Een privacyverklaring voor een webshop beschrijft alles wat er met de gegevens van klanten gebeurt, van de bestelling tot de nieuwsbrief: welke gegevens u verwerkt, waarvoor, met welke partijen u ze deelt en hoe lang u ze bewaart. Een webshop deelt gegevens met meer partijen dan de meeste bedrijven, zoals het webshopplatform, de betaalprovider, de vervoerder en advertentiediensten. Dat maakt de privacyverklaring langer en gevoeliger voor fouten.
In het kort
- Beschrijf elke verwerking apart: bestelling, betaling, verzending, klantaccount, klantenservice, nieuwsbrief, reviews en cookies.
- Voor nieuwsbrieven aan bestaande klanten is onder voorwaarden geen toestemming nodig; voor alle andere ontvangers wel (artikel 11.7 Telecommunicatiewet).
- Voor advertentie- en volgcookies heeft u toestemming nodig (artikel 11.7a Telecommunicatiewet).
- Uw webshopplatform en apps zijn verwerkers, en draaien vaak deels buiten Europa. Dat hoort in de verklaring.
- Bestel- en factuurgegevens vallen onder de fiscale bewaarplicht van zeven jaar.
Wat moet er in een privacyverklaring voor een webshop staan?
Naast de vaste onderdelen van elke privacyverklaring, zoals uw contactgegevens en de rechten van klanten, beschrijft een webshop deze verwerkingen. Gebruik de lijst als checklist en schrap wat u niet doet:
| Verwerking | Gegevens | Grondslag | Bewaartermijn (voorbeeld) |
|---|---|---|---|
| Bestelling afhandelen | Naam, adres, e-mail, telefoon, bestelling | Uitvoering van de overeenkomst | Zeven jaar (fiscale bewaarplicht) |
| Betaling | Betaalgegevens, transactie | Uitvoering van de overeenkomst | Zeven jaar |
| Verzending en retour | Naam, adres, telefoon, e-mail | Uitvoering van de overeenkomst | Tot de afhandeling, daarna in de administratie |
| Klantaccount | Inloggegevens, bestelhistorie, voorkeuren | Uitvoering van de overeenkomst | Tot de klant het account opheft, of na een periode van inactiviteit |
| Klantenservice en garantie | Correspondentie, bestelling | Uitvoering van de overeenkomst, gerechtvaardigd belang | Tot de garantietermijn verstreken is |
| Nieuwsbrief | E-mail, naam, klikgedrag | Toestemming, of gerechtvaardigd belang bij bestaande klanten | Tot afmelding |
| Reviews | Naam of schuilnaam, beoordeling | Toestemming, als u de review met naam publiceert | Zolang de review online staat |
| Fraudepreventie | Bestel- en betaalgegevens, IP-adres | Gerechtvaardigd belang (de AVG noemt fraudepreventie als voorbeeld, overweging 47) | Afhankelijk van het risico |
| Statistieken | Cookies, surfgedrag | Geen toestemming nodig bij statistieken met weinig gevolgen voor de privacy; anders toestemming | Volgens de cookieverklaring |
| Advertenties en retargeting | Cookies, pixels, IP-adres, surfgedrag | Toestemming | Volgens de cookieverklaring |
De termijnen in de laatste kolom zijn voorbeelden. Kies termijnen die passen bij uw eigen administratie en onderbouw ze; de AVG vraagt dat u per soort gegevens een termijn of de criteria daarvoor noemt.
Mag een webshop klanten een nieuwsbrief sturen?
Ja, maar de regels verschillen per ontvanger. Voor e-mailmarketing geldt naast de AVG artikel 11.7 van de Telecommunicatiewet:
- Bestaande klanten mag u mailen over eigen, gelijksoortige producten zonder vooraf toestemming te vragen. Voorwaarde is dat u bij het verzamelen van het e-mailadres en in elke mail de mogelijkheid biedt om zich kosteloos af te melden (artikel 11.7 lid 4).
- Alle anderen, zoals bezoekers die alleen een account aanmaken of zich inschrijven voor een kortingscode, mailt u alleen met hun voorafgaande toestemming.
Een herinneringsmail voor een verlaten winkelwagen is ook commerciële communicatie. De uitzondering voor bestaande klanten geldt alleen voor contactgegevens die u bij een verkoop heeft gekregen; heeft iemand nog nooit bij u gekocht, ga er dan van uit dat u toestemming nodig heeft. Noem deze mails in elk geval in de privacyverklaring als u ze verstuurt. Stuurt u een nieuwsbrief op basis van gerechtvaardigd belang, dan vermeldt u ook welk belang dat is.
Welke cookies en pixels gebruikt uw webshop?
