Een abonnee schrijft zich in via jouw nieuwsbriefformulier, bevestigt de link in zijn inbox en staat twee minuten later netjes in je lijst. Prima. Maar stel dat diezelfde persoon drie maanden later een klacht indient bij de Gegevensbeschermingsautoriteit en beweert nooit toestemming te hebben gegeven. Welk concreet bewijs kun jij dan overleggen? Welke timestamp, welke formuliertekst, welke bevestigingsmail? Dit artikel legt stap voor stap uit hoe je dubbele opt-in instelt in Mailchimp, Brevo en ActiveCampaign, en wat je daarna zelf moet vastleggen, want elk platform laat automatisch cruciale bewijsstukken vallen.

Wat de GBA verwacht te zien bij een e-mailmarketingklacht

De Gegevensbeschermingsautoriteit hanteert bij klachten over ongewenste e-mail een vrij concrete checklist. Je moet als verwerkingsverantwoordelijke aantonen dat toestemming is gegeven, wanneer dat gebeurde, via welk formulier en met welke exacte toestemmingstekst. De bewijslast ligt volledig bij jou, niet bij de persoon die klaagt.

In de praktijk verwacht de GBA vier soorten bewijs: een tijdstempel van de inschrijving, het IP-adres van de inschrijver, een snapshot van de formuliertekst die op dat moment actief was, en bij dubbele opt-in ook het bewijs dat de bevestigingslink werd aangeklikt. Ontbreekt één van die elementen, dan staat je dossier meteen zwakker. Dat klinkt behapbaar, maar het probleem zit hem erin dat platforms als Mailchimp, Brevo en ActiveCampaign elk een ander deel van dat bewijs automatisch bijhouden en een ander deel gewoon weggooien.

Enkele versus dubbele opt-in: het verschil in bewijskracht

Bij enkele opt-in vult iemand een formulier in en staat hij meteen op je lijst. Jij hebt dan enkel het tijdstempel van die inschrijving. Bij dubbele opt-in stuurt het systeem eerst een bevestigingsmail; pas na klikken op de link wordt het adres actief. Die extra stap genereert een tweede bewijs: iemand had toegang tot die mailbox én klikte bewust.

Criterium Enkele opt-in Dubbele opt-in
Bewijskracht bij GBA-klacht Zwak (alleen inschrijftijdstempel) Sterk (inschrijving + bevestigingsklik)
Risico bij klacht Hoog: adres kan door iemand anders zijn ingevuld Laag: klik bewijst toegang tot de mailbox
Aanbevolen voor Interne tools zonder marketingmails Elke commerciële nieuwsbrief, elke vzw-ledenlijst

Het GBA-standpunt is duidelijk: voor commerciële e-mail is dubbele opt-in instellen conform GDPR de enige methode die je bij een controle met een gerust hart kunt verdedigen. Laten we nu per platform kijken hoe je dat technisch aanpakt.

Stap 1: Dubbele opt-in activeren in Mailchimp

In Mailchimp ga je naar Audiencekies je de juiste lijst en klik je op Settingsvervolgens Audience name and defaults. Halverwege die pagina staat de optie Enable double opt-in. Zet die aan. Mailchimp stuurt dan automatisch een bevestigingsmail vanuit hun eigen servers, met een generieke afzendernaam tenzij je een eigen domein hebt ingesteld via DKIM/SPF.

Belangrijk: de tekst van die bevestigingsmail kun je aanpassen via Signup forms en dan Form builder. Doe dat ook. De standaardtekst is in het Engels en vermeldt niets over wat de ontvanger precies toestaat. Voeg minimaal toe: waarvoor je het adres gebruikt, hoe lang je het bewaart en een verwijzing naar je privacybeleid. Dat zijn velden die Mailchimp niet automatisch invult maar die de GBA wél verwacht te zien in de bevestigingsmail die jij als verantwoordelijke verstuurt.

