Privacyverklaring maken

Wat is een privacyverklaring en is het verplicht?

Een privacyverklaring is een openbaar document waarin je uitlegt welke persoonsgegevens je verwerkt, waarom en hoe lang je ze bewaart. Voor elke ondernemer die persoonsgegevens verwerkt is een privacyverklaring verplicht op grond van de Algemene Verordening Gegevensbescherming (AVG). Artikel 12 t/m 14 AVG schrijven voor welke informatie je moet verstrekken vóór of op het moment dat je gegevens verzamelt.

Het maakt niet uit hoe klein je bedrijf is: zodra je één klantnaam bewaart, e-mails verstuurt aan prospects, of een contactformulier op je website hebt, verwerk je persoonsgegevens. De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder en kan boetes opleggen tot €20 miljoen of 4% van de wereldwijde jaaromzet bij ernstige schendingen.

Concreet voorbeeld: een ZZP-fotograaf bewaart namen, telefoonnummers en e-mailadressen van zijn klanten. Ook als hij geen website heeft, moet hij een privacyverklaring paraat hebben die hij desgevraagd kan overleggen. Voor webshops en dienstverleners met een online platform is publicatie op de website de standaardmanier om aan de informatieplicht te voldoen.

Wat moet er in een privacyverklaring staan volgens de AVG?

De AVG schrijft in artikel 13 en 14 exact voor welke informatie je moet opnemen. Een complete privacyverklaring bevat minimaal:

• Identiteit en contactgegevens — naam bedrijf, KvK-nummer, adres, contactadres voor privacyvragen.
• Contactgegevens Functionaris Gegevensbescherming — alleen verplicht bij grootschalige verwerking of bijzondere persoonsgegevens (zorg, overheid).
• Doeleinden van verwerking — waarvoor gebruik je de gegevens: klantrelatie, marketing, wettelijke verplichting?
• Rechtsgrond — art. 6 AVG geeft 6 grondslagen: toestemming, overeenkomst, wettelijke verplichting, vitaal belang, algemeen belang, gerechtvaardigd belang.
• Ontvangers van de gegevens — wie krijgt de gegevens: verwerkers, hostingpartij, boekhouder, koeriers?
• Doorgifte buiten de EU — of en waarom je gegevens naar landen buiten de EER stuurt (bijvoorbeeld VS via een SaaS-tool).
• Bewaartermijnen — hoe lang bewaar je welke gegevens? Wettelijke bewaartermijnen (bijv. 7 jaar voor facturen) noem je expliciet.
• Rechten van betrokkenen — inzage, rectificatie, verwijdering, beperking, bezwaar, overdraagbaarheid, klachtrecht bij AP.
• Automatische besluitvorming — of je gebruikmaakt van profiling of automatische beslissingen.
• Bron van de gegevens — alleen bij art. 14 AVG (gegevens die niet direct van de betrokkene komen).

Voor webshops geldt aanvullend een aparte cookieverklaring, met toestemming vóór het plaatsen van analytische en tracking cookies (artikel 11.7a Telecommunicatiewet). De privacyverklaring en cookieverklaring zijn aparte documenten maar moeten op elkaar aansluiten.

Verwerkersovereenkomst en verwerkingsregister: wanneer nodig?

Naast een privacyverklaring vraagt de AVG twee andere documenten van je als ondernemer: een verwerkingsregister en verwerkersovereenkomsten.

Verwerkingsregister (art. 30 AVG)

Elke organisatie met meer dan 250 werknemers is verplicht een verwerkingsregister bij te houden. MKB-bedrijven met minder werknemers zijn alleen verplicht een register te hebben wanneer de verwerking structureel, niet-incidenteel of risicovol is — wat bij vrijwel elke webshop, dienstverlener of B2C-organisatie het geval is. In de praktijk adviseert de AP elk bedrijf dat persoonsgegevens structureel verwerkt om een register bij te houden.

Wat staat erin? Per verwerking: naam, doel, rechtsgrond, betrokken categorieën gegevens, ontvangers, bewaartermijn en beveiligingsmaatregelen. Simpel Excel-bestand is juridisch voldoende.

Verwerkersovereenkomst (art. 28 AVG)

Wanneer een derde partij persoonsgegevens verwerkt voor jou — bijvoorbeeld een hostingprovider, e-mailmarketing-tool, boekhoudprogramma of CRM-systeem — moet je een verwerkersovereenkomst sluiten. Deze regelt afspraken over beveiliging, subverwerkers, datalekken en teruggave van gegevens bij einde samenwerking.