Webshops gebruiken vaak meer volgtechnieken dan andere websites: statistieken, advertentiepixels, retargeting, chatfuncties en ingesloten video's. Voor cookies en vergelijkbare technieken heeft u toestemming nodig, en de bezoeker moet vooraf duidelijk geïnformeerd zijn (artikel 11.7a Telecommunicatiewet). Uitgezonderd zijn cookies die strikt noodzakelijk zijn voor de webshop, zoals de winkelwagen, en statistieken met geen of weinig gevolgen voor de privacy (artikel 11.7a lid 3).
In de privacyverklaring beschrijft u welke gegevens deze technieken verzamelen en met welke partijen ze gedeeld worden. De cookie-informatie mag een apart onderdeel zijn of in een aparte cookieverklaring staan. Controleer welke apps en plug-ins zelf scripts toevoegen; dat zijn er vaak meer dan de eigenaar verwacht.
Met welke partijen deelt een webshop gegevens?
Bij de ontvangers wijkt een webshop het meest af van een gewoon bedrijf. Maak onderscheid tussen twee soorten partijen:
Verwerkers verwerken gegevens in uw opdracht. Met hen sluit u een verwerkersovereenkomst, en u noemt ze in de privacyverklaring:
- het webshopplatform of de hostingpartij;
- apps en plug-ins voor reviews, e-mail, voorraad of klantenservice;
- uw boekhoudpakket en e-maildienst;
- een fulfilmentpartij die voor u opslaat en verstuurt.
Zelfstandige ontvangers gebruiken de gegevens ook voor hun eigen wettelijke taken of doelen en zijn daarvoor zelf verantwoordelijk. Bij een webshop zijn dat vaak:
- de betaalprovider, die eigen wettelijke verplichtingen heeft, bijvoorbeeld rond fraude en witwassen;
- vervoerders die het pakket bezorgen.
Grote betaalproviders en vervoerders vermelden in hun eigen privacyverklaring dat zij verwerkingsverantwoordelijke zijn. Controleer dat bij uw eigen partijen; sommige bieden ook diensten aan waarbij zij wel als verwerker optreden, zoals een verzendplatform dat uw orders beheert.
Ook advertentieplatforms zijn zelfstandige ontvanger, voor zover zij gegevens voor eigen doelen gebruiken.
Met zelfstandige ontvangers sluit u geen verwerkersovereenkomst, maar ze horen wel als ontvanger in de privacyverklaring. Het verschil tussen beide documenten leest u in het artikel over privacyverklaring en verwerkersovereenkomst.
Komen de gegevens buiten Europa terecht?
Bij veel webshops wel. Grote webshopplatforms, e-maildiensten en advertentieplatforms slaan gegevens vaak (deels) op in de Verenigde Staten. In dat geval vermeldt u dat in de privacyverklaring, en op welke basis de doorgifte gebeurt (artikel 13 lid 1 onder f AVG).
Voor Amerikaanse leveranciers is die basis meestal het EU-VS Data Privacy Framework of standaardcontractbepalingen van de Europese Commissie. Het Data Privacy Framework is geldig, maar staat ter discussie: er loopt een hoger beroep bij het Hof van Justitie van de EU, en na een uitspraak van het Amerikaanse Hooggerechtshof in juni 2026 over de onafhankelijkheid van de toezichthouder FTC is gevraagd het besluit opnieuw te beoordelen. Noem daarom per leverancier de basis die deze zelf in zijn verwerkersovereenkomst opgeeft, en controleer die periodiek.
Is de standaard privacyverklaring van uw webshopplatform genoeg?
Meestal niet zonder aanpassingen. Veel webshopplatforms bieden een voorbeeldtekst of generator aan. Die tekst beschrijft het platform goed, maar kent uw andere keuzes niet: de apps die u heeft geïnstalleerd, uw betaalprovider, uw vervoerder, uw nieuwsbriefdienst en uw advertentiepixels.
Gebruik de platformtekst daarom als begin en vul hem aan met de tabel hierboven. Wanneer een generator volstaat en wanneer niet, leest u in het artikel over generator, template of laten opstellen.
Wat u nu kunt doen
Open het beheer van uw webshop en maak een lijst van alle geïnstalleerde apps, plug-ins, betaalmethoden, vervoerders en marketingkoppelingen. Leg die lijst naast de ontvangers in uw privacyverklaring en naast uw cookiemelding. Wat in de ene lijst staat en in de andere ontbreekt, past u aan.
De algemene onderdelen van een privacyverklaring vindt u in het overzicht van wat er in een privacyverklaring moet staan. Wilt u een verklaring die past bij uw eigen webshop en koppelingen, dan kunt u een privacyverklaring laten opstellen.
Dit artikel bevat algemene informatie en is geen persoonlijk juridisch advies. Of iets voor uw onderneming geldt, hangt af van uw specifieke situatie.