GDPR voor websites in 2025 - de realiteitscontrole

Of: Waarom 90% paniek voor niets was (en welke 10% echt je hachje zal redden)

Herinner je je mei 2018 nog? De grote GDPR-apocalyps was aanstaande. Advocaten voorspelden golven van waarschuwingen, consultants verkochten dure noodpakketten en het voelde alsof elke tweede nieuwsbrief het einde van het internet aankondigde.

Nu, bijna 7 jaar later, is het tijd voor een eerlijke realiteitscheck. Wat is er echt gebeurd? Spoiler: Het internet bestaat nog steeds, de meesten van jullie ook, en de miljoenen boetes? Nou, daar komen we zo op.

De grote paniekbalans: verrassende cijfers

Kunt u zich voorstellen dat er bijna niets overblijft van de gevreesde massale waarschuwingen? Volgens Bitkom-onderzoeken meldt ongeveer 20 % van de bedrijven binnen een jaar ten minste één inbreuk op de gegevensbescherming - maar slechts een miniem deel hiervan leidt daadwerkelijk tot een boete.

Een analyse van gepubliceerde Duitse GDPR-boetes voor 2018 komt uit op een gemiddelde boete van ongeveer 8.500 euro - ver verwijderd van de miljoenen die vaak worden genoemd.

Ter vergelijking:

• Gevreesde straffen in 2018: tot 20 miljoen euro (paniek!!)
• Werkelijke gemiddelde boete voor KMO's: 8.500 euro
• Meest voorkomende straf: Waarschuwing zonder boete

Als je kijkt naar alle boetes die de afgelopen jaren zijn gepubliceerd, is het totaal in Duitsland als volgt Ongeveer 1.600 tot 1.700 bekende gevallen.
En zelfs als het aantal niet-gerapporteerde gevallen iets hoger ligt:
We hebben het over een dwergnummer.
Met meer dan 3,5 miljoen bedrijven is dat praktisch niets. Je hebt meer kans om door de bliksem getroffen te worden.

Tabel - „GDPR-boetes in Duitsland 2018-2023

Dat blijkt uit de gegevens: Hoewel de GDPR sinds 2018 van kracht is minder dan 1.700 boetes in Duitsland tussen 2018 en 2023 opgelegd (zie tabel). Met ongeveer 3,5 miljoen bedrijven betekent dit dat slechts ongeveer een van de ongeveer 2.000 bedrijven ooit een boete heeft gekregen.

Wat de autoriteiten ECHT belangrijk vinden (en wat niet)

Na zeven jaar GDPR weten we vrij goed waar de gegevensbeschermingsautoriteiten naar kijken en waar ze een oogje dichtknijpen. Verrassing: het is niet wat ons in 2018 werd verteld.

Dat interesseert me echt:

1. gegevenslekken en aanvallen van hackers zonder kennisgeving - Iedereen die een meldbaar datalek heeft en dit niet binnen 72 uur meldt, heeft een echt probleem.
In de activiteitenverslagen van de autoriteiten komt dit punt regelmatig naar voren als een van de meest voorkomende redenen voor boetes - vooral in het geval van grote lekken of volledig ontbrekende verslagen.

2. geen reactie op verzoeken om informatie - Als iemand om zijn gegevens vraagt en je gewoon geeft geen antwoord, dan wordt het echt onaangenaam.
Duitse rechtbanken kennen nu regelmatig schadevergoedingen toe - van een paar honderd tot vijf cijfers.

Heb je een voorbeeld nodig?
10.000 euro voor het 20 maanden te laat verstrekken van informatie aan een ex-werknemer (Arbeidsrechtbank Oldenburg).
En zelfs kleine online winkels vragen nu bedragen van vier cijfers als ze helemaal niet antwoorden.

3. nieuwsbrief zonder toestemming - Al 20 jaar lang de vaste favoriet.
Dit komt steeds weer terug in de praktijk van het geven van waarschuwingen - net zo betrouwbaar als een jaarrekening.
Versturen zonder toestemming in 2025 is ongeveer net zo ingenieus als Password123.

