Elke dag stromen orders binnen via de koppelingen met de webshops van uw opdrachtgevers: namen, adressen, telefoonnummers en bestelde artikelen. Uw mensen picken, pakken en versturen, en uw WMS onthoudt alles. Wie postorders afhandelt voor anderen, is een schakel vol persoonsgegevens die niet van hemzelf zijn.
Als afhandelaar verwerkt u de klantgegevens van uw opdrachtgevers: de webshop bepaalt het doel, u voert de logistiek uit. Dat maakt u verwerker, en de AVG vraagt om een verwerkersovereenkomst met elke opdrachtgever. Er zit nog een laag onder: de bezorgdiensten en cloudtools die u inschakelt zijn subverwerkers, en die mag u volgens diezelfde regels alleen inzetten met medeweten van uw opdrachtgever. In de praktijk staat daar zelden iets over op papier. Wat u kunt doen: werk met één standaard verwerkersovereenkomst, houd een lijst bij van de partijen die u inschakelt (vervoerders, WMS-leverancier, mailtool) en neem die lijst als bijlage op, zodat opdrachtgevers weten wie er nog meer met hun data werkt.
art. 28 AVGHet gaat een keer mis: de pakbon of factuur van klant A belandt in de doos van klant B. Daarmee liggen naam, adres en bestelhistorie bij een vreemde, en dat is een datalek. Als verwerker meldt u zo'n incident niet zelf bij de Autoriteit Persoonsgegevens, maar wel direct bij uw opdrachtgever: die moet binnen 72 uur kunnen beoordelen of een melding nodig is, en dat lukt alleen als u snel en volledig doorgeeft wat er gebeurd is. Wat u kunt doen: spreek in de verwerkersovereenkomst af hoe en hoe snel u incidenten meldt, houd intern een kort logboek bij van wat er misging en waarom, en kijk of een dubbelcheck in het inpakproces dit soort verwisselingen kan voorkomen.
art. 33 AVGEen WMS gooit uit zichzelf niets weg. Orders van opgeheven webshops, adressen van klanten die vijf jaar geleden één keer iets bestelden: het staat er allemaal nog. Voor uw eigen administratie is een deel daarvan nodig, maar de klantdata van opdrachtgevers hoort een afgesproken houdbaarheid te hebben. 'Misschien wil de webshop ooit een export' is geen bewaartermijn. Hoe meer oude data er staat, hoe groter bovendien de schade als er iets lekt. Wat u kunt doen: spreek per opdrachtgever een bewaartermijn af voor orderdata, richt uw WMS zo in dat oude orders geanonimiseerd of verwijderd worden, en ruim data van vertrokken opdrachtgevers actief op in plaats van het contract stilletjes te laten uitdoven.
art. 5 AVGTussen webshop en pakket zit een keten van software: het WMS, de koppelsoftware, de maildienst die de track-and-trace-mail verstuurt, soms een klantenservicetool. Draait een van die schakels op Amerikaanse servers, dan gaan de adresgegevens van de klanten van uw opdrachtgevers de EU uit, vaak zonder dat u of uw opdrachtgever dat ooit heeft benoemd. Uw opdrachtgevers moeten dat in hun eigen privacyverklaring kunnen uitleggen, dus zij mogen van u weten hoe uw keten eruitziet. Wat u kunt doen: zet op een rij welke tools u gebruikt en waar ze hun data opslaan, kies waar mogelijk voor EU-opslag, en vermeld de keten in de bijlage van uw verwerkersovereenkomst. Dat is meteen een sterk verhaal richting kritische webshops.
art. 44 e.v. AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanVoor de orderdata van uw opdrachtgevers bent u verwerker: zij bepalen het doel, u voert uit. Voor uw eigen personeel, uw eigen facturatie en uw eigen marketing bent u verwerkingsverantwoordelijke. Beide rollen bestaan naast elkaar en vragen elk hun eigen afspraken en administratie.
Het is een datalek: persoonsgegevens zijn bij een onbevoegde terechtgekomen. U meldt het direct bij uw opdrachtgever; die beoordeelt of een melding bij de Autoriteit Persoonsgegevens nodig is en heeft daarvoor 72 uur vanaf het moment dat het lek bekend werd. Snel en volledig doorgeven is dus uw belangrijkste taak.
Alleen binnen wat de verwerkersovereenkomst toestaat. Geaggregeerde cijfers voor uw eigen capaciteitsplanning zijn meestal te regelen; individuele klantprofielen opbouwen of data inzetten voor eigen commerciële doelen niet. Leg het expliciet vast in plaats van het stilzwijgend te doen.
Ja, ook verwerkers hebben een registerplicht (art. 30 AVG): een overzicht van de categorieën verwerkingen die u voor opdrachtgevers uitvoert, welke subverwerkers u inschakelt en welke beveiliging u toepast. Voor een fulfilmentbedrijf is dat in een middag op te zetten en het maakt het gesprek met nieuwe opdrachtgevers makkelijker.
Wees open: geef een lijst van de subverwerkers die u inschakelt (vervoerders, WMS, maildienst) en waar de data staat. De webshop heeft die informatie nodig voor zijn eigen privacyverklaring en register. Neem de lijst als bijlage op bij de verwerkersovereenkomst en geef wijzigingen door.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.