Privacybeleid voor een contactformulier: AVG-basis en voorbeeldteksten

Een korte melding naast de verzendknop is de gelaagde aanpak van de AVG in de praktijk: de belangrijkste punten op het moment van verzamelen, met de details één klik verderop. Houd het bij een of twee zinnen.

Drie mini-voorbeelden die je kunt aanpassen:

• Algemene vraag: “We gebruiken je naam, e-mailadres en bericht alleen om je te antwoorden en bewaren het gesprek 12 maanden. Lees ons Privacybeleid voor details en je rechten.”
• Offerteaanvraag: “We gebruiken deze gegevens om je offerte op te stellen en daarover contact met je op te nemen. Word je klant, dan bewaren we ze als onderdeel van je account. Zie ons Privacybeleid.”
• Met een nieuwsbriefoptie: “We gebruiken je gegevens om je te antwoorden. Vink het vakje aan als je ook onze maandelijkse nieuwsbrief wilt ontvangen; je kunt je op elk moment afmelden.”

Maak van Privacybeleid een werkende link naar het volledige document. Houd de melding zichtbaar, niet verstopt in een tooltip, en zorg dat die overeenkomt met wat er echt gebeurt. Worden berichten doorgestuurd naar een CRM of twee jaar bewaard, zeg dat dan. Voor bredere plaatsingsregels, lees waar je een link naar je privacybeleid plaatst.

Persoonsgegevens zijn alle informatie over een identificeerbare persoon. Een contactformulier verzamelt die per definitie: een naam, een e-mailadres, soms een telefoonnummer of bedrijfsnaam, en een vrij tekstbericht dat bijna alles kan bevatten. Achter de schermen kan de formuliertool of server ook het IP-adres van de afzender, browsergegevens en het tijdstip van verzending vastleggen.

Dat heeft drie gevolgen:

1. Je moet mensen vertellen wat er met hun gegevens gebeurt. Volgens artikel 13 AVG moet die informatie worden gegeven op het moment dat je de gegevens verzamelt.
2. Elke dienstverlener in de keten telt mee. De formulierplugin of -dienst, je e-mailaanbieder, je CRM en een eventueel spamfilter verwerken allemaal het bericht.
3. Amerikaanse wetten kunnen ook gelden. CalOPPA geldt voor commerciële websites die persoonlijk identificeerbare informatie, zoals namen en e-mailadressen, van inwoners van Californië verzamelen.

Twijfel je nog of je site überhaupt een beleid nodig heeft: voor bijna elke site met een formulier is het antwoord ja. Onze gids heb ik een privacybeleid nodig? legt de juridische aanleidingen uitgebreider uit.

Het beginsel van minimale gegevensverwerking in artikel 5 AVG zegt dat persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is voor het doel. Bij een contactformulier is het doel de persoon te antwoorden, dus vraag je af wat je daarvoor echt nodig hebt.

Een praktische checklist voor velden:

• E-mailadres: verplicht, omdat je het nodig hebt om te antwoorden.
• Naam: vaak handig, maar overweeg het optioneel te maken of één veld te gebruiken.
• Bericht: verplicht, met een hint om geen gevoelige details op te nemen.
• Telefoonnummer: optioneel, tenzij je mensen echt terugbelt.
• Bedrijf, budget of projecttype: alleen als je ze gebruikt om de vraag door te sturen of te beantwoorden.
• Geboortedatum, identificatienummers, gezondheidsgegevens: zelden of nooit gepast op een algemeen contactformulier.

Elk veld dat je weghaalt, is een veld dat je niet hoeft te beveiligen, te bewaren of uit te leggen. Bied je een gespecialiseerde dienst aan, zoals een kliniek of een advocatenkantoor, voeg dan een regel toe die mensen vraagt geen gevoelige details via het formulier te sturen, en bied daarvoor een veiliger kanaal aan.

