Privacyverklaring voorbeeld

Wat er in de privacyverklaring van je website of webshop moet staan volgens de AVG en de Autoriteit Persoonsgegevens, waar je hem plaatst, de fouten die we het vaakst zien en een gratis voorbeeldtekst die je kunt kopiëren en aanvullen.

Laatst gecontroleerd op 16 oktober 2026

In het kort

Vertel wie je bent, waarom je gegevens gebruikt, op welke grondslag en hoe lang je ze bewaart.
Noem wie de gegevens krijgt en of ze buiten Europa terechtkomen, en op welke basis.
Leg uit welke rechten mensen hebben, ook het intrekken van toestemming en klagen bij de Autoriteit Persoonsgegevens.
Link ernaar vanaf elke pagina en bij elk formulier waarin je persoonsgegevens vraagt.

Wat is een privacyverklaring?

Een privacyverklaring, ook wel privacybeleid of privacy statement genoemd, is de tekst waarin je vertelt wat je met de persoonsgegevens van mensen doet. Op een website is dat meestal een eigen pagina, met een link onderaan elke pagina.

De verplichting komt uit de AVG, de Europese privacywet. Artikel 12 zegt dat de informatie beknopt, transparant, begrijpelijk en makkelijk toegankelijk moet zijn, in duidelijke en eenvoudige taal. De artikelen 13 en 14 noemen wat je moet vertellen: artikel 13 als je de gegevens van de persoon zelf krijgt, bijvoorbeeld via een formulier, en artikel 14 als je ze van iemand anders krijgt. De informatie is gratis.

In Nederland vult de Uitvoeringswet AVG (UAVG) de AVG aan. Die wet wijst de Autoriteit Persoonsgegevens (AP) aan als toezichthouder. Wat er in je privacyverklaring moet staan, komt rechtstreeks uit de AVG.

Wat moet erin staan?

De AP noemt de informatie die je in je privacyverklaring in elk geval moet geven:

Wie je bent: de naam en contactgegevens van je organisatie, en van je vertegenwoordiger in de EU als je die hebt.
Je functionaris gegevensbescherming (FG), als je die hebt, met contactgegevens.
De doelen en de grondslag. Per doel op welke grondslag uit de AVG je je baseert: toestemming, een overeenkomst, een wettelijke verplichting of een gerechtvaardigd belang. De Europese richtlijnen over transparantie benadrukken dat doelen en grondslag duidelijk moeten zijn.
Je gerechtvaardigd belang, als dat je grondslag is. Noem dan welk belang precies.
Ontvangers: wie de gegevens krijgt, ook verwerkers zoals je hostingbedrijf of e-mailprogramma. Volgens de richtlijnen is het meestal het duidelijkst om de ontvangers bij naam te noemen; geef je alleen categorieën, maak ze dan zo specifiek mogelijk.
Doorgifte buiten de EER: of je gegevens buiten de Europese Economische Ruimte brengt, en zo ja op welke juridische grond. De richtlijnen vragen om de landen te noemen.
De bewaartermijn, of de criteria waarmee je die bepaalt. "Zo lang als nodig" is volgens de richtlijnen niet genoeg.
De rechten van mensen: inzage, rectificatie, verwijdering, beperking, bezwaar en dataportabiliteit.
Het recht om toestemming altijd in te trekken, als je op basis van toestemming werkt.
Het recht om te klagen bij de privacytoezichthouder. In Nederland is dat de AP.
Of mensen verplicht zijn de gegevens te geven, bijvoorbeeld omdat je ze nodig hebt voor een overeenkomst, en wat er gebeurt als ze dat niet doen. Volgens de richtlijnen laat je in een online formulier ook duidelijk zien welke velden verplicht zijn.
Geautomatiseerde besluitvorming, inclusief profilering, als die rechtsgevolgen of vergelijkbare grote gevolgen heeft, met uitleg over hoe het werkt.
De bron, als je de gegevens van een ander hebt gekregen, en of die bron openbaar is.

Let extra op het recht van bezwaar: volgens artikel 21 AVG moet je mensen daar uitdrukkelijk, duidelijk en los van andere informatie op wijzen, uiterlijk bij het eerste contact.

Waar plaats je hem?

