Les 6: Webshop en AVG — klantgegevens en bewaartermijnen

Deze cursus biedt algemene informatie en geen juridisch advies.

Een webshop verwerkt meer persoonsgegevens dan een gewone website: namen, adressen, betaalgegevens, orderhistorie, e-mailadressen. De AVG stelt extra eisen aan hoe je daarmee omgaat. In deze les behandelen we de specifieke AVG-verplichtingen voor WooCommerce-webshops.

Welke gegevens verzamelt WooCommerce?

Bij elke bestelling verzamelt WooCommerce standaard:

• Voor- en achternaam
• Factuuradres en optioneel afleveradres
• E-mailadres en telefoonnummer
• IP-adres op het moment van bestelling
• Bestelde producten, bedragen en betaalmethode
• Opmerkingen bij de bestelling

Betaalgegevens (creditcardnummers, bankgegevens) worden nooit door WooCommerce zelf opgeslagen — die gaan rechtstreeks via Mollie of een andere betaalprovider. WooCommerce slaat alleen op dat de betaling is geslaagd.

De grondslag voor webshopgegevens

Voor klantgegevens die je nodig hebt om een bestelling uit te voeren, gebruik je de grondslag “uitvoering van een overeenkomst”. Je hebt geen aparte toestemming nodig om naam en adres op te slaan voor de levering — dat is noodzakelijk voor de overeenkomst die de klant met jou sluit.

Voor de financiële administratie geldt de grondslag “wettelijke verplichting” — de Belastingdienst verplicht je factuurgegevens 7 jaar te bewaren.

Bewaartermijnen in WooCommerce

De AVG verplicht je gegevens niet langer te bewaren dan noodzakelijk. Voor een webshop zijn de relevante termijnen:

• Bestelgegevens voor de administratie: 7 jaar (fiscale bewaarplicht)
• Klantaccounts zonder bestellingen: verwijder accounts die meer dan 2 jaar inactief zijn
• Winkelwagendata van gasten: binnen 30 dagen te verwijderen
• Persoonlijke gegevens in bestellingen buiten de bewaarplicht: kunnen worden geanonimiseerd na afhandeling

WooCommerce heeft ingebouwde privacyfuncties voor dit doel. Ga naar WooCommerce → Instellingen → Accounts & privacy. Stel hier in:

• Automatisch verwijderen van accounts die X jaar inactief zijn
• Automatisch anonimiseren van voltooide bestellingen na X dagen
• Automatisch verwijderen van mislukte bestellingen na X dagen

Klantverzoeken afhandelen in WooCommerce

Als een klant vraagt om inzage in of verwijdering van zijn gegevens, kun je dat afhandelen via WordPress. Ga naar Tools → Privacyverzoeken → Nieuw verzoek toevoegen. Je kunt hier een verzoek aanmaken voor een specifiek e-mailadres. WordPress genereert dan automatisch een rapport van alle opgeslagen gegevens voor die persoon, of verwijdert ze.

Gastafrekening en privacyverzoeken

Als klanten als gast afrekenen (zonder account), zijn hun gegevens moeilijker terug te vinden. Dat is een reden om te overwegen klanten te vragen een account aan te maken — maar het mag nooit verplicht worden gesteld als voorwaarde voor aankoop (dat is in strijd met de AVG).

De verwerkersovereenkomst met je betaalprovider

Mollie verwerkt betaalgegevens van jouw klanten namens jou. Je bent verplicht een verwerkersovereenkomst met Mollie te hebben. Mollie biedt deze standaard aan — log in op je Mollie-dashboard, ga naar Organisatie → Juridisch en controleer of de verwerkersovereenkomst is geaccepteerd.

Vermelding in je privacyverklaring

Voeg in je privacyverklaring een sectie toe specifiek over je webshop. Vermeld:

• Welke gegevens worden verzameld bij een bestelling
• Waarvoor ze worden gebruikt (levering, factuur, klantenservice)
• Hoe lang ze worden bewaard
• Met welke partijen ze worden gedeeld (Mollie, PostNL, eventueel Sendcloud)

Opdracht

Ga naar WooCommerce → Instellingen → Accounts & privacy en stel de automatische verwijder- en anonimiseringstermijnen in. Controleer daarna of je verwerkersovereenkomst met Mollie is geaccepteerd. Voeg tot slot een webshop-sectie toe aan je privacyverklaring als die er nog niet in staat.