Gegevensbescherming in de webshop: correct omgaan met gezondheids- en genetische gegevens

Gecontroleerd door Dr. Daniel Wallerstorfer, moleculair bioloog en oprichter van Novogenia · Bijgewerkt: 15 oktober 2026 · Leestijd: 10 min

In het kort

Genetische gegevens en gezondheidsgegevens zijn bijzondere categorieën van persoonsgegevens; de verwerking ervan is in beginsel verboden, tenzij je klant uitdrukkelijke toestemming geeft voor welbepaalde doeleinden (art. 9, lid 1 en lid 2, onder a, AVG). Zelfs bestelgegevens kunnen gezondheidsgegevens zijn als ze conclusies over de gezondheid van een persoon mogelijk maken (HvJ EU, C-21/23). Houd webshopgegevens zoals bestellingen en betalingen daarom gescheiden van vragenlijsten, analyses en rapporten, geef dienstverleners alleen wat ze nodig hebben, en gebruik gezondheidsinformatie nooit voor advertentieprofielen. Voor klanten in Zwitserland geldt de Zwitserse federale wet betreffende gegevensbescherming (DSG): genetische en gezondheidsgegevens zijn gevoelige persoonsgegevens, en een eventueel vereiste toestemming moet uitdrukkelijk zijn (art. 5, onder c, en art. 6, lid 7, DSG).

Twee laden: wat een bestelling kan verraden

Een naam, een afleveradres, een product in het winkelmandje – klinkt onschuldig. Het Hof van Justitie van de EU zag dat in 2024 anders. Een apotheker verkocht geneesmiddelen die alleen in de apotheek verkrijgbaar zijn, maar niet receptplichtig, via een onlineplatform. De informatie die klanten bij de bestelling moesten invoeren – zoals naam, afleveradres en gegevens die nodig zijn om de geneesmiddelen te individualiseren – zijn gezondheidsgegevens, oordeelde het Hof (arrest van 4 oktober 2024, C-21/23). In hetzelfde arrest maakte het Hof duidelijk dat de AVG zich niet verzet tegen nationale regels die concurrenten toestaan schendingen van de gegevensbescherming als oneerlijke handelspraktijken bij de burgerlijke rechter aan te vechten. Gegevensbescherming is dus ook een kwestie van concurrentie.

Voor een webshop die genetische analyses en gepersonaliseerde producten verkoopt, is het beeld duidelijk: stel je twee laden voor. In de ene zit wat elke webshop nodig heeft – bestelling, adres, betaling, verzending. De andere is op slot: vragenlijst, gezondheidsinformatie, genetische gegevens, rapport. Goede webshops houden die twee gescheiden en openen de tweede alleen als het echt moet. Zo doe je dat. De basis voor professionals vind je in Genetische gegevens en de AVG, en de rollen van merk en laboratorium in Gegevensbescherming bij white-label genetische tests. Dit artikel is een oriëntatie, geen juridisch advies voor je specifieke geval.

Welke gegevens je webshop raakt

De algemene verordening gegevensbescherming (AVG) onderscheidt twee werelden. Genetische gegevens zijn persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een persoon en unieke informatie verschaffen over diens fysiologie of gezondheid (art. 4, punt 13). Gegevens over gezondheid houden verband met de fysieke of mentale gezondheid en geven informatie over de gezondheidstoestand van een persoon (art. 4, punt 15). Beide zijn bijzondere categorieën waarvan de verwerking in beginsel verboden is (art. 9, lid 1).

Lade	Voorbeelden	Wat er geldt
Bestel- en contractgegevens	naam, adres, betaling, bestelgeschiedenis, verzendstatus	verwerking voor de uitvoering van de overeenkomst (art. 6, lid 1, onder b); let op als de bestelling zelf conclusies over de gezondheid mogelijk maakt
Vragenlijst en gezondheidsinformatie	doelen, klachten, bloedwaarden, informatie over leefstijl	alles wat de gezondheidstoestand onthult: uitdrukkelijke toestemming (art. 9, lid 2, onder a)
Genetische gegevens en rapport	analyseresultaten, rapport in het portaal	uitdrukkelijke toestemming; bij voorkeur niet opgeslagen in het webshopsysteem
Marketing en tracking	cookies, nieuwsbrief, advertentiepixels	toestemming voor niet-essentiële cookies (Duitsland: § 25 TDDDG; Oostenrijk: § 165, lid 3, TKG 2021); geen gezondheidsgegevens in advertentieprofielen

