Regels voor online verkoop: e-commercewetgeving (2026)

Disclaimer: De informatie in dit artikel is bedoeld ter algemene informatie en vormt geen juridisch advies. Schakel voor advies op maat altijd een juridisch adviseur in. Shopify is niet aansprakelijk voor het gebruik van of vertrouwen op de informatie in deze gids.

De Nederlandse e-commercemarkt groeit hard. Maar door die groei komen er ook meer regels voor online verkoop bij. De Autoriteit Consument & Markt (ACM) houdt scherper toezicht op consumentenbescherming, privacy en eerlijke reclame. In dit artikel lees je welke regels er gelden en hoe je hier als webshopeigenaar aan voldoet.

Regels voor online verkoop: waar moet je op letten?

Hoe ga je om met klantgegevens? Wat moet je weten over retourrecht? En hoe zorg je dat je prijzen en reclame kloppen? Shopify legt je de regels voor online verkoop uit.

De AVG (GDPR)

Als webshop krijg je te maken met klantgegevens. Daarom moet je zorgen dat je aan de privacy-regels voldoet. De Algemene Verordening Gegevensbescherming (AVG) is de Europese privacywetgeving die gaat over de bescherming van persoonsgegevens. Met zulke wetten en regels willen ze het misbruik van persoonsgegevens voorkomen. Als webshop mag je alleen gegevens verzamelen die echt nodig zijn. 

Gegevens die je wel nodig hebt:

• Naam en adresgegevens (voor verzending)
• E-mailadres (voor communicatie over de bestelling)
• Betaalgegevens (voor het afrekenen)

Gegevens die je niet nodig hebt: 

• Geboortedatum (tenzij je een leeftijdsgebonden product verkoopt)
• Telefoonnummer
• Pasfoto of ID (tenzij wettelijk verplicht) 

Jij bent verantwoordelijk voor het goed beveiligen van persoonsgegevens, maar Shopify neemt een groot deel van de beveiliging voor je uit handen. Alle webshops krijgen automatisch een SSL-certificaat, dat betekent dat alle gegevens beveiligd worden verstuurd tussen je webshop en je klanten. Klantgegevens worden opgeslagen op beveiligde servers met 24/7 monitoring. En betaalgegevens sla je niet zelf op, deze worden verwerkt via beveiligde betaalproviders zoals Shopify Payments. 

Waar moet je wel zelf aan denken?

• Sterke wachtwoorden en tweefactorauthenticatie (2FA) voor je Shopify account
• Geef alleen medewerkers toegang als het echt nodig is
• Let op welke apps je installeert (veel apps vragen toegang tot klantgegevens) 
• Shopify verwijdert gegevens niet automatisch, jij bepaalt hoe lang je klantgegevens bewaart 

PCI-DSS

Hoe weet je zeker dat creditcardgegevens van klanten veilig zijn? Daar zijn wereldwijd afspraken voor gemaakt. Deze afspraken vallen onder de Payment Card Industry Data Security Standard (PCI-DSS), een set van regels die bedrijven moeten volgen om de gegevens van creditcardhouders te beschermen. 

Heb je een Shopify webshop, dan wordt dit automatisch voor je geregeld en hoef je zelf niets te doen. Shopify voldoet aan alle technische beveiligingseisen. 

Belangrijk is om zelf nooit creditcardgegevens op te slaan in je eigen database. Ook niet voor het gemak, of om een volgende keer klanten sneller te laten afrekenen. Laat dat over aan je betaalprovider, zij hebben de certificaten en beveiligingsmaatregelen om dit veilig te kunnen doen. 

Wanneer een klant bij jou afrekent, worden ze automatisch doorgestuurd naar de beveiligde omgeving van je betaalprovider. Jij krijgt alleen een bevestiging dat de betaling gelukt is, de daadwerkelijke betaalgegevens krijg je verder niet te zien.

Tip: test regelmatig of je check-out proces soepel verloopt en of er geen foutmeldingen zijn. Shopify regelt de technische beveiliging en zorgt ervoor dat je webshop veilig omgaat met betalingen, maar jij bent verantwoordelijk voor hoe je alles inricht en welke betaalmethoden je aanbiedt. 

E-mailmarketing

In Nederland regelt de Telecommunicatiewet precies hoe (en of) je mensen mag mailen met marketingdoeleinden. Deze wet wordt ook wel de Spamwet genoemd. Het komt erop neer dat je geen commerciële e-mails mag sturen zonder toestemming van de ontvanger. 

