Voorwaarden, privacy en cookies in een shop

Module 5: Plichten en voorwaarden · Leestijd: 11 minuten

Leerdoel: Na deze les kun je algemene voorwaarden zo aanbieden dat ze gelden, de privacyverklaring van een shop aanvullen met de verwerkingen die bij verkopen horen, beoordelen welke cookies een shop zonder toestemming mag zetten, en neutraal kiezen of een keurmerk iets voor je is.

Kernbegrippen: algemene voorwaarden, ter hand stellen, elektronisch ter beschikking stellen, akkoordvinkje, privacyverklaring, verwerker, verwerkersovereenkomst, bewaartermijn, functionele cookies, trackingcookies, order attribution, toestemming, keurmerk, geschillencommissie, ODR-platform

Deze les legt de regels uit zoals ze op 9 november 2026 gelden. Het is geen juridisch of fiscaal advies. Twijfel je over jouw situatie, vraag het dan aan een jurist, je brancheorganisatie of je boekhouder.

Algemene voorwaarden: hebben is niet genoeg

Algemene voorwaarden zijn de vaste afspraken die je bij elke bestelling gebruikt: levering, betaling, garantie, aansprakelijkheid, klachten. Ze zijn niet verplicht, maar bijna elke shop heeft ze. De valkuil: voorwaarden die de klant niet op tijd kon lezen, gelden misschien niet.

In Nederland zegt artikel 6:234 BW dat je de voorwaarden vóór of bij het sluiten van de overeenkomst aan de klant moet geven. Online mag dat elektronisch, als de klant ze kan opslaan en later kan teruglezen. Doe je dat niet, dan kan de klant de bepalingen vernietigen. In de praktijk:

• een link naar de voorwaarden vlak bij de bestelknop, met een vinkje dat leeg begint ("Ik heb de algemene voorwaarden gelezen");
• de voorwaarden als pdf of tekst in of bij de bevestigingsmail, zodat de klant ze heeft;
• een vaste pagina die altijd bereikbaar is, bijvoorbeeld via de voettekst.

Duitsland kent een vergelijkbare regel (de klant moet op een redelijke manier kennis kunnen nemen van de "Allgemeine Geschäftsbedingungen", AGB). In België gelden de voorwaarden als de klant ze vóór het sluiten kon kennen en ze heeft aanvaard. Het idee is overal hetzelfde: op tijd tonen en laten bewaren.

Wat er niet in mag, is minstens zo belangrijk. Voorwaarden mogen de wettelijke rechten van een consument niet inperken. "Retourneren alleen in de originele, ongeopende verpakking" of "geen herroeping bij artikelen in de uitverkoop" botst met het herroepingsrecht (les 5.2). Een bepaling die alleen in je voorwaarden staat, vervangt ook nooit de verplichte informatie (les 5.1 en 5.4). Brancheorganisaties en keurmerken hebben vaak modelvoorwaarden; dat is een veiliger begin dan zelf schrijven of een tekst van een andere shop kopiëren (dat laatste is ook auteursrechtelijk niet de bedoeling).

Privacy: wat een shop extra verwerkt

De basis van de AVG voor een website (persoonsgegevens, grondslag, privacyverklaring, formulieren, verwerkers) staat in de WordPress-cursus, les 9.3. Een shop verwerkt meer, en over meer partijen:

Wat je hiermee doet:

1. Noem elke verwerking in je privacyverklaring, met doel, grondslag, bewaartermijn en ontvangers. WordPress heeft bij Instellingen > Privacy een hulp-sjabloon; WooCommerce voegt daar zelf tekstsuggesties voor de shop aan toe. Gebruik ze als begin, niet als eindtekst.
2. Sluit verwerkersovereenkomsten met partijen die namens jou gegevens verwerken (hoster, mailingdienst, boekhoudprogramma). Bij betaalproviders en vervoerders is de rol per partij anders; lees wat zij zelf aangeven.
3. Stel bewaartermijnen in bij WooCommerce > Instellingen > Accounts en privacy (les 2.3): inactieve accounts worden na een termijn verwijderd, onbetaalde, mislukte en geannuleerde bestellingen gaan naar de prullenbak, en van terugbetaalde en afgeronde bestellingen worden de persoonsgegevens geanonimiseerd. Houd rekening met de fiscale bewaarplicht (les 5.6): bewaar factuurgegevens in je administratie als je ze uit de shop haalt.
4. Weet wat je doet bij een datalek (KB 6749 en de cursus Veilig online). Een gehackte shop met klantgegevens is bijna altijd meldplichtig.

Cookies in een shop

De regels voor cookies zelf (in Nederland de Telecommunicatiewet, in de EU de e-privacyrichtlijn) staan ook in de WordPress-cursus, les 9.3. De vuistregel: functionele cookies, die nodig zijn voor de dienst die de bezoeker vraagt, mogen zonder toestemming. Voor tracking en de meeste statistiek heb je vooraf toestemming nodig.