Stap 2: Wat Mailchimp automatisch logt en wat niet

Via Audience kun je een Contact Activity-export downloaden. Die bevat het e-mailadres, de datum en tijd van inschrijving, de datum van de bevestigingsklik en het IP-adres bij inschrijving. Voor de GBA zijn dat waardevolle kolommen.

Wat Mailchimp niet bijhoudt: de versie van je inschrijfformulier op het moment van inschrijving. Als jij zes maanden later de toestemmingstekst aanpast, is de oude tekst nergens meer terug te vinden in Mailchimp. Ook de exacte HTML van het formulier dat iemand zag, wordt niet opgeslagen. Dat gat moet je zelf dichten, en hoe je dat doet lees je bij stap 7.

Stap 3: Dubbele opt-in activeren in Brevo

In Brevo (voorheen Sendinblue) ga je naar Contactsdan Forms en je opent het formulier dat je wil aanpassen. Bovenaan de instellingen staat een toggle Enable double opt-in. Zet die aan en koppel er een transactionele e-mailtemplate aan. Let op: Brevo verwacht dat je die bevestigingsmail zelf aanmaakt als een transactioneel template via Email templates. Er is geen generieke fallbackmail die automatisch vertrekt als je geen template selecteert; Brevo geeft dan een foutmelding bij het opslaan van het formulier.

Voeg in het formulier zelf een GDPR-veld toe via het blok GDPR field in de formuliereditor. Dat veld toont een aanvinkvakje met de tekst die jij zelf schrijft. Zorg dat die tekst specifiek is: niet “Ik ga akkoord met de voorwaarden” maar “Ik geef toestemming om maandelijks de nieuwsbrief van [bedrijfsnaam] te ontvangen en begrijp dat ik me op elk moment kan uitschrijven.” Dat is het soort formulering waar de GBA naar zoekt.

Stap 4: Wat Brevo automatisch logt en wat niet

Een Contacts-export in Brevo bevat het e-mailadres, de aanmaakdatum, de bevestigingsdatum en de lijstbron. Wat ontbreekt: het IP-adres bij de bevestigingsklik. Brevo registreert het IP van de initiële inschrijving, maar niet het IP van de klik op de bevestigingslink. Dat is een relevant gat als de GBA vraagt of de persoon daadwerkelijk toegang had tot de mailbox op een specifiek apparaat of locatie.

Een workaround is een webhook instellen via Transactional en dan Webhooks. Stel een webhook in op het event contact.identified of list_addition en stuur die data naar een eenvoudig logbestand op je eigen server of een dienst als Pipedream of Make. Zo verzamel je aanvullende metadata die Brevo zelf niet exporteert.

Stap 5: Dubbele opt-in activeren in ActiveCampaign

ActiveCampaign biedt twee methodes en het verschil in loggedrag is groot. Methode één: je gebruikt een opt-in formulier dat je aanmaakt via Forms. In de formulierinstellingen activeer je Confirmation required. ActiveCampaign stuurt dan automatisch een bevestigingsmail en logt de bevestigingsklik met tijdstempel.

Methode twee: je gebruikt een gewoon formulier gekoppeld aan een automation die na inschrijving een bevestigingsmail stuurt via een automation-stap. Deze methode logt de bevestiging minder gestructureerd: de klik wordt geregistreerd als een automation-event, niet als een apart “confirmed opt-in” veld in het contactprofiel. Kies dus bij voorkeur voor de ingebouwde formulieroptie als bewijsvoering voor de GBA je prioriteit is.

Stap 6: Wat ActiveCampaign automatisch logt en wat niet

Via Contacts en dan een individueel profiel of een bulk-export zie je per contact de opt-in datum, de bevestigingsdatum en de lijstbron. Wat ActiveCampaign niet opslaat: een snapshot van de toestemmingstekst die op dat formulier stond op het moment van inschrijving. Net als bij Mailchimp: zodra jij de formuliertekst aanpast, is de oude versie weg. Bewaar formulierwijzigingen dus altijd extern, zeker als je meerdere campagnes per jaar draait met verschillende aanbiedingen en bijhorende toestemmingsteksten.

