Je hebt een contactformulier op je website staan een nieuwsbrief misschien, en Google Analytics draait al jaren gewoon mee. En toch krijg je een brief van een advocaat namens een bezoeker die zegt dat zijn privacyrechten zijn geschonden en daar een schadevergoeding voor eist. Dat is geen hypothetisch scenario: het overkomt kleine webshops, bloggers en verenigingssites steeds vaker, en rechters kennen die vergoedingen steeds vaker ook daadwerkelijk toe.

In dit artikel lees je welke fouten claimers als grond gebruiken, wat de financiële gevolgen in de praktijk zijn, en wat je concreet kunt doen om je risico te verkleinen.

Rechters kennen steeds vaker geld toe bij AVG-overtredingen

Sinds het Europese Hof van Justitie in 2023 bevestigde dat een bewezen AVG-overtreding al voldoende kan zijn voor een schadevergoedingsclaim, ook zonder dat de bezoeker aantoonbaar financieel nadeel lijdt, is de drempel voor claims flink verlaagd. Nederlandse rechtbanken volgen die lijn. Dat betekent dat een bezoeker van jouw website geen identiteitsfraude hoeft te hebben geleden om een claim te kunnen indienen. Gevoelens van verlies van controle over eigen gegevens tellen mee, mits er een echte overtreding aantoonbaar is.

Kleine websites zijn niet immuun. Een soloonderneming die vijfhonderd bezoekers per maand trekt, valt net zo goed onder de AVG als een multinational.

Fout 1: een cookiemuur zonder echte keuze

Je kent het scenario: een bezoeker komt op een website en krijgt een pop-up met twee opties. Akkoord geven of de website verlaten. Dat is geen vrije keuze in de zin van de AVG, en rechters beoordelen dit inmiddels consequent als ongeldige toestemming.

Concreet voorbeeld: een webwinkel in fietsen plaatst tracking cookies voor advertenties zodra iemand de site bezoekt. De enige manier om de winkel te gebruiken is op akkoord klikken. Een bezoeker die dit aankaart bij de Autoriteit Persoonsgegevens of rechtstreeks bij de rechter, heeft een sterke zaak. De overtreding is de ongeldig verkregen toestemming. Het nadeel is dat er persoonsgegevens zijn verwerkt zonder rechtsgeldige grondslag. Dat is een combinatie die keer op keer als claimgrond wordt gebruikt.

Fout 2: Google Analytics of Meta Pixel actief vóór toestemming

Dit is technisch aantoonbaar en wordt ook daadwerkelijk aangetoond. Tools als Blacklight, browser developer tools of gespecialiseerde privacy-auditsoftware laten precies zien op welk moment een script een verzoek verstuurt naar Google of Meta. Bij Google Analytics en tracking is het essentieel dat dit pas gebeurt ná toestemming van de bezoeker. Als dat gebeurt vóórdat de bezoeker op akkoord heeft geklikt, is er een probleem.

In de praktijk gaat dit mis doordat een thema of plugin de trackingcode laadt via de standaard WordPress-header, ongeacht de status van de cookiebanner. De bezoeker klikt nog niets, maar er gaat al data naar de Verenigde Staten. Dat levert een grondslag voor een AVG-claim op, inclusief de vraag of er sprake is van een onrechtmatige doorgifte aan een derde land zonder adequaatheidsgaranties.

Financieel gezien: de schade per bezoeker blijft in dit soort gevallen relatief laag, maar bij grote aantallen betrokken personen kan een collectieve actie snel in de duizenden euro’s lopen.

Fout 3: geen of een onvolledige verwerkersovereenkomst

Gebruik je een nieuwsbriefdienst, een hostingprovider of een CRM-systeem? Dan verwerk je persoonsgegevens via een derde partij en ben je verplicht een verwerkersovereenkomst te sluiten. Veel beheerders weten dit niet of denken dat de algemene voorwaarden van de dienst volstaan. Dat is zelden zo.

De verborgen aansprakelijkheid zit hier in het feit dat jij als verwerkingsverantwoordelijke aansprakelijk blijft voor wat er met die gegevens gebeurt, ook als de verwerker de fout maakt. Stel dat je e-mailmarketingtool een datalek heeft en jij had nooit een verwerkersovereenkomst gesloten, dan ben jij degene die bij de AP en bij de rechter verantwoording moet afleggen. Bezoekers kunnen op basis daarvan een claim indienen, omdat jij je wettelijke verplichting niet bent nagekomen.

Fout 4: een datalek te laat of helemaal niet melden

De 72-uursregel is misschien wel de bekendste AVG-verplichting, maar tegelijk de meest genegeerde. Als er een datalek is waarbij persoonsgegevens betrokken zijn van bezoekers, moet je dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en in sommige gevallen ook direct aan de betrokkenen zelf.