Voor een shop betekent dat:

• Functioneel: de cookies van WooCommerce voor de winkelwagen en de sessie (woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_...) en de cookies van je betaalprovider tijdens het betalen. Deze mogen, en horen in je cookieverklaring.
• Order attribution: WooCommerce heeft een functie die bijhoudt via welk kanaal een bestelling binnenkwam (zoekmachine, campagne, e-mail). Die gebruikt cookies die met sbjs_ beginnen, standaard alleen voor de duur van het bezoek. Of je daar toestemming voor moet vragen, hangt af van hoe je de gegevens gebruikt; het is meten, niet nodig voor de bestelling. Je kunt de functie uitzetten bij WooCommerce > Instellingen > Geavanceerd > Functies. Zoek uit wat voor jou geldt en zet het in je cookieverklaring.
• Tracking en advertenties: pixels van sociale media, advertentienetwerken en statistiek die gegevens met derden delen. Pas laden na toestemming. Een cookiebanner die alles al laadt voordat de bezoeker kiest, voldoet niet.

Valkuil: een "Accepteren"-knop die groot en groen is, naast een "Weigeren" die je moet zoeken. Toezichthouders vragen dat weigeren even makkelijk is als accepteren.

Keurmerken en geschillen

Een keurmerk is een vrijwillige afspraak met een organisatie die je shop controleert, je modelvoorwaarden geeft en vaak een geschillenregeling biedt. Voorbeelden: Thuiswinkel Waarborg in Nederland, BeCommerce in België, Trusted Shops in Duitsland; er zijn er meer. Ze verschillen in eisen, controle en kosten. Een keurmerk is niet verplicht en vervangt de wet niet; het kan wel vertrouwen geven en helpt je de regels bij te houden. Vergelijk ze op wat ze controleren, wat ze van je vragen en welke geschillenregeling erbij hoort.

Over geschillen nog een actueel punt: tot 2025 moesten webwinkels een link zetten naar het Europese ODR-platform voor online geschillenbeslechting. Dat platform is op 20 juli 2025 gesloten (Verordening (EU) 2024/3228) en de verplichting om ernaar te linken is vervallen. Staat de link nog in je voorwaarden of voettekst, haal hem weg; hij verwijst naar iets dat niet meer bestaat. De Europese Commissie wijst nu naar een lijst van geschilleninstanties per land.

In de praktijk: zo ziet het eruit in WooCommerce

Bij Theehuis Example:

1. Pagina's Algemene voorwaarden en Privacyverklaring; bij WooCommerce > Instellingen > Geavanceerd > Pagina-instellingen de voorwaardenpagina gekozen (akkoordvinkje bij het afrekenen) en bij Instellingen > Privacy de privacypagina.
2. Bij Accounts en privacy: de privacytekst die WooCommerce bij registreren en afrekenen toont, verwijst naar de privacyverklaring.
3. Een cookiebanner die tracking pas na toestemming laadt; getest in een privévenster met de ontwikkelhulpmiddelen (tabblad Netwerk en Opslag): vóór de keuze geen verzoeken naar advertentie- of statistiekdiensten.
4. Voorwaarden als pdf bij de bevestigingsmail (met een uitbreiding) of een link in de extra inhoud van de mail.

Samenvatting

• Algemene voorwaarden gelden alleen als je ze vóór of bij het sluiten elektronisch beschikbaar stelt zodat de klant ze kan bewaren (NL 6:234 BW); ze mogen consumentenrechten niet inperken.
• Een shop verwerkt meer persoonsgegevens dan een gewone site; zet elke verwerking met grondslag, bewaartermijn en ontvangers in je privacyverklaring en stel bewaartermijnen in WooCommerce in.
• Winkelwagen- en sessiecookies zijn functioneel; tracking en advertenties pas na toestemming; order attribution bewust aan of uit.
• Keurmerken zijn vrijwillig; vergelijk ze neutraal. De verplichte link naar het ODR-platform is sinds 20 juli 2025 vervallen.

Quiz

Opdracht

Opdracht A5.5: Voorwaarden, privacy en cookies. Vul het adres van je shop in. Het programma vraagt de homepage op zonder cookies, zoals een nieuwe bezoeker die nog niets heeft gekozen, en noteert alleen de namen van de cookies die de site zet. Het zoekt een link naar je algemene voorwaarden en een link naar je privacyverklaring (ook in het Duits, Engels en Frans) en vraagt beide pagina's op. Groen als beide links er zijn en de pagina's 200 geven, er geen bekende statistiek- of advertentiescripts in de HTML staan, en er geen statistiek- of advertentiecookies (zoals _ga, _fbp) worden gezet voordat de bezoeker kiest. Oranje als zo'n script al in de HTML staat ("laadt het pas na toestemming?"), als er order-attributioncookies (sbjs_) worden gezet (info), of als er nog een link naar het ODR-platform staat. Rood als een van de twee links ontbreekt, een pagina niet bereikbaar is, of er tracking- of advertentiecookies worden gezet zonder keuze. Het programma ziet alleen de HTML zonder JavaScript; scripts die later andere scripts laden, controleer je zelf met het tabblad Netwerk van je browser.

Vraag voor jezelf (niet nagekeken): welke verwerkingen uit de tabel in deze les staan nog niet in je privacyverklaring?

Verder lezen

• Gratis WordPress-cursus 9.3: AVG: cookies, formulieren en privacyverklaring
• Cookies (Autoriteit Persoonsgegevens): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Is dit een datalek en moet ik het melden?
• Burgerlijk Wetboek Boek 6, artikel 6:234 (wetten.overheid.nl): https://wetten.overheid.nl/BWBR0005289/
• Sluiting van het ODR-platform en geschilleninstanties per land (Europese Commissie, Engels): https://consumer-redress.ec.europa.eu/site-relocation_en
• Thuiswinkel.org (keurmerk Thuiswinkel Waarborg): https://www.thuiswinkel.org/