Stap 7: De toestemmingstekst en formulierversie archiveren

Geen enkel van deze drie platforms bewaart automatisch een historisch overzicht van je formulierteksten. Dat moet je zelf organiseren. Drie praktische methodes:

  • Screenshot-protocol: maak bij elke wijziging een screenshot van het volledige formulier inclusief toestemmingstekst, sla dit op met de datum in de bestandsnaam (bijv. “nieuwsbriefformulier-2026-09-29.png”) en bewaar dit in een gedeelde map.
  • Versiebeheertool: als je formulier in HTML op je site staat, commit je elke wijziging in Git met een beschrijvende commit-message. Zo heb je een volledige historiek met tijdstempels.
  • Statische URL-methode: publiceer elke formulierversie op een aparte URL met een datum in het pad (bijv. /inschrijven/v2026-09) en sluit oude URL’s niet af. Zo kun je bij een GBA-controle letterlijk de URL tonen die actief was op de dag van een specifieke inschrijving.

Voor de meeste zelfstandigen en kleine vzw’s is de screenshot-methode het meest haalbaar. Zorg wel dat de screenshots automatisch worden opgeslagen in een cloudmap zodat er geen handmatige stap vergeten wordt.

Stap 8: Je bewijsdossier opbouwen

Een exportbestand dat je bij een GBA-controle overhandigt, moet minimaal deze kolommen bevatten: e-mailadres, tijdstempel inschrijving, IP-adres inschrijving, tijdstempel bevestigingsklik, bron van het formulier (URL of formuliernaam) en de versie of datum van de toestemmingstekst. Voeg dit exportbestand toe als bijlage bij je verwerkingsregister, onder de verwerkingsactiviteit “nieuwsbrief” of “e-mailmarketing”. Noteer in het register ook hoe lang je deze bewijsdata bewaart; twee jaar na uitschrijving is een gangbare termijn die in lijn is met de GBA-aanbevelingen.

Checklist GBA-audit: 12 concrete bewijsstukken

Bij een klacht heb je doorgaans 72 uur tot een paar dagen om bewijs aan te leveren. Zorg dat je de volgende stukken snel kunt vinden:

  • Exportbestand met tijdstempel en IP van de inschrijving
  • Exportbestand met tijdstempel van de bevestigingsklik
  • Screenshot of archief van het formulier op de dag van inschrijving
  • De exacte toestemmingstekst die op dat formulier stond
  • Een kopie van de bevestigingsmail die werd verstuurd
  • Bewijs dat de bevestigingsmail ook de privacybeleidlink bevatte
  • De URL van het formulier of de landingspagina
  • Je verwerkingsregister met de vermelding van deze verwerkingsactiviteit
  • Je privacybeleid zoals gepubliceerd op de dag van inschrijving
  • Bewijs van de bewaartermijn die je hanteert voor de marketinglijst
  • De uitschrijflink in elke mail die je hebt verstuurd (exporteer een verzonden nieuwsbrief als bewijs)
  • Logboek van eventuele platformwijzigingen of formulieraanpassingen

De technische instelling van dubbele opt-in is in elk van deze drie platforms een kwestie van een paar klikken. Maar wat de GBA bij een controle opvraagt, gaat verder dan wat de platforms automatisch bijhouden. De exacte formuliertekst op het moment van inschrijving, de versiegeschiedenis van je opt-in pagina en de koppeling met je verwerkingsregister: die stukken moet je zelf organiseren, los van welk platform je gebruikt. Begin dat archief nu op te bouwen. Als je privacybeleid voor nieuwsbrief-verzending nog niet op orde is, is de generator op deze site een snel startpunt om ook dat bewijsstuk af te ronden.