AVG e-commerce webshops Nederland: gids 2026

In één zin. Nederlandse webshops opereren onder vier gelaagde regimes — AVG, Telecommunicatiewet (cookies), Wet bescherming consument (koop op afstand) en sectorspecifieke regels (Wwft voor high-value) — en de AP heeft platforms en e-commerce sinds Marktplaats (380 K EUR, 2025) als handhavingsprioriteit gemarkeerd.

Belangrijkste punten

• Klantgegevens: overeenkomst (b) voor uitvoering, gerechtvaardigd belang voor marketing.
• Cookies: dubbele basis Tw 11.7a + AVG art. 6.1.a.
• Retargeting en Facebook Pixel: expliciete toestemming + DPA.
• Account-data scraping risico (Marktplaats-zaak).
• Bewaartermijnen: klantorder 7 jaar fiscaal, marketinglijst tot opt-out.
• AP-prioriteit 2026: platforms, datahandel, kinderbescherming.

1. Wettelijk kader e-commerce

• AVG: algemene grondslagen.
• UAVG: Nederlandse implementatie.
• Telecommunicatiewet (Tw): cookies (11.7a).
• Bw boek 6 + 7: koop op afstand, herroepingsrecht.
• Wet handhaving consumentenbescherming: ACM-handhaving.
• Wwft: high-value (>10K EUR contant), goud, kunst.
• Btw-wet: identificatie binnen EU.

2. Verwerkingen webshop

• Bezoekersanalytics en cookies.
• Account-creatie en login.
• Bestelproces (NAW, contact, betaling).
• Levering (verzendgegevens naar carrier).
• Betalingsverwerking (PSP zoals Mollie, Stripe, Adyen).
• Klantenservice (chats, mails, reviews).
• Marketing (nieuwsbrief, retargeting, push).
• Loyalty/spaarprogramma.
• Reviews en ratings.
• Fraudedetectie.

3. Rechtsgronden per verwerking

4. Cookies en tracking

E-commerce gebruikt typisch:

• Strikt functioneel (winkelwagen, login): zonder toestemming.
• Analytics (Google Analytics, Plausible, Matomo): toestemming OF privacyvriendelijk.
• Marketing/retargeting (Facebook Pixel, Google Ads, Criteo): expliciete toestemming.
• A/B testing: toestemming meestal vereist.
• Affiliate tracking: toestemming.

CMP implementatie met geweigerd-default, equivalente “weigeren”-knop, granulaire toggles. De volledige toestemmingseisen staan in de gids AVG-toestemming voor cookies; het wettelijk kader van Tw art. 11.7a is uitgewerkt in de cookiewet-gids.

5. Betaalgegevens

PSP’s (Mollie, Stripe, Adyen, Buckaroo, PayPal) zijn typisch:

• Verantwoordelijke voor eigen verwerking (anti-fraude, PSD2, AML).
• Verwerker voor betalingsuitvoering namens webshop.

PCI DSS-compliance vereist. Webshop slaat doorgaans geen creditcardnummers op (geen PCI DSS-scope). Wel: laatste 4 cijfers, transactie-ID, IBAN, naam, bedrag — onder DPA met PSP.

6. Marketing en retargeting

• Bestaande klanten: gerechtvaardigd belang (art. 6.1.f) voor soortgelijke producten. Opt-out elke keer aanbieden. Tw art. 11.7 lid 3 sub a.
• Nieuwe leads: opt-in toestemming (double opt-in best practice).
• Push-notificaties: toestemming via browser + AVG.
• Retargeting via Pixel: toestemming cookies + AVG voor gegevensdeling met Meta/Google.
• Lookalike audiences: complex — gegevensdeling met platform, DPA, doelbeperking.

Zie voor alle kanalen (e-mail, telemarketing, post, profiling) de gids AVG en direct marketing.

7. Marktplaats-boete 380 K EUR (2025)

Datalek door scraping van profielen via API, 190K gebruikers getroffen. Schending art. 32 (onvoldoende API-beveiliging, rate limiting, bot detection) + art. 33 (4 maanden te laat gemeld). Les voor e-commerce: openbare profielinformatie blijft persoonsgegevens; API’s vereisen beveiliging tegen geautomatiseerde extractie.

8. Reviews en UGC

Klantreviews kunnen persoonsgegevens bevatten (naam, ervaring, soms gezondheidsclaims). Verwerking:

• Toestemming bij plaatsing (specifiek voor publicatie).
• Modereren op identiteitsgegevens derden.
• Rechten betrokkenen: inzage, rectificatie, wissing van eigen review.
• Bij negatieve review: balans met vrijheid van meningsuiting (art. 17 lid 3 sub a).

9. Internationale verzending en doorgifte

EU-leveringen: AVG-conform binnen EU. Doorgifte naar derde landen vereist:

• VS-carriers (FedEx, UPS): DPA + SCC’s of DPF.
• Aziatische dropshipping: SCC’s + TIA, complex.
• AliExpress/Temu-model: vraagstuk gezamenlijk verantwoordelijke vs. verwerker.

EU-vertegenwoordiger nodig voor niet-EU webshops die EU-markt bedienen (art. 27).

10. Bewaartermijnen e-commerce

11. AP-richtsnoer datahandel en marktplaatsen

Sectorspecifieke valkuilen

• Levensmiddelen en gezondheid: dieet- of supplementenwebshops verwerken bijzondere gegevens (art. 9) — uitdrukkelijke toestemming vereist.
• Erotiek en wellness: gevoelig profiel — strikte minimalisatie en geen retargeting buiten platform.
• Volwassenenartikelen + B2B: leeftijdsverificatie versus minimalisatie — gebruik zero-knowledge verificatie.