Veel sites voegen uit gewoonte een toestemmingsvakje aan elk formulier toe. De richtsnoeren van de Britse toezichthouder suggereren dat dit vaak het verkeerde middel is. Twee andere rechtsgronden in artikel 6 passen meestal beter:

• Overeenkomst, artikel 6(1)(b): de ICO legt uit dat deze grondslag verwerking dekt die nodig is om op verzoek van iemand specifieke stappen te zetten vóór het sluiten van een overeenkomst. Een offerteaanvraag of een vraag over het afnemen van je dienst is een typisch voorbeeld.
• Gerechtvaardigde belangen, artikel 6(1)(f): bij algemene vragen, feedback of persvragen is antwoorden een gerechtvaardigd belang dat mensen verwachten. De ICO beschrijft een toets in drie delen: een gerechtvaardigd doel, noodzaak en een afweging tegen de belangen van de persoon.

De richtsnoeren van de ICO over toestemming waarschuwen dat om toestemming vragen misleidend is wanneer je de gegevens toch zou verwerken, omdat er dan geen echte keuze is. Iemand die je een vraag stuurt, verwacht duidelijk een antwoord.

Marketing is iets anders. Een vraag beantwoorden betekent niet dat je de persoon aan een nieuwsbrief mag toevoegen. Als de ePrivacy-regels toestemming vereisen voor het marketingbericht, is toestemming meestal ook de juiste rechtsgrond daarvoor.

Voor het beantwoorden van het bericht meestal niet. Een verplicht vakje “Ik ga akkoord met het privacybeleid” kan de zaak zelfs vertroebelen, omdat het suggereert dat toestemming je rechtsgrond is terwijl dat niet zo is, en omdat een privacybeleid informatie is, geen overeenkomst waarmee mensen moeten instemmen.

Waar een selectievakje wel zinvol is:

• Opt-in voor nieuwsbrief of marketing: gebruik een apart, niet-aangevinkt vakje en maak het geen voorwaarde voor het versturen van het bericht.
• Optionele extra's: bijvoorbeeld toestemming om een testimonial te publiceren of de vraag met een partner te delen.
• Bijzondere categorieën van gegevens: als je echt gevoelige informatie nodig hebt, kan uitdrukkelijke toestemming een van de voorwaarden zijn waarop je je baseert.

Vergeet niet dat vooraf aangevinkte vakjes onder de AVG geen geldige toestemming opleveren. Wil je een bevestiging van de privacymelding, dan doet een eenvoudige zin met een link naast de verzendknop het werk zonder te doen alsof je toestemming verzamelt. Twijfel je over een specifiek formulier, dan legt de pagina van de AVG-privacybeleid generator uit hoe rechtsgronden in een gegenereerd beleid terugkomen.

In het volledige beleid horen de details. Voeg een sectie toe, of een rij in je gegevenstabel, die het volgende behandelt:

1. Wat je verzamelt: de velden op het formulier, plus alles wat automatisch wordt verzameld, zoals het IP-adres en het tijdstip van verzending.
2. Waarom: om de vraag te beantwoorden, en eventuele vervolgdoelen zoals het opstellen van een offerte.
3. Rechtsgrond: doorgaans precontractuele stappen of gerechtvaardigde belangen, en toestemming alleen voor optionele marketing.
4. Wie het ontvangt: de formulieraanbieder, de e-mailhost, het CRM, de helpdesk en de spambeveiligingsdienst.
5. Doorgiften: of een van die dienstverleners gegevens buiten het VK of de EU verwerkt, en welke waarborg wordt gebruikt.
6. Bewaring: hoe lang berichten worden bewaard.
7. Rechten: inzage, rectificatie, wissing en bezwaar, en hoe je daarom vraagt.

Heb je ook een nieuwsbrief, chatwidget of boekingsformulier, geef elk dan een eigen korte vermelding in plaats van alles onder contact te scharen. De richtsnoeren van de ICO over welke privacyinformatie je moet geven, zijn een goede controle voor de verplichte onderdelen.

