Kort antwoord
De AVG zelf verandert niet zodra u ook aan klanten in het buitenland verkoopt. De verordening is een Europese verordening, geen richtlijn, en geldt daardoor rechtstreeks en op dezelfde manier in elke lidstaat van de EU en de EER. Wat wél verschilt, zit niet in de AVG zelf maar in de nationale wetten die ernaast blijven bestaan, zoals de regels over cookies, en in praktische zaken zoals de taal van uw privacyverklaring en welke toezichthouder u aanspreekt bij een vraag of klacht.
Voor een webshop die alleen binnen Nederland verkoopt, is dat onderscheid vaak niet relevant. Zodra u bezoekers of klanten heeft in andere EU-landen, of daarbuiten, is het wel goed om te weten waar de gemeenschappelijke basis ophoudt en waar nationale regels of internationale doorgifte in beeld komen.
Waarom de basis overal gelijk is
Omdat de AVG een verordening is, hoeven lidstaten haar niet eerst om te zetten in eigen wetgeving, zoals bij een Europese richtlijn wel moet. De rechten van betrokkenen, de grondslagen voor verwerking en de verplichting om een verwerkingsregister bij te houden gelden daardoor met dezelfde tekst in Duitsland, Frankrijk of Spanje als in Nederland. Verschillen in uitleg ontstaan vooral doordat toezichthouders in verschillende landen soms net andere nadruk leggen in hun richtsnoeren, iets wat u terugvindt in de publicaties van de EDPB en de nationale toezichthouders zelf.
Waar het wél verschilt: cookies en vergelijkbare techniek
Het plaatsen van cookies en vergelijkbare technieken op de computer van een bezoeker valt niet onder de AVG, maar onder de ePrivacy-regels. Die zijn in Europa vastgelegd in een richtlijn, en een richtlijn moet per land worden omgezet in nationale wetgeving. Daardoor kan de manier waarop toestemming voor cookies gevraagd en vastgelegd moet worden, in detail verschillen tussen landen, ook al is het uitgangspunt overal vergelijkbaar. Voor een webshop die zich op meerdere landen richt, is dit een van de weinige plekken waar de regels per land daadwerkelijk uiteenlopen, en niet alleen in de uitleg ervan.
Taal en informatieplicht
De AVG schrijft voor dat informatie aan betrokkenen begrijpelijk moet zijn, maar geeft geen vaste lijst met verplichte talen. In de praktijk kijken toezichthouders naar wie uw webshop bezoekt: richt u zich actief op klanten in Duitsland, dan ligt een Duitstalige privacyverklaring voor de hand, simpelweg omdat de informatie anders niet begrijpelijk is voor die doelgroep. Dat is geen aparte juridische regel per land, maar een praktische invulling van dezelfde eis die overal geldt.
Grensoverschrijdende verwerking en de bevoegde toezichthouder
Wanneer uw bedrijf in meerdere EU-landen actief is, kan de vraag spelen welke toezichthouder bevoegd is als er iets misgaat. De AVG kent hiervoor het zogenoemde one-stop-shopmechanisme: bedrijven met vestigingen in meerdere lidstaten krijgen in bepaalde gevallen te maken met één leidende toezichthouder, meestal die van het land waar de hoofdvestiging zit. Voor een klein bedrijf met alleen een Nederlandse vestiging dat incidenteel aan buitenlandse klanten verkoopt, ligt dit anders dan voor een bedrijf met meerdere vestigingen in de EU. De precieze uitwerking hiervan staat beschreven in de AVG zelf en in de richtsnoeren van de EDPB; voor de eigen situatie is dit een vraag voor een jurist of de bevoegde toezichthouder, niet iets wat u zelf hoeft te beoordelen.
Verkoop buiten de EU en EER
Een ander verhaal geldt zodra gegevens van klanten het gebied van de EU en de EER verlaten, bijvoorbeeld omdat een leverancier, betaalprovider of hostingpartij buiten Europa gevestigd is. Dan gaat het niet meer om verschillen tussen EU-landen onderling, maar om de regels voor doorgifte van persoonsgegevens naar een land daarbuiten. De AVG staat dit toe onder voorwaarden, zoals een adequaatheidsbesluit van de Europese Commissie voor het betreffende land, of aanvullende afspraken zoals modelcontractbepalingen. Dit is een van de punten waarop een verwerkersovereenkomst met een buitenlandse partij specifieke aandacht verdient, en waarover de kennisbank per onderwerp de achtergrond uitlegt.
Wat dit betekent voor uw register en documenten
Voor het verwerkingsregister zelf verandert er niets aan de verplichting: u houdt bij welke verwerkingen plaatsvinden, met welk doel en op welke grondslag, ongeacht in welk land uw klanten zitten. Wat wel verstandig is om vast te leggen, is of en waar gegevens het gebied van de EU en de EER verlaten, zodat dat inzichtelijk blijft als een klant, toezichthouder of verzekeraar ernaar vraagt. Wie hier grip op wil krijgen zonder dit handmatig te hoeven bijhouden, kan dit laten meelopen in het overzicht van waar gegevens staan en hoe die beveiligd zijn.
Of uw webshop nu net begint met verkoop over de grens of dit al langer doet, het is vooral zaak om onderscheid te maken tussen wat de AVG zelf regelt, en wat afhangt van nationale wetten of van doorgifte buiten Europa. Antwoorden op veelgestelde vragen hierover, inclusief de vindplaats in de officiële tekst, vindt u terug in de verzameling veelgestelde vragen.
Wilt u zien hoe dit voor uw eigen bedrijf in elkaar zit, zonder er zelf een middag induiken? Met de gratis quick-scan krijgt u een eerste indicatie, en kunt u daarna zelf beoordelen of een zakelijk account iets voor u oplevert.