--- title: "Bescherm jou en je consumenten met een privacy statement!" url: https://mkbjuristen.nl/blog/privacy-statement/ date: 2026-07-07 modified: 2026-07-07 author: "denian@mkbrecht.nl" description: "Privacy statement voor websites en apps: AVG-vereisten, inhoud en hoe je het opstelt. Tegen boetes Autoriteit Persoonsgegevens." categories: - "Blog" image: https://mkbjuristen.nl/wp-content/uploads/2026/06/aho-documents-stack-1024x576.jpg word_count: 657 --- # Bescherm jou en je consumenten met een privacy statement! Een privacy statement (privacyverklaring) is verplicht voor elke website of dienst die persoonsgegevens verwerkt onder AVG. Inhoud: wie verwerkt welke gegevens, voor welke doelen, hoe lang bewaard, met wie gedeeld, en wat zijn de rechten van betrokkenen. Bij niet-naleving: boete door Autoriteit Persoonsgegevens tot 4% wereldomzet (of € 20 miljoen). Voor mkb-bv vrijwel altijd verplicht — zelfs een eenvoudig contactformulier vereist privacy statement. Hieronder de wettelijke vereisten, template-structuur, en valkuilen. ## Het korte antwoord - **Wat**: verplichte verklaring voor websites/diensten die persoonsgegevens verwerken. - **Wetsbasis**: art. 13-14 AVG. - **Verplichte inhoud**: identiteit verwerker, doelen, juridische grondslag, bewaartermijnen, rechten betrokkene. - **Plaats**: gemakkelijk vindbaar op website (footer-link). - **Sancties**: AP-boete tot 4% wereldomzet of € 20 miljoen. ## Wat moet erin staan? ![Privacy statement op website](https://mkbjuristen.nl/wp-content/uploads/2026/06/aho-documents-stack.jpg) - **Identiteit verwerkingsverantwoordelijke**: BV-naam, adres, contact. - **Doeleinden van verwerking**: bv. klant­dienstverlening, marketing, account­beheer. - **Juridische grondslag**: toestemming, contract, gerechtvaardigd belang, wettelijke verplichting. - **Categorieën persoonsgegevens**: NAW, e-mail, betaalgegevens, etc. - **Ontvangers**: met wie worden gegevens gedeeld (verwerkers, partners). - **Bewaartermijnen**: hoe lang per categorie gegevens. - **Rechten betrokkenen**: inzage, rectificatie, verwijdering, bezwaar, dataportabiliteit. - **Klacht­mogelijkheid AP**: link naar Autoriteit Persoonsgegevens. - **Functionaris Gegevensbescherming** (FG): contact indien aanwezig. - **Automatisch besluitvorming en profilering**: indien van toepassing. - **Doorgifte buiten EU**: indien van toepassing, met waarborgen. ## Plaatsing en vindbaarheid ![Privacy statement-checklist](https://mkbjuristen.nl/wp-content/uploads/2026/05/tips-checklist.jpg) Privacy statement moet "gemakkelijk vindbaar" zijn: - Link in website-footer (algemene plaats). - Link bij formulieren waar gegevens worden ingevuld. - Link in account-instellingen. - Tekst in leesbaar Nederlands (geen juridische jargon). Plus cookie-melding op startpagina voor cookies en tracking. ## Cookies en privacy statement Cookies vereisen aparte toestemming (cookie-melding) plus vermelding in privacy statement. Onderscheid: - **Functionele cookies**: nodig voor werking — geen toestemming vereist. - **Analytische cookies**: toestemming nodig (anoniem privacy-vriendelijk vaak vrijgesteld). - **Marketing/tracking cookies**: expliciete opt-in nodig. Cookiebot, Onetrust en CookieFirst zijn standaard cookie-tools voor compliance. ## Juridische grondslagen Onder AVG kun je persoonsgegevens verwerken op zes grondslagen: - **Toestemming**: expliciet, vrij gegeven, intrekbaar. - **Contract**: nodig voor