Je hebt een privacyverklaring van een andere webshop gekopieerd, het vinkje bij “ik ga akkoord” toegevoegd aan je bestelformulier, en sindsdien er geen omkijken meer naar gehad. Voor veel kleine webwinkeliers is dit de realiteit. Het probleem is dat dit in de meeste gevallen niet voldoet aan de AVG, en dat de fouten zitten op plekken waar je ze niet verwacht: in je nieuwsbriefinstellingen, je bewaarbeleid of de afspraken met je bezorgdienst. Dit artikel legt uit wat de wet concreet van je vraagt, zonder juridisch jargon.
Herken jezelf: de meest voorkomende misstappen
Een webshop die vraagt om geboortedatum terwijl je alleen kleding verkoopt. Een nieuwsbrieflijst met inschrijvingen van vier jaar geleden waarvan de helft nooit meer geopend heeft. Geen idee wanneer je bestelgegevens mag verwijderen. Dit zijn geen uitzonderingen. Dit is wat de Autoriteit Persoonsgegevens (AP) bij controles keer op keer tegenkomt in de e-commercesector.
De AVG webshop ondernemer treft zowel de kleine Shopify-winkel als de grotere WooCommerce-operatie. Schaal maakt geen verschil voor de wet.
Stap 1: Breng in kaart wat je eigenlijk verzamelt
Loop elk contactpunt in je webshop na en schrijf op welke gegevens er binnenkomen.
- Bestelformulier: naam, adres, e-mail, telefoonnummer, soms geboortedatum of bedrijfsgegevens
- Analytics (Google Analytics, Hotjar): IP-adressen, paginabezoek, klikgedrag
- Livechat: namen, e-mailadressen, de chatinhoud zelf
- E-mailmarketing (Mailchimp, Klaviyo): e-mailadressen, klikgedrag in mails, aankoophistorie
- Retargeting (Meta Pixel, Google Ads): bezoekersgedrag gekoppeld aan advertentie-ID’s
Verwijder daarna elk veld dat je niet actief gebruikt. Een telefoonnummer vragen terwijl je nooit belt? Weghalen. Minder data verzamelen is altijd de veiligste keuze.
Stap 2: Bepaal de rechtsgrond per datatype
Je hebt voor elk type verwerking een wettelijke basis nodig. Er zijn er drie die voor een webshop het meest relevant zijn.
Voor het verwerken van naam, adres en betaalgegevens bij een bestelling heb je geen aparte toestemming nodig. Dat valt onder ‘uitvoering van de overeenkomst’. Je kunt simpelweg niet leveren zonder dit te weten.
Voor nieuwsbrieven en marketingmails is expliciete toestemming verplicht. Een vooraf aangevinkt vakje telt niet. De klant moet zelf klikken, en je moet kunnen bewijzen wanneer en hoe die toestemming gegeven is.
Voor analytics en retargeting beroepen veel webwinkeliers zich op ‘gerechtvaardigd belang’, maar de AP kijkt daar kritisch naar. Voor tracking-cookies die advertenties personaliseren is toestemming via een cookiebanner doorgaans vereist.
Stap 3: Schrijf een privacyverklaring die wél werkt
Een kopie van een andere verklaring volstaat niet, zeker niet als die bewaartermijnen of doeleinden noemt die niet bij jouw webshop passen. Je privacyverklaring moet zes elementen bevatten: wie je bent (contactgegevens), welke data je verzamelt, waarom (het doel), op welke rechtsgrond, hoe lang je het bewaart, en welke rechten de klant heeft.
Schrijf in gewone taal. ‘Wij verwerken uw persoonsgegevens ter uitvoering van de overeenkomst’ kan ook zijn: ‘We slaan je naam en adres op om je bestelling te kunnen bezorgen.’ Dat begrijpt iedereen.
Wees concreet over bewaartermijnen. ‘Zo lang als nodig’ is niet genoeg. Schrijf letterlijk: bestelgegevens bewaar ik zeven jaar vanwege de fiscale bewaarplicht, nieuwsbriefgegevens verwijder ik na twaalf maanden inactiviteit.