Volgens artikel 13 geef je de informatie op het moment dat je de gegevens verzamelt. De AP schrijft dat een duidelijke verwijzing naar je online privacyverklaring genoeg is als mensen hun gegevens op je website invullen. De Europese richtlijnen over transparantie, die de EDPB heeft overgenomen, leggen uit wat dat op een website betekent:

Een link op elke pagina. Elke website hoort een privacyverklaring te hebben, met een directe link die op elke pagina goed zichtbaar is, onder een gangbare naam zoals Privacy of Privacyverklaring. Een link die door zijn plek of kleur nauwelijks opvalt, is niet makkelijk toegankelijk.
Bij het formulier. Zet naast elk formulier waarin je persoonsgegevens vraagt een link naar je privacyverklaring, of geef de informatie op dezelfde pagina.
Niet verstopt in je algemene voorwaarden. Mensen moeten er niet naar hoeven zoeken tussen andere informatie.
In lagen als hij lang is. De AP raadt een gelaagde privacyverklaring aan: in de eerste laag kort wie je bent, hoe mensen je bereiken en welke verwerkingen de meeste impact hebben; in de volgende lagen de details. De volledige informatie moet wel op één plek te vinden zijn.
Kort en duidelijk. Volgens de AP mag de verklaring niet te lang en niet ingewikkeld zijn: wees kort en bondig, vermijd vaktermen en verplaats je in de lezer. Richt je je op kinderen onder de 16, pas dan ook je woordkeuze en toon aan.

Privacyverklaring, cookieverklaring en cookiebanner

Ze hebben elk een eigen taak:

De cookiebanner vraagt toestemming voordat je cookies plaatst waarvoor dat nodig is, en linkt naar de details.
De cookieverklaring legt uit welke cookies en vergelijkbare technieken je gebruikt, wie ze plaatst en hoe lang ze blijven staan.
De privacyverklaring gaat over alle persoonsgegevens die je verwerkt, ook buiten cookies: formulieren, bestellingen, nieuwsbrieven, klantenservice.

Laat ze naar elkaar verwijzen. In je privacyverklaring noem je je statistiek- en marketingtools, de grondslag (meestal toestemming) en eventuele doorgifte buiten Europa, bijvoorbeeld bij Google Analytics, en voor de details van de cookies link je naar je cookieverklaring. Je cookiebanner linkt naar allebei. Toestemming intrekken moet net zo makkelijk zijn als toestemming geven, dus vertel in beide teksten waar bezoekers hun cookiekeuze kunnen aanpassen. Wat de cookiewet verder vraagt, lees je in onze uitleg daarover.

Cookie Confirm toont een cookiebanner die de toestemming van elke bezoeker vastlegt en naar je cookieverklaring en privacyverklaring linkt.

Extra voor webshops

Een webshop verwerkt meer gegevens dan een gewone website, dus de privacyverklaring moet ook meer vertellen:

Bestellingen: de gegevens die je nodig hebt om te leveren, op grond van de overeenkomst. Zeg erbij dat je zonder die gegevens niet kunt leveren.
Facturen: de Belastingdienst verplicht je je administratie 7 jaar te bewaren, en gegevens over onroerende zaken 10 jaar. De grondslag is een wettelijke verplichting.
Betalen: noem je betaalprovider en zeg of je zelf rekening- of kaartgegevens ontvangt.
Bezorgen: noem de vervoerders die het afleveradres krijgen.
Nieuwsbrief: voor e-mailmarketing heb je in principe vooraf toestemming nodig (artikel 11.7 Telecommunicatiewet). Er is één uitzondering: je mag je eigen klanten mailen over je eigen gelijksoortige producten of diensten, als je ze bij het verzamelen van hun e-mailadres en in elk bericht de kans geeft om zich gratis en eenvoudig af te melden. De ACM houdt toezicht op deze spamregels. Zet in je privacyverklaring welke van de twee je gebruikt.
Reviews: nodigt een reviewdienst klanten na hun aankoop uit, noem die dienst dan en zeg welke gegevens je doorgeeft.
Klantaccounts: zeg hoe lang je een account bewaart en wat er gebeurt als iemand lang niet inlogt.
Geen BSN. Een webshop heeft het burgerservicenummer niet nodig: volgens artikel 46 UAVG mag je een wettelijk identificatienummer alleen gebruiken als een wet dat regelt.