uitvoering klant­overeenkomst. - **Wettelijke verplichting**: bv. boekhoudplicht. - **Gerechtvaardigd belang**: na belangenafweging — voor marketing vaak gebruikt. - **Vitaal belang**: leven of veiligheid — zelden van toepassing. - **Algemeen belang**: voor overheidstaken. Specifieer per verwerking welke grondslag. ## Veelvoorkomende valkuilen - **Te algemeen**: "voor diverse doelen" — niet specifiek genoeg. - **Geen bewaartermijnen**: AP wil concrete termijnen per categorie. - **Cookies vergeten**: aparte cookie-statement of integraal. - **Verouderd**: niet bijgewerkt na wijziging diensten of partners. - **Engelse template**: vertaling niet aangepast aan NL-praktijk. - **Geen verwerkers­overeenkomsten**: hoster, marketing-tool, payment provider — allemaal "verwerkers" die contract vereisen. ## Bij datalek Privacy statement moet uitleggen wat klant kan verwachten bij datalek — meldplicht (72 uur naar AP), eventuele communicatie naar betrokkenen. Zie [datalek](https://mkbjuristen.nl/blog/ondernemen/datalek/). ## Eerlijke aanbeveling ![AVG-jurist toetst privacy statement](https://mkbjuristen.nl/wp-content/uploads/2026/05/jurist-consult-overleg.jpg) Voor mkb-bv met website of klantgegevens: privacy statement verplicht — geen vrijblijvendheid. Begin met template (KvK, NLdigital), pas aan op specifieke situatie. Voor complexere situaties (e-commerce, app, internationale aanwezigheid): AVG-jurist (€ 500-€ 2.500) opstelt of toetst. Update bij elke wijziging in dienstverlening. Combineer met cookie-tool en verwerkers­overeenkomsten voor compleet compliance-pakket. Voor andere onderwerpen: [datalek](https://mkbjuristen.nl/blog/ondernemen/datalek/), [UBO-verklaring](https://mkbjuristen.nl/blog/ondernemen/ubo-verklaring/) en [cyberverzekering](https://mkbjuristen.nl/blog/ondernemen/cyberverzekering/). ## Veelgestelde vragen **Wat is een privacy statement?** Verplichte verklaring (art. 13-14 AVG) voor websites en diensten die persoonsgegevens verwerken. Bevat informatie over welke gegevens, voor welke doelen, hoe lang, en wat zijn de rechten van betrokkenen. **Heb ik er altijd één nodig?** Vrijwel altijd voor mkb-bv. Zelfs eenvoudig contactformulier verwerkt persoonsgegevens (e-mail) — privacy statement verplicht. Uitzonderingen zeer beperkt (zuiver B2B-zaken zonder klant­contact). **Wat moet erin staan?** Identiteit verwerker, doeleinden, juridische grondslag, categorieën gegevens, ontvangers, bewaartermijnen, rechten betrokkene, klacht­mogelijkheid AP, en eventueel FG, automatisch besluitvorming, doorgifte buiten EU. **Wat zijn de sancties?** Autoriteit Persoonsgegevens kan boetes opleggen tot 4% van wereldomzet of € 20 miljoen (afhankelijk van welke hoger is). Voor mkb in praktijk vaak € 10.000-€ 250.000 bij ernstige overtredingen. **Cookies in privacy statement?** Cookies vereisen aparte toestemming (cookie-melding) plus vermelding in privacy statement. Functioneel: geen toestemming. Analytisch: vaak ja. Marketing/tracking: expliciete opt-in nodig. **Wat zijn juridische grondslagen?** Zes onder AVG: toestemming, contract, wettelijke verplichting, gerechtvaardigd belang, vitaal belang, algemeen belang. Specifieer per verwerking welke grondslag — niet generiek "alle van toepassing". **Wanneer updaten?** Bij elke wijziging in verwerking: nieuwe partner, nieuwe dienst, andere bewaartermijn, nieuwe locatie verwerker (binnen/buiten EU). Plus jaarlijkse review voor up-to-date status.