(Bijna) niemand is daarin geïnteresseerd:

• Cookie banner detailsOf je banner nu links of rechts staat, of de knop „Alles accepteren“ blauw of groen is - het maakt niet uit. Het belangrijkste is dat hij er is (als je hem nodig hebt).
• Ontbrekende contracten voor orderverwerkingTheoretisch verplicht, in de praktijk vraagt niemand erom. Tenzij er iets anders gebeurt en ze het nader bekijken.
• Verouderde gegevensbeschermingsverklaringenZolang er een is, maakt het bijna niemand wat uit of die van 2019 of 2024 is.

De 3 echte risico's die in 2025 op je kunnen vallen

Risico 1: Google Fonts - De waarschuwingsval die niemand zag aankomen

In 2022 rammelde het echt: Een uitspraak van de Gerechtshof München I verduidelijkt dat het herladen van Google lettertypen van Amerikaanse servers zonder toestemming een GDPR overtreding is. Zack - een gebruiker kreeg €100 schadevergoeding, en plotseling voelden een paar bijzonder creatieve waarschuwingsbrieven het volgende bedrijfsmodel. Het resultaat: minstens honderdduizend letters ging door het land. Vraag: rond 170 € „vergoeding voor pijn en lijden“.“ - zo laag dat velen gewoon hebben betaald voor hun gemoedsrust.

De oplossing is vandaag de dag nog steeds belachelijk eenvoudig:

• Lettertypen lokaal hosten (plugin, 2 klikken, einde van het werk)
• Of gebruik meteen systeemlettertypen
• Er zijn ook proxy-oplossingen, maar dat is meer nerd-niveau

En nu de clou: zelfs 2023, 2024 en zelfs 2025 Rechtszaken over Google Fonts houden de rechtbanken nog steeds bezig. Sommige uitspraken noemen het vermijden van waarschuwingen nu een „misbruik van recht“, maar totdat dit allemaal eindelijk voorbij is, zullen de raderen van het recht blijven draaien. Langzaam, maar betrouwbaar.

Risico 2: Google Analytics zonder wettelijke basis

Hier wordt het spannend. De Oostenrijkse gegevensbeschermingsautoriteit nam het voortouw, Frankrijk en Italië volgden: Google Analytics is in zijn standaardconfiguratie niet GDPR-compliant. Duitsland? Nog steeds op de achtergrond, maar de tekenen wijzen op een storm.

Wat er echt gebeurt:

• Tot nu toe geen massale waarschuwingen
• MAAR: de autoriteiten nemen klachten onder de loep

Google Analytics zonder wettelijke basis is geen onbeduidend vergrijp.
In de EU zijn er al verschillende Boetes van vier tot vijf cijfers, afhankelijk van de ernst en configuratie.
Duitsland houdt zich nog steeds op de achtergrond, maar als er klachten binnenkomen, kijken de autoriteiten heel goed.

Wat je kunt doen:

1. Google Analytics met toestemmingsmodus V2 en orderverwerking (ingewikkeld)
2. Overschakelen naar EU-alternatieven (Matomo, Plausible, of... nou ja, je weet wel)
3. Helemaal zonder analytics (serieus, dat werkt ook)

Risico 3: Contactformulieren zonder SSL

Ja, in 2025 hebben we het er nog steeds over. Kun je je voorstellen dat er nog websites zijn zonder HTTPS? Ik ook niet, maar ze bestaan wel. En dat zal duur worden.

Reëel geval vanaf 2024: Ambachtelijk bedrijf, 3.500 euro boete voor onversleuteld contactformulier. Als reden werd opgegeven: „Onachtzaam in gevaar brengen van persoonsgegevens“.“

De oplossing:

• Let's Encrypt = gratis SSL-certificaat
• Installatie: 5 minuten
• Excuses: Nul

De olifant in de kamer: waarom cookiebanners nog steeds overal zijn

Hoewel bijna niemand wordt bestraft voor valse cookiebanners, heeft iedereen ze toch. Hoe komt dat?

