, en het is ook precies het verschil tussen een geïrriteerde lezer en een dossier bij de toezichthouder.

• Klachtvolume. Toezicht op dit terrein begint bij meldingen. De ACM handhaaft op signalen en die signalen komen vrijwel altijd van consumenten die massaal gebeld of gemaild worden. Eén korte, correct ondertekende zakelijke mail per bedrijf levert die stroom niet op.
• Volume en tempo. Vijfentwintig mails per postbus per dag ziet er van buiten wezenlijk anders uit dan vijftigduizend per week vanaf een gehuurd IP-blok. Dat is geen juridisch argument, het is wel het eerste dat opvalt.
• Afmeldhygiëne die je kunt bewijzen. Iedere stopreactie binnen 24 uur permanent op de uitsluitlijst, voor alle opdrachtgevers tegelijk, en per verzendlijst een log waaruit blijkt dat de check gedraaid heeft. "Wij hebben dat adres nooit meer gemaild" moet reproduceerbaar zijn en niet slechts een bewering.
• Een kloppend identiteitsblok. Wie er stuurt, KvK-nummer, een postadres of telefoonnummer (de wet vraagt een van beide), waar de gegevens vandaan komen en hoe je ervan af komt. In elke mail, ook de eerste.
• Relevantie. Een mail waarvan de ontvanger ziet dat hij voor zijn bedrijf geschreven is levert een antwoord op. Een mail die duidelijk naar tweeduizend anderen ging levert een klacht op. Dit is de saaiste en de meest onderschatte mitigatie van allemaal.
• Wegblijven waar het niet hoort. Geen consumenten, geen privéadressen, en niemand die eerder liet weten dat hij met rust gelaten wil worden.

Geen van deze punten maakt het legaal. Samen maken ze het verdedigbaar, en ze zijn wat er overblijft als je de mythes weggehaald hebt.

De AVG is een tweede, losse vraag

De Telecommunicatiewet gaat over de vraag of je een bericht mag versturen. De AVG gaat over de vraag of je de persoonsgegevens van de ontvanger überhaupt mag verwerken. Dat zijn twee toetsen, ze staan los van elkaar, en je moet ze allebei halen. Bureaus die alleen over "de e-mailwet" praten slaan de helft over.

Grondslag

Voor koude B2B-acquisitie is dat gerechtvaardigd belang, artikel 6 lid 1 sub f AVG. Dat lag jarenlang lastig, want de Autoriteit Persoonsgegevens hanteerde de lijn dat een zuiver commercieel belang geen gerechtvaardigd belang kon zijn. Die lijn is gecorrigeerd door het Hof van Justitie in de KNLTB-zaak van 4 oktober 2024 (C-621/22): een commercieel belang kan wel degelijk kwalificeren, mits de verwerking strikt noodzakelijk is en de belangenafweging in jouw voordeel uitvalt. De AP heeft aangekondigd haar normuitleg aan te passen.

Praktisch gevolg: je moet die afweging opschrijven vóórdat je verstuurt, per doelgroep, in een legitimate interest assessment. Niet omdat het mooi staat, maar omdat het bij een vraag van de toezichthouder het enige is wat je kunt overleggen.

Artikel 14 tegenover artikel 13

Hier gaat het in de praktijk het vaakst mis. Als je de gegevens niet van de betrokkene zelf hebt gekregen, geldt artikel 14 AVG, en dat verplicht je onder meer om te vertellen uit welke bron de gegevens komen. Je moet die informatie uiterlijk bij het eerste contact geven. Heb je de gegevens wél van de persoon zelf, bijvoorbeeld omdat hij je contactformulier invulde, dan geldt artikel 13 en hoef je geen bron te noemen, want die kent hij.

Koude acquisitie zit dus altijd in artikel 14. Concreet betekent dat een footer met: wie je bent inclusief KvK-nummer en een postadres of telefoonnummer waarop je bereikbaar bent, waar de gegevens vandaan komen ("gegevens uit openbare bronnen waaronder het Handelsregister"), een verwijzing naar een privacy- en prospectieverklaring waar de volledige informatie staat, en hoe iemand bezwaar maakt. Eén regel "afmelden" onderaan is niet genoeg.

De non-mailing indicatie

In het Handelsregister kan een bedrijf een non-mailing indicatie laten zetten. Formeel dekt die post en deur-tot-deurbenadering, geen e-mail, dus juridisch hoef je hem voor mail niet te respecteren. De indicator komt niet voor in de Handelsregisterwet, en KvK zelf beperkt de reikwijdte tot post en verkoop aan de deur. Wij halen hem per bedrijf op en leggen hem vast, maar we filteren er niet op: het is een signaal voor een ander kanaal, en wie geen mail wil heeft aan één antwoord genoeg en staat daarna permanent op de uitsluitlijst. Wil je hem tóch als filter gebruiken, dan kost dat één API-call per bedrijf en heb je een goedkope extra mitigatie voor in je afweging.

Een werkbare checklist

Als je dit najaar zelf koude mail gaat versturen of het uitbesteedt aan een bureau, is dit het minimum dat op orde moet zijn. Uitbesteden haalt die lijst niet weg, want je blijft er zelf medeverantwoordelijk voor. Vraag een leverancier dus punt voor punt hoe hij het invult.

1. Een geschreven belangenafweging per doelgroep, met datum en versienummer, die je bij je campagne kunt terugvinden.
2. Een privacypagina die er echt staat, gevonden kan worden en de artikel 14-informatie bevat.
3. Een footer in elke mail met identiteit, KvK, bron van de gegevens en een stopinstructie die werkt.
4. Een uitsluitlijst die centraal staat, permanent is en over alle campagnes en opdrachtgevers heen geldt.
5. Een log per verzendlijst waaruit blijkt dat de uitsluitlijst geraadpleegd is, inclusief de adressen die geblokkeerd werden.
6. Een bewaartermijn voor niet-reagerende contacten, met een job die hem ook echt uitvoert.
7. Nul consumenten in de lijst, en per bedrijf vastgelegd of de non-mailing indicatie aan staat.
8. Volume dat past bij het aantal postbussen dat je hebt, in plaats van andersom.

Punt 5 is degene die iedereen overslaat en die je bij een klacht het meeste waard is. Onderdrukken kan iedereen. Kunnen aantonen dat je onderdrukt hebt is het bewijs.

Veelgestelde vragen

Wat veranderde er op 1 juli 2026 voor koude acquisitie?

De klantrelatie als grond om consumenten ongevraagd te bellen verviel. De bestaande regels voor commerciële e-mail bleven gelden.

Mag ik een BV zonder toestemming mailen?

Een BV heeft geen algemene vrijstelling. De uitzondering voor zakelijke e-mail vraagt dat het adres voor zulke berichten is bestemd en bekendgemaakt.

Wat leg ik vast in een LIA?

Je onderbouwt je belang en de noodzaak van de gegevensverwerking. Daarna weeg je die af tegen de belangen en rechten van de ontvanger.

Dit stuk is geschreven door een operator, niet door een advocaat, en het is geen juridisch advies. Het beschrijft wetteksten en toezichtpraktijk zoals ik ze op 7 augustus 2026 lees, met de bronnen erbij zodat je het zelf kunt nakijken. Zit er een klant of een campagne aan vast waar veel van afhangt, leg het dan voor aan een jurist die op dit terrein zit.

---

Lees je FlintLead graag vaker terug in Google? Zet FlintLead als voorkeursbron, dan krijgen onze stukken voorrang in je zoekresultaten.

Verder lezen