AVG voor webshops: wat moet je als ondernemer regelen?

Wie een webshop runt, verwerkt persoonsgegevens en moet daarom voor de AVG vier dingen regelen: een grondslag per doel, een duidelijke privacyverklaring, schriftelijke afspraken met partijen die voor jou gegevens verwerken en een werkwijze voor datalekken, inclusief melding binnen 72 uur als dat kan. Daarnaast bewaar je gegevens niet langer dan nodig. Dit artikel loopt die onderdelen door en verwijst naar de AVG zelf, de Autoriteit Persoonsgegevens en de Belastingdienst. Dit is algemene informatie en geen juridisch advies.

Welke persoonsgegevens verwerkt een webshop?

Een webshop verzamelt al snel naam, adres, e-mailadres en bestelgeschiedenis, soms ook betaalgegevens via een betaalprovider. Dat zijn voorbeelden van persoonsgegevens die jij als ondernemer verwerkt. Artikel 5 lid 1 onder c van de AVG vraagt dat gegevens toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is voor het doel: minimale gegevensverwerking. Vraag in je bestelformulier dus alleen wat je nodig hebt. Artikel 5 lid 2 voegt toe dat jij als verwerkingsverantwoordelijke de naleving moet kunnen aantonen. Dat is de verantwoordingsplicht, en daarom is vastleggen wat je doet net zo belangrijk als het doen zelf.

Op welke grondslag verwerk je gegevens?

Je mag persoonsgegevens alleen verwerken als je een grondslag hebt. Artikel 6 lid 1 van de AVG zegt dat verwerking alleen rechtmatig is als aan ten minste een van de genoemde voorwaarden is voldaan. Twee grondslagen herken je direct in een webshop. Verwerking is rechtmatig als ze noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, bijvoorbeeld het afhandelen van een bestelling. En ze is rechtmatig als ze noodzakelijk is om te voldoen aan een wettelijke verplichting, bijvoorbeeld de fiscale administratie. Kies per doel een grondslag en leg die vast.

Voor doelen buiten die twee kan toestemming de grondslag zijn, bijvoorbeeld voor een nieuwsbrief. Artikel 7 lid 3 van de AVG bepaalt dat het intrekken van toestemming even eenvoudig is als het geven ervan. Een uitschrijflink in elke nieuwsbrief en een duidelijke plek in het klantaccount om voorkeuren te wijzigen horen daar dus bij. Toestemming speelt ook bij cookies en trackers op je site. Artikel 11.7a van de Telecommunicatiewet vraagt daarvoor toestemming, met uitzonderingen. Dat onderwerp werken we uit in het artikel over cookies en toestemming voor je webshop. Een praktische aanpak is om per doel te bekijken welke grondslag past, in plaats van overal toestemming te vragen.

Wat zet je in je privacyverklaring?

De privacyverklaring is je manier om klanten te informeren. Artikel 13 lid 1 van de AVG zegt dat je de betrokkene bij de verkrijging van de persoonsgegevens al de voorgeschreven informatie geeft. Daaronder vallen volgens het artikel onder meer de identiteit van de verantwoordelijke, de doeleinden, de rechtsgrond en de ontvangers. Lid 2 onder a voegt toe dat je de periode meldt waarin de gegevens worden opgeslagen of, als dat niet kan, de criteria om die termijn te bepalen. Zet in je verklaring dus per doel wat je verzamelt, waarom, op welke grondslag, met wie je het deelt en hoe lang je het bewaart.

Wat vindt de Autoriteit Persoonsgegevens (AP) van de vorm? De AP schrijft dat de privacyverklaring niet te lang en niet ingewikkeld mag zijn. Vult iemand zijn gegevens in op de website van de organisatie, dan is een duidelijke verwijzing naar de online privacyverklaring genoeg. Zet bij je bestelformulier en je contactformulier dus een zichtbare link naar de verklaring. Schrijf de tekst in gewone taal, met korte alinea's en duidelijke tussenkoppen. Het helpt ook om de verklaring bij te werken zodra je een nieuw doel, een nieuwe leverancier of een andere bewaartermijn invoert, zodat de tekst blijft kloppen met wat je echt doet.

Wanneer heb je een verwerkersovereenkomst nodig?

Werk je met externe partijen die persoonsgegevens voor jou verwerken, zoals een hostingpartij of een externe fulfilmentpartner, dan moet je afspraken vastleggen. Artikel 28 lid 3 van de AVG zegt dat de verwerking door een verwerker wordt geregeld in een overeenkomst die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt. De verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke. De AP noemt dit document een verwerkersovereenkomst. Afhankelijk van de partijen waarmee je werkt, kan het om meerdere overeenkomsten gaan, dus een praktische eerste stap is een overzicht te maken van alle partijen die met klantgegevens in aanraking komen.

