Cookiebanner, tracking, nieuwsbrief: hier gebeuren de meeste privacyschendingen in e-commerce. Wat in 2026 geldt, wat het kost en hoe u uw webshop beveiligt, inclusief checklist en Shopware-praktijkdeel.
De meeste schendingen van de gegevensbescherming in e-commerce vinden plaats op drie punten: cookiebanner, tracking en nieuwsbrief. Alle drie zijn met beperkte inspanning netjes op te lossen.
In 2025 hebben Europese toezichthouders in totaal circa 690 miljoen euro aan AVG-boetes opgelegd, in Duitsland waren het 249 boetes met samen circa 47 miljoen euro. Het trof niet alleen concerns. De online handelaar Shein betaalde alleen al 150 miljoen euro, omdat er cookies zonder toestemming werden geplaatst.
Wie cookieconsent, verwerkersovereenkomsten en double opt-in op orde heeft, dekt al het grootste deel van de risico’s af. De checklist in dit artikel leidt u door de twaalf belangrijkste punten.
Dit artikel is bedoeld voor webshopeigenaren die hun webshop juridisch correct willen inrichten, zonder daarvoor rechten te hoeven studeren. U leest welke verplichtingen in 2026 echt gelden, waar partijen die sommaties versturen en toezichthouders het scherpst op letten en hoe u de eisen concreet in Shopware 6 implementeert.
Sinds oktober 2026 ben ik TÜV-gecertificeerd functionaris voor gegevensbescherming en begeleid ik bij solution25 de privacyvraagstukken van onze shopprojecten. De voorbeelden in dit artikel komen uit echte audits en projecten. Het artikel vervangt geen juridisch advies, maar laat wel zien waar de prioriteiten liggen.
Een webshop verwerkt bijna overal persoonsgegevens: bij het paginabezoek, in de winkelwagen, in de checkout, bij de nieuwsbrief en in het klantaccount. Voor elk van deze punten geldt een duidelijke wettelijke eis.
| Onderdeel | Wat vereist is | Rechtsgrond | Risico bij overtreding |
|---|---|---|---|
| Cookiebanner | Echte toestemming vóór het plaatsen van niet-noodzakelijke cookies, weigeren even eenvoudig als accepteren | § 25 TDDDG, art. 6 AVG | Boete, sommatie |
| Privacyverklaring | Volledig, actueel, alle gebruikte diensten benoemd | Art. 13 AVG | Sommatie |
| Checkout | Alleen noodzakelijke verplichte velden, bestellen als gast mogelijk | Art. 5 AVG (dataminimalisatie) | Boete, klachten |
| Nieuwsbrief | Double opt-in, gedocumenteerde toestemming | Art. 7 AVG, § 7 UWG | Sommatie, boete |
| Dienstverleners | Verwerkersovereenkomst met hosting, payment, tools | Art. 28 AVG | Boete |
| Rechten van betrokkenen | Inzage en verwijdering binnen één maand | Art. 15, 17 AVG | Boete, schadevergoeding |
| Gegevensbeveiliging | Technische en organisatorische maatregelen, meldplicht bij datalekken | Art. 32, 33 AVG | Boete, aansprakelijkheid |
De cookiebanner is het meest zichtbare privacyaandachtspunt van een webshop en tegelijk de meest voorkomende foutenbron. In onze audits is vrijwel geen enkele banner meteen correct geconfigureerd.
Hoe duur dit onderwerp kan worden, laat de zaak Shein zien. De Franse toezichthouder CNIL legde in 2025 een boete op van 150 miljoen euro, omdat de handelaar cookies zonder geldige toestemming had geplaatst. Dat is geen uitzonderingsgeval voor concerns: ook Duitse toezichthouders controleren banners inmiddels actief, deels met geautomatiseerde scans. Een banner die tracking start vóór de klik, is met enkele minuten controlewerk aan te tonen.
Praktijktip: Open uw webshop in een incognitovenster met de ontwikkelaarstools geopend. Als er vóór uw klik op “Accepteren” al marketing- of analysecookies worden geplaatst, is actie nodig.