13. Specifieke risico’s e-commerce

• Verzending naar verkeerd adres: AVG-datalek bij gevoelige producten.
• Verkeerde factuur per e-mail: meest gemelde datalek-type bij webshops.
• Magazijnmedewerker met inzage: art. 32 toegangsbeheer.
• Affiliate netwerken: oncontroleerbare gegevensstromen.
• Klantenservice scripts: persoonsgegevens in chat-logs.
• Backup-storage: bewaartermijnen ook hier afdwingen.

12. Tool-ondersteuning voor webshops

Bij elke tool: DPA controleren, subverwerkerslijst opvragen, transferbasis verifiëren (vaak VS-cloud).

13. Sectorale handhaving e-commerce in EU

• Marktplaats Nederland: 380 K EUR (2025), scraping.
• Klarna Zweden: 6 M SEK (2022), onvolledige privacyverklaring.
• Amazon Luxemburg: 746 M EUR (2021), advertising zonder grondslag.
• Decathlon Frankrijk: 350 K EUR (2024), camera’s werknemers.
• Carrefour Italië: 2,2 M EUR (2020), loyalty zonder informatie.
• Bol.com: tot nu toe waarschuwingen, geen boete.

14. Wisselwerking met consumentenrecht

E-commerce raakt naast AVG ook BW 6:230g e.v. (koop op afstand) en Wet handhaving consumentenbescherming (ACM). Overlap:

• Pre-contractuele informatieplicht (BW 6:230m): vergelijkbaar met AVG art. 13 informatieplicht.
• Herroepingsrecht (BW 6:230o): 14 dagen — verwerking herroepingsgegevens als wettelijke plicht.
• Dark patterns: ACM én AP toetsen op misleidende interfaces (cookiewalls, opt-in tricks).
• Misleidende reviews (BW 6:193b): authenticiteit-controle = persoonsgegevens.
• Prijsbeleid en personalisatie (Omnibus-richtlijn 2022): transparantie bij prijspersonalisatie op basis van profilering.

15. Compliance-checklist e-commerce

1. Register verwerkingen met alle PSP, fulfillment, marketing-tools.
2. DPA’s met Mollie/Stripe/PayPal, Mailchimp, ShipBob etc.
3. Cookiebanner conform (equivalente knoppen).
4. Privacyverklaring per categorie verwerking.
5. Inrichten opt-in/opt-out voor marketing.
6. Retargeting Pixel achter toestemmingsmuur.
7. Beveiliging API’s (rate limiting, authenticatie, monitoring).
8. Datalek-protocol met PSP-communicatie.
9. EU-vertegenwoordiger bij niet-EU vestiging.
10. Jaarlijkse audit + pentest.

FAQ

Mag ik klantgegevens gebruiken voor marketing?

Bestaande klanten: ja, voor soortgelijke producten op gerechtvaardigd belang met opt-out. Nieuwe leads: alleen met opt-in toestemming. Cross-sell van wezenlijk ander product: vaak toestemming nodig.

Heb ik toestemming nodig voor Google Analytics?

Bij standaardconfiguratie: ja. Privacyvriendelijke configuratie (geanonimiseerd IP, geen data-delen, geen advertising features) kan onder AP-uitzondering vallen, maar GA4 maakt dit lastig. Plausible of Matomo vaak makkelijker.

Mag ik IP-adressen bewaren?

IP is persoonsgegeven. Voor functionele doelen (sessie, fraud) gerechtvaardigd belang. Maximaal 6 maanden bewaren best practice. Log-IP voor security incident: tot incidentresolutie + 2 jaar onderbouwbaar.

Wat als ik buiten EU lever?

Doorgifte derde landen onder art. 44-49. Voor VS: SCC’s of DPF. Voor andere landen zonder adequaatheid: SCC’s + Transfer Impact Assessment. Wijzig privacyverklaring met landen + waarborgen.

Hoeveel bedraagt een typische e-commerce AVG-boete?

Voor MKB-webshop: 5-50 K EUR bij minderernstige overtredingen. Voor grote platforms: tot honderden K EUR (Marktplaats 380 K, 2025). Multinationals: tientallen miljoenen (Booking 475 K, Uber 290 M).

Moet ik een functionaris gegevensbescherming aanstellen?

Kan ik kindergegevens verwerken in mijn webshop?

Voor kinderen onder 16 jaar (UAVG art. 5): toestemming alleen via ouder/voogd. AP heeft kindergegevens als handhavingsprioriteit 2026 — sectoren als gaming, speelgoed, edtech krijgen extra aandacht. Best practice: leeftijdsverificatie bij account-creatie, geen gerichte advertenties aan minderjarigen, aparte privacy-tekst in begrijpelijke taal.

Wat is een Customer Data Platform onder AVG?

CDP (Segment, Tealium, mParticle) verzamelt klantdata over kanalen en deelt met marketingtools. AVG-aspecten: u bent verantwoordelijke, CDP is verwerker (DPA verplicht), centrale opt-out via CDP vereenvoudigt rechtenbeheer, maar verhoogt risico bij datalek door scope. DPIA aanbevolen bij implementatie.

Zie ook: AVG in de detailhandel en een model privacyverklaring voor uw website.