Een kleine webshop wordt gehackt in het weekend. De eigenaar denkt dat het vanzelf overgaat en wacht tot maandag. Dan stuurt hij een vraag naar zijn hostingprovider. Op woensdag doet hij pas aangifte. Op dat moment is de 72-uursregel allang overschreden, en het verzuim is een zelfstandige claimgrond. De bezoekers van wie de gegevens zijn gestolen, kunnen naast de schade door het lek ook schade claimen vanwege het feit dat ze niet tijdig zijn geïnformeerd en zelf maatregelen hadden kunnen nemen.

Fout 5: inzageverzoeken negeren of afwimpelen

Iedere bezoeker heeft het recht om te vragen welke gegevens jij over hem of haar hebt opgeslagen. Je hebt één maand de tijd om te reageren, met een mogelijke verlenging van twee maanden in complexe gevallen. Reageer je niet, of stuur je een reactie die de vragen niet beantwoordt, dan is dat juridisch gezien onredelijke vertraging.

Bezoekers die hun inzageverzoek serieus nemen, combineren dit soms bewust met een rechtszaak. Ze sturen het verzoek, wachten af en gebruiken het uitblijven van een reactie als extra bewijs van slordig gegevensbeheer. Nederlandse rechtbanken zien dit patroon steeds vaker en rekenen het beheerders aan bij de bepaling van de hoogte van de vergoeding.

Wat moet een bezoeker bewijzen om een claim te winnen?

De drempel is niet nul, maar lager dan veel mensen denken. Een bezoeker moet in de basis twee dingen aantonen:

  • Er is een aantoonbare overtreding van de AVG, zoals één van de vijf fouten hierboven.
  • Er is een nadeel geleden dat samenhangt met die overtreding. Dat nadeel hoeft niet financieel te zijn. Gevoelens van controleverlies, angst over misbruik van gegevens of de stress van niet tijdig geïnformeerd worden, tellen mee.

De bezoeker hoeft niet te bewijzen dat jij opzettelijk handelde. Nalatigheid is voldoende. En jij moet als verwerkingsverantwoordelijke bewijzen dat je géén fout hebt gemaakt, want de bewijslast is bij de AVG omgedraaid.

Hoe hoog vallen vergoedingen in de praktijk uit?

Voor immateriële schade bij individuele AVG-claims liggen de bedragen in Nederland en Europa grofweg tussen de 250 tot 5.000 euro per persoon, afhankelijk van de ernst van de overtreding en het aangetoonde nadeel. Bij ernstigere schendingen, zoals het lekken van gevoelige medische of financiële gegevens, lopen bedragen op tot tienduizenden euro’s.

Recente Europese uitspraken laten een stijgende lijn zien. Rechtbanken geven steeds meer gewicht aan het chilling effect: het feit dat mensen hun gedrag online aanpassen als ze weten dat hun privacy niet goed beschermd is. Dat wordt nu ook in geldtermen uitgedrukt.

Collectieve acties zijn een ander verhaal. Organisaties die namens een groep gedupeerden optreden, kunnen in totaal veel hogere bedragen vorderen. Voor een middelgrote webshop met tienduizend bezoekers per maand kan dat snel oplopen tot bedragen die het voortbestaan van het bedrijf raken.

Risicocheck: vijf acties die je aansprakelijkheid direct verkleinen

Je hoeft geen jurist te zijn om de grootste risico’s weg te nemen. Deze vijf acties zijn concreet en uitvoerbaar:

  • Stap 1: controleer je cookiebanner. Zorg dat weigeren even makkelijk is als akkoord geven, en dat trackingscripts pas laden ná toestemming. Test dit zelf met je browser in privémodus.
  • Stap 2: sluit verwerkersovereenkomsten. Ga na welke externe diensten je gebruikt en regel voor elk een getekende verwerkersovereenkomst. De meeste grote aanbieders hebben standaarddocumenten beschikbaar.
  • Stap 3: maak een protocol voor datalekken. Weet wie je belt, wat je registreert en hoe je binnen 72 uur bij de AP meldt. Leg dit vast, ook al is het maar één A4-tje.
  • Stap 4: reageer altijd op inzageverzoeken. Stel een standaardreactie op en zet een herinnering in je agenda voor de maximale reactietermijn van één maand.
  • Stap 5: houd je privacyverklaring actueel. Een verouderde of onvolledige privacyverklaring is zelf ook een overtreding. Controleer minstens één keer per jaar of de beschreven verwerkingen nog kloppen met de werkelijkheid.

De fouten die rechters het vaakst tegenkomen zijn precies de fouten die ook kleine website-eigenaren maken: een cookiebanner zonder echte keuze, trackingscripts die te vroeg laden, ontbrekende verwerkersovereenkomsten. De financiële gevolgen zijn concreet en voelbaar, ook als je geen groot bedrijf bent.

Begin met je cookiebanner en je privacyverklaring. Dat zijn de twee punten waarop de meeste claims starten, en ook de twee punten die je het snelst kunt aanpassen.