# Een inschrijving laten bevestigen: hoe double opt-in werkt en waarom

> Wat double opt-in is, waarom de GDPR het niet verplicht maar het je wel helpt om toestemming te bewijzen, en welke fouten je vermijdt.

Bij een **double opt-in** schrijft iemand zich in voor je nieuwsbrief of mailinglijst, krijgt hij daarna een mail met een bevestigingslink, en komt hij pas op je lijst als hij op die link klikt. De GDPR verplicht die werkwijze niet. Ze vraagt wel dat je kunt aantonen dat iemand toestemming gaf, en precies daar helpt een bevestigde inschrijving: ze bewijst dat het e-mailadres bestaat en dat de eigenaar zelf ja zei.

**In het kort**

1. Bij double opt-in bevestigt een nieuwe inschrijver zijn e-mailadres via een link, voor hij op de lijst komt.
2. De GDPR schrijft double opt-in niet voor, maar vraagt wel dat je de toestemming kunt bewijzen; een bevestigde inschrijving is daarvoor een sterk bewijs.
3. Houd de bevestigingsmail zonder reclame en bewaar per inschrijving de datum, het formulier en de bevestiging.


*Of: waarom een ja pas telt als het twee keer gezegd is*

Wie een [opt-in voor je nieuwsbrief](/gidsen/gdpr-voor-bedrijven/toestemming-e-mailmarketing/) goed wil regelen, komt vroeg of laat bij de dubbele opt-in uit. Het klinkt als een extra drempel, en dat is het ook: een klein beetje. In ruil krijg je iets wat een enkel inschrijfformulier niet kan leveren, namelijk het bewijs dat de juiste persoon ja heeft gezegd.

## Double opt-in: wat het is en wanneer je het gebruikt

### De reservatie die je moet bevestigen

Reserveer je online een tafel in een restaurant, dan krijg je vaak een mail: „Bevestig je reservatie.” Klik je niet, dan vervalt ze na een tijd. Het restaurant doet dat niet uit wantrouwen tegenover jou. Het doet het omdat iedereen een formulier kan invullen, ook met de naam en het e-mailadres van iemand anders. Een lege tafel op zaterdagavond is duur.

Een nieuwsbrief werkt net zo. Iedereen kan een e-mailadres in je formulier typen: iemand die zich vergist, een collega die een grap uithaalt, of een robot die formulieren vult. Een enkele opt-in zet dat adres meteen op je lijst. Een dubbele opt-in vraagt eerst aan de eigenaar van het adres of hij het echt was.

Duw de vergelijking nog een stap verder. Het restaurant bewaart de bevestiging, zodat er later geen discussie is over wie wat gereserveerd heeft. Ook dat deel telt. De bevestigingsklik is pas nuttig als je hem kunt terugvinden.

### Hoe het werkt, stap voor stap

1. Iemand vult je inschrijfformulier in, met een vakje dat hij zelf aanvinkt.
2. Je systeem stuurt automatisch een bevestigingsmail met een unieke link.
3. Pas na een klik op die link komt het adres op je lijst.
4. Je systeem bewaart de gegevens van de inschrijving: wanneer, via welk formulier, en wanneer de bevestiging volgde.
5. Klikt niemand, dan wis je de onbevestigde inschrijving na een redelijke termijn.

De meeste nieuwsbriefprogramma's bieden dat als standaardinstelling of als optie. Je hoeft het dus zelden zelf te bouwen, wel aan te zetten.

### Wat de GDPR er echt over zegt

De GDPR noemt de dubbele opt-in nergens. Wat ze wel zegt, in artikel 7, is dat je moet kunnen aantonen dat iemand toestemming heeft gegeven, als je op toestemming steunt. Hoe je dat doet, laat de wet aan jou.

Een enkele opt-in is dus niet verboden. Maar stel dat iemand klaagt dat hij nooit ingeschreven was. Met een enkel formulier heb je alleen een regel in je lijst: het adres en een datum. Met een bevestigde inschrijving heb je ook een klik op een link die alleen naar dat adres was gestuurd. Dat tweede bewijs is een stuk overtuigender.

Er is ook een praktisch voordeel. Een lijst met bevestigde adressen bevat minder tikfouten, minder nepadressen en minder mensen die zich niet herinneren dat ze zich hebben ingeschreven. Dat merk je aan minder klachten en aan mails die vaker in de inbox belanden in plaats van bij de spam.

### De fouten die je vermijdt

- **Reclame in de bevestigingsmail.** De bevestigingsmail gaat naar iemand die nog geen toestemming gaf. Zet er dus geen aanbiedingen, kortingen of promoties in. Een vriendelijke uitleg en de bevestigingslink volstaan.
- **Een vooraf aangevinkt vakje.** Een dubbele opt-in maakt een ongeldige eerste stap niet geldig. Het vakje moet leeg zijn tot de persoon het zelf aanvinkt.
- **Onduidelijk wat men krijgt.** Vermeld op het formulier wat je zult sturen en hoe vaak, met een link naar je [privacyverklaring op je website](/gidsen/gdpr-voor-bedrijven/transparantie/privacyverklaring-website/).
- **Het bewijs niet bewaren.** De bevestiging is maar zoveel waard als je ze kunt terugvinden. Controleer of je programma de datum en het tijdstip van inschrijving en bevestiging bijhoudt, en of je die kunt exporteren.
- **Onbevestigde adressen toch mailen.** Wie niet bevestigd heeft, staat niet op je lijst. Ook niet „voor één keertje”.

### Wanneer een enkele opt-in volstaat

Er zijn situaties waarin een dubbele opt-in minder nodig is, bijvoorbeeld wanneer iemand zich inschrijft terwijl hij al aangemeld is in een klantenaccount waarvan het e-mailadres bevestigd is. Het adres is dan al gecontroleerd. De toestemming zelf moet je nog steeds kunnen bewijzen, en ze blijft even vrij, specifiek en ondubbelzinnig als anders.

### Wat kun je nu doen?

1. **Kijk in je nieuwsbriefprogramma** of dubbele opt-in aanstaat, en zet het aan voor nieuwe inschrijvingen.
2. **Herlees je bevestigingsmail**: één zin uitleg, één link, geen reclame.
3. **Test je formulier** met een eigen adres en controleer wat er bewaard wordt.
4. **Denk ook aan de rest van je nieuwsbrief**, van het formulier tot de uitschrijflink, zoals uitgelegd in de gids over [een nieuwsbrief die de GDPR respecteert](/gidsen/gdpr-voor-bedrijven/toestemming-e-mailmarketing/nieuwsbrief/).

Een dubbele opt-in kost je een paar inschrijvers die de bevestigingsmail nooit openen. Het restaurant verliest ook af en toe een reservatie die niemand bevestigt. Het houdt er wel een zaal aan over met mensen die echt wilden komen.