GDPR verplichtingen KMO België: complete website checklist 2026

Je website verwerkt waarschijnlijk meer persoonsgegevens dan je denkt. Een contactformulier, Google Analytics, een nieuwsbrief: het valt allemaal onder de AVG/GDPR. En de Gegevensbeschermingsautoriteit (GBA) kijkt steeds vaker naar KMO's.

In 2024 legde de GBA (Gegevensbeschermingsautoriteit) Mediahuis een dwangsom op van €25.000 per dag voor een cookiebanner die niet voldeed: geen duidelijke weigerknop, misleidende kleurkeuzes. Dat is geen uitzondering. De GBA vermeldt in haar strategisch plan 2020-2025 expliciet dat het handhaven bij KMO's een prioriteit is.

Gebruik deze checklist om te controleren of je website aan de regels voldoet.

---

1. Ondernemingsnummer op je website

Verplicht: Ja, wettelijk verplicht op grond van het Wetboek van economisch recht (Boek III).

Belgische bedrijven moeten hun ondernemingsnummer (KBO-nummer) zichtbaar vermelden op hun website. Het gaat om een 10-cijferig nummer dat begint met 0 of 1, zoals 0123.456.789. Veel bedrijven vermelden ook het BTW-nummer in het formaat BE 0123.456.789.

Waar plaatsen: In de footer van elke pagina, op de contactpagina en op de pagina Algemene voorwaarden.

Boete bij niet-naleving: De FOD Economie kan boetes opleggen tot €80.000 of 4% van de omzet.

Actiepunt: Controleer nu de footer van je website. Staat je ondernemingsnummer er duidelijk in?

---

2. Privacyverklaring

Verplicht: Ja, op grond van AVG/GDPR artikel 13 en de Wet van 30 juli 2018.

Je privacyverklaring moet beschrijven:

• Welke persoonsgegevens je verzamelt (namen, e-mailadressen, IP-adressen)
• Waarvoor je ze gebruikt
• Hoe lang je ze bewaart
• Welke derde partijen toegang hebben (Google Analytics, Mailchimp, enz.)
• Hoe bezoekers hun rechten kunnen uitoefenen (inzage, verwijdering, bezwaar)
• Hoe je contact kunt opnemen voor privacyvragen

Een generiek sjabloon dat nog "[Bedrijfsnaam]" bevat of activiteiten beschrijft die je niet uitvoert, voldoet niet. De GBA beoordeelt de nauwkeurigheid, niet alleen de aanwezigheid.

Actiepunt: Lees je privacyverklaring zelf door. Klopt elke zin voor je specifieke situatie?

---

3. Cookiebanner

Verplicht: Ja, voor alle niet-essentiële cookies (analytics, marketing, tracking).

Je cookiebanner moet:

• Een even zichtbare "Alles weigeren" knop hebben als "Alles accepteren"
• Geen vooraf aangevinkte vakjes bevatten voor niet-essentiële cookies
• Geen trackingscripts laden vóór toestemming
• Toestemming opslaan en respecteren bij volgende bezoeken

Wat de GBA bestrafte bij Mediahuis (Beslissing 113/2024): Geen duidelijke weigerknop, de accepteerknop was groter en kleuriger dan de weigerknop. Dwangsom: €25.000 per dag.

Actiepunt: Klik op "Weigeren" in je eigen cookiebanner. Laadt Google Analytics daarna nog steeds? Als ja, heb je een probleem.

---

4. Algemene voorwaarden

Verplicht voor e-commerce: Ja. Voor zuivere informatiewebsites: sterk aanbevolen.

Als je online producten of diensten verkoopt, moet je vermelden:

• Herroepingsrecht (14 dagen bedenktijd voor consumenten)
• Leveringsvoorwaarden en -termijnen
• Prijzen inclusief BTW
• Procedure voor klachten en geschillen

Actiepunt: Verkoop je via je website? Controleer of "herroepingsrecht" en "14 dagen" in je voorwaarden staan.

---

5. Verplichte contactinformatie

Verplicht: Op grond van het Wetboek van economisch recht (Boek XII) voor commerciële websites.

Je moet vermelden:

• Volledige bedrijfsnaam
• Geografisch adres (geen postbus)
• E-mailadres
• Ondernemingsnummer
• Voor gereglementeerde beroepen: naam en adres van de bevoegde autoriteit

Actiepunt: Controleer je contactpagina en footer. Staan alle gegevens erbij?

---

6. Nieuwsbrief en e-mailmarketing

Verplicht: Toestemming vooraf en makkelijk afmelden.

Als je een nieuwsbrief verstuurt:

• Gebruik een niet-aangevinkt toestemmingsvakje bij inschrijving
• Vermeld duidelijk waarvoor de inschrijver zich aanmeldt
• Voeg een werkende afmeldlink toe aan elke e-mail
• Bewaar het bewijs van toestemming

B2B e-mailmarketing is in België toegestaan op grond van het Wetboek van economisch recht, zolang er een duidelijk zakelijk verband bestaat en je een eenvoudige opt-out biedt.

Actiepunt: Stuur jezelf een testmail. Werkt de afmeldlink?

---

7. Google Fonts en externe resources

Risico: Hoog in België.

Het laden van Google Fonts via externe Google-servers stuurt het IP-adres van elke bezoeker door naar Google, zonder toestemming. De GBA volgt de EDPB-richtlijnen over gegevensoverdrachten naar de VS. Zelf hosten is de veiligste oplossing.

Hetzelfde geldt voor Google Maps, YouTube-insluitingen en sociale mediaknoppen die direct laden zonder toestemming.

Actiepunt: Host Google Fonts lokaal via gwfh.mranftl.com. Laad YouTube en Maps pas na toestemming.

---

Samenvatting: de 7-punten checklist

---

Gratis controle in 60 seconden

Je kunt dit alles handmatig controleren, maar onze scanner doet het automatisch. We testen je cookiebanner echt (door op "Weigeren" te klikken en te controleren of trackers stoppen), controleren op je ondernemingsnummer, analyseren je privacyverklaring en meer.

Controleer gratis of je website voldoet →

Het resultaat is binnen 60 seconden beschikbaar. Geen account nodig.

---

Dit is technische analyse, geen juridisch advies. Voor definitief juridisch advies raadpleeg je een advocaat of compliance-adviseur.