De AVG: privacyverklaring en formulieren

Module 7: Privacy en regels · Leestijd: 11 minuten

Leerdoel: Na deze les kun je benoemen welke persoonsgegevens je AI Builder-site verwerkt en op welke grondslag, met de knop Privacyverklaring maken een verklaring laten opstellen en die kritisch aanvullen, je contactformulier beperken tot wat nodig is, en uitleggen welke partijen meekijken: je hoster, maildiensten en het AI-model bij het bouwen.

Kernbegrippen: persoonsgegeven, verwerking, verwerkingsverantwoordelijke, verwerker, grondslag, informatieplicht, privacyverklaring, dataminimalisatie, bewaartermijn, verwerkersovereenkomst

Deze les legt de regels uit zoals ze op 10 november 2026 gelden. Het is geen juridisch advies. Twijfel je over jouw situatie, vraag het dan aan een jurist of je brancheorganisatie.

Welke persoonsgegevens jouw site verwerkt

Een persoonsgegeven is elk gegeven over een herkenbaar persoon: een naam, een e-mailadres, maar ook een IP-adres. Alles wat je ermee doet heet een verwerking. Loop de onderdelen van je eigen site langs:

• Contactformulier: naam, e-mailadres, bericht en elk veld dat je toevoegde. De bouwer bewaart berichten ook op de server, met IP-adres en browser van de afzender, tegen misbruik.
• Nieuwsbrief: een e-mailadres, dat bij een dienst als Mailchimp, Laposta, Brevo of MailerLite op je lijst komt.
• Koppelingen zoals Google Analytics, Google Ads of de Meta-pixel: die verzamelen gegevens over het bezoek, meestal met cookies (les 7.2).
• Widgets en video's van een andere partij: die partij ziet minstens het IP-adres van je bezoeker.
• Spamcontrole met Cloudflare Turnstile of hCaptcha: de bezoeker laadt een script van die dienst.

Schildersbedrijf Example heeft een formulier, een Google Maps-kaart en Google Analytics: drie verwerkingen met drie partijen.

De AVG in het kort

De AVG (Algemene verordening gegevensbescherming) geldt in de hele EU. Jij bent als eigenaar van de site de verwerkingsverantwoordelijke: jij bepaalt waarom en hoe gegevens verwerkt worden, ook als een ander het technisch doet. Drie regels zijn voor je site het belangrijkst.

1. Een grondslag per doel (artikel 6). Er zijn zes grondslagen. Voor een site gebruik je er meestal drie: toestemming (de nieuwsbrief, meetcode die je volgt), uitvoering van een overeenkomst of de stappen daarvoor (iemand vraagt een offerte aan) en gerechtvaardigd belang (een algemene vraag beantwoorden, spam tegenhouden). Kies per doel één grondslag en schrijf hem op.
2. Niet meer dan nodig (artikel 5): vraag alleen de gegevens die je voor het doel nodig hebt (dataminimalisatie) en bewaar ze niet langer dan nodig (bewaartermijn).
3. Vertel het (artikel 13, de informatieplicht). Je vertelt wie je bent en hoe je bereikbaar bent, waarvoor en op welke grondslag je gegevens gebruikt, aan wie je ze geeft, of ze buiten de EU gaan, hoe lang je ze bewaart, welke rechten de bezoeker heeft en dat hij kan klagen bij de toezichthouder. Op een website doe je dat met een privacyverklaring.

In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht; elk EU-land heeft een eigen toezichthouder.

De knop Privacyverklaring maken

Zodra je site een formulier, nieuwsbrief, koppeling of dienst van een andere partij heeft, zegt de bouwer dat je een privacyverklaring nodig hebt. Die melding zie je bij Instellingen > Cookies en toestemming en ook in het venster van Zet online. Daar staat de knop Privacyverklaring maken.