Toestemming voor marketingcommunicatie

Je moet dus kunnen bewijzen dat ontvangers toestemming hebben gegeven om marketing e-mails van je te ontvangen. Je kunt hiervoor een double opt-in systeem gebruiken: een nieuwe klant vult een e-mailadres in (bijvoorbeeld bij het aanmaken van een account) en krijgt vervolgens een bevestigingsmail met een link. Pas als ze op die link klikken, zijn ze officieel ingeschreven. Die bevestiging is je bewijs. 

Zorg dat klanten zich gemakkelijk kunnen afmelden voor marketing e-mails en nieuwsbrieven, dus niet via een ingewikkelde vragenlijst of tien andere handelingen. Gewoon een duidelijke 'afmeldlink' onderaan elke e-mail is voldoende.

Herkenbare afzender 

Wees duidelijk over wie de afzender is van je marketing e-mails. Gebruik je echte bedrijfsnaam of een herkenbaar e-mailadres (denk aan info@jouwwebshopnaam.nl of nieuwsbrief@jouwwebshopnaam.nl). En gebruik geen noreply e-mailadressen, klanten moeten kunnen antwoorden als ze vragen hebben.  

Cookies en website tracking

Bijna elke website gebruikt cookies. Dit zijn kleine tekstbestanden die een website op de harde schrijf van je computer zet wanneer jij de site bezoekt. De belangrijkste functie van cookies is dat je er verschillende gebruikers (en dus koopgedrag) mee kunt onderscheiden. 

Verschillende soorten cookies

Sommige cookies zijn onschuldig en zelfs noodzakelijk voor het functioneren van je website, bijvoorbeeld bij het onthouden van artikelen in je winkelmandje of voor inloggegevens. Andere cookies zijn gevoeliger. Tracking cookies maken het bijvoorbeeld mogelijk om mensen te ‘volgen’. Een adverteerder kan cookies plaatsen op verschillende websites en zien welke sites een gebruiker allemaal bezoekt. Zo kunnen deze bedrijven een profiel van je maken en je gerichte advertenties tonen. 

Tracking cookies (en andere niet-functionele cookies die met persoonsgegevens werken) zijn privacygevoelig, daarom moet je hier eerst toestemming voor vragen aan je bezoekers. Voor functionele cookies heb je geen toestemming nodig, maar je moet wel duidelijk vermelden dat je ze gebruikt. 

Tips voor het gebruik van cookies:

• Bezoekers moeten hun toestemming op elk moment kunnen intrekken.
• Gebruik geen vooraf aangevinkte vakjes bij je cookiebanner. Bezoekers moeten actief en bewust toestemming geven.
• Cookies hebben een looptijd. Sommige cookies worden verwijderd als je je browser afsluit, andere cookies kunnen nog jaren blijven staan. Laat bezoekers weten hoe lang jouw cookies actief blijven.

Deze tips gelden niet alleen voor je desktop website, maar ook voor mobiele websites en apps.

Privacyverklaring

In je privacyverklaring vermeld je duidelijk waarvoor je klantgegevens gebruikt, op welke wettelijke basis je dat doet en hoe lang je de gegevens bewaart. Als het doel verandert, dan moet je de klant hierover informeren. Als je bijvoorbeeld e-mailadressen gebruikt voor orderbevestigingen, dan kun je ze niet zomaar gebruiken voor je nieuwsbrief zonder toestemming.

Herroepingsrecht en retourbeleid

Consumenten in de EU hebben het recht om binnen 14 dagen na ontvangst van het product de koop te herroepen, zonder dat ze daar een reden voor hoeven te geven. Dus zelfs als een product goed werkt en precies doet wat je beloofde, mag een klant zich bedenken en het terugsturen. Dit heet ook wel de bedenktijd of het retourrecht bij online aankopen. Het is specifiek bedoeld voor online verkoop, omdat klanten het product niet kunnen zien of vasthouden. 

Leg vóór (of op het moment van) aankoop uit hoe de herroeping werkt: welk formulier klanten kunnen gebruiken, naar welk adres ze kunnen retourneren en wat de voorwaarden zijn. De kosten van de terugzending zijn voor de consument, maar alleen als jij dat vooraf duidelijk gecommuniceerd hebt. Vermeld dus in je algemene voorwaarden dat de klant verantwoordelijk is voor deze kosten. Doe je dat niet, dan draai je zelf voor de kosten op.

Producten die buiten het herroepingsrecht vallen

Niet alle producten vallen onder het herroepingsrecht, er zijn uitzonderingen. Bijvoorbeeld producten die speciaal voor de klant zijn gemaakt (een op maat gemaakte trouwjurk), producten die snel bederven (bloemen of planten), of ondergoed of zwemkleding waarbij het hygiënelabel mist. Als je zulke producten verkoopt, vermeld dan vooraf duidelijk bij het product dat het herroepingsrecht niet geldt en waarom. 