Stap 4: Bewaarlimieten instellen en automatiseren
Drie concrete termijnen die je nu kunt vastleggen:
Bestelgegevens zoals facturen en adresgegevens die je nodig hebt voor de belastingdienst, bewaar je zeven jaar. Dat is wettelijk verplicht, dus je mag dit niet eerder verwijderen.
Klantaccounts van mensen die al meer dan twee jaar niet hebben besteld en niet actief zijn, mag je na het sturen van een aankondiging verwijderen. Stuur eerst een mail, wacht twee weken, verwijder dan het account als er geen reactie komt.
Inactieve nieuwsbriefabonnees, mensen die de afgelopen twaalf maanden geen enkele mail hebben geopend, verwijder je uit je lijst. Veel e-mailplatforms kunnen dit automatisch doen via een suppression-regel. Zet het nu in.
Stap 5: Verwerkersovereenkomsten afsluiten
Werk je met een betaalprovider (Mollie, Stripe), een e-mailplatform of een fulfilmentpartner, en ben je correct ingeschreven als ondernemer? Dan verwerk je samen persoonsgegevens en heb je een verwerkersovereenkomst nodig. De meeste grote SaaS-aanbieders hebben kant-en-klare Data Processing Agreements (DPA’s) die je online kunt accepteren. Dat is voor de meeste kleine webshops voldoende, mits je daadwerkelijk accepteert en dit ergens vastlegt.
Controleer in die DPA of er staat: wat de verwerker met de data mag doen, dat ze het alleen in jouw opdracht verwerken, en hoe een datalek gemeld wordt. Ontbreekt een van deze punten, neem dan contact op met de aanbieder.
Stap 6: Klantverzoeken netjes afhandelen
Een klant mag altijd vragen welke gegevens je van hem hebt, die laten corrigeren, of verwijdering vragen. Je hebt één maand de tijd om te reageren. Voor een eenpersoonswebshop is een eenvoudige werkwijze het beste: maak een map in je e-mail met de naam ‘AVG-verzoeken’, beantwoord elk verzoek schriftelijk en sla de correspondentie op. Zo heb je bewijs dat je binnen de termijn gehandeld hebt.
Bij een verwijderverzoek check je eerst of er nog een fiscale bewaarplicht geldt. Bestelgegevens van de afgelopen zeven jaar mag je dus niet volledig verwijderen, maar je kunt wel de marketinggegevens en het account losgekoppeld verwijderen.
Waar de AP daadwerkelijk op handhaaft
De AP heeft in de afgelopen jaren meerdere boetes uitgedeeld in de e-commercesector. De patronen zijn opvallend consistent: te lange bewaartermijnen zonder onderbouwing, het gebruik van tracking-cookies zonder geldige toestemming, en het ontbreken van verwerkersovereenkomsten met betaaldienstverleners. Geen van deze overtredingen vereist slechte bedoelingen. Ze zijn het gevolg van een webshop die ‘ooit’ is ingericht en sindsdien nooit meer kritisch bekeken.
Drie maatregelen die je deze week uitvoert, zonder budget
Als je maar drie dingen oppakt, laat het dan deze zijn.
Verwijder onnodige velden uit je bestelformulier. Open het formulier nu en vraag jezelf per veld af: heb ik dit écht nodig voor de levering? Zo niet, weg ermee.
Stel in je e-mailplatform een automatische verwijderregel in voor abonnees die twaalf maanden inactief zijn. Dit kost vijf minuten en beschermt je direct.
Zoek de DPA van je betaalprovider op, accepteer hem als je dat nog niet gedaan hebt, en maak een screenshot als bevestiging. Klaar.
De meeste AVG-fouten bij kleine webwinkeliers zijn geen kwestie van kwade wil, maar van niet weten waar je moet kijken. Beperk je dataverzameling tot wat je echt nodig hebt, leg bewaarlimieten vast, en zorg dat je verwerkersovereenkomsten met externe partijen op orde zijn. Dat zijn de drie plekken waar het het vaakst misgaat. Loop de checklist in dit artikel door en je hebt de grootste risico’s gedicht zonder dat je een advocaat hoeft te bellen.