De knop werkt zonder AI en kost geen bewerkingen. De bouwer maakt een nieuwe pagina Privacyverklaring uit wat al op je site staat:

• Wie zijn wij: naam, adres, KvK-nummer, e-mailadres en eventueel telefoon. Adres en e-mail komen uit je bedrijfsgegevens voor Google (les 6.3) of je contactpagina; een KvK-nummer vindt hij als het op je site staat, bijvoorbeeld "KvK 12345678" in de voet.
• Contactformulier: welke velden je formulier vraagt, ook je eigen velden, en waarvoor je ze gebruikt; de spamcontrole als je die koos.
• Nieuwsbrief: dat je het adres gebruikt om de nieuwsbrief te sturen, via welke dienst, en hoe je je afmeldt.
• Hoe lang we je gegevens bewaren: berichten en aanmeldingen staan hoogstens 12 maanden op de server van de websitebouwer; IP-adres en browser worden na 30 dagen gewist.
• Waarom we je gegevens mogen gebruiken: per doel (formulier, nieuwsbrief, diensten van anderen) een plek om de grondslag te kiezen, met de gebruikelijke keuzes erbij.
• Wie je gegevens ontvangt: WebOké als hoster, de diensten van anderen en een plek voor andere ontvangers, zoals je maildienst of boekhouder.
• Cookies en diensten van anderen: elke dienst die op dat moment op je site draait, met de soort (bijvoorbeeld Statistieken of Functioneel) en de cookies, en een plek om in te vullen welke diensten gegevens buiten de EU verwerken.
• Je rechten, klagen bij de Autoriteit Persoonsgegevens, en contact.

Wat de bouwer niet weet, verzint hij niet. Op die plek staat dan vet een tekst tussen blokhaken, zoals [Vul hier je KvK-nummer in] of [Vul hier je adres in]. De bouwer meldt hoeveel plekken er staan; je past ze aan door op de tekst te dubbelklikken. De pagina krijgt ook een beschrijving voor zoekmachines. De pagina wordt meteen je privacypagina: de cookiebanner linkt ernaar met Meer over privacy, de voet krijgt een link onder Informatie en onder je formulier komt een verwijzing. Is er in de voet geen plek, dan meldt de bouwer dat en vraag je het in de chat.

Wat je zelf nog nakijkt en aanvult

De verklaring is een goed begin; jij blijft verantwoordelijk. Loop na:

• Blokhaken: zoek naar [ en vul alles in. Zet online waarschuwt je voor open plekken en noemt de pagina, maar houdt je niet tegen; met een open plek voldoet de verklaring niet.
• Grondslagen: kies per doel de grondslag die past en haal de andere keuze weg, bijvoorbeeld: "We beantwoorden je vraag op grond van ons gerechtvaardigd belang; vraag je een offerte aan, dan op grond van de stappen voor een overeenkomst."
• Ontvangers en doorgifte: vul je maildienst of andere ontvangers in, of haal die regel weg. Gebruik je Amerikaanse diensten zoals Google Analytics of de Meta-pixel, vul dan in dat gegevens buiten de EU kunnen gaan en op welke grond.
• Je eigen mailbox: de 12 maanden gaan over de server van de bouwer. Kies ook een termijn voor de berichten in je mailbox, bijvoorbeeld "offerteaanvragen zonder opdracht verwijderen we na een jaar".
• Later toegevoegd: de verklaring is een momentopname. Zet je later een widget of koppeling op je site, dan komt die vanzelf in de cookiebanner, maar niet in de tekst van je privacyverklaring. Pas de tekst dan zelf aan, of zet bij Privacypagina de keuze op Nog geen privacypagina, maak met de knop een nieuwe en verwijder de oude pagina in het paneel Pagina's.

Formulieren: alleen vragen wat nodig is

Het formulier vraagt standaard naam, e-mailadres en bericht; velden toevoegen gaat in de chat. Vraag bij elk veld: heb ik dit nodig om de vraag te beantwoorden? Schildersbedrijf Example wil voor een offerte de plaats van de klus weten en of het binnen- of buitenwerk is. Een huisadres, geboortedatum of verplicht telefoonnummer is meer dan nodig.

Bestanden uploaden kan in het formulier niet; geef je e-mailadres voor wie foto's van de klus wil sturen.

