Privacyverklaring en privacybeleid voor je webshop (AVG)
Iedere webshop verwerkt persoonsgegevens: een naam, een adres, een e-mailadres, een IP-nummer. Zodra dat gebeurt, verplicht de AVG je om open te zijn over wát je verzamelt en waaróm. Die openheid leg je vast in een privacyverklaring. Toch blijft dit voor veel webshops een vaag hoofdstuk — een gekopieerde tekst onderaan de site die niemand ooit tegen de praktijk heeft gelegd. Deze gids legt uit wat er echt in moet, en waar de valkuilen zitten.
Privacyverklaring versus privacybeleid: niet hetzelfde
De termen worden door elkaar gebruikt, maar ze betekenen iets anders — en dat verschil bepaalt wat je publiceert.
- Een privacyverklaring (ook wel privacy policy of privacy statement) is het externe document: de tekst die je bezoekers en klanten lezen. Hij vertelt hún wat er met hún gegevens gebeurt. Deze hoort openbaar op je website.
- Een privacybeleid is het interne stuk: hoe jóuw organisatie met gegevens omgaat. Wie heeft toegang, hoe beveilig je data, wat doe je bij een datalek. Dit deel je niet met bezoekers, maar je moet het wel op orde hebben.
Kort gezegd: je maakt een privacyverklaring voor de buitenwereld, en een privacybeleid voor jezelf. In dit artikel gaat het vooral om de eerste, want dat is het document dat op je webshop hoort te staan.
Wat verplicht in een privacyverklaring hoort
De AVG schrijft in de artikelen 13 en 14 precies voor welke informatie je moet geven. Dit is de kern — gebruik het als checklist voor je eigen privacyverklaring website-brede tekst:
| Onderdeel | Wat je vermeldt |
|---|---|
| Wie je bent | Naam, KvK-nummer en contactgegevens van je webshop (de verwerkingsverantwoordelijke) |
| Welke persoonsgegevens | Concreet: NAW, e-mail, telefoonnummer, betaalgegevens, IP-adres, bestelhistorie |
| Doel | Waarvoor je ze gebruikt: bestelling afhandelen, bezorgen, nieuwsbrief, fraudepreventie |
| Grondslag (art. 6 AVG) | De juridische basis: uitvoering overeenkomst, toestemming, wettelijke plicht of gerechtvaardigd belang |
| Bewaartermijn | Hoe lang je gegevens bewaart, of het criterium waarmee je dat bepaalt |
| Ontvangers | Met wie je deelt: bezorgdienst, betaalprovider, e-mailtool, boekhouder |
| Rechten van betrokkene | Inzage, correctie, verwijdering, bezwaar, dataportabiliteit |
| Klachtrecht | Dat men kan klagen bij de Autoriteit Persoonsgegevens |
Twee onderdelen worden vaak vergeten. Ten eerste de grondslag per doel: een bestelling verwerk je op basis van de overeenkomst, maar een nieuwsbrief mag alleen met toestemming. Noem ze apart. Ten tweede de rechten van de betrokkene met een werkend contactpunt — een privacyverklaring die zegt "u heeft recht op inzage" zonder te vertellen waar je dat aanvraagt, is niet af.
Verwerkersregister: intern, maar verplicht
Naast je publieke verklaring moet je meestal een verwerkingsregister bijhouden: een interne lijst van alle verwerkingen, doelen en bewaartermijnen. Dat is geen tekst voor op je site, maar de Autoriteit Persoonsgegevens (AP) kan er wel naar vragen. Zie het als het administratieve fundament onder je privacyverklaring.
Cookies vragen om een eigen aanpak
Cookies vallen deels onder andere regels: de ePrivacy-richtlijn en de Nederlandse Telecommunicatiewet. De praktische lijn:
- Functionele en strikt noodzakelijke cookies (winkelwagen, inloggen) mag je zonder toestemming plaatsen.
- Analytische, tracking- en marketingcookies vereisen vooraf toestemming via een cookiebanner — mét een even makkelijke weiger- als accepteerknop.
- Wat je plaatst en waarom, leg je uit in een cookiebeleid. Dat mag een apart document zijn of een onderdeel van je privacyverklaring, zolang het compleet is.
Een cookiebeleid generator of cookie policy generator nederlands kan de basistekst leveren, maar de banner zelf moet technisch kloppen: geen niet-noodzakelijke cookies vóórdat iemand op accepteren klikt. Een uitgebreidere uitleg staat in ons artikel over de cookiewet.
Generators: prima startpunt, geen eindpunt
Zoek je op "privacyverklaring generator", "privacybeleid generator" of "privacy policy generator nederlands", dan vind je tientallen tools. En ja, een generator is een prima manier om een privacyverklaring op te stellen zonder vanaf nul te beginnen. Ook een voorbeeld privacyverklaring, een privacybeleid website voorbeeld of een privacy statement voorbeeld helpt je op weg met de juiste structuur.
De output moet je werkelijkheid beschrijven
Een standaard privacyverklaring beschrijft een gemiddelde webshop — niet die van jou. Gebruik je Google Analytics, een nieuwsbrieftool, een chatwidget of een externe betaalprovider? Dan moeten die er ín staan. Een gegenereerde tekst die tools noemt die je niet gebruikt, of juist verzwijgt wat je wél doet, is niet alleen nutteloos maar zelfs misleidend. Leg de generator-output altijd naast je feitelijke gegevensverwerking.
Kortom: een generator vult de vorm, jij vult de inhoud. Loop na afloop elke regel van de tabel hierboven langs en controleer of het klopt met wat er in jouw webshop écht gebeurt.
Waarom dit meer is dan een verplicht nummer
Een heldere privacy policy webshop-breed is niet alleen een juridische plicht — het is een vertrouwenssignaal. Bezoekers die twijfelen, checken vaak onbewust of je open bent over gegevens. Het hoort bij de bredere vraag hoe je een betrouwbare webshop herkent: transparantie over privacy staat naast duidelijke contactgegevens en eerlijke reviews.
Hoe TrustBedrijf hiernaar kijkt
Volledige openheid: TrustBedrijf is zelf een webshop keurmerk, dus wij zijn een belanghebbende partij. Wij geven geen juridisch advies en stellen je privacyverklaring niet voor je op — dat blijft jouw verantwoordelijkheid, eventueel met een jurist erbij.
Wat we wél doen: bij certificering controleren we of er een werkende privacyverklaring op je webshop staat. Niet of de tekst mooi is, maar of er überhaupt een is, of hij vindbaar is en of hij de basisonderdelen behandelt. Het staat in onze toetsingscriteria. Een keurmerk dat privacy negeert, zou immers weinig waard zijn.
Keurmerk aanvragen