Verwijderverzoek AVG afhandelen: procedure in 5 stappen

Verwijderverzoek AVG afhandelen valt onder artikel 17 AVG — het recht op vergetelheid. Wettelijke termijn: 1 maand vanaf ontvangst, met maximaal 2 maanden verlenging bij complexiteit die je vooraf schriftelijk motiveert. Voor een MKB dat een handjevol verzoeken per jaar krijgt is het geen doemscenario, mits er een gestandaardiseerde procedure klaarligt. Zonder procedure is één verzoek genoeg om een halve week uit je agenda te halen en met te veel improvisatie toch een grond voor een klacht bij de Autoriteit Persoonsgegevens te creëren. Dit artikel geeft een procedure in 5 stappen, de wettelijke uitzonderingen die je moet toetsen, en de duidelijke signalen waarbij je een privacy-advocaat inschakelt.

Stack-onafhankelijk: AVG geldt voor WordPress-, WooCommerce-, Laravel-, Statamic- en custom-omgevingen identiek. De juridische verplichtingen zijn dezelfde, alleen de plek van de data verschilt.

Wat het recht op vergetelheid precies inhoudt

Artikel 17 AVG geeft betrokkenen (klanten, medewerkers, sollicitanten, nieuwsbriefabonnees) het recht om verwijdering van hun persoonsgegevens te vragen wanneer:

• De gegevens niet meer nodig zijn voor het oorspronkelijke doel;
• De betrokkene toestemming intrekt (en er geen andere grondslag is);
• Er onrechtmatig is verwerkt;
• Verwijdering wettelijk verplicht is;
• Er bezwaar is gemaakt tegen verwerking en er geen zwaarwegend gerechtvaardigd belang tegenover staat.

De reikwijdte is breed maar niet absoluut — zie uitzonderingen bij stap 3. De officiële uitleg staat bij de Autoriteit Persoonsgegevens over het recht op vergetelheid.

Verwijderverzoek AVG afhandelen: procedure in 5 stappen

Stap 1 — Identiteit verifiëren zonder over te vragen

Bevestig dat de verzoeker daadwerkelijk is wie hij zegt te zijn. Wat je NIET doet: een kopie ID vragen als standaardprocedure. Dat is disproportioneel bij de meeste verzoeken en zelf een risico op AVG-schending. Als een verzoeker uit eigen beweging een ID-kopie stuurt, adviseer je hem het BSN en de foto af te plakken.

Wat je WEL doet: match op het e-mailadres dat bij een bestaand account hoort. Voor gevoeliger gegevens: een aanvullende factor — telefoonnummer, klantnummer, ordernummer, of bevestiging via een tweede kanaal.

De AP wijst regelmatig op dit punt: over-verificatie is óók een AVG-issue. Voor een template-brief van de AP-kant: zie de AP-voorbeeldbrief verzoek om verwijdering.

Stap 2 — Scope bepalen

Welke systemen bevatten data over deze persoon? Voor een gemiddeld MKB met webshop is dat typisch:

• CRM (HubSpot, Pipedrive, Salesforce, of Excel).
• E-mailmarketing (Mailchimp, Brevo, MailerLite).
• Boekhouding (Exact, Moneybird, Snelstart) — vaak met bewaarplicht die verwijdering blokkeert.
• WordPress users-tabel en meta-data (WooCommerce customer records).
• Ordersysteem met factuurgegevens.
• Back-ups — retentiebeleid bepaalt hier hoe je omgaat met verwijdering.
• Log-bestanden met IP-adressen of user-agents.
• Cookie- en consent-database met opt-in-records.

Een goed onderhouden verwerkingsregister (art. 30 AVG) maakt deze scope-bepaling in minuten in plaats van uren. Zie voor de basis van je verwerkingsregister en cookie-database hoe je dit onderhoudt.

Stap 3 — Wettelijke uitzonderingen toetsen

Het recht op vergetelheid is niet absoluut. Voor MKB-context zijn de meest relevante uitzonderingen:

• Fiscale bewaarplicht (7 jaar voor administratie, art. 52 AWR). Facturen, orderregels en betaalgegevens moet je bewaren.
• Loonadministratie (5 jaar voor loonstroken en fiscale medewerker-gegevens; sommige onderdelen langer).
• Medische dossiers (20 jaar vanaf laatste behandeling, Wgbo) — voor zorgverleners.
• Belang van rechtsvordering — bij een lopend geschil, incasso of arbeidsconflict mag je relevante data bewaren tot dat is afgehandeld.
• Vrijheid van meningsuiting / journalistieke exceptie — voor mediapartijen met een archief-functie.
• Volksgezondheid, wetenschappelijk onderzoek en archivering in het algemeen belang — sectorspecifiek.

Cruciaal: bij een geldige uitzondering verwijder je de data níet, maar je stopt (soms) wel de verwerking voor overige doeleinden. Een klant kan bijvoorbeeld nieuwsbrief-verwijdering krijgen terwijl je zijn factuur nog 7 jaar bewaart voor de Belastingdienst. Twijfel of een uitzondering geldt in een specifieke situatie? Privacy-advocaat inschakelen — dat is exact het scenario waarvoor juridisch advies onvervangbaar is.

