GDPR, AVG, cookies, toestemming, privacy policy, verwerkersovereenkomst. Het klinkt als juridisch jargon waar je doorheen moet worstelen. En dat klopt ook. Maar de kern is simpel: bescherm klantgegevens, of betaal boetes tot €20 miljoen.
Hier is wat je écht moet regelen voor je website, zonder juridisch gezeik.
Wat is AVG/GDPR eigenlijk?
De AVG (Algemene Verordening Gegevensbescherming) of GDPR (General Data Protection Regulation) is Europese wetgeving die regelt hoe je omgaat met persoonsgegevens van bezoekers.
Persoonsgegevens zijn:
- Naam, email, telefoonnummer
- IP-adressen
- Cookies die gedrag volgen
- Alles wat iemand identificeerbaar maakt
Als je een contactformulier hebt, Google Analytics gebruikt, of cookies plaatst, dan val je onder de AVG. Dus ja, jij ook.
Wat moet je verplicht regelen?
1. Privacy policy (privacyverklaring)
Wat is het?
Een pagina op je website die uitlegt welke gegevens je verzamelt, waarom, en wat je ermee doet.
Wat moet erin?
- Welke gegevens je verzamelt (naam, email, IP-adres, etc.)
- Waarom je ze verzamelt (contact, nieuwsbrief, analytics)
- Hoe lang je ze bewaart
- Met wie je ze deelt (bijvoorbeeld Google Analytics, Mailchimp)
- Rechten van bezoekers (inzage, correctie, verwijdering)
- Hoe bezoekers contact opnemen voor privacy-vragen
Boete als je het niet doet: tot €20 miljoen of 4% van je jaaromzet.
Hoe regel je het?
Gebruik een generator zoals PrivacyPolicyGenerator.info of CookieDatabase. Vul je gegevens in, download de tekst, zet het op je website onder /privacy.
2. Cookiemelding (cookie consent)
Wat zijn cookies?
Kleine bestandjes die je browser opslaat. Ze kunnen functioneel zijn (inloggen onthouden) of tracking (Google Analytics, Facebook Pixel).
De regel:
- Functionele cookies (nodig voor de website) mag je zonder toestemming plaatsen
- Tracking cookies (analytics, advertenties) mag je alleen na toestemming plaatsen
Wat moet je doen?
Een cookie-banner die vraagt om toestemming voordat je tracking cookies plaatst. Niet die irritante “we gebruiken cookies, klik OK” banners die toch alles al geplaatst hebben. Echte toestemming.
Tools die het regelen:
- CookieDatabase (gratis voor kleine sites)
- Cookiebot (betaald, maar goed)
- Complianz (WordPress plugin)
3. Formulieren met toestemming
Als je een contactformulier of nieuwsbrief-inschrijving hebt, moet je:
- Een checkbox toevoegen: “Ik ga akkoord met de privacyverklaring“
- De checkbox mag niet standaard aangevinkt zijn
- Link naar je privacy policy
Verkeerd: Formulier zonder checkbox, of met vooraf aangevinkte checkbox.
Goed: Formulier met niet-aangevinkte checkbox die verplicht is.
4. Gegevens beveiligen
Je moet persoonsgegevens veilig opslaan. Dat betekent:
- SSL-certificaat (HTTPS) op je website (verplicht)
- Geen wachtwoorden in platte tekst opslaan
- Veilige hosting gebruiken
- Backups beveiligen (niet publiek toegankelijk)
Bij moderne hosting-platforms is dit automatisch geregeld. Bij eigen hosting: zorg dat je het goed doet.
Wat is optioneel (maar wel slim)?
Verwerkersovereenkomst
Als je tools gebruikt die data verwerken (Google Analytics, Mailchimp, hosting), ben je technisch verplicht een verwerkersovereenkomst te tekenen.
In de praktijk: Grote platforms (Google, Mailchimp) hebben dit gestandaardiseerd. Je accepteert hun voorwaarden, klaar. Kleine hostingpartijen sturen soms een overeenkomst op.
Is het verplicht? Ja. Wordt het gehandhaafd bij kleine bedrijven? Zelden. Maar het is wel netjes om te regelen.
AVG-proof analytics
Google Analytics is technisch niet AVG-proof zonder toestemming, omdat het data naar de VS stuurt. Alternatieven:
- Matomo (zelf hosten of cloud, privacy-vriendelijk)
- Plausible (privacy-first analytics)
- Simple Analytics (no cookies, no tracking)
Of gebruik Google Analytics met cookie consent tool.
Wat gebeurt er als je het niet doet?
In theorie: Boetes tot €20 miljoen of 4% van je jaaromzet (hoogste van de twee).
In de praktijk:
- Kleine bedrijven krijgen eerst een waarschuwing
- Herhaalde overtredingen: boetes van €5.000 – €50.000
- Grote datalekken: miljoenen aan boetes (zoals Uber, Google, Meta)
Dus ja, het wordt gehandhaafd. Vooral als iemand een klacht indient bij de Autoriteit Persoonsgegevens.
Checklist: ben jij AVG-proof?
Loop deze lijst door:
- ✅ Privacy policy op je website (/privacy)
- ✅ Cookie consent banner voor tracking cookies
- ✅ Formulieren met toestemmingscheckbox
- ✅ SSL-certificaat (https://)
- ✅ Veilige hosting met encryptie
- ✅ Data minimalisatie (verzamel alleen wat nodig is)
- ✅ Data-opslagbeleid (verwijder oude data)
- ✅ Verwerkersovereenkomsten met tools (optioneel maar netjes)
Als je dit hebt, ben je 95% AVG-compliant. De overige 5% is juridisch geneuzel voor grote bedrijven.
Tools die het makkelijk maken
| Tool | Wat het doet | Kosten |
|---|---|---|
| CookieDatabase | Cookie consent + privacy policy generator | Gratis |
| Cookiebot | Cookie scanning + consent management | €9/maand |
| Complianz (WordPress) | AVG compliance plugin voor WordPress | Gratis/€59 |
| Plausible Analytics | Privacy-vriendelijke analytics zonder cookies | €9/maand |
| OnePage ingebouwd | Cookie consent + SSL automatisch geregeld | Inbegrepen |
De 80/20 regel: focus op wat ertoe doet
Je kunt maanden bezig zijn met juridische details. Of je doet dit:
- Privacy policy met generator maken (30 minuten)
- Cookie consent banner installeren (15 minuten)
- Formulieren checken op toestemmingscheckbox (10 minuten)
- SSL controleren (5 minuten)
Totaal: 1 uur werk
En dan ben je 95% compliant. De rest is voor advocaten.
Conclusie: AVG is vervelend, maar geen raketwetenschap
GDPR/AVG klinkt ingewikkelder dan het is. De kern:
- Vertel bezoekers wat je met hun data doet
- Vraag toestemming voor tracking
- Beveilig gegevens met SSL
- Geef mensen controle over hun data
Als je dat doet, ben je compliant. De rest is juridisch theater.
Wil je een platform dat AVG al geregeld heeft? Probeer OnePage gratis →