De AVG volgt het principe van dataminimalisatie: er wordt alleen verzameld wat voor het doel nodig is. Voor de koopovereenkomst heeft u naam, bezorg- en factuuradres, e-mailadres en betaalgegevens nodig. Een geboortedatum heeft u alleen nodig als u producten met een leeftijdsgrens verkoopt. Een telefoonnummer is alleen een verplicht veld als de vervoerder dit echt nodig heeft.
Belangrijk is ook bestellen als gast. De Datenschutzkonferenz van de Duitse toezichthouders heeft in 2022 duidelijk gemaakt dat een klantaccount geen verplichting mag zijn. Uw checkout moet een bestelling zonder registratie mogelijk maken. Dat is bovendien goed voor de conversie, want een verplichte registratie is een van de meest voorkomende redenen voor afgebroken aankopen.
Tracking is niet verboden, het heeft alleen een correcte grondslag nodig. Google Analytics, Meta Pixel en vergelijkbare tools draaien uitsluitend met toestemming via de cookiebanner. Zonder consent mag geen enkele tag worden afgevuurd, ook niet “voor de zekerheid”.
Drie punten die in de praktijk vaak ontbreken: ten eerste hoort elke tool in de privacyverklaring. Ten tweede heeft u met Google een verwerkersovereenkomst nodig, die u in de accountinstellingen afsluit. Ten derde moet Consent Mode correct zijn geïntegreerd, zodat Google-diensten de toestemmingsstatus respecteren. Wie op zeker wil spelen, bekijkt daarnaast server-side tracking of alternatieven zonder toestemmingsplicht, zoals Matomo zonder cookies voor de basisstatistieken.
Voor nieuwsbrieven geldt een dubbele borging. De toestemming moet via double opt-in worden bevestigd: de klant schrijft zich in en bevestigt de aanmelding via een link in de eerste e-mail. Pas daarna mag u reclame sturen. De bevestiging legt u vast met een tijdstempel, want bij een geschil moet u de toestemming kunnen bewijzen.
Er geldt een uitzondering voor bestaande klanten op grond van § 7 lid 3 UWG: wie bij u heeft gekocht, mag onder strikte voorwaarden reclame ontvangen voor vergelijkbare producten, als hij bij de aankoop hierop is gewezen en op elk moment bezwaar kan maken. Deze uitzondering is nuttig, maar wordt vaak verkeerd toegepast. Ontbreekt de vermelding in de checkout, dan vervalt de grondslag.
Uw webshop draait niet alleen. Hostingprovider, paymentprovider, nieuwsbrieftool, fulfilmentdienstverlener en supportsoftware verwerken klantgegevens in uw opdracht. Met elk van deze aanbieders heeft u een verwerkersovereenkomst nodig volgens art. 28 AVG. Bij de grote aanbieders is dat één klik in de klantomgeving, iemand moet het alleen doen en archiveren.
Bij aanbieders buiten de EU komt daar de doorgifte naar derde landen bij. Voor Amerikaanse diensten is sinds juli 2023 het EU-US Data Privacy Framework de belangrijkste grondslag: controleer of uw aanbieder daar gecertificeerd is. Zo niet, dan zijn standaardcontractbepalingen en een risicobeoordeling nodig. Houd bovendien een register van verwerkingsactiviteiten bij volgens art. 30 AVG. Dat klinkt bureaucratisch, maar is in de kern een tabel die elke audit enorm versnelt.
Hoe de hostingopzet als geheel eruit moet zien, hebben we uitgebreid beschreven in het artikel over Shopware hosting 2026.
Elke klant kan inzage in zijn gegevens vragen, of correctie of verwijdering ervan. Daarvoor heeft u één maand de tijd. Wat velen onderschatten: ook een informeel berichtje van twee regels per e-mail laat de termijn ingaan. Leg daarom intern vast wie zulke verzoeken beantwoordt en hoe u de identiteit van de aanvrager controleert.
Bij verwijdering geldt: factuurgegevens vallen onder de bewaarplicht van tien jaar en worden niet verwijderd, maar geblokkeerd voor verder gebruik. Marketinggegevens, trackingprofielen en inactieve klantaccounts hebben daarentegen een verwijderbeleid met duidelijke termijnen nodig.