De meeste Nederlandse SaaS-leveranciers bieden een standaard verwerkersovereenkomst aan op hun website. Je moet die wel actief downloaden, ondertekenen en archiveren — impliciete acceptatie via algemene voorwaarden is onvoldoende.

Privacy by design en informed consent: praktische invulling

De AVG verlangt niet alleen dat je een privacyverklaring hebt, maar ook dat je privacy verankert in je processen. Dit heet privacy by design (art. 25 AVG): je verwerkt alleen de gegevens die je echt nodig hebt (data-minimalisatie), je beveiligt ze (art. 32 AVG), en je geeft gebruikers uitleg voordat ze toestemming geven.

Voor online contactformulieren en nieuwsbriefinschrijvingen is informed consent vereist. Dat betekent:

• Een apart aanvinkvakje per doel (geen pre-aangevinkte vakjes).
• Heldere uitleg in begrijpelijk Nederlands wat er met de gegevens gebeurt.
• Intrekken van toestemming moet net zo makkelijk zijn als geven.
• Administratie bijhouden wanneer en hoe iemand toestemming heeft gegeven (bewijsplicht).

Een praktijkvoorbeeld van een datalek-boete: Booking.com kreeg in 2021 een AP-boete van €475.000 omdat een datalek met 4.109 klantgegevens te laat werd gemeld (de verplichte termijn is 72 uur). Boetes vallen niet alleen bij grote bedrijven — ook MKB-ondernemers worden aangepakt, met gemiddelde sancties van €5.000 tot €50.000 bij ernstige schendingen.

Kosten: jurist, template of Lawsy?

Drie gangbare routes om een AVG-conforme privacyverklaring te krijgen:

1. Jurist of privacy-specialist inschakelen — kosten €400 tot €1.200 per document, afhankelijk van de complexiteit (aantal verwerkingen, cookies, internationale doorgifte). Maatwerk inclusief DPIA-advies. Doorlooptijd 5 tot 10 werkdagen.
2. Gratis template van internet — €0. Risico: de meeste templates zijn algemeen en vermelden niet jouw specifieke verwerkingen of cookie-tools. Bij een AP-controle kan een onvolledige privacyverklaring een boete opleveren.
3. AI-documentplatform Lawsy — €49 per document. Je beantwoordt 10 tot 15 vragen over je bedrijfssituatie (branche, cookies, externe partijen, doorgifte buiten EU) en krijgt direct een AVG-compleet document. Wil je extra zekerheid, dan laat je het voor €99 controleren door een geverifieerde jurist.

Concreet rekenvoorbeeld: een webshop-ondernemer laat via een jurist een privacyverklaring opstellen voor €800. Na wetswijziging in 2027 moet die aangepast worden — nog eens €400. Via Lawsy kost dezelfde update maximaal €49. Over 5 jaar heen, met 2 update-momenten, loopt de besparing op tot €1.000 of meer per onderneming.

Hoe stel je een privacyverklaring op via Lawsy?

Het proces duurt gemiddeld 8-12 minuten. In vijf stappen:

1. Kies type organisatie — ZZP, webshop, dienstverlener, SaaS-bedrijf of B2C-platform.
2. Vul bedrijfsgegevens in — KvK-nummer, contactadres privacyvragen, eventuele Functionaris Gegevensbescherming.
3. Specificeer je verwerkingen — selecteer uit standaard-categorieën (klantbestand, nieuwsbrief, analytics, remarketing) welke van toepassing zijn.
4. Benoem je verwerkers — Lawsy vraagt naar bekende tools (Google Analytics, Mailchimp, Stripe, etc.) en voegt relevante clausules over doorgifte toe.
5. Download of laat controleren — direct PDF + HTML-versie voor op je website, of voor €99 laten controleren door een geverifieerde jurist.

Deze pilaar is gekoppeld aan acht clusterartikelen die specifieke situaties behandelen: van cookieverklaring en verwerkersovereenkomst tot AVG-boetes voor MKB en Google Analytics-compliance.

Let op: Dit artikel geeft algemene informatie over privacyverklaringen en AVG-compliance en is geen juridisch advies. Voor jouw specifieke situatie — zeker bij grootschalige verwerkingen of internationale doorgifte — laat je het document controleren door een geverifieerde jurist via lawsy.nl.