Uitdrukkelijke toestemming: een eigen stap in de checkout

Bij genetische tests voor consumenten is uitdrukkelijke toestemming voor een of meer welbepaalde doeleinden de centrale rechtsgrond (art. 9, lid 2, onder a, AVG). Wil die standhouden, bouw haar dan als aparte stap in de checkout in – niet als clausule die in je algemene voorwaarden verstopt zit:

Duidelijk en specifiek: welke gegevens, voor welk doel, wie ze verwerkt – en of jij als partner de rapporten ziet.
Actief: Een vooraf aangekruist vakje is geen toestemming (overweging 32).
Aantoonbaar: Je moet kunnen aantonen dat je klant toestemming heeft gegeven (art. 7, lid 1).
Intrekbaar: Toestemming intrekken moet net zo eenvoudig zijn als haar geven, en je klant wordt daar vooraf over geïnformeerd (art. 7, lid 3).
Op tijd: De toestemming hoort vóór het monster, niet erna. Hoe registratie en toestemming technisch werken, richt je samen met Novogenia in.

Lidstaten mogen voor genetische gegevens en gezondheidsgegevens aanvullende voorwaarden invoeren (art. 9, lid 4). Welke er in Duitsland, Oostenrijk en Zwitserland gelden, lees je in Gegevensbescherming bij white-label genetische tests.

Houd webshopgegevens en genetische gegevens gescheiden

Gegevens moeten beperkt blijven tot wat noodzakelijk is voor het doel (art. 5, lid 1, onder c, AVG), en in beginsel mogen alleen de gegevens worden verwerkt die voor elk specifiek doel noodzakelijk zijn (art. 25, lid 2). In de praktijk betekent dat voor je webshop:

De webshop kent de bestelling, niet het resultaat: Klantenservice en verzending hebben de bestelstatus en verzendgegevens nodig. Genetische resultaten en rapporten blijven in het beveiligde portaal.
Geen vragenlijst in het CRM: Gezondheidsinformatie hoort niet thuis in je nieuwsbrieftool, ticketsysteem of spreadsheets die het halve team kan openen.
Toegang per rol: Alleen wie een gegeven nodig heeft voor zijn of haar taak, kan het zien.
Geen rapport als e-mailbijlage: Bescherm rapporten met passende technische en organisatorische maatregelen (art. 32); een beveiligd portaal is daarvoor gebouwd.
Kies bewust wat je inziet: Bij Novogenia beslis jij als partner of je de rapporten van je klanten ziet. Heb je ze niet nodig, dan blijft je tweede lade leeg – en je risico klein.

Je dienstverleners: verwerkers onder contract

Een webshop draait zelden alleen: webshopsoftware, betaaldienstverlener, verzenddienst, e-mailtool, klantenservicechat. Wie gegevens in jouw opdracht verwerkt, moet afdoende garanties bieden voor passende technische en organisatorische maatregelen (art. 28, lid 1, AVG), en met elk van hen sluit je een verwerkersovereenkomst (art. 28, lid 3). Controleer waar je tools gegevens verwerken: doorgifte naar landen buiten de EU is alleen toegestaan onder de voorwaarden van hoofdstuk V (art. 44). En je privacyverklaring vermeldt de ontvangers of categorieën van ontvangers (art. 13, lid 1, onder e).

Welke rol je ten opzichte van Novogenia hebt – verwerkingsverantwoordelijke, verwerker of gezamenlijke verwerkingsverantwoordelijke (art. 4, punten 7 en 8, art. 26) – hangt af van het model. Leg dat vóór de lancering schriftelijk vast; de basis vind je in Gegevensbescherming bij white-label genetische tests.

Marketing zonder gezondheidsprofiel

Cookies en advertentiepixels vereisen de toestemming van je bezoekers, tenzij ze strikt noodzakelijk zijn voor de dienst waar de gebruiker om heeft gevraagd (Duitsland: § 25 TDDDG; Oostenrijk: § 165, lid 3, TKG 2021). Bij genetische tests geldt een tweede grens: onlineplatforms mogen geen advertenties tonen op basis van profilering waarbij bijzondere categorieën van persoonsgegevens worden gebruikt (artikel 26, lid 3, van de digitaledienstenverordening, Verordening (EU) 2022/2065).