De AP geeft aanvullende aanwijzingen. Ook als verwerker ben je verplicht een verwerkersovereenkomst te hebben. In de overeenkomst staat dat de verwerker geen subverwerkers inschakelt zonder jouw voorafgaande schriftelijke toestemming. En: als verwerkingsverantwoordelijke blijf je altijd verantwoordelijk voor de verwerking, ook als de verwerker de overeenkomst heeft opgesteld. Lees een overeenkomst die je krijgt dus echt door en laat hem niet ongezien tekenen. Bouwt of host Digitaalnu jouw webshop, dan is het redelijk om hierover afspraken te maken. Wij bespreken dat graag in de intake.

Wat doe je bij een datalek?

Een datalek kan elke webshop treffen. Artikel 33 lid 1 van de AVG zegt dat de verwerkingsverantwoordelijke een inbreuk zonder onredelijke vertraging meldt en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de bevoegde toezichthoudende autoriteit. Dezelfde bepaling kent een uitzondering: een melding is niet nodig als het niet waarschijnlijk is dat de inbreuk een risico inhoudt. Of dat zo is, beoordeel je per geval. Leg ook vast hoe je tot die beoordeling kwam, zodat je later kunt laten zien waarom je wel of niet hebt gemeld.

Artikel 33 lid 2 regelt de rol van de verwerker: die informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra hij kennis heeft genomen van een inbreuk. Voor je webshop betekent dat dat je hostingpartij of platformleverancier jou moet waarschuwen. De termijn van 72 uur begint voor jou echter pas op het moment dat jij er kennis van hebt genomen, zoals het artikel het formuleert. Spreek met je partijen af wie wie waarschuwt, via welk kanaal en wie bereikbaar is. Zet de contactgegevens van de juiste personen in een document dat je ook buiten kantoortijd kunt vinden.

Hoe lang mag je gegevens bewaren?

Hoe lang bewaar je gegevens? Artikel 5 lid 1 onder e van de AVG zegt dat persoonsgegevens niet langer in identificeerbare vorm worden bewaard dan nodig is voor de doeleinden waarvoor ze worden verwerkt. Tegelijk kent de wet verplichtingen die langer bewaren vragen: een wettelijke verplichting is zelf ook een grondslag, zoals artikel 6 lid 1 onder c aangeeft. De Belastingdienst schrijft dat je je administratie 7 jaar moet bewaren. Een praktische aanpak is om gegevens die je alleen voor de fiscale administratie bewaart, gescheiden te houden van gegevens die je voor andere doelen gebruikt.

De Belastingdienst noemt nog enkele details. De bewaartermijn begint pas als een gegeven zijn actuele waarde verliest. Facturen bewaar je in de vorm waarin je ze hebt verstuurd of ontvangen, dus digitale facturen druk je niet af maar sla je digitaal op. Voor andere gegevens geldt volgens de Belastingdienst 7 jaar, of korter als je daarover met de Belastingdienst afspraken maakt. Stel in je shop daarom bewaartermijnen per gegevenssoort in, bijvoorbeeld voor accounts van klanten die al lang niet meer hebben besteld. Verwijder wat je niet meer nodig hebt en schrijf in je privacyverklaring wat je wanneer verwijdert.

Welke stappen neem je in je webshop?

Maak van dit alles een korte werklijst. Stel een overzicht op van de gegevens die je webshop verwerkt en kies per doel een grondslag. Schrijf een begrijpelijke privacyverklaring en link ernaar bij elk formulier. Verzamel verwerkersovereenkomsten met je hostingpartij en andere leveranciers. Beschrijf wat je doet bij een datalek en wie wie belt. Stel bewaartermijnen in en ruim op. Dit is algemene informatie en geen juridisch advies; bij twijfel schakel je een jurist of je functionaris gegevensbescherming in. De AP publiceert op haar website actuele uitleg over deze onderwerpen.

Digitaalnu bouwt, onderhoudt en host webshops, en kan je helpen de technische kant goed in te richten: formulieren die alleen vragen wat nodig is, bewaartermijnen in je systeem en beveiligde hosting. Een webshop begint vanaf €2.500. Wil je weten hoe dit in jouw situatie uitpakt, plan dan een kennismaking. We bespreken welke gegevens je shop nodig heeft, welke partijen erbij betrokken zijn en wat daarvoor technisch moet worden ingesteld. Bekijk de webshop-dienst of lees onze checklist webshop wetgeving voor de regels rond prijzen, bestelknop en voorwaarden.

Laatst bijgewerkt op 11 oktober 2026