Een eenvoudige brochurewebsite met alleen een contactformulier is vaak binnen een dag geregeld: een privacyverklaring, een cookiebanner en een korte check van de hostingpartij. Een webshop met een betaalprovider, verzendtool, nieuwsbriefsysteem en advertentiepixels kost al gauw twee tot vier weken, vooral omdat u voor elke tool moet nagaan of er een verwerkersovereenkomst nodig is en of die er al ligt.
De belangrijkste vertragende factor is zelden het schrijven van de privacyverklaring zelf. Dat kan in een uur. De tijd gaat zitten in het uitzoeken welke tools op de achtergrond meedraaien, wie daarvan de verwerkersovereenkomst beheert, en het wachten tot een leverancier reageert op een vraag daarover.
Waar de tijd echt in zit
Bij een nieuwe website begint het met een inventarisatie: welke diensten van derden verwerken gegevens van bezoekers of klanten. Denk aan de hostingpartij, een analysetool, een chatwidget, een betaalprovider, een verzendpartner en eventueel een advertentienetwerk. Voor elk van die partijen geldt de vraag of er een verwerkersovereenkomst is afgesloten en of die aansluit bij wat de tool feitelijk doet.
Daarna volgt de cookie-inventarisatie: welke cookies worden geplaatst, door wie, en is daar toestemming voor nodig. Pas als dat beeld compleet is, kan de privacyverklaring inhoudelijk kloppen en kan de cookiebanner de juiste categorieën tonen. Wie deze stappen overslaat en de privacyverklaring als eerste schrijft, moet die achteraf vaak weer aanpassen. In de kennisbank per onderwerp staat per veelgebruikte tool het korte antwoord op de vraag of er een verwerkersovereenkomst nodig is, met de vindplaats in de tekst van de verordening erbij.
Wat de doorlooptijd in de praktijk oprekt
De grootste vertraging zit meestal niet bij uzelf, maar bij de leverancier. Grote, bekende SaaS-partijen hebben doorgaans een verwerkersovereenkomst klaarstaan die u zelf kunt downloaden of digitaal kunt accepteren. Bij kleinere of gespecialiseerde leveranciers moet u er soms actief om vragen, en dat kan dagen tot weken duren voordat er antwoord komt.
Een tweede vertraging ontstaat wanneer marketing, IT en de eigenaar van het bedrijf niet op hetzelfde moment aan tafel zitten. De marketingafdeling kiest een nieuwe tool, IT weet niet dat die is toegevoegd, en niemand controleert of er een verwerkersovereenkomst bij hoort. Tegen de tijd dat dit opvalt, draait de tool vaak al maanden.
Een derde factor is twijfel over de rolverdeling: is een partij een verwerker, of gaat het om gezamenlijke verantwoordelijkheid, of verwerkt de partij de gegevens voor eigen doeleinden. Die vraag is niet altijd in vijf minuten te beantwoorden, en bij twijfel is het raadzaam de leverancier zelf te vragen hoe zij hun rol zien, of de vraag voor te leggen aan een jurist.
Wat u zelf kunt versnellen
De snelste route is het werk in de juiste volgorde doen: eerst de tools in kaart brengen, dan de verwerkersovereenkomsten opvragen of controleren, en pas daarna de privacyverklaring en cookiebanner afstemmen op wat er werkelijk gebeurt. Een register dat automatisch wordt gevuld vanuit een bibliotheek van bekende tools scheelt hierbij tijd, omdat een groot deel van de uitzoekwerk al gedaan is voor veelgebruikte SaaS-diensten. Zodra een nieuwe tool wordt toegevoegd, is het raadzaam die meteen te vast te leggen in het verwerkingsregister in plaats van dat na te laten tot een controlemoment.
Het helpt ook om vooraf te bepalen wie binnen het bedrijf verantwoordelijk is voor het opvragen van ontbrekende verwerkersovereenkomsten. Zonder een duidelijke eigenaar van dat proces blijft een openstaand verzoek aan een leverancier vaak liggen.
Wanneer het langer duurt dan verwacht
Bij een webshop met veel losse onderdelen — een apart retourportaal, een los reviewsysteem, een externe klantenservicetool — telt elk onderdeel apart mee. Ook een nieuwe AI-chatbot op de website brengt een eigen vraag met zich mee over waar de invoer van bezoekers naartoe gaat en wie die verwerkt. Bij twijfel of een nieuwe functionaliteit een uitgebreidere risicobeoordeling vraagt, is het verstandig dat apart te laten beoordelen; dat valt buiten de scope van dit artikel.
Ook de beveiligingskant van een nieuwe website kost tijd: een goede inschatting van welke technische maatregelen passend zijn, hangt af van wat de website of webshop precies verwerkt. Een overzicht van waar dat over gaat staat op de pagina over beveiliging van privacy en gegevens.
De doorlooptijd is dus geen vast getal, maar het resultaat van hoeveel losse onderdelen een website of webshop heeft en hoe snel leveranciers reageren. Wie dat vooraf inschat, voorkomt dat een lancering wordt uitgesteld omdat er op het laatste moment nog een verwerkersovereenkomst ontbreekt.
Wilt u snel zien waar uw eigen website of webshop op dit moment staat? De gratis quick-scan geeft in een paar vragen een eerste indicatie, en de veelgestelde vragen beantwoorden een groot deel van de losse vragen die tijdens dit proces opkomen.