Daaruit volgt een eenvoudige regel voor je marketing: genetische resultaten, antwoorden op de vragenlijst en gezondheidsinteresses komen niet in advertentieprofielen, retargetinglijsten of doelgroepuploads – tenzij je klant uitdrukkelijk precies daarmee heeft ingestemd. Promoot je aanbod met wat het laat zien, niet met wat je over individuele personen weet. Wat je in reclame mag zeggen, lees je in Marketing voor gepersonaliseerde producten.

Effectbeoordeling en functionaris voor gegevensbescherming

Twee verplichtingen hangen af van de schaal. Bij grootschalige verwerking van bijzondere categorieën van gegevens voer je vooraf een gegevensbeschermingseffectbeoordeling uit (art. 35, lid 3, onder b, AVG). Bestaan de kernactiviteiten van je bedrijf uit zulke verwerkingen, dan heb je een functionaris voor gegevensbescherming nodig (art. 37, lid 1, onder c). Of je webshop daaronder valt, hangt ook af van hoe je hem inricht: hoe steviger de tweede lade dicht blijft, hoe minder bijzondere gegevens je zelf verwerkt. Laat dit vóór de lancering beoordelen.

Zwitserland: de DSG in plaats van de AVG

Voor klanten in Zwitserland geldt de federale wet betreffende gegevensbescherming (Datenschutzgesetz, DSG). De basisgedachten ken je uit de AVG, maar de details verschillen:

Gevoelige gegevens: Gegevens over de gezondheid en genetische gegevens zijn gevoelige persoonsgegevens (art. 5, onder c, punten 2 en 3, DSG). Waar toestemming vereist is, moet die voor deze gegevens uitdrukkelijk zijn (art. 6, lid 7).
Informatie: Je vermeldt ten minste de identiteit en contactgegevens van de verwerkingsverantwoordelijke, het doel en, waar van toepassing, de ontvangers; gaan gegevens naar het buitenland, dan ook het land (art. 19).
Effectbeoordeling: Grootschalige verwerking van gevoelige persoonsgegevens betekent een hoog risico, dus voer je vooraf een gegevensbeschermingseffectbeoordeling uit (art. 22).
Vertegenwoordiger in Zwitserland: Private verwerkingsverantwoordelijken met zetel in het buitenland wijzen een vertegenwoordiger in Zwitserland aan als ze in verband met het aanbieden van goederen of diensten op grote schaal en regelmatig gegevens verwerken en de verwerking een hoog risico inhoudt (art. 14).
Cookies: Zwitserland vereist geen voorafgaande toestemming, wel informatie over de verwerking en het doel ervan en een vermelding dat gebruikers kunnen weigeren (art. 45c van de telecommunicatiewet, FMG).

Eén verschil komt nog vóór de gegevensbescherming: in Zwitserland verkoop je genetische lifestyle-analyses niet als thuistest (art. 13 GUMG). Wat dat voor je webshop betekent, lees je in Genetische tests online verkopen: DE, AT, CH.

Checklist: gegevensbescherming in je webshop

Je weet welke gegevens je webshop verwerkt – en welke daarvan genetische gegevens of gezondheidsgegevens zijn.
Uitdrukkelijke toestemming is een aparte, actieve stap vóór het monster, aantoonbaar en eenvoudig in te trekken.
Webshopgegevens en genetische gegevens worden gescheiden gehouden; rapporten blijven in het beveiligde portaal.
Antwoorden op de vragenlijst komen niet in CRM-, nieuwsbrief- of advertentietools terecht.
Met alle dienstverleners zijn verwerkersovereenkomsten gesloten; doorgiften naar het buitenland zijn gecontroleerd.
De rollen tussen jou en Novogenia zijn schriftelijk vastgelegd.
Cookietoestemming volgens § 25 TDDDG of § 165, lid 3, TKG 2021; voor Zwitserland informatie en een weigeringsmogelijkheid volgens art. 45c FMG.
Effectbeoordeling en functionaris voor gegevensbescherming zijn gecontroleerd – volgens de AVG en, voor Zwitserland, volgens de DSG.
Je privacyverklaring vermeldt de verwerkingsverantwoordelijken, doeleinden, ontvangers en bewaartermijn.

