ENNL
Menu
← Alle artikelen

WhatsApp coaching privacy: wat je als coach echt moet regelen

WhatsApp coaching privacy: wat je als coach echt moet regelen

De coach zit in zijn kantoor en houdt zijn smartphone vast.

WhatsApp gebruiken voor coachingscontact mag, maar alleen voor lichte, organisatorische berichten. Zodra je gezondheidsinformatie, sessienotities of persoonlijke details deelt, loop je een AVG-risico dat de meeste coaches onderschatten.

Het kernprobleem: je kunt met Meta geen verwerkersovereenkomst afsluiten die aan Nederlandse eisen voldoet, en berichten kunnen buiten de EU worden verwerkt. Voor bijzondere persoonsgegevens, denk aan gezondheid of psychische klachten, is dat een reëel probleem.

Drie risico’s op een rij:

  • Geen geldige verwerkersovereenkomst met Meta voor bijzondere persoonsgegevens.
  • Doorgifte van gegevens en back-ups naar servers buiten de EU.
  • Onduidelijkheid over wat Meta met metadata doet, ook al zijn berichten versleuteld.

Beslisregel: gebruik WhatsApp alleen voor het plannen van afspraken of korte praktische vragen. Zodra het gesprek over de inhoud van de coaching gaat, stap je over naar een veiliger kanaal.

Belangrijkste inzichten

WhatsApp is geschikt voor logistieke berichten tussen coach en cliënt, maar niet voor het delen van gezondheidsinformatie, sessienotities of andere bijzondere persoonsgegevens.

Punt Details
Beperk WhatsApp tot logistiek Gebruik het alleen voor afspraken en korte praktische vragen, nooit voor inhoudelijke coachinggesprekken.
Update je privacyverklaring Benoem WhatsApp expliciet en vermeld dat Meta gegevens buiten de EU kan verwerken.
Zet back-ups uit Schakel cloudback-up naar Google Drive of iCloud uit om onnodige doorgifte te voorkomen.
Stap over bij gevoelige inhoud Kies Signal, versleutelde e-mail of een coachportaal zodra je met bijzondere persoonsgegevens werkt.
Overweeg gespecialiseerde software Exantur biedt EU-hosting en een verwerkersovereenkomst voor coaches die sessienotities en cliëntgegevens veilig willen vastleggen.

Inhoudsopgave

Waarom WhatsApp privacyvragen oproept in Nederland en EU-recht

Het probleem zit niet in de versleuteling van je berichten. Die is sterk: Mozilla concludeerde in een privacyreview dat berichten end-to-end versleuteld zijn, maar dat er onduidelijkheid blijft over metadata en de verwerking daarvan door Meta. Wie belt met wie, hoe laat en hoe vaak, dat ziet Meta gewoon.

Het echte probleem zit in waar die gegevens terechtkomen en wie daarvoor verantwoordelijk is. De AVG eist dat je bij doorgifte van persoonsgegevens naar landen buiten de EU passende waarborgen hebt. Rechtszaken over grensoverschrijdende gegevensverwerking, zoals de zaak die bekendstaat als C-131/12, laten zien dat bedrijven verantwoordelijk blijven voor hoe hun gegevens buiten de EU worden behandeld, ook als een derde partij die verwerking uitvoert. Een analyse van IAPP noemt dit soort uitspraken terecht een wake-up call voor bedrijven in de EU.

WhatsApp zelf maakt de zaak er niet makkelijker op. In de zakelijke servicevoorwaarden staat expliciet dat de dienst niet bedoeld is voor organisaties met verhoogde vertrouwelijkheidseisen. De verantwoordelijkheid voor naleving van wet- en regelgeving ligt volgens die voorwaarden bij jou, niet bij Meta.

Wat dit voor jou als coach betekent:

  • Je kunt geen verwerkersovereenkomst afsluiten die voldoet aan Nederlandse AVG-eisen.
  • Meta mag gegevens delen binnen het eigen concern en met derden op grond van wetgeving.
  • Praktijkgidsen voor Nederlandse ondernemers waarschuwen dat persoonlijke WhatsApp-accounts meestal niet AVG-conform zijn voor klantcommunicatie, juist door dit gebrek aan een geldige overeenkomst.
  • Toezichthouders hebben al gehandhaafd tegen organisaties die persoonsgegevens via WhatsApp deelden, zo blijkt uit een overzicht van dergelijke zaken.

Kortom: het risico zit niet in de techniek, maar in het contract dat je niet kunt sluiten.