Veelgemaakte fouten

Een gekopieerde tekst. Een privacyverklaring van een andere website of uit een generator noemt andere tools en andere gegevens. Klopt hij niet met wat jouw website echt doet, dan ben je niet transparant.
Vage doelen. De Europese richtlijnen geven voorbeelden van zinnen die niet duidelijk genoeg zijn, zoals gegevens gebruiken om nieuwe diensten te ontwikkelen, voor onderzoek of om gepersonaliseerde diensten aan te bieden, zonder uit te leggen wat dat betekent.
Geen grondslag per doel. Eén algemene zin als "wij verwerken gegevens op basis van de AVG" zegt niets.
Amerikaanse tools zonder uitleg over doorgifte. Statistieken, e-mailmarketing en hosting zijn vaak Amerikaans. Noem de partij, het land en de waarborg, zoals het EU-VS Data Privacy Framework of modelcontractbepalingen.
"Zo lang als nodig." Geef een termijn of de criteria.
De AP niet noemen. Mensen moeten weten dat ze bij de Autoriteit Persoonsgegevens kunnen klagen.
Geen manier om jou te bereiken. De AP verwacht dat iemand eerst zelf contact met jou opneemt voordat hij een klacht indient, en behandelt de klacht anders niet. Geef dus een e-mailadres waar privacyvragen echt aankomen.
Verouderd. Elke nieuwe plugin, tool of verwerker kan iets veranderen aan wat je moet vertellen.

Voorbeeldtekst

Hieronder staat een voorbeeld dat je kunt kopiëren. Vul alles tussen [haken] aan, haal weg wat niet voor jou geldt en vul aan wat ontbreekt, zodat de tekst beschrijft wat je website echt doet. Een voorbeeldtekst is geen juridisch advies: twijfel je of hij past bij jouw situatie, laat hem dan nakijken door een jurist.

Bronnen

Voorbeeld privacyverklaring

Privacyverklaring van [Bedrijfsnaam]

Laatst bijgewerkt: [datum]

Wie zijn wij?
[Bedrijfsnaam] ("wij") is verantwoordelijk voor de website [websiteadres] [en de webshop op [adres]]. Wij zijn verantwoordelijk voor de verwerking van de persoonsgegevens die in deze privacyverklaring staan.
[Bedrijfsnaam], [straat en huisnummer], [postcode en plaats]
KvK-nummer: [nummer]
E-mail: [e-mailadres voor privacyvragen]
[Als je een functionaris gegevensbescherming (FG) hebt: Onze functionaris gegevensbescherming bereik je via [e-mailadres].]

Waar gaat deze privacyverklaring over?
In deze privacyverklaring lees je welke persoonsgegevens wij verzamelen als je onze website bezoekt, contact met ons opneemt, je aanmeldt voor onze nieuwsbrief of een bestelling plaatst. Je leest ook waarom we dat doen en welke rechten je hebt. Over cookies en vergelijkbare technieken lees je meer in onze cookieverklaring: [link naar cookieverklaring].

Als je contact met ons opneemt
Gebruik je ons contactformulier of stuur je ons een e-mail, dan gebruiken we je naam, e-mailadres, [telefoonnummer] en je bericht om je vraag te beantwoorden.
Grondslag: ons gerechtvaardigd belang om vragen te beantwoorden van mensen die contact met ons opnemen[, of het nemen van stappen op jouw verzoek voordat we een overeenkomst sluiten].
We bewaren deze berichten tot [termijn, bijvoorbeeld 12 maanden] nadat je vraag is beantwoord, tenzij er een bestelling uit voortkomt.

Als je een bestelling plaatst
Om je bestelling te verwerken en te leveren gebruiken we je naam, adres, e-mailadres, telefoonnummer, de producten die je bestelt en de betaalstatus.
Grondslag: de uitvoering van de overeenkomst met jou. Zonder deze gegevens kunnen we je bestelling niet leveren.
We bewaren je bestelgegevens [termijn]. Facturen en de rest van onze administratie bewaren we 7 jaar, omdat de fiscale bewaarplicht dat voorschrijft.
Grondslag voor het bewaren van facturen: een wettelijke verplichting.
[Als klanten een account kunnen aanmaken: Maak je een account aan, dan bewaren we je accountgegevens tot je je account verwijdert, of tot [termijn] nadat je voor het laatst bent ingelogd.]

Betalen
Betalingen lopen via [betaalprovider]. Wij krijgen een bevestiging dat je hebt betaald, maar niet je volledige rekening- of kaartgegevens. [Betaalprovider] verwerkt je betaalgegevens [als onze verwerker / als zelfstandige verwerkingsverantwoordelijke, volgens zijn eigen privacyverklaring: link].