Zo doen we het bij Novogenia

Zo gaan we bij Novogenia om met gegevens uit webshop en analyse:

Analyse in Oostenrijk: Monsters worden geanalyseerd in ons eigen laboratorium in Eugendorf bij Salzburg.
Privacyinformatie vóór het monster: Wie verantwoordelijk is voor welke verwerking, staat in de privacyinformatie bij de genetische analyse, die de klant ontvangt voordat hij of zij het monster opstuurt.
Rapporten in het portaal: Rapporten worden digitaal geleverd via een beveiligd portaal, op verzoek gedrukt.
Jij bepaalt wat je ziet: Als partner kies je of je de rapporten van je klanten inziet. Doe je dat, dan moet dat vooraf duidelijk zijn en in de toestemming staan.
Vragen van consumenten: Met uitdrukkelijke toestemming in het contactformulier sturen we vragen van consumenten door naar een geschikt partnerbedrijf.

Veelgestelde vragen

Zijn bestelgegevens al gezondheidsgegevens?

Dat kan. In 2024 oordeelde het Hof van Justitie van de EU dat de informatie die klanten invoeren bij de onlinebestelling van geneesmiddelen die alleen in de apotheek verkrijgbaar zijn – zoals naam, afleveradres en gegevens die nodig zijn om de geneesmiddelen te individualiseren – gezondheidsgegevens zijn, ook zonder recept (C-21/23). Behandel gegevens uit vragenlijst, analyse en rapport in elk geval als bijzondere categorie in de zin van art. 9 AVG.

Volstaat een vinkje in mijn algemene voorwaarden als toestemming?

Nee. Toestemming voor de verwerking van genetische gegevens of gezondheidsgegevens moet uitdrukkelijk zijn en voor welbepaalde doeleinden worden gegeven (art. 9, lid 2, onder a, AVG). Je moet haar kunnen aantonen (art. 7, lid 1), intrekken moet net zo eenvoudig zijn als geven (art. 7, lid 3), en een vooraf aangekruist vakje is geen toestemming (overweging 32).

Mag ik klanten van genetische tests gericht benaderen met reclame?

Gebruik genetische resultaten, antwoorden op de vragenlijst of gezondheidsinteresses niet voor advertentieprofielen, retargeting of doelgroeplijsten, tenzij je klant uitdrukkelijk precies daarmee heeft ingestemd. Onlineplatforms mogen hoe dan ook geen advertenties tonen op basis van profilering waarbij bijzondere categorieën van persoonsgegevens worden gebruikt (artikel 26, lid 3, van Verordening (EU) 2022/2065).

Heb ik een functionaris voor gegevensbescherming nodig?

Volgens de AVG wel als de kernactiviteiten van je bedrijf bestaan uit grootschalige verwerking van bijzondere categorieën van gegevens (art. 37, lid 1, onder c). Grootschalige verwerking van zulke gegevens vereist bovendien vooraf een gegevensbeschermingseffectbeoordeling (art. 35, lid 3, onder b). Hoe minder genetische gegevens in je webshop terechtkomen, hoe kleiner deze vraag wordt – maar laat het toch controleren.

Wat geldt er voor klanten in Zwitserland?

De Zwitserse federale wet betreffende gegevensbescherming (DSG): genetische en gezondheidsgegevens zijn gevoelige persoonsgegevens (art. 5, onder c), een eventueel vereiste toestemming moet uitdrukkelijk zijn (art. 6, lid 7), en je informeert mensen over de verwerkingsverantwoordelijke, het doel, de ontvangers en, waar van toepassing, het land in het buitenland (art. 19). Private verwerkingsverantwoordelijken in het buitenland hebben onder bepaalde voorwaarden een vertegenwoordiger in Zwitserland nodig (art. 14). Voor cookies vereist art. 45c van de telecommunicatiewet informatie en de mogelijkheid om te weigeren.

Gerelateerd: Gegevensbescherming bij white-label genetische tests · Genetische gegevens en de AVG · Genetische tests online verkopen: DE, AT, CH

Gepersonaliseerde producten voor je webshop?

Vertel ons over je merk en je kanalen – we laten je zien welk model past.

Project aanvragen →Aanbod voor e-commerce

Let op: Deze gids bevat algemene informatie voor bedrijven en professionals en vervangt geen medisch of juridisch advies. De genetische eigenschappen die in een genetische analyse worden vastgesteld, zijn goed gedocumenteerd (elk opgenomen gen wordt ondersteund door ten minste drie onafhankelijke studies); aanbevelingen die daaruit worden afgeleid, zijn logische conclusies, niet wetenschappelijk bewezen. Regelgeving kan veranderen; fouten en wijzigingen voorbehouden.