Stap 4 — Verwijderen (of afwijzen) en documenteren

Bij verwijderen:

• Verwijder in alle systemen die je in stap 2 hebt geïnventariseerd.
• Verwijder ook uit back-ups conform je back-up-retentie en AVG-verwijdering-beleid. In de praktijk: je stelt een retentie-periode voor back-ups vast (bijvoorbeeld 90 dagen), documenteert dat, en communiceert dat de verwijdering pas na afloop van die periode compleet is voor alle back-ups.
• Vraag verwerkers en derden aan wie je de data hebt doorgegeven (mail-provider, hosting, CRM-koppelingen) om ook te verwijderen (art. 17 lid 2 AVG). Documenteer die verzoeken.
• Log wat je hebt verwijderd, wanneer, door wie, en op basis van welk verzoek. Dit logboek is je bewijs richting de AP mocht er ooit een klacht komen.

Bij afwijzen:

• Motiveer schriftelijk met verwijzing naar de exacte wettelijke grondslag (bijvoorbeeld art. 52 AWR bij fiscale bewaarplicht).
• Wijs de verzoeker actief op zijn klachtrecht bij de Autoriteit Persoonsgegevens.
• Bij twijfel over de motivering: privacy-advocaat inschakelen. Een gemotiveerde afwijzing die juridisch juist is, houdt stand bij een AP-klacht; een slecht gemotiveerde afwijzing niet.

Stap 5 — Reageren binnen 1 maand

De wettelijke termijn:

• 1 maand vanaf ontvangst van het verzoek, met bevestiging van uitvoering (of gemotiveerde afwijzing).
• Verlenging van maximaal 2 extra maanden bij complexiteit (veel systemen, meerdere verwerkers, juridische twijfel). De verlenging moet schriftelijk gemotiveerd zijn, verstuurd vóór het verstrijken van de eerste maand.
• Elektronisch verzoek → elektronisch antwoord, tenzij de verzoeker anders vraagt.
• Kosteloos, tenzij het verzoek kennelijk ongegrond of buitensporig herhaald is — in dat geval mag je een redelijke vergoeding vragen of het verzoek weigeren, met motivering.

Documentatie die je klaar moet hebben

Los van individuele verzoeken heeft je organisatie een vaste set documenten nodig om verzoeken efficiënt af te handelen:

• Verwerkingsregister (art. 30 AVG): welke categorieën persoonsgegevens verwerkt je, met welke doelen, op welke grondslag, met welke bewaartermijn.
• Bewaartermijnenschema per gegevenscategorie: hoe lang bewaar je wat, en waarom.
• Verwerkersovereenkomsten met alle SaaS-leveranciers die persoonsgegevens namens jou verwerken.
• Log van AVG-verzoeken (inzage, verwijdering, dataportabiliteit) met datum, actie, uitkomst.
• Standaard e-mail-templates voor bevestiging, verduidelijking, afwijzing en uitvoering.

Deze set staat het beste in een gedeelde map (bedrijfs-wiki of DMS), niet in de mailbox van één persoon. Bij vertrek van de verantwoordelijke moet de opvolger direct verder kunnen.

Wanneer je een privacy-advocaat inschakelt

Vijf situaties waarin zelf-doen risicovol is en juridische bijstand op zijn plaats:

• Verzoek raakt aan een lopend arbeids-, aansprakelijkheids- of contractgeschil. De juridische afweging tussen recht op vergetelheid en belang van rechtsvordering is subtiel.
• Verzoek komt van meerdere personen tegelijk of via een claim-organisatie. Dat wijst op een gestructureerde actie waar snelle, coherente respons juridisch en communicatief moet kloppen.
• Onduidelijkheid of een uitzondering (bewaarplicht, rechtsvordering) daadwerkelijk geldt in deze specifieke situatie.
• Verzoek raakt aan bijzondere persoonsgegevens (medisch, strafrechtelijk, biometrisch, religie, seksuele geaardheid) — hier is de foutmarge klein en de consequentie groot.
• Klacht bij Autoriteit Persoonsgegevens is al ingediend of dreigt. Vanaf dat moment is elke communicatie potentieel bewijs.

Een gemotiveerde inschatting van een privacy-advocaat kost typisch enkele honderden euro’s — een fractie van de kosten van een AP-boete of een reputatie-issue bij verkeerd afgehandelde klacht.

Technische kant — hoe Lypii helpt

Ik regel de technische uitvoering van een verwijderverzoek in de systemen waar de website raakt aan de data:

• User en order verwijderen uit WordPress, WooCommerce, custom-tabellen en gerelateerde meta.
• Back-up-retentie afstemmen volgens de 3-2-1-regel, met documentatie van hoe lang back-ups worden bewaard en wanneer verwijdering écht compleet is.
• Verwerkersregister aanleggen of aanvullen met de website-technische kant (welke plugins verwerken persoonsgegevens, welke koppelingen sturen data naar externe partijen).
• Log-bestanden opschonen waar IP-adressen of user-agents nog kunnen leiden tot identificatie.

Tarieven: fix €70 voor een enkelvoudig verwijderverzoek in een reguliere WordPress- of WooCommerce-omgeving. Support-abonnement €95 per maand voor structureel AVG-technisch onderhoud (register bijhouden, retentie-checks). Uur-tarief €105 voor complexere trajecten met meerdere systemen of trage koppelingen.

Voor de juridische afweging (past een uitzondering, hoe motiveer je een afwijzing, wat is de juiste communicatie richting de betrokkene): privacy-advocaat of gecertificeerde FG. Ik lever de technische uitvoering náást die juridische begeleiding, niet in plaats van.

Verbeteren boven herbouwen: dit is procedure en configuratie in je bestaande stack. Geen nieuwe site, geen migratie.

Multi-stack opmerking: de AVG-verplichting is stack-onafhankelijk. Of je nu WordPress, Laravel of Shopify draait — de 5 stappen, de termijnen en de uitzonderingen zijn dezelfde. Alleen de plek waar de data staat verschilt.