Verkoop je ook buiten Nederland? Lees alles over de EU btw-regels voor e-commerce.

Prijstransparantie

Je staat op het punt om online iets te bestellen voor een mooie prijs, en dan blijken er bij het afrekenen ineens allerlei andere kosten bij te komen. Verzendkosten, administratiekosten, servicekosten, herkenbaar? Hierdoor betaal je een stuk meer dan je in eerste instantie dacht. Vervelend voor klanten, en ook niet toegestaan. 

Kosten vooraf melden

Geen verborgen kosten die pas bij het afrekenen opduiken. Je moet de volledige prijs tonen inclusief btw en alle bijkomende kosten voordat de klant tot aankoop overgaat. Stel je verkoopt een plantenbak voor € 39,95. Dan moet je klant al bij de productpagina kunnen zien: 

• De prijs van € 39,95 (inclusief btw)
• Informatie over verzendkosten
• Andere extra kosten

In je winkelmandje en bij de checkout herhaal je deze informatie nog een keer. 

Eerlijke kortingen

Als je kortingen toont, dan moeten die eerlijk en controleerbaar zijn. Dat betekent dat de “van-prijs” echt een prijs moet zijn waar je het product voor hebt verkocht. Niet iets wat je verzonnen hebt om de korting groter te laten lijken. De Nederlandse Autoriteit Consument & Markt (ACM) is van plan strenger te gaan controleren op webshops en winkels die “nepkortingen” geven. 

Wat niet mag: een product voor € 100 inkopen, er een prijskaartje van € 200 aanhangen en het product dan voor € 100 met 50% “korting” verkopen. Of het hele jaar “sale” hebben, zonder dat er ooit een normale prijs bekend was. Wat wel mag is gewoon een normale seizoensverkoop waar je je prijzen verlaagt, of Black Friday kortingen op je reguliere prijzen. 

De ACM kan boetes opleggen voor overtredingen en die sancties kunnen flink oplopen, bij ernstige overtredingen zelfs tot 10% van je jaaromzet.

Ook belangrijk: denk na over de juridische kant van je onderneming, zoals je rechtsvorm en aansprakelijkheid. En check ook welke verzekeringen de moeite waard zijn voor jou.

Misleidende reclame & reviews

Reclame mag niet misleidend zijn. Klinkt logisch, maar wat betekent het precies? Het komt erop neer dat beloftes die je doet, waar moeten zijn, dat je belangrijke informatie niet mag weglaten én dat je consumenten niet opzettelijk een verkeerde indruk mag geven. Als je bewering niet klopt, of als je belangrijke details achterhoudt die de keuze van een klant kunnen beïnvloeden, dan wordt dat als misleiding gezien. 

Zo mag je bijvoorbeeld niet zeggen dat je product 100% natuurlijk is als er kunstmatige stoffen in zitten, of claimen dat je de “goedkoopste van Nederland bent” zonder dit te kunnen onderbouwen. 

Nepreviews

De ACM heeft het toezicht op nepreviews recent flink aangescherpt. Je mag geen valse beoordelingen of gemanipuleerde reviews gebruiken. Dat betekent: geen reviews kopen, geen vrienden vragen om positieve reviews te schrijven en geen negatieve reviews verwijderen. Gebruik platforms als Trustpilot of Kiyoh, die aan kunnen tonen dat een review van een echte klant komt.

Claims

Claims als “biologisch”, “duurzaam” en “natuurlijk” zijn populair, maar je moet ermee oppassen. De ACM heeft een Leidraad Duurzaamheidsclaims opgesteld met als doel alle vormen van misleiding over duurzaamheid tegen te gaan, omdat er veel greenwashing plaatsvindt. 

Ben liever specifiek dan vaag. In plaats van “milieuvriendelijk” kun je beter zeggen “gemaakt van 80% gerecycled materiaal” of “verpakt in FSC-gecertificeerd karton”. Dat is concreet en controleerbaar. 

Duurzaam ondernemen? Ontdek hoe je als merk het goede voorbeeld kunt geven.

Eerlijk ondernemen loont

Behandel je klanten zoals je zelf behandeld wilt worden. Niemand houdt van verborgen kosten, nepkortingen of producten die niet doen wat beloofd werd. Wees eerlijk, blijf bij de feiten en zorg dat wat je belooft ook echt klopt.