Welke coachberichten en situaties problematisch zijn

Niet elk WhatsApp-bericht is even riskant. Een afspraakbevestiging is iets anders dan een bericht over een burn-out. Zo herken je het verschil snel:

  • Afspraak verzetten of bevestigen — laag risico. Geen inhoudelijke informatie, puur logistiek.
  • Korte motivatie sturen tussen sessies door — laag tot medium risico, afhankelijk van hoe persoonlijk de tekst is.
  • Trajectnotities of samenvatting van een sessie doorsturen — hoog risico. Dit zijn vaak bijzondere persoonsgegevens.
  • Vragen over gezondheid, medicatie of mentale klachten — hoog risico. Valt onder bijzondere persoonsgegevens die extra bescherming vereisen.
  • Groepschats met meerdere cliënten — hoog risico. Cliënten zien elkaars telefoonnummer en soms elkaars berichten.
  • Screenshots van gesprekken opslaan op je telefoon — hoog risico, zeker zonder schermvergrendeling.
  • Automatische back-up naar Google Drive of iCloud — hoog risico. Gegevens verlaten dan alsnog de beveiligde chatomgeving.
  • Voice-memo’s met persoonlijke reflecties — medium tot hoog risico, afhankelijk van de inhoud.

Stel jezelf bij elk bericht een eenvoudige vraag: zit er gezondheidsinformatie, een diagnose, een emotionele bekentenis of iets herleidbaars over een derde in? Zo ja, dan hoort het niet in WhatsApp.

Wat de AVG van jou vraagt als coach

De AVG maakt geen uitzondering voor kleine praktijken. Ook als zelfstandige coach met vijf cliënten moet je kunnen aantonen dat je nadenkt over gegevensbescherming. Dat begint met transparantie: je cliënt moet weten welk kanaal je gebruikt en waarom.

Concreet vraagt de AVG van je:

  1. Informeer je cliënten over welke kanalen je gebruikt voor communicatie en welke risico’s daaraan kleven.
  2. Pas je privacyverklaring aan zodat WhatsApp-gebruik expliciet benoemd wordt, inclusief het feit dat Meta gegevens kan verwerken buiten de EU.
  3. Registreer je verwerkingen in een eenvoudig verwerkingsregister: welke gegevens, met welk doel, hoe lang bewaard.
  4. Stel bewaartermijnen vast voor chatgeschiedenis en verwijder gesprekken die je niet meer nodig hebt.
  5. Beveilig je telefoon met een schermvergrendeling en idempotent tweestapsverificatie (MFA) op je WhatsApp-account.

Het lastigste punt is en blijft de verwerkersovereenkomst. Een verwerkersovereenkomst is een contract waarin een leverancier belooft hoe hij met jouw cliëntgegevens omgaat en welke garanties hij geeft. Met Meta kun je zo’n overeenkomst niet op maat afsluiten. Je accepteert de standaardvoorwaarden, punt. Dat betekent dat je bij een datalek of controle zelf verantwoordelijk blijft, zonder contractuele stok achter de deur richting Meta.

Wanneer is een DPIA (data protection impact assessment, oftewel een risicobeoordeling van je gegevensverwerking) nodig? Volgens richtlijnen van de Europese Commissie over risicobeoordeling is een DPIA vereist zodra je op grote schaal bijzondere persoonsgegevens verwerkt, of wanneer nieuwe technologie een hoog risico met zich meebrengt voor de rechten van betrokkenen, zoals blijkt uit Europese adviezen over gegevensbeschermingsbeoordelingen. Voor een coach die via WhatsApp met meerdere cliënten over mentale gezondheid communiceert, is een DPIA sterk aan te raden. Zet hierin: welke gegevens je verwerkt, waarom WhatsApp nodig is, welke risico’s je ziet en welke maatregelen je neemt om die risico’s te beperken.

Praktische stappen om risico’s te verlagen als je WhatsApp toch gebruikt

Je hoeft niet morgen alles om te gooien. Begin met de basis en bouw het uit.

  1. Update je privacyverklaring. Benoem WhatsApp expliciet als communicatiekanaal en leg uit welke gegevens daarbij worden verwerkt.
  2. Vraag expliciete toestemming of bied een kanaalkeuze. Laat cliënten zelf kiezen of ze via WhatsApp of via een ander kanaal willen communiceren.
  3. Zet automatische back-ups uit. Ga naar de instellingen van WhatsApp en schakel de cloudback-up naar Google Drive of iCloud uit.
  4. Beveilig je telefoon. Gebruik een pincode of biometrische ontgrendeling en stel automatische schermvergrendeling in na een korte periode van inactiviteit.
  5. Ruim regelmatig op. Verwijder chats met cliënten die hun traject hebben afgerond, in lijn met de bewaartermijn die je hanteert.
  6. Gebruik MFA op je WhatsApp-account, zodat een gestolen telefoon niet meteen toegang geeft tot je gesprekken.
  7. Voer geen inhoudelijke coachinggesprekken via groepschats. Cliënten zien elkaar dan onnodig.

