AVG · 26 augustus 2026 · 5 min lezen
AVG en de Wwft-bewaarplicht van cliëntendossiers
De Wwft verplicht u om dossiers minimaal vijf jaar te bewaren, de AVG stelt tegelijk eisen aan hoe u dat doet. Hoe combineert u een wettelijke bewaarplicht met dataminimalisatie?
Direct antwoord: de Wwft verplicht u om cliëntendossiers, onderzoeksgegevens en transactiegegevens minimaal vijf jaar te bewaren na het einde van de zakelijke relatie of het uitvoeren van de transactie. Dit is een wettelijke grondslag die de AVG-verplichting tot dataminimalisatie niet opzij zet, maar er wel mee moet worden gecombineerd: u bewaart wat nodig is voor de Wwft, niet onbeperkt alles wat u ooit heeft ontvangen.
Geen tegenstelling, wel een spanningsveld
De AVG vraagt persoonsgegevens niet langer te bewaren dan noodzakelijk voor het doel waarvoor ze zijn verzameld. De Wwft geeft voor cliëntenonderzoeksgegevens expliciet dat doel én die termijn: vijf jaar. Zolang u zich aan die termijn houdt en gegevens die buiten het Wwft-doel vallen niet onnodig langer bewaart, zijn beide verplichtingen te verenigen.
Wat betekent dit concreet?
- Bewaar wat de Wwft vereist: identiteitsdocumenten, onderzoeksresultaten, screeningsuitkomsten, correspondentie over het cliëntenonderzoek, transactiegegevens.
- Verwijder na de termijn: na vijf jaar (of eerder, als er geen andere grondslag meer is) hoort actieve verwijdering, niet stilzwijgend laten liggen "voor het geval dat".
- Beveilig naar het risico: persoonsgegevens in een Wwft-dossier zijn vaak gevoelig (identiteitsdocumenten, financiële informatie); dit vraagt om passende technische en organisatorische maatregelen, zoals versleuteling en toegang op basis van need-to-know.
- Beperk toegang: niet elke medewerker hoeft toegang te hebben tot elk dossier; leg vast wie waarom toegang heeft.
Een veelgemaakte fout
Documenten die tijdens het cliëntenonderzoek zijn binnengekomen maar uiteindelijk niet relevant bleken (bijvoorbeeld een dubbel toegestuurd document, of gegevens van een afgewezen kandidaat-cliënt) horen niet standaard oneindig bewaard te blijven "voor de zekerheid", dat is precies het soort dataverzameling zonder duidelijk doel waar de AVG tegen waarschuwt.
Wat de AVG van een Wwft-dossier vraagt
Een dossier voor cliëntenonderzoek bevat gevoelige gegevens: een kopie van een identiteitsbewijs, bankafschriften, informatie over inkomen en vermogen. De AVG vraagt dat u daar een grondslag voor hebt, dat u ze alleen voor dat doel gebruikt, dat u ze beveiligt en dat u ze niet langer bewaart dan nodig. Voor het cliëntenonderzoek is de grondslag een wettelijke verplichting. Artikel 34a Wwft voegt toe dat u de gegevens alleen mag gebruiken om witwassen en terrorismefinanciering te voorkomen, en niet voor commerciële doelen zoals een nieuwsbrief of een aanbieding.
Uw cliënten hebben recht op informatie. Vertel ze waarom u hun gegevens vraagt en hoe lang u ze bewaart. Een korte tekst in de opdrachtbevestiging volstaat.
Wanneer begint en eindigt de termijn?
De bewaartermijn is vijf jaar. Voor het cliëntenonderzoek loopt die na het einde van de zakelijke relatie, voor transactiegegevens na de uitvoering van de transactie. Bij vastgoedtransacties hanteert Apex Compliance de passeerdatum als praktisch ankerpunt, omdat de relatie dan feitelijk eindigt. Onder de AMLR, vanaf 10 juli 2027, is vijf jaar de basis, waarbij lidstaten een langere termijn mogen toestaan.
Na afloop vernietigt u het dossier, tenzij een lopend onderzoek of een geschil dat verhindert. Leg vast welke dossiers u wanneer hebt vernietigd.
Een verzoek om verwijdering
Een cliënt kan vragen om zijn gegevens te wissen. Zolang de wettelijke bewaartermijn loopt, mag u dat verzoek afwijzen, maar u moet binnen een maand antwoorden en uitleggen waarom. Zeg erbij wanneer de gegevens wel worden verwijderd. Gegevens die u niet voor de Wwft nodig hebt, zoals een marketingvoorkeur, wist u wel meteen.
Een voorbeeld uit de praktijk
Een koper trekt zich terug voordat de koopovereenkomst is getekend en vraagt om verwijdering van zijn paspoortkopie. De makelaar legt uit dat het cliëntenonderzoek al was gestart en dat de gegevens daarom nog vijf jaar worden bewaard, met het einde van de termijn erbij. Verder gebruikt het kantoor de gegevens nergens voor en geen collega buiten het compliance-team heeft er toegang toe. De koper krijgt een heldere uitleg en het kantoor heeft zijn keuze vastgelegd.
Veelgestelde vragen
Mag ik de gegevens ook voor mijn nieuwsbrief gebruiken? Nee. Gegevens die u voor de Wwft verzamelt, gebruikt u alleen voor dat doel.
Moet ik een kopie van het identiteitsbewijs bewaren? Een kopie is toegestaan, maar niet verplicht. Leg vast dat en hoe u de identiteit hebt gecontroleerd. Bewaart u een kopie, dan geldt dezelfde termijn.
Wat is mijn rol als de gegevens bij een softwareleverancier staan? U sluit een verwerkersovereenkomst, controleert de beveiliging en blijft zelf verantwoordelijk.
Wat doe ik bij een datalek? Als er een risico is voor de betrokkenen, meldt u het binnen 72 uur bij de Autoriteit Persoonsgegevens.
Bronnen
- Artikelen 33, 34 en 34a Wwft (bewaren en gebruiken van gegevens), wetten.overheid.nl.
- Verordening (EU) 2016/679 (AVG), artikelen 5, 6, 12 en 33.
- Verordening (EU) 2024/1624 (AMLR), bepalingen over het bewaren van documenten.
Door de redactie van Apex Compliance. Laatst bijgewerkt op 19 oktober 2026.
Verder lezen
- Lees ook welke onderzoeksgegevens u precies vastlegt.
- Lees ook waar bewaarplicht in de kernverplichtingen staat.
- Bekijk ook de Compliance Vault waarin dit is ingericht.
Zo helpt Apex Compliance
De Compliance Vault van Apex bewaart dossiers automatisch binnen de Wwft-termijn, met versleuteling, rolgebaseerde toegang en een audit trail van wie wanneer bij welk document heeft gekeken, zodat u nooit zelf hoeft bij te houden wanneer welk dossier verwijderd moet worden.