Een contactformulier, nieuwsbriefinschrijving of Meta-pixel lijkt klein werk. Maar zodra je gegevens van bezoekers verwerkt, moet je helder uitleggen wat daarmee gebeurt. Met deze gids voor een website privacyverklaring maken zet je snel een duidelijke basis neer die past bij je bedrijf, je website en het vertrouwen dat je wilt uitstralen.

Een privacyverklaring is geen pagina die je eenmalig van een andere site kopieert en onderaan je footer plaatst. Het is de vertaling van wat er technisch en commercieel op je website gebeurt. Juist daar gaat het vaak mis: de tekst belooft weinig dataverzameling, terwijl plugins, apps en marketingtools ondertussen volop gegevens verwerken.

Waarom een privacyverklaring meer is dan een verplicht vinkje

Bezoekers laten hun gegevens achter omdat ze een offerte willen, iets bestellen of contact zoeken. Ze verwachten dat je daar zorgvuldig mee omgaat. Een heldere privacyverklaring verlaagt twijfel, zeker bij een eerste bezoek aan een onbekend bedrijf of webshop.

Daarnaast vraagt de AVG dat je bezoekers informeert over de verwerking van hun persoonsgegevens. Denk aan namen, e-mailadressen, IP-adressen, bestelgegevens en gegevens die via cookies worden verzameld. De verklaring moet begrijpelijk zijn. Juridische taal mag, maar mag nooit verhullen wat je werkelijk doet.

Voor ondernemers is dit ook praktisch. Wie vooraf overzicht maakt van alle formulieren, koppelingen en externe tools, ontdekt sneller welke onderdelen onnodig data verzamelen. Dat houdt je website overzichtelijker, veiliger en vaak ook sneller.

Gids website privacyverklaring maken in 7 stappen

1. Breng alle gegevensstromen op je website in kaart

Begin niet met schrijven, maar met kijken. Welke gegevens ontvangt je bedrijf via de website en waar komen die terecht? Neem niet alleen de zichtbare contactformulieren mee. Controleer ook je WordPress-plugins, Shopify-apps, chatfunctie, boekingstool en advertentiepixels.

Maak een eenvoudig overzicht van gegevens die je verwerkt via onder meer contactaanvragen, nieuwsbriefinschrijvingen, bestellingen en betalingen, analyse- en advertentietools, en accounts of klantportalen. Noteer per onderdeel welke gegevens je verzamelt, waarom je dat doet en welke partij erbij betrokken is.

Een webshop verwerkt meestal meer dan een lokale dienstverlener. Bij een bestelling gaat het bijvoorbeeld om naam, adres, e-mail, betaalgegevens, orderhistorie en eventuele retourinformatie. Een aanvraagformulier op een zakelijke site vraagt vaak alleen om naam, e-mail, telefoonnummer en bericht. Je verklaring moet dat verschil laten zien.

2. Benoem wie verantwoordelijk is

Maak direct duidelijk welk bedrijf de persoonsgegevens verwerkt. Vermeld je bedrijfsnaam, vestigingsadres, contactgegevens en, waar van toepassing, je KvK-nummer. Heeft je organisatie een functionaris voor gegevensbescherming aangesteld? Dan horen ook die contactgegevens in de verklaring.

Gebruik geen algemene formulering als wij behandelen je gegevens zorgvuldig zonder uit te leggen wie wij zijn. Een bezoeker moet zonder zoeken weten met wie hij contact opneemt bij een privacyvraag, verzoek om inzage of verzoek om verwijdering.

3. Leg per doel uit welke gegevens je gebruikt

Dit is de kern van je privacyverklaring. Schrijf niet alleen dat je persoonsgegevens verwerkt om je dienstverlening te verbeteren. Vertel concreet wat dat betekent.

Bij een contactformulier verwerk je bijvoorbeeld naam, e-mailadres, telefoonnummer en bericht om te reageren op een aanvraag. Bij een bestelling gebruik je klant- en aflevergegevens om de overeenkomst uit te voeren. Bij een nieuwsbrief gebruik je doorgaans naam en e-mailadres om nieuws of aanbiedingen te versturen, op basis van toestemming.

Wees ook eerlijk over marketing. Gebruik je gegevens om doelgroepen op te bouwen, advertenties te meten of eerdere bezoekers opnieuw te benaderen? Benoem dat. Transparantie is sterker dan een vage zin die niemand begrijpt.

4. Vermeld de grondslag en bewaartermijn

Voor elke verwerking heb je een reden nodig die binnen de AVG past. In de praktijk gaat het vaak om toestemming, uitvoering van een overeenkomst, een wettelijke verplichting of een gerechtvaardigd belang.

Een nieuwsbrief versturen doe je meestal op basis van toestemming. Facturen bewaren doe je vanwege een wettelijke bewaarplicht. Het beantwoorden van een contactaanvraag kan nodig zijn om een overeenkomst voor te bereiden. Voor beveiliging, fraudepreventie of beperkte statistieken kan een gerechtvaardigd belang relevant zijn, mits je het belang van bezoekers zorgvuldig meeweegt.