Deze maatregelen zijn haalbaar voor een solo-coach zonder technische achtergrond. Praktijkgidsen voor Nederlandse ondernemers noemen precies dit soort stappen als minimale vereisten voor verantwoord WhatsApp-gebruik: privacyverklaring aanpassen, expliciete toestemming vragen, telefoon beveiligen en back-ups uitschakelen.

Pro-tip: Maak er een vaste gewoonte van om na elk afgerond traject de chatgeschiedenis met die cliënt te verwijderen. Zet er een herinnering voor in je agenda, dan vergeet je het niet.

Coach verwijdert een WhatsApp-gesprek van zijn telefoon.

Toch is er een grens aan wat deze maatregelen oplossen. Ze verkleinen het risico bij logistieke berichten, maar lossen het onderliggende probleem niet op: het ontbreken van een verwerkersovereenkomst. Zodra je merkt dat je regelmatig gezondheidsinformatie, emotionele details of trajectnotities via WhatsApp deelt, zijn technische maatregelen niet meer genoeg. Dan is overstappen naar een ander kanaal de enige verantwoorde stap.

Veilige alternatieven voor WhatsApp en wanneer je moet overstappen

Er zijn drie redelijke routes, afhankelijk van hoeveel gevoelige informatie je deelt en hoeveel structuur je nodig hebt.

  • Signal is een eenvoudig alternatief voor coaches die vooral behoefte hebben aan een veiliger chatapp met vergelijkbaar gebruiksgemak als WhatsApp. Signal deelt aanzienlijk minder metadata dan WhatsApp.
  • Versleutelde e-mail, zoals ProtonMail, is geschikt voor coaches die liever schriftelijk communiceren over gevoeligere onderwerpen en een spoor willen bewaren van wat is afgesproken.
  • De WhatsApp Business API via een gecertificeerde Business Solution Provider is een optie voor grotere coachingorganisaties die WhatsApp als kanaal willen behouden, maar dan met een verwerkersovereenkomst en EU-hosting via de tussenpartij. Dit is complexer en kostbaarder dan de gewone WhatsApp-app en vooral interessant voor praktijken met meerdere coaches.
  • Een coachportaal binnen je praktijksoftware is de meest volledige oplossing als je sowieso al sessienotities, doelen en documenten wilt bijhouden op één plek, met een geldige verwerkersovereenkomst en EU-hosting.

Voor een solo-coach met een paar cliënten en overwegend praktische vragen is Signal vaak al genoeg. Zodra je met gevoelige inhoud werkt, meerdere cliënten hebt of aantoonbaar wilt kunnen maken hoe je gegevens beschermt, is een portaal met ingebouwde documentatie de veiligere en praktischere keuze. Voor advies over het inrichten van beleid en beveiligingsmaatregelen kun je ook terecht bij gespecialiseerde bedrijfsondersteuning die ondernemers helpt bij dit soort implementaties.

Hoe je gebruik van WhatsApp verantwoord en aantoonbaar vastlegt

Bij een controle of klacht moet je kunnen laten zien dat je hebt nagedacht over privacy. Dat betekent niet dat je een dik dossier nodig hebt, maar wel een paar concrete documenten.

Bewaar minimaal:

  1. Een verwerkingsregister waarin je per cliënt noteert welke gegevens je verwerkt en met welk doel.
  2. Een actuele privacyverklaring die WhatsApp-gebruik benoemt.
  3. Een vastgelegde toestemming of kanaalkeuze per cliënt.
  4. Een DPIA, als je met bijzondere persoonsgegevens werkt.
  5. Een eenvoudige datalekprocedure: wat doe je als er iets misgaat.

Noteer per cliënt in elk geval: welk kanaal is gekozen, of er toestemming is gegeven, en hoe lang je de gegevens bewaart. Wijs voor jezelf vast wie dit bijhoudt (meestal jijzelf als solo-coach) en update de documenten minstens één keer per jaar of bij elke nieuwe cliënt met een afwijkende situatie.

Voorbeeldteksten voor je privacyverklaring en intake

Je hoeft dit niet zelf te formuleren. Twee voorbeelden om direct te gebruiken of aan te passen.

Voor je privacyverklaring:

“Voor praktische afstemming gebruik ik soms WhatsApp. Let op: WhatsApp wordt beheerd door Meta en berichten kunnen worden verwerkt op servers buiten de Europese Unie. Voor gevoelige onderwerpen gebruik ik een ander, veiliger kanaal.”

