---
title: "Privacy statement opstellen: dit hoort erin"
url: https://mkbjuristen.nl/blog/ondernemen/privacy-statement-opstellen/
date: 2026-10-09
modified: 2026-10-09
lang: nl
author: "denian@mkbrecht.nl"
description: "Privacy statement opstellen? Lees welke onderdelen erin horen, de veelgemaakte fouten en wanneer je een jurist inschakelt."
categories:
  - "Ondernemen"
image: https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-opstellen-hero-1024x576.jpg
word_count: 916
---

# Privacy statement opstellen: dit hoort erin

Een privacy statement opstellen doet u door per verwerking vast te leggen welke persoonsgegevens u gebruikt, met welk doel, op welke grondslag en hoe lang u ze bewaart — aangevuld met de rechten van betrokkenen en de partijen aan wie u gegevens doorgeeft. De AVG (art. 13/14) bepaalt de minimuminhoud. De valkuil is niet de vorm, maar de eerlijkheid: het statement moet uw werkelijke praktijk beschrijven, niet een geleende voorbeeldtekst.

## Het korte antwoord

- **Inventariseer** welke persoonsgegevens u verwerkt en waarom.
- **Bepaal per doel de grondslag** (overeenkomst, wettelijke plicht, gerechtvaardigd belang of toestemming).
- **Leg bewaartermijnen vast** per soort gegeven.
- **Benoem verwerkers en ontvangers** en eventuele doorgifte buiten de EU.
- **Beschrijf de rechten** van betrokkenen en hoe zij die uitoefenen.
- **Publiceer en actualiseer** de tekst begrijpelijk op uw website.

## Privacy statement opstellen begint met inventariseren

![Privacy statement opstellen start met inventarisatie van gegevensverwerking](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-opstellen-hero.jpg)

Voordat u iets schrijft, brengt u uw verwerkingen in kaart. Loop uw processen langs: klantadministratie, offertes, facturatie, personeel, nieuwsbrief, website-analytics, sollicitaties. Voor elk proces noteert u welke gegevens u verzamelt, waarvoor, van wie en waar ze terechtkomen. Deze inventarisatie is de basis. Zonder dit overzicht schrijft u een tekst die niet klopt met de werkelijkheid — en dat is precies wat de Autoriteit Persoonsgegevens afkeurt.

## De verplichte onderdelen

![Verplichte onderdelen bij het opstellen van een privacyverklaring](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-opstellen-body1.jpg)

Uw statement bevat ten minste:

- **Uw identiteit** als verwerkingsverantwoordelijke, met contactgegevens.
- **Doeleinden** per verwerking.
- **Grondslag** per doel.
- **Categorieën gegevens** die u verwerkt.
- **Ontvangers en verwerkers**: leveranciers die in uw opdracht gegevens verwerken.
- **Bewaartermijnen** of de criteria daarvoor.
- **Rechten**: inzage, rectificatie, verwijdering, beperking, bezwaar, dataportabiliteit en het klachtrecht bij de AP.
- **Doorgifte buiten de EU**, met de gebruikte waarborgen.

## Grondslag per doel bepalen

Dit is het inhoudelijk lastigste deel. Elke verwerking heeft precies één grondslag nodig. Een greep uit de praktijk:

- **Bestelling leveren**: noodzakelijk voor de overeenkomst.
- **Facturen bewaren**: wettelijke verplichting (fiscale bewaarplicht, zeven jaar).
- **Salarisadministratie**: wettelijke verplichting en overeenkomst.
- **Nieuwsbrief aan niet-klanten**: toestemming.
- **Fraudepreventie of beveiligingscamera**: gerechtvaardigd belang, na een belangenafweging.

Kies bewust en noem de grondslag expliciet. "Toestemming" als vangnet voor alles is fout: als u een bestelling niet kunt leveren zonder de gegevens, is toestemming niet de juiste grondslag.

## Bewaartermijnen concreet maken

![Bewaartermijnen vastleggen in het privacy statement](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-opstellen-body2.jpg)

"Wij bewaren gegevens niet langer dan nodig" is te vaag. Maak het concreet: facturen zeven jaar (fiscaal), sollicitatiegegevens vier weken na afwijzing (of één jaar met toestemming), personeelsdossiers doorgaans twee jaar na uitdiensttreding, camerabeelden vier weken. Waar een exacte termijn niet vaststaat, noemt u het criterium. Concrete termijnen tonen aan dat u de verwerking daadwerkelijk beheerst.