Koppel hier ook een bewaartermijn aan. Bewaar een vrijblijvende aanvraag niet eindeloos omdat dat handig voelt. Formuleer een termijn die past bij je proces, zoals zolang nodig is voor afhandeling en opvolging, met een concrete maximale periode waar dat mogelijk is. Voor financiële administratie gelden andere wettelijke termijnen dan voor een contactformulier.

5. Noem externe partijen en doorgifte buiten de EER

Veel websites gebruiken externe leveranciers. Denk aan je hostingpartij, e-mailmarketingsoftware, betaaldienst, verzendpartner, CRM, analyticsplatform of klantenservice-tool. Deze partijen verwerken soms gegevens namens jou en soms voor eigen doeleinden. Dat verschil doet ertoe.

Je hoeft geen technisch schema van elke server op te nemen, maar bezoekers moeten wel weten met welke categorieën partijen je gegevens deelt en waarom. Verwerkers die namens jou werken, leg je normaal gesproken vast in een verwerkersovereenkomst.

Controleer ook of gegevens buiten de Europese Economische Ruimte terechtkomen. Dat gebeurt regelmatig bij Amerikaanse marketing- en analysetools. Vermeld welke passende waarborgen je toepast wanneer die doorgifte speelt. Dit onderdeel vraagt soms juridisch advies, vooral als je veel klantdata verwerkt of internationaal verkoopt.

6. Maak cookies en tracking apart duidelijk

Een privacyverklaring vervangt geen cookiebanner. Noodzakelijke cookies voor bijvoorbeeld winkelwagens, beveiliging of taalvoorkeuren mogen vaak zonder toestemming worden geplaatst. Voor niet-noodzakelijke analyse-, advertentie- en trackingcookies is voorafgaande toestemming doorgaans nodig.

Zorg dat je cookiebanner aansluit op de werkelijkheid. Als iemand marketingcookies weigert, mogen advertentiepixels niet alsnog laden. Een mooi vormgegeven banner die technisch niets blokkeert, levert geen vertrouwen op en lost het probleem niet op.

Beschrijf in je privacyverklaring of apart cookiebeleid welke categorieën cookies je gebruikt, waarvoor ze dienen en hoe bezoekers hun keuze kunnen wijzigen. Test dit na elke nieuwe plugin, Shopify-app of marketingkoppeling opnieuw. Een kleine toevoeging aan je site kan grote gevolgen hebben voor tracking.

7. Leg uit welke rechten bezoekers hebben

Bezoekers hebben onder de AVG onder meer recht op inzage, correctie, verwijdering, beperking van verwerking, bezwaar en dataportabiliteit. Ze moeten ook een klacht kunnen indienen bij de Autoriteit Persoonsgegevens.

Schrijf vooral hoe iemand zo’n verzoek indient. Geef een e-mailadres of duidelijke contactroute en vertel dat je mogelijk om aanvullende informatie vraagt om iemands identiteit te controleren. Dat beschermt de aanvrager én jouw klantgegevens.

Zet de verklaring op een zichtbare plek

Plaats je privacyverklaring in de footer van iedere pagina. Voeg bij formulieren een korte verwijzing toe die aansluit op de actie. Bij een nieuwsbriefinschrijving moet de toestemming bovendien actief en aantoonbaar zijn. Een vooraf aangevinkt vakje is geen sterke basis.

Voor webshops is zichtbaarheid op de checkout extra relevant. Daar laat de klant meer gegevens achter en wil hij weten hoe betaling, bezorging en communicatie zijn geregeld. Houd de tekst op mobiel net zo goed leesbaar als op desktop. Een privacyverklaring die alleen juridisch correct is, maar op een telefoon onbruikbaar, mist zijn doel.

Bij JOYOmedia bekijken we bij een nieuwe WordPress-website of Shopify-webshop niet alleen het ontwerp en de conversieflow, maar ook welke formulieren, apps en scripts daadwerkelijk nodig zijn. Minder overbodige tools betekent minder risico, minder vertraging en meer controle.

Veelgemaakte fouten die je eenvoudig voorkomt

De eerste fout is een template kopiëren zonder de inhoud te controleren. Een standaardtekst kan een prima startpunt zijn, maar nooit een eindpunt. Staat er dat je geen cookies plaatst terwijl Google Analytics of een advertentiepixel actief is? Dan klopt je verklaring niet.

De tweede fout is te breed formuleren. Zinnen als wij gebruiken gegevens voor marketingdoeleinden geven geen antwoord op de vragen van je bezoeker. Noem het doel, de soort gegevens en de grondslag.

De derde fout is vergeten te actualiseren. Een nieuwe boekingstool, e-mailplatform, betaalmethode of retargetingcampagne verandert je gegevensverwerking. Neem privacy daarom mee in je vaste onderhoudsmomenten, net als beveiligingsupdates en performancechecks.

Tot slot: behandel de privacyverklaring niet als juridisch decor. Als je processen achter de schermen niet overeenkomen met wat je publiceert, helpt geen enkele nette tekst. Bij twijfel over gevoelige gegevens, uitgebreide tracking of internationale doorgifte is een privacyjurist de juiste extra controle.

Een goede privacyverklaring geeft bezoekers geen reden om af te haken, maar een reden om door te gaan. Houd hem daarom concreet, vindbaar en actueel – precies zoals de rest van je website hoort te zijn.