Shopware 6 biedt veel van wat u nodig heeft. Het moet alleen goed worden geconfigureerd. Deze punten controleren we in elk project:
Een blik op de handhaving laat zien dat gegevensbescherming allang geen papieren tijger meer is. In 2025 werden in heel Europa circa 690 miljoen euro aan AVG-boetes opgelegd. In Duitsland waren het 249 boetes met een totaalbedrag van circa 47 miljoen euro, daarnaast meer dan 10.000 gemelde datalekken.
| Onderneming | Boete | Reden |
|---|---|---|
| TikTok | 530 mln. € | Ongeoorloofde doorgifte van gegevens naar China |
| 325 mln. € | Reclame in Gmail zonder toestemming | |
| Shein | 150 mln. € | Cookies zonder geldige toestemming |
| Vodafone | 45 mln. € | Tekortkomingen bij partnerbureaus en authenticatie |
Voor kleinere webshops zijn niet zozeer de recordbedragen relevant als wel de massa aan procedures. De meeste Duitse boetes liggen in de orde van vier tot vijf cijfers en raken precies de onderwerpen uit dit artikel: ontbrekende toestemmingen, onbeantwoorde inzageverzoeken en onbeveiligde klantgegevens. Daarbij komt het risico op sommaties door concurrenten en gespecialiseerde advocatenkantoren, dat bij zichtbare fouten zoals de cookiebanner het grootst is.
Hij moet niet-noodzakelijke cookies blokkeren tot er toestemming is, weigeren even eenvoudig maken als accepteren en de keuze vastleggen. Vooraf aangevinkte vakjes en verstopte weigeropties zijn niet toegestaan.
Een functionaris voor gegevensbescherming is verplicht als in de regel minstens 20 personen permanent bezig zijn met de geautomatiseerde verwerking van persoonsgegevens. Kleinere webshops hebben er meestal geen nodig, maar moeten zich net zo goed aan de AVG houden.
Ja, met geldige toestemming via de cookiebanner, een verwerkersovereenkomst met Google en een correcte integratie van Consent Mode. Zonder toestemming mag de tool niet laden.
Het kader reikt tot 20 miljoen euro of 4 procent van de jaaromzet. Realistisch gezien liggen boetes voor kleinere webshops in de orde van vier tot vijf cijfers, daarbij komen sommatiekosten vanaf circa 1.000 euro en mogelijke schadeclaims van betrokkenen.
Ja. Volgens de Duitse toezichthouders mag een klantaccount niet verplicht worden gesteld. Een bestelling zonder registratie moet mogelijk zijn.
Alleen met toestemming of via de uitzondering voor bestaande klanten van § 7 lid 3 UWG. Daarvoor moet u bij de aankoop op de reclame wijzen, alleen vergelijkbare producten aanprijzen en op elk moment een eenvoudige afmelding mogelijk maken.
Een overeenkomst volgens art. 28 AVG met elke dienstverlener die gegevens voor u verwerkt: hosting, payment, nieuwsbrieftool, fulfilment, supportsoftware. Bij de meeste aanbieders sluit u deze digitaal af in de klantomgeving.
Binnen één maand. De termijn begint bij ontvangst van het verzoek, ook als dit informeel per e-mail binnenkomt. In complexe gevallen is een verlenging met twee maanden mogelijk, die u binnen de eerste maand moet motiveren.
Wij controleren cookiebanner, checkout, tracking en contracten van uw webshop en laten zien waar actie nodig is. Als Shopware-bureau voeren we de maatregelen ook direct mee uit, van de consentconfiguratie tot het verwijderbeleid.
Vraag een gratis privacycheck aan
Henrik Schäfer is TÜV-gecertificeerd functionaris voor gegevensbescherming en begeleidt bij solution25 de privacy- en compliancevraagstukken in e-commerceprojecten. Hij helpt webshopeigenaren om AVG-eisen praktisch te implementeren, zonder de conversie uit het oog te verliezen. Neem contact op
Stand van zaken: november 2026. Volgende inhoudelijke controle: februari 2027.