De waarheid:

😧 70 % van alle cookiebanners is technisch onjuist
Het toestemmingspercentage is een miezerige 3-8 %
En waarschuwingen? Die zijn er bijna niet

Toch heeft iedereen een van deze dingen aan zijn kant.
Waarom? FOMO? Angst? Of omdat een of andere instantie in 2018 heeft besloten dat „het nu eenmaal zo gaat“?

En nu komt het echt spannende punt:

Je hebt alleen een banner nodig als je Niet-essentiële diensten gebruik - d.w.z. dingen die gegevens naar derden sturen of gebruikers volgen.
Deze omvatten bijvoorbeeld:

• Tracking tools met cookies of fingerprinting
• Marketing-/advertentiescripts (Meta Pixel, Google Ads, enz.)
• Externe bronnen die persoonlijke gegevens overdragen
• Embedded content die zichzelf volgt (YouTube, kaarten, sociale feeds)

Als je dit allemaal weglaat of op een privacy-vriendelijke manier integreert, heb je de banner vaak niet meer nodig.
Geen externe tracking = geen toestemming = geen banner = geen circus.

Met moderne cookie-loze analytische oplossingen krijg je nog steeds alle belangrijke inzichten - alleen zonder dat je toestemming nodig hebt en zonder conversieverlies.

Wat is er echt veranderd in 2025

AI en gegevensbescherming: het nieuwe mijnenveld

ChatGPT, Claude, Midjourney - de vraag is niet langer óf, maar hóe je AI gebruikt. En dit is waar het lastig wordt:

Kan ik klantgegevens invoeren in ChatGPT? Kort antwoord: Nee. Lang antwoord: Nee, tenzij je de Enterprise-versie met orderverwerking hebt.

Hoe zit het met AI-gegenereerde teksten op mijn website? Geen GDPR-probleem zolang er geen persoonlijke gegevens in de prompt stonden.

De volgende golf: Digital Services Act (DSA)

Terwijl iedereen naar de GDPR staart, is de DSA al sinds februari 2024 van kracht. Vooral van invloed op platforms en marktplaatsen, maar ook op:

• Grote online winkels (45 miljoen gebruikers of meer in de EU)
• Sociale-mediapagina's
• Fora en gemeenschappen

Het goede nieuws: Voor normale websites verandert er niets.

De 5-punten realiteitscheck voor uw website

Genoeg theorie. Dit is wat je ECHT moet controleren:

1. SSL-certificaat actief? → Zo nee, VERANDER ONMIDDELLIJK
2. Privacybeleid beschikbaar? → Gebruik generator, klaar
3. Opdruk beschikbaar? → maximaal 2 klikken
4. Nieuwsbrief met dubbele opt-in? → Zo nee, overstappen
5. Google Fonts lokaal? → Zo nee, plugin installeren

Alles klaar? Gefeliciteerd, je bent veiliger dan 90% van alle Duitse websites.

De conclusie die je zou moeten geruststellen

Na zeven jaar GDPR weten we het: De wereld is niet vergaan. De gevreesde golven van waarschuwingen zijn uitgebleven. De miljoenenboetes hebben alleen de echt grote spelers getroffen (ik kijk naar jou, Meta).

Wat echt telt:

• Zorg dat de basis in orde is (SSL, privacybeleid, juridische kennisgeving)
• Vermijdt de drie echte risico's (lettertypen, analyse, SSL)
• Laat je niet gek maken door elke nieuwe „GDPR-expert

En de volgende keer dat je een artikel leest waarin het einde van de wereld wordt voorspeld, onthoud dan: we zouden allemaal eindigen in 2018. Zo is het niet gegaan.

In het volgende deel van de serie: Waarom cookiebanners de domste uitvinding zijn sinds de pop-up blocker - en hoe je er legaal vanaf komt. Spoiler: Het heeft te maken met cookie-loze tracking, en ja, het werkt echt.