Bezorgen
We geven je naam, adres [en e-mailadres of telefoonnummer] door aan [vervoerder], zodat die je bestelling kan bezorgen en je kan laten weten wanneer hij komt.

Nieuwsbrief
[Kies wat voor jou geldt:]
[Meld je je aan voor onze nieuwsbrief, dan gebruiken we je e-mailadres [en voornaam] om je de nieuwsbrief te sturen. Grondslag: jouw toestemming. Je kunt je altijd afmelden via de link in elke nieuwsbrief of door ons te mailen. Dat verandert niets aan wat we deden voordat je je toestemming introk.]
[Ben je klant bij ons, dan kunnen we je e-mails sturen over onze eigen, vergelijkbare producten. Grondslag: ons gerechtvaardigd belang bij direct marketing. Je kunt daar altijd gratis bezwaar tegen maken, bij je bestelling en via de afmeldlink in elke e-mail.]
We versturen de nieuwsbrief met [e-mailprogramma]. We bewaren je e-mailadres tot je je afmeldt.

Reviews
[Als dit voor jou geldt: Na je bestelling kunnen we je vragen een review te schrijven via [reviewdienst]. Daarvoor geven we je naam, e-mailadres en bestelnummer door aan [reviewdienst]. Grondslag: [ons gerechtvaardigd belang om klantbeoordelingen te verzamelen / jouw toestemming]. Plaats je een review, dan verschijnt die met [je voornaam / de naam die je kiest].]

Statistieken en marketing
We gebruiken [statistiektool] om te zien hoe bezoekers onze website gebruiken, en [marketingtools, bijvoorbeeld Google Ads of de Meta-pixel] om onze advertenties te meten en te tonen. Deze tools gebruiken cookies of vergelijkbare technieken. We gebruiken ze alleen als je daar in onze cookiebanner toestemming voor geeft. Je kunt je keuze altijd aanpassen via [de link "Cookie-instellingen" onderaan elke pagina]. Welke cookies we gebruiken, wie ze plaatst en hoe lang ze blijven staan, lees je in onze cookieverklaring: [link].

Wie krijgt je gegevens?
We verkopen je persoonsgegevens niet. We delen ze alleen als dat in deze privacyverklaring staat, of als de wet ons dat verplicht. Deze bedrijven verwerken gegevens in onze opdracht, met een verwerkersovereenkomst:
- [Hostingbedrijf]: hosting van onze website [en webshop]
- [E-mailprogramma]: versturen van e-mails en nieuwsbrieven
- [Webshopplatform]: onze webshop
- [Boekhoudpakket]: onze boekhouding
[Vul deze lijst aan of haal partijen weg, zodat hij klopt met jouw situatie.]

Gegevens buiten Europa
Sommige van deze bedrijven zitten buiten de Europese Economische Ruimte (EER), of kunnen de gegevens van daaruit inzien:
- [Partij] in [land]. Waarborg: [het adequaatheidsbesluit van de Europese Commissie voor het EU-VS Data Privacy Framework / modelcontractbepalingen van de Europese Commissie].
Wil je een kopie van deze waarborgen? Mail dan naar [e-mailadres voor privacyvragen]. [Als dit niet voor jou geldt: Wij geven geen persoonsgegevens door naar landen buiten de EER.]

Hoe lang bewaren we je gegevens?
We bewaren je gegevens niet langer dan nodig is voor de doelen hierboven. De bewaartermijnen staan bij elk onderdeel. Daarna verwijderen of anonimiseren we de gegevens.

Geautomatiseerde besluiten
We nemen geen besluiten over jou die alleen door een computer worden genomen, zonder menselijke tussenkomst, en die rechtsgevolgen of vergelijkbare grote gevolgen voor je hebben. [Doe je dat wel, bijvoorbeeld met een automatische fraudecontrole, beschrijf dan hoe het werkt en wat het voor de klant betekent.]

Jouw rechten
Je hebt het recht om:
- de persoonsgegevens in te zien die wij van je hebben;
- onjuiste gegevens te laten verbeteren;
- je gegevens te laten verwijderen;
- de verwerking van je gegevens te laten beperken;
- de gegevens die je ons gaf te krijgen in een gangbaar, gestructureerd formaat, of ze te laten doorsturen naar een ander bedrijf, als we ze verwerken op basis van je toestemming of een overeenkomst (dataportabiliteit);
- je toestemming altijd in te trekken, als we op basis van toestemming werken. Dat verandert niets aan wat we deden voordat je je toestemming introk.