## Verwerkers en de grens met andere documenten

In het statement noemt u de categorieën ontvangers: hostingpartij, boekhoudsoftware, e-mailmarketingtool, betaaldienstverlener. Met elk van die verwerkers sluit u afzonderlijk een verwerkersovereenkomst (art. 28 AVG) — dat is een contract, geen onderdeel van uw statement. Verwar het ook niet met de cookieverklaring: die beschrijft specifiek de trackingtechniek op uw website en hoort bij uw cookiebanner. Drie documenten, drie functies.

## Praktijkvoorbeeld

Een webshop verkoopt sportkleding. Bij het opstellen komt naar voren: klantgegevens voor het leveren van bestellingen (overeenkomst, bewaartermijn zeven jaar via facturen), een nieuwsbrief (toestemming, tot intrekking), een retargeting-pixel (toestemming via de cookiebanner) en een boekhoudkoppeling (verwerker, met verwerkersovereenkomst). Vier verwerkingen, vier grondslagen, één samenhangend statement dat precies dit beschrijft.

## Eerlijke aanbeveling

![Ondernemer stelt samen met een jurist een privacy statement op](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-opstellen-advies.jpg)

Heeft u een overzichtelijke onderneming met standaardverwerkingen — klantadministratie, gewone nieuwsbrief, geen bijzondere gegevens — dan kunt u het statement zelf opstellen op basis van een betrouwbare template, mits u de grondslagen en bewaartermijnen serieus invult. U heeft dan geen jurist nodig. Schakel er wel een in zodra u bijzondere persoonsgegevens verwerkt, profileert, buiten de EU deelt of op grote schaal marketeert. Het inhoudelijke werk zit in de grondslagkeuze, en juist daar gaat het bij zelf knutselen vaak mis.

Verdieping: [wat is een privacy statement](https://mkbjuristen.nl/blog/ondernemen/wat-is-een-privacy-statement/), een [privacy statement voorbeeld](https://mkbjuristen.nl/blog/ondernemen/privacy-statement-voorbeeld/), of laat een [privacy statement opstellen](https://mkbjuristen.nl/contracten/privacy-statement/).

## Veelgestelde vragen

**Hoe stel ik een privacy statement op?** Begin met een inventarisatie van uw verwerkingen. Bepaal per doel de grondslag, leg bewaartermijnen vast, benoem verwerkers en ontvangers, beschrijf de rechten van betrokkenen en publiceer de tekst begrijpelijk op uw website. De AVG (art. 13/14) bepaalt de minimuminhoud.

**Wat moet er verplicht in?** Uw identiteit en contactgegevens, de doeleinden, de grondslag per doel, de categorieën gegevens, de ontvangers en verwerkers, de bewaartermijnen, de rechten van betrokkenen en eventuele doorgifte buiten de EU met de gebruikte waarborgen.

**Hoe bepaal ik de grondslag?** Per verwerking kiest u één van zes grondslagen. Een bestelling leveren is "overeenkomst", facturen bewaren is "wettelijke verplichting", een nieuwsbrief aan niet-klanten is "toestemming", en fraudepreventie is "gerechtvaardigd belang" na een belangenafweging. Noem de grondslag expliciet.

**Welke bewaartermijnen noem ik?** Maak ze concreet: facturen zeven jaar (fiscaal), sollicitatiegegevens vier weken na afwijzing, personeelsdossiers doorgaans twee jaar na uitdiensttreding, camerabeelden vier weken. Waar geen exacte termijn vaststaat, noemt u het criterium waarop u de termijn baseert.

**Kan ik een voorbeeldtekst overnemen?** Een template als basis is prima, maar u moet die aanpassen aan uw werkelijke verwerkingen. Een geleende tekst die niet klopt met uw praktijk voldoet niet aan de AVG en kan bij handhaving juist tegen u werken. Vul de grondslagen en bewaartermijnen eerlijk in.

**Hoort de verwerkersovereenkomst in het statement?** Nee. In het statement noemt u alleen de categorieën ontvangers en verwerkers. Met elke verwerker sluit u afzonderlijk een verwerkersovereenkomst (art. 28 AVG). Dat is een contract tussen u en uw leverancier, geen onderdeel van uw openbare privacyverklaring.

**Moet ik het statement actueel houden?** Ja. Als u nieuwe verwerkingen start, andere leveranciers gaat gebruiken of bewaartermijnen wijzigt, past u het statement aan. Een verouderde verklaring die niet meer klopt met uw praktijk voldoet niet aan de transparantie-eis van de AVG.