# Bezoekersherkenning en AVG: een nuchtere duiding

> Bezoekersherkenning en AVG in DE, AT en CH: twee toetsingsstappen, toestemming of gerechtvaardigd belang en een checklist voor beheerders.

Quelle: https://whovisit.app/nl/blog/bezoekersherkenning-avg-nuchtere-duiding
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Wie zich over bezoekersherkenning informeert, leest tegenstrijdige uitspraken. De ene aanbieder zegt dat toestemming altijd nodig is. De andere belooft dat men met zijn oplossing niets nodig heeft. Beide is te algemeen. Dit artikel toont de toetsingsstappen waarmee u de vraag voor uw website zelf voorbereidt. Het is een duiding, geen juridisch advies. Het vervangt niet de toetsing door uw functionarissen voor gegevensbescherming of advocaten.

Stand van de bronnen: 06.11.2026. Controleer vóór een beslissing de actuele tekst.

## Twee gescheiden toetsingen

Bezoekersherkenning roept twee vragen op die vaak door elkaar worden gehaald:

1. **Mag het script toegang krijgen tot het apparaat van de bezoeker?** Dat regelt in Duitsland [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html), in Oostenrijk [§ 165 Abs. 3 TKG 2021](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678). Beide regels stammen uit de ePrivacyrichtlijn. Opgeslagen of uitgelezen mag in beginsel alleen met toestemming, tenzij de toegang strikt noodzakelijk is opdat een uitdrukkelijk gevraagde dienst werkt.
2. **Mag de verwerking van de gegevens plaatsvinden?** Dat beantwoordt de [AVG](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), als het om persoonsgegevens gaat. U hebt een rechtsgrond nodig volgens art. 6 lid 1, bijvoorbeeld toestemming (sub a) of gerechtvaardigd belang (sub f).

Beide toetsingen gelden naast elkaar. Een gerechtvaardigd belang volgens de AVG vervangt geen toestemming voor de toegang tot het apparaat. Omgekeerd maakt een toestemming voor het script de verwerking niet automatisch rechtmatig, als die verder gaat dan waarvoor is toegestemd.

Een script dat niets op het apparaat opslaat of uitleest, raakt de eerste vraag mogelijk niet. Of dat klopt, hangt van de techniek af en wordt verschillend beoordeeld. Vraag uw aanbieder concreet wat het script doet. Laat het schriftelijk beschrijven.

## Is het IP-adres een persoonsgegeven?

Kort gezegd: vaak ja. Het Europese Hof van Justitie heeft in zaak [C-582/14 (Breyer)](https://curia.europa.eu/juris/liste.jsf?num=C-582/14) beslist dat ook een dynamisch IP-adres een persoonsgegeven kan zijn, als de beheerder wettelijke middelen heeft om via derden (bijvoorbeeld de toegangsprovider) bij de persoon te komen. De vraag hangt dus af van het individuele geval. Toezichthouders leggen de drempel eerder laag. De uitgebreide versie vindt u in [IP-adres en AVG: is het een persoonsgegeven?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

Voor bezoekersherkenning betekent dat: reken erop dat al het moment telt waarop het adres bij de server aankomt, ook als het daarna wordt weggegooid.

## Bedrijf, persoon, pseudoniem

Bezoekersherkenning in B2B beweert alleen bedrijven te herkennen en geen personen. Dat is een goede aanpak, maar geen vrijbrief:

- **Bedrijfsniveau helpt.** Als het resultaat de naam van een onderneming is, staat er uiteindelijk geen individuele persoon. Dat verlaagt het risico, vooral bij de analyse.
- **Eenmanszaken, zelfstandigen en kleine kantoren** zijn bedrijf en persoon tegelijk. Een resultaat als „Schmidt Beratung“ kan op een bepaalde persoon slaan.
- **Thuiswerken.** Wie van thuis via een bedrijfs-VPN surft, verschijnt als bedrijf, hoewel er een bepaalde persoon achter zit. Meer daarover in [Thuiswerken, VPN en mobiel netwerk: wie u niet ziet](https://whovisit.app/blog/homeoffice-vpn-mobilfunk-besuchererkennung).
- **Koppeling.** Zodra u bij het bedrijf een contactpersoon zoekt of het gedrag met andere gegevens samenvoegt, kan daaruit een persoonsverband ontstaan.
- **Pseudonimisering** is een beschermingsmaatregel, geen uitweg. Gepseudonimiseerde gegevens blijven persoonsgegevens zolang de persoon met aanvullende informatie kan worden bepaald.

Wie muisvideo's of gedragsprofielen inzet, komt nog dichter bij de persoon. Daarover: [Session replay en privacy: muisvideo's goed inzetten](https://whovisit.app/blog/mausvideos-website-datenschutz).