Voor je intakeformulier, als toestemmingszin of kanaalkeuze:

“Ik geef toestemming om via WhatsApp praktische zaken (zoals afspraken) te bespreken. Voor inhoudelijke coachinggesprekken gebruiken we [e-mail / het cliëntportaal].”

Voor het eerste gesprek, mondeling: leg kort uit welk kanaal je voor welk type bericht gebruikt en waarom. Dat voorkomt verwarring en laat zien dat je hierover hebt nagedacht.

Wat coaches vaak over het hoofd zien

Wat mij opvalt, is dat coaches vaak wel bezig zijn met de inhoud van hun vak, maar zelden met waar hun gesprekken eigenlijk blijven staan. Een simpele WhatsApp-chat voelt vertrouwd en veilig, terwijl de juridische werkelijkheid anders is. De meeste winst zit niet in dure maatregelen, maar in twee dingen: je privacyverklaring aanpassen en bewust kiezen welk kanaal je voor welk type gesprek gebruikt.

Privacy is geen bijzaak naast je coaching. Het is onderdeel van de vertrouwensrelatie met je cliënt, net zo goed als je luistervaardigheid of je methodiek. Begin deze week met één stap: werk je privacyverklaring bij. De rest volgt vanzelf.

Een alternatief voor losse WhatsApp-chats en Excel-lijstjes

Veel coaches lappen hun praktijk aan elkaar met WhatsApp voor contact, een los document voor sessienotities en een spreadsheet voor voortgang. Dat werkt, tot het misgaat: een cliënt vraagt wat je precies hebt vastgelegd, en je moet drie apps doorzoeken.

Exantur brengt cliëntgesprekken, sessienotities, doelen en documenten samen op één plek, met EU-hosting in Frankfurt en een verwerkersovereenkomst die je wél kunt afsluiten. Dat lost precies op wat WhatsApp niet kan bieden: een geldige juridische basis voor het bewaren van gevoelige coachinginformatie. Zodra je met meerdere cliënten werkt, gevoelige onderwerpen bespreekt of merkt dat je aantoonbaar wilt kunnen maken hoe je gegevens beschermt, is een gespecialiseerde praktijksoftware een logische volgende stap.

Cliënten krijgen bovendien hun eigen portaal om check-ins in te vullen tussen sessies door, in plaats van via een losse chat. Wil je zien hoe dat in de praktijk werkt? Start een proefperiode van veertien dagen en bekijk hoe je cliëntgegevens veilig kunt beheren zonder gedoe met verspreide chats en documenten.

Een alternatief voor losse WhatsApp-chats en Excel-lijstjes — overview diagram

Bronnen

Wil je dieper graven of bewijs verzamelen voor een eigen dossier? Deze bronnen zijn een goed startpunt.

Gebruik de servicevoorwaarden als je contractuele risico’s wilt onderbouwen, de rechtspraak voor de juridische basis, en de Mozilla-review als je een onafhankelijke technische bron nodig hebt.

Dit artikel bevat algemene informatie en vervangt niet het advies van een gekwalificeerde advocaat. Raadpleeg een gekwalificeerde juridische professional over uw eigen situatie voordat u op basis van deze inhoud handelt.

Veelgestelde vragen

Mag je WhatsApp gebruiken voor coachingscontact in Nederland?

Ja, voor praktische zaken zoals het plannen van afspraken. Voor inhoudelijke coachinggesprekken met gevoelige informatie loop je een AVG-risico omdat je geen geldige verwerkersovereenkomst met Meta kunt afsluiten.

Is WhatsApp volledig privé?

Nee. Berichten zijn end-to-end versleuteld, maar Meta verwerkt nog steeds metadata zoals wie met wie communiceert en wanneer, zoals de privacyreview van Mozilla laat zien.

Voldoet WhatsApp aan de AVG?

WhatsApp als app is niet automatisch AVG-conform voor zakelijk gebruik, omdat je geen op maat gemaakte verwerkersovereenkomst met Meta kunt sluiten. De verantwoordelijkheid voor naleving ligt bij jou als coach, niet bij WhatsApp.

Wat houden de nieuwste privacyregels van WhatsApp in voor coaches?

De zakelijke voorwaarden van WhatsApp geven aan dat de dienst niet bedoeld is voor organisaties met verhoogde vertrouwelijkheidseisen, wat coaches met gevoelige cliëntinformatie direct raakt. Kijk daarom kritisch of je met een portaal of alternatief kanaal beter af bent.

Welk alternatief past het beste bij een kleine coachingpraktijk?

Voor eenvoudige, praktische communicatie volstaat Signal vaak. Zodra je sessienotities, doelen en documenten wilt vastleggen met een geldige verwerkersovereenkomst, is een praktijksoftware zoals Exantur een completere oplossing.

Aanbeveling