Bezwaar maken
Verwerken we je gegevens op basis van ons gerechtvaardigd belang? Dan kun je bezwaar maken om redenen die met jouw situatie te maken hebben. Tegen direct marketing kun je altijd bezwaar maken; dan gebruiken we je gegevens daar niet meer voor.

Wil je een van deze rechten gebruiken? Mail dan naar [e-mailadres voor privacyvragen]. We reageren binnen een maand. Is je verzoek ingewikkeld, dan kunnen we die termijn met twee maanden verlengen; dat laten we je dan binnen de eerste maand weten. We kunnen je vragen eerst te laten zien dat het verzoek echt van jou komt.

Klachten
Ben je niet tevreden over hoe we met je gegevens omgaan? Neem dan eerst contact met ons op via [e-mailadres voor privacyvragen], dan zoeken we samen naar een oplossing. Je hebt ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens: https://www.autoriteitpersoonsgegevens.nl/een-tip-of-klacht-indienen-bij-de-ap. Woon of werk je in een ander land van de EU, dan kun je ook klagen bij de privacytoezichthouder daar.

Wijzigingen
We kunnen deze privacyverklaring aanpassen als onze dienstverlening of de wet verandert. De datum bovenaan laat zien wanneer we hem voor het laatst hebben bijgewerkt. Bij belangrijke wijzigingen laten we het je weten [per e-mail / met een melding op de website].

Liever niet zelf invullen?Cookie Confirm maakt je cookieverklaring op basis van wat de scanner op je site vindt, en houdt hem actueel als er cookies veranderen.

Veelgestelde vragen

Is een privacyverklaring verplicht voor een website?

Als je website persoonsgegevens verzamelt, bijvoorbeeld via een contactformulier, een nieuwsbrief, bestellingen of statistieken, dan moet je mensen volgens de AVG informeren over wat je met die gegevens doet. De wet schrijft geen pagina met de naam "privacyverklaring" voor, maar volgens de Autoriteit Persoonsgegevens is een online privacyverklaring de beste manier om ervoor te zorgen dat de informatie voor de meeste mensen goed vindbaar is.

Kan ik een privacyverklaring generator gebruiken?

Een generator of een voorbeeld zoals hieronder is een goed begin, zolang je elke zin vergelijkt met wat je website echt doet: welke gegevens, welke tools, welke ontvangers en hoe lang je ze bewaart. Een gegenereerde tekst die niet klopt met de werkelijkheid informeert mensen niet goed, en onder de AVG moet je kunnen laten zien dat je dat wel doet.

Wat is het verschil tussen een privacyverklaring, privacybeleid en privacy statement?

Op een website bedoelen mensen er meestal hetzelfde mee: de openbare tekst waarin je uitlegt hoe je met persoonsgegevens omgaat. De AP spreekt van een privacyverklaring. Met privacybeleid wordt soms ook het interne beleid van een organisatie bedoeld, dat niet openbaar hoeft te zijn.

Mag ik de privacyverklaring en de cookieverklaring combineren?

Ja. Sommige websites zetten alles in één tekst, andere houden twee pagina's die naar elkaar linken. Belangrijk is dat de informatie compleet en makkelijk te vinden is, en dat je cookiebanner ernaar linkt.

Moet ik de Autoriteit Persoonsgegevens noemen?

Ja. Je moet mensen vertellen dat ze een klacht kunnen indienen bij een privacytoezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens. Geef ook een e-mailadres waar mensen jou eerst kunnen bereiken: de AP behandelt een klacht pas als iemand eerst zelf contact met de organisatie heeft gezocht.

Hoe vaak moet ik mijn privacyverklaring bijwerken?

Elke keer als er iets verandert aan wat je met gegevens doet: een nieuwe tool, een nieuwe verwerker, een nieuw doel of een doorgifte buiten Europa. Zet de datum van de laatste wijziging bovenaan en laat mensen weten wanneer er iets belangrijks verandert.

Deze gids is algemene informatie en geen juridisch advies. We controleren hem regelmatig, maar wetten en richtlijnen veranderen. Twijfel je over jouw situatie? Vraag het een jurist.

Lees verder

Meer gidsen

Alle gidsen →

De eerste 7 dagen helemaal gratis

Maak een gratis account aan en ontdek of Cookie Confirm bij je past. Live in 5 minuten.

Geen creditcard nodig
Daarna €7,95 per maand
Plug-and-play installatie

Start mijn gratis proefperiode

4,9/5 5.000+ websites