AVG-wetgeving voor webshops: wat moet je écht regelen?
Elke webshop verwerkt persoonsgegevens: een naam, een adres, een e-mail, een bestelhistorie. Zodra je dat doet, val je onder de AVG. De privacy wetgeving in Nederland klinkt zwaar en abstract, maar voor een gemiddelde webshop komt het neer op een handvol dingen die je gewoon op orde moet hebben. Dit artikel loopt ze langs — praktisch, zonder juridisch jargon, en zonder je bang te maken.
Wat is de AVG precies?
De AVG (Algemene Verordening Gegevensbescherming) is de Nederlandse naam voor de GDPR: één Europese verordening die sinds 25 mei 2018 in alle EU-landen geldt. "GDPR" en "AVG" zijn dus dezelfde wet — het ene is de Engelse term, het andere de Nederlandse. Omdat het een verordening is, gelden de kernregels overal in Europa hetzelfde. Of je nu levert vanuit Groningen of Gent, dezelfde AVG-regelgeving is van toepassing.
De toezichthouder in Nederland is de Autoriteit Persoonsgegevens (AP). Zij controleert of bedrijven zich aan de regels houden en kan handhaven wanneer dat niet gebeurt.
De kern: waarom mag je gegevens verwerken?
De AVG begint bij één vraag: heb je een geldige reden — een rechtmatige grondslag — om die persoonsgegevens te verwerken? Artikel 6 van de AVG noemt zes grondslagen. Voor een webshop zijn er twee die het vaakst gelden:
- Uitvoering van een overeenkomst. Om een bestelling te leveren heb je naam en adres nodig. Die grondslag heb je automatisch.
- Toestemming. Voor een nieuwsbrief of tracking-cookies heb je expliciete, vrije toestemming nodig — een vooraangevinkt vakje telt niet.
Twee principes horen daar direct bij. Doelbinding: gegevens die je voor een bestelling verzamelt, gebruik je niet zomaar voor marketing. En dataminimalisatie: vraag alleen wat je nodig hebt. Een geboortedatum bij een boekbestelling? Dan moet je kunnen uitleggen waaróm.
AVG-checklist voor je webshop
De meeste AVG-regels laten zich terugbrengen tot deze punten. Loop ze eerlijk langs.
| Wat | Wat het inhoudt |
|---|---|
| Privacyverklaring | Leg helder uit welke gegevens je verzamelt, waarom, en hoe lang je ze bewaart |
| Rechtmatige grondslag | Weet per verwerking waaróm je hem mag doen (art. 6 AVG) |
| Dataminimalisatie | Verzamel alleen wat echt nodig is |
| Beveiliging | HTTPS, sterke wachtwoorden, toegang beperkt tot wie het nodig heeft |
| Verwerkersovereenkomsten | Contracten met elke partij die namens jou gegevens verwerkt |
| Rechten van klanten | Kunnen reageren op verzoeken om inzage, verwijdering en dataportabiliteit |
| Bewaartermijnen | Gegevens niet langer bewaren dan nodig |
| Verwerkingsregister | Overzicht van welke gegevens je verwerkt en waarom |
| Datalekprocedure | Weten wat te doen als het misgaat |
Verwerkersovereenkomsten: het vergeten punt
Dit vergeten de meeste webshops. Vrijwel elke tool waar klantgegevens doorheen lopen, is een verwerker: je betaalprovider, je fulfilmentpartij, je e-mailtool, je hostingpartij, je reviewplatform. Met elk van hen moet je een verwerkersovereenkomst hebben. Daarin staat wat zij met de gegevens mogen doen en hoe zij ze beveiligen.
Goede leveranciers hebben zo'n overeenkomst standaard klaarliggen — vaak met één klik te accepteren in hun dashboard. Maak een lijstje van elke partij die klantgegevens ziet en check per stuk of de overeenkomst er is.
De rechten van je klanten
De AVG geeft betrokkenen — jouw klanten — een aantal rechten. De belangrijkste voor een webshop:
- Inzage: een klant mag opvragen welke gegevens je van hem hebt.
- Verwijdering (het "recht op vergetelheid"): op verzoek verwijder je gegevens die je niet langer mag bewaren.
- Dataportabiliteit: je levert de gegevens desgevraagd in een gangbaar formaat aan.
Je hoeft hier geen dure software voor. Je moet vooral weten hoe je zo'n verzoek afhandelt en het binnen de wettelijke termijn (in principe een maand) doen.
Meldplicht datalekken: 72 uur
Gaat er iets mis — een gehackte database, een verkeerd geadresseerde e-maillijst — dan geldt de meldplicht datalekken. Bij een lek met risico voor betrokkenen meld je dit binnen 72 uur bij de Autoriteit Persoonsgegevens, en soms ook bij de getroffen klanten zelf. Leg vooraf vast wie dit doet en hoe. In het vuur van een incident wil je niet nadenken over de procedure.
"AVG-proof" bestaat niet
Je ziet online veel aanbieders die een "AVG-proof" stempel, een "AVG-verklaring" of een AVG-certificaat verkopen. Wees hier nuchter over: er bestaat geen officieel keurmerk of stempel dat je juridisch "AVG-proof" maakt. De AP geeft zulke goedkeuringen niet af, en geen enkel logo op je site vrijwaart je van je eigen verantwoordelijkheid.
Compliance met de AVG is een doorlopend proces, geen eenmalig vinkje. Je klantenbestand verandert, je koppelt nieuwe tools, de regels rond cookies en marketing schuiven op. Een verklaring die je vandaag ondertekent, zegt weinig over je situatie over een half jaar. Zie AVG-proof zijn dus als iets wat je onderhoudt, niet als iets wat je haalt.
Wat er op het spel staat
De GDPR kent stevige maximumboetes: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dat is het Europese maximum voor de zwaarste overtredingen — geen bedrag dat een normale webshop bij een klein foutje verwacht. Belangrijker in de praktijk is dat de AP eerst vaak waarschuwt en om herstel vraagt. Zie het bedrag als een reden om de basis serieus te nemen, niet als dagelijkse dreiging.
Nog even praktisch
Begin bij het fundament: een correcte privacyverklaring. Daarin komt vrijwel alles samen — welke gegevens, welke grondslag, welke bewaartermijn, welke rechten. We schreven er een aparte gids over: zo stel je een privacyverklaring op voor je webshop.
En hoe past dit bij TrustBedrijf? Volledige openheid: wij zijn zelf een keurmerk, geen juridisch adviesbureau — voor concreet AVG-advies over jouw situatie ga je naar een jurist of de AP. Wél nemen we zorgvuldige omgang met klantgegevens mee in onze toetsingscriteria: een webshop die de basis van de privacy wetgeving negeert, hoort geen keurmerk te dragen. Wil je weten hoe wij toetsen en wat het keurmerk inhoudt? Dan lees je precies waar we op letten — de AVG hoort daar gewoon bij.
Keurmerk aanvragen