## Rollen en overeenkomsten

- **U als beheerder van de website** bent doorgaans verantwoordelijke in de zin van de AVG. U beslist of en waarvoor de gegevens worden vastgelegd.
- **De aanbieder van de bezoekersherkenning** verwerkt de gegevens doorgaans in uw opdracht en is dan verwerker. Daarvoor hebt u een overeenkomst nodig volgens art. 28 AVG. Controleer of de aanbieder de gegevens ook voor eigen doeleinden gebruikt, want dan verandert de rol.
- **Subverwerkers** (hosters, databases, aanbieders van bedrijfsgegevens) moeten worden opgesomd en contractueel gebonden zijn. Vraag naar de serverlocatie en of gegevens naar derde landen stromen.

## Informatieplichten

Bezoekers moeten weten wat er gebeurt. De privacyverklaring moet minstens bevatten:

- dat bezoekersherkenning wordt ingezet en waarvoor
- welke gegevens worden verwerkt (bijvoorbeeld bekeken pagina's, tijdstippen, herkomst, verblijfsduur)
- de rechtsgrond
- hoe lang de gegevens worden bewaard
- de ontvanger of categorie van ontvangers, dus uw aanbieder
- de rechten van betrokkenen: inzage, wissing, bezwaar, klacht bij de toezichthouder

Een algemene zin over „webanalyse“ volstaat niet als erachter een bedrijfstoewijzing zit. Beschrijf die als eigen punt.

## Zwitserland

Zwitserland heeft met de [herziene wet op de gegevensbescherming (revDSG)](https://www.fedlex.admin.ch/eli/cc/2022/491/de) eigen regels, die sinds 1 september 2023 gelden. Ze zijn minder op toestemming gericht, maar meer op transparantie:

- U moet betrokkenen passend informeren over de verkrijging en verwerking van hun persoonsgegevens.
- De verwerking moet evenredig en doelgebonden zijn.
- Wie uitdrukkelijk bezwaar maakt, van wie mogen de gegevens alleen bij een rechtvaardigingsgrond verder worden verwerkt.
- Voor cookies en vergelijkbare technieken komen informatieplichten uit het telecommunicatierecht erbij.

Richt uw aanbod zich ook tot bezoekers uit de EU, dan kan bovendien de AVG gelden.

## Checklist voor beheerders

1. Beschrijf schriftelijk welke gegevens de oplossing vastlegt, wanneer en waar ze worden opgeslagen.
2. Verduidelijk of het script toegang heeft tot het eindapparaat. Beslis dan of u daarvoor toestemming vraagt.
3. Kies voor de verwerking een rechtsgrond en documenteer de afweging.
4. Sluit een verwerkersovereenkomst af en laat u de subverwerkers noemen.
5. Controleer de serverlocatie en mogelijke doorgiften naar derde landen.
6. Vul de privacyverklaring aan met een eigen paragraaf.
7. Leg bewaartermijnen vast en controleer dat er wordt gewist.
8. Sluit gevoelige gebieden zoals kassa, account en formulieren met gezondheidsgegevens uit.
9. Richt een weg in om inzage- en wissingsverzoeken te behandelen.
10. Beslis of een gegevensbeschermingseffectbeoordeling nodig is. Leg het resultaat vast.
11. Neem de verwerking op in het register van verwerkingsactiviteiten.

Hoe u de selectieprocedure opzet, laat [Bezoekersherkenning vergelijken: 12 criteria voor de keuze](https://whovisit.app/blog/besuchererkennung-vergleich-kriterien) zien.

## Open vragen voor uw juridisch adviseur

Enkele punten zijn niet definitief opgehelderd of hangen van uw geval af. Neem ze mee:

- Volstaat voor de toegang tot het apparaat een toestemming in de categorie „statistiek“, of is een eigen toestemming nodig?
- Is het gerechtvaardigd belang voor een bedrijfstoewijzing houdbaar? Hoe valt de afweging uit bij kleine bedrijven en eenmanszaken?
- Vanaf welke omvang of rechtsvorm is een resultaat ondubbelzinnig „geen persoonsgegeven“?
- Hoe precies moeten bezoekers over de bedrijfstoewijzing worden geïnformeerd?
- Hoe gaat u om met bezwaren als het IP-adres niet wordt opgeslagen?

Een antwoord is er alleen in het individuele geval. Wie u algemeen belooft dat er geen juridisch risico overblijft, verkoopt u een garantie die niemand kan geven.

## Hoe een aanbieder hiermee kan omgaan

Als voorbeeld uit de praktijk: Whovisit gooit het IP-adres na de opvraag weg, slaat alleen bedrijven en instellingen op en plaatst geen cookie. Waar de gegevens staan en wie erbij betrokken is, staat op de pagina [Privacyprincipe](https://whovisit.app/datenschutz-prinzip). Hoe lang wat wordt bewaard, staat in de Help onder [Bewaren en wissen](https://whovisit.app/hilfe/datenschutz-und-aufbewahrung). Of dat voor uw website volstaat, beslist u met uw juridisch adviseur.

## Kort samengevat

Toets bezoekersherkenning in twee stappen: toegang tot het apparaat en verwerking. Het bedrijfsniveau verlaagt het risico, maar neemt het niet weg. Verduidelijk rollen en overeenkomsten, informeer zelfstandig en wis vroeg. En neem de open vragen mee naar een gesprek met iemand die uw bedrijf kent.