Twee instellingen bij Instellingen > Formulieren hebben met privacy te maken:

• Bezoeker een kopie sturen: de bezoeker krijgt zijn eigen bericht terug per mail. Dat is ook een verwerking: noem het in je verklaring als je het aanzet.
• Nieuwsbrief: het vinkje om in te schrijven staat in het formulier en begint leeg; alleen wie het aanzet, komt op de lijst. Gebruik altijd een dubbele aanmelding (de bezoeker bevestigt per mail), zodat niemand een vreemd adres op je lijst zet. Bij Mailchimp en Brevo regelt de bouwer dat zelf; bij Laposta zet je het aan bij de lijst en bij MailerLite in je account.

Op het gratis adres verstuurt het formulier niets, maar zet de verklaring er al op voordat je site op je eigen domein live gaat.

Wie verwerkt er mee?

Een verwerker verwerkt persoonsgegevens namens jou. Met een verwerker sluit je een verwerkersovereenkomst (artikel 28 AVG).

• WebOké als hoster bewaart je site, je formulierberichten en je mail. De verwerkersovereenkomst is een bijlage bij de algemene voorwaarden (kennisbank 219). Site en mail staan op servers in Nederland.
• Een maildienst voor je formulier (Postmark, Brevo, Mailgun, SendGrid) of een nieuwsbriefdienst: daarmee regel je de overeenkomst zelf, bij die dienst.
• Google of Meta bij advertenties bepalen deels zelf wat ze met gegevens doen; lees wat zij aangeven en noem ze in je verklaring.

En het AI-model? De teksten van je site maakt een AI-model van OpenAI (Amerikaans). Daar gaat heen wat jij de bouwer geeft: je beschrijving, je opdrachten, meegestuurde bestanden en, bij Bestaande site vernieuwen, de teksten van je huidige site en hoogstens 12 foto's. Berichten van bezoekers via je formulier gaan er niet heen. Zet dus geen gegevens van anderen in je opdrachten die niet op de site horen: een klantenlijst, een offerte met naam en adres of een wachtwoord hoort niet in de chat en niet in het Geheugen.

In de bouwer: zo doe je het

1. Open Instellingen (onderaan de rail), Cookies en toestemming, en klik op Privacyverklaring maken.
2. Open de nieuwe pagina en vul elke plek tussen blokhaken in.
3. Kies de grondslagen, vul de ontvangers in en voeg de termijn voor je mailbox toe.
4. Controleer of de link in de voet staat.
5. Klik op Zet online of Publiceer wijzigingen.

Samenvatting

• Ook een eenvoudige site verwerkt persoonsgegevens: formulier, nieuwsbrief, meetcode, widgets en spamcontrole.
• De AVG vraagt een grondslag per doel, niet meer gegevens dan nodig, en een privacyverklaring met de informatie uit artikel 13.
• Privacyverklaring maken vult in wat al op je site staat en zet blokhaken waar iets ontbreekt of jij moet kiezen; jij vult aan (blokhaken, grondslagen, ontvangers, je mailbox) en houdt hem bij.
• Vraag in je formulier alleen wat je nodig hebt; nieuwsbrief alleen met een leeg vinkje en dubbele aanmelding.
• WebOké is je verwerker met een verwerkersovereenkomst; het AI-model krijgt alleen wat jij de bouwer geeft.

Quiz

Opdracht

Opdracht A7.1: Je privacyverklaring. Maak met Privacyverklaring maken de verklaring voor je site, vul alle plekken tussen blokhaken in, voeg de grondslagen en je ontvangers toe en zet je site opnieuw online. Vul daarna het webadres van je AI Builder-site in (je gratis adres op weboke.site of je eigen domein). Het programma bezoekt je site zoals een bezoeker: het opent de homepage en de pagina's uit je menu en controleert of op elke pagina een link naar een privacyverklaring staat, of die pagina bereikbaar is, of er nog tekst tussen blokhaken in staat en of je contactgegevens (naam en e-mailadres of adres) erin staan. Je ziet per punt groen, oranje of rood.

Verder lezen

• AVG voor je website: cookies, externe inhoud, formulieren en privacyverklaring
• Verwerkersovereenkomst: waar vind ik die?
• Gratis WordPress-cursus 9.3: AVG: cookies, formulieren en privacyverklaring
• Recht op informatie (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Is dit een datalek en moet ik het melden?