AVG Compliance Checklist 2026 — Is uw website GDPR-proof?

De Autoriteit Persoonsgegevens handhaaft de AVG actief. Boetes kunnen oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet. Deze checklist helpt u snel controleren of uw website aan de belangrijkste AVG-eisen voldoet.

1. Cookie consent banner

Een cookie banner is verplicht als uw website niet-noodzakelijke cookies plaatst. Denk aan analytics, advertentiecookies en tracking pixels. De meest gemaakte fouten:

• Cookie banner aanwezig voor de eerste paginabezoek
• Bezoeker kan expliciet toestemming geven én weigeren
• Geen pre-aangevinkte vakjes (opt-in, niet opt-out)
• Weigeren is even eenvoudig als accepteren
• Toestemming wordt correct opgeslagen

2. Privacybeleid

Een privacyverklaring is verplicht op grond van AVG artikelen 13 en 14. Deze moet beschrijven welke persoonsgegevens u verwerkt, waarvoor en hoe lang.

• Privacybeleid eenvoudig vindbaar (link in footer)
• Welke gegevens worden verzameld en waarom
• Bewaartermijnen vermeld
• Contactgegevens voor AVG-verzoeken
• Naam en contactgegevens verwerkingsverantwoordelijke
• Uitleg over rechten van betrokkenen

3. Cookieverklaring

Naast een privacybeleid is een aparte cookieverklaring sterk aanbevolen. Hierin beschrijft u welke cookies u plaatst, voor welk doel en van welke derde partijen.

• Overzicht van alle cookies (naam, doel, bewaartermijn)
• Onderscheid tussen noodzakelijke en niet-noodzakelijke cookies
• Derde partijen vermeld (Google, Meta, etc.)

4. Tracking scripts en externe diensten

Google Analytics, Facebook Pixel, Google Tag Manager en andere tracking tools mogen pas na toestemming laden. Dit is een van de meest gehandhaafde overtredingen.

• Google Analytics laadt pas na toestemming
• Facebook/Meta Pixel laadt pas na toestemming
• Google Tag Manager correct geconfigureerd met consent mode
• LinkedIn Insight Tag laadt pas na toestemming
• Hotjar/heatmap tools laadt pas na toestemming

5. Rechten van betrokkenen

Bezoekers van uw website hebben het recht om hun persoonsgegevens in te zien, te corrigeren of te verwijderen. U moet dit faciliteren.

• Inzagerecht beschreven in privacybeleid
• Correctierecht beschreven
• Recht op vergetelheid (verwijdering) beschreven
• Contactgegevens voor uitoefening van rechten vermeld
• Reactietermijn van 4 weken geborgd

6. HTTPS en beveiliging

Persoonsgegevens mogen alleen via een beveiligde verbinding worden verstuurd. HTTPS is verplicht als uw website formulieren of inlogmogelijkheden heeft.

• HTTPS actief (geldig SSL-certificaat)
• HTTP-verkeer wordt doorgestuurd naar HTTPS
• SSL-certificaat niet verlopen of bijna verlopen

7. Contactgegevens en functionaris gegevensbescherming

• Naam en adres verwerkingsverantwoordelijke vindbaar
• E-mailadres voor AVG-verzoeken vermeld
• FG (functionaris gegevensbescherming) vermeld indien verplicht

Automatische AVG-scan

Handmatig controleren is tijdrovend. GDPRcheck.nl scant uw website automatisch op alle bovenstaande punten en geeft een overzichtelijk rapport met concrete aanbevelingen.

Veelgestelde vragen

Is een cookie banner verplicht voor alle websites?

Alleen als u niet-noodzakelijke cookies plaatst. Functionele cookies (inloggen, winkelwagen) zijn vrijgesteld. Analytics en marketing cookies vereisen altijd toestemming.

Wat is het verschil tussen AVG en GDPR?

Het zijn dezelfde wet. AVG staat voor Algemene Verordening Gegevensbescherming — de Nederlandse naam van de Europese GDPR (General Data Protection Regulation).

Moet ik als zzp'er ook voldoen aan de AVG?

Ja. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van EU-ingezetenen, ook zzp'ers en eenmanszaken.