Het beginsel van opslagbeperking in de AVG zegt dat persoonsgegevens niet langer mogen worden bewaard dan nodig is voor het doel. Geen enkele wet legt één vaste termijn vast voor berichten uit contactformulieren, dus je stelt zelf een termijn vast die je kunt onderbouwen en houdt je daar vervolgens aan.

Gebruikelijke benaderingen:

• Algemene vragen die nergens toe leiden: verwijder ze na een vaste termijn, zoals 6 tot 12 maanden na het laatste antwoord, lang genoeg om vervolgvragen af te handelen.
• Vragen die tot klanten leiden: bewaar ze als onderdeel van het klantdossier zolang de relatie en je wettelijke administratieplichten dat vereisen.
• Spam en kwetsende berichten: verwijder ze snel, tenzij je ze nodig hebt voor beveiliging.
• Formulierinzendingen in de database van je website: veel formulierplugins bewaren naast de e-mail een kopie van elke inzending. Stel de plugin in om inzendingen automatisch te verwijderen of maak ze regelmatig leeg.

Neem de termijn op in je privacybeleid en stel herinneringen of automatische verwijdering in, zodat het beleid blijft kloppen. Denk ook aan back-ups en e-mailarchieven, die vaak langer kopieën bewaren dan de inbox.

Ja. Tools voor spambeveiliging verwerken gegevens over de mensen die je formulier gebruiken, dus ze horen in je privacybeleid.

reCAPTCHA: de FAQ van Google over reCAPTCHA stelt dat klanten vanaf 2 april 2026 de enige verwerkingsverantwoordelijke zijn voor de verwerkte gegevens, dat verwijzingen naar het privacybeleid en de voorwaarden van Google van de reCAPTCHA-badge zijn verwijderd, en dat klanten hun eigen privacyinformatie voor eindgebruikers moeten nakijken om zeker te weten dat die het doel van beveiliging en het voorkomen van fraude en misbruik dekt. De FAQ staat nog steeds toe dat je de badge verbergt als je gebruikers zichtbaar vertelt dat de site door reCAPTCHA wordt beschermd. Ook vermeldt de FAQ dat reCAPTCHA een noodzakelijke cookie plaatst voor zijn risicoanalyse.

Andere diensten: hCaptcha, Cloudflare Turnstile en antispamplugins verwerken elk formuliergegevens of apparaatsignalen. Noem de dienst die je gebruikt en beschrijf het doel ervan.

Honeypotvelden en snelheidslimieten zijn lichtere alternatieven die op je eigen server draaien en geen derde partij inschakelen, al zijn ze mogelijk minder effectief tegen vastberaden bots. Wat je ook kiest, beschrijf het in gewone woorden: wat er wordt gecontroleerd, door wie en waarom.

Je contactformulier is zelden één tool. Een typische opzet koppelt meerdere dienstverleners aan elkaar, en elk daarvan hoort in je beleid.

• Formulierplugin of formulierdienst: slaat inzendingen op, soms op eigen servers.
• E-mailbezorging: stuurt meldingen naar je inbox via je host of een dienst voor transactionele e-mail.
• Inbox en CRM: waar berichten op de lange termijn staan, zoals een gedeelde mailbox, helpdesk of sales-CRM.
• Automatiseringen: tools die inzendingen kopiëren naar spreadsheets of chatkanalen.

Waar een dienstverlener gegevens namens jou verwerkt, vereist artikel 28 AVG een overeenkomst met verwerkersbepalingen, meestal de verwerkersovereenkomst van de dienstverlener. Noem deze dienstverleners bij naam of per categorie in je beleid en houd de lijst actueel wanneer je van tool wisselt.

In de vragenlijst van Legal Policy Generator kun je diensten van derden kiezen zoals Mailchimp, HubSpot, Zendesk, Intercom, SendGrid, reCAPTCHA en hCaptcha, en hij kiest bijpassende clausules op basis van je antwoorden. De vragenlijst, het voorbeeld en de eenvoudige HTML-download zijn gratis. Onze gids over een privacybeleid voor een website maken behandelt de rest van het document.