Toestemmingsformulier AVG: model en voorbeelden

Een geldig toestemmingsformulier onder de AVG legt vast dat de betrokkene vrij, specifiek, geïnformeerd en ondubbelzinnig toestemming heeft gegeven — de vier vereisten uit artikel 7 AVG. In de praktijk betekent dat: één actieve handeling per doel, geen voorgevinkte vakjes, begrijpelijke informatie vooraf, en een intrekkingsmechanisme dat net zo makkelijk is als het geven van toestemming. Hieronder vindt u vier concrete toestemmingsformulier-modellen — nieuwsbrief, beeldmateriaal, gezondheidsgegevens en minderjarigen — die u direct kunt aanpassen, elk getoetst aan de wettelijke eisen.

Toestemming is niet altijd de juiste grondslag. Vraag haar alleen wanneer geen andere rechtsgrond uit artikel 6 AVG past. Vraagt u toestemming waar u haar niet nodig heeft, dan creëert u een intrekbaar recht dat uw verwerking op elk moment kan stilleggen.

Key Takeaways

• Een geldig toestemmingsformulier documenteert alle vier de vereisten van art. 7 AVG én de aantoonbaarheid (art. 7 lid 1).
• Voorgevinkte vakjes zijn nooit geldig — het Hof van Justitie bevestigde dit in de Planet49-zaak (C-673/17, 2019).
• Voor kinderen onder de 16 jaar is in Nederland toestemming van een ouder vereist (art. 5 UAVG).
• De intrekking moet even eenvoudig zijn als het geven — één klik, geen inlogdrempel.
• Bewaar het formulier en de datum: bij een controle vraagt de Autoriteit Persoonsgegevens (AP) om het bewijs van toestemming.

De vier vereisten in het formulier

Elk model hieronder moet dezelfde toets doorstaan. Gebruik deze tabel als controlepunt voordat u een formulier publiceert.

Vereiste (art. 7/4 lid 11 AVG)	In het formulier zichtbaar als	Veelgemaakte fout
Vrij	Weigeren heeft geen nadelig gevolg	Toegang koppelen aan toestemming
Specifiek	Apart vakje per doel	Eén vinkje voor marketing én delen met derden
Geïnformeerd	Wie, wat, waarvoor, bewaartermijn, intrekking	Verwijzen naar een vage privacyverklaring
Ondubbelzinnig	Zelf aangevinkt, actieve handeling	Voorgevinkt vakje of stilzwijgen
Aantoonbaar	Datum, versie, tekst opgeslagen	Alleen een boolean “true” in de database

Wie de logica achter deze vereisten dieper wil begrijpen, vindt in de voorbeelden van goede en foute toestemmingsformuleringen de nuances per zin.

Model 1 — Nieuwsbrief en e-mailmarketing

☐ Ja, ik ontvang graag de nieuwsbrief van [organisatie] met tips en aanbiedingen over [onderwerp]. Ik kan me op elk moment afmelden via de link onderaan elke e-mail. Mijn e-mailadres wordt hiervoor bewaard tot ik me afmeld. Zie de [privacyverklaring].

Let op: koppel het nieuwsbriefvakje niet aan het aanmaken van een account of het plaatsen van een bestelling. Dat maakt de toestemming onvrij. De regels voor direct marketing vereisen bovendien voor elektronische communicatie een afzonderlijke opt-in, tenzij u zich op de klantuitzondering van de Telecommunicatiewet kunt beroepen.

Overweeg een double opt-in: na het aanvinken stuurt u een bevestigingsmail met een activatielink. Dat levert een extra bewijsmoment op — u kunt aantonen dat het e-mailadres van de betrokkene zelf afkomstig is en niet door een ander is ingevoerd. Bewaar bij elke inschrijving de datum, het IP-adres en de exacte tekst die de gebruiker zag. Zonder die vastlegging staat u bij een klacht met lege handen, want de bewijslast van geldige toestemming ligt volledig bij u (art. 7 lid 1 AVG).

Model 2 — Beeldmateriaal (school, sportclub, evenement)

☐ Ik geef toestemming voor het maken en publiceren van foto’s/video’s waarop [naam / mijn kind] herkenbaar is, voor de volgende doelen: ☐ website ☐ sociale media ☐ gedrukt clubblad. Ik weet dat ik deze toestemming per kanaal kan intrekken via [contact].

Vraag toestemming per publicatiekanaal, niet in één keer voor “alle communicatie”. Een foto op de openbare website vraagt een andere afweging dan een besloten ledenapp. Voor scholen en verenigingen die met kinderen werken, gelden extra eisen; zie de gids over de AVG in het onderwijs.

Model 3 — Gezondheidsgegevens (bijzondere categorie)

Gezondheidsgegevens zijn bijzondere persoonsgegevens (art. 9 AVG). De hoofdregel is een verwerkingsverbod, dat alleen wordt opgeheven door een uitzondering — waaronder uitdrukkelijke toestemming (art. 9 lid 2 sub a).

☐ Ik geef uitdrukkelijk toestemming om mijn gezondheidsgegevens ([specificeer: allergieën, medicatie]) te verwerken voor [specifiek doel]. Deze gegevens worden alleen ingezien door [functie] en bewaard gedurende [termijn].

“Uitdrukkelijk” betekent een expliciete, niet-impliciete bevestiging — een aangevinkt vakje met specifieke tekst, geen algemene akkoordverklaring. Documenteer deze toestemming extra zorgvuldig in uw verwerkingsregister.

Model 4 — Minderjarigen onder de 16

In Nederland ligt de leeftijdsgrens voor geldige toestemming bij online diensten op 16 jaar (art. 5 UAVG, dat de bandbreedte van art. 8 AVG maximaal invult). Onder die leeftijd is toestemming van een ouder of voogd vereist.

☐ Ik ben ouder/voogd van [naam kind, geboortedatum] en geef namens hem/haar toestemming voor [doel]. Ik kan deze toestemming intrekken via [contact].

U moet redelijke inspanningen leveren om te verifiëren dat de toestemming daadwerkelijk door een ouder is gegeven (art. 8 lid 2 AVG). Een simpele leeftijdsvraag volstaat zelden bij risicovolle verwerkingen.

Het intrekkingsmechanisme

Artikel 7 lid 3 AVG vereist dat intrekken even eenvoudig is als geven. Voeg daarom altijd toe:

U kunt uw toestemming op elk moment intrekken via [afmeldlink / e-mailadres / accountinstelling]. Intrekking heeft geen terugwerkende kracht: verwerkingen vóór de intrekking blijven rechtmatig.

Een afmeldknop die pas werkt na inloggen, of een intrekverzoek dat handmatig moet worden goedgekeurd, voldoet niet. Voor cookies gelden aanvullende eisen die u terugvindt in de gids over toestemming voor cookies.

Regel ook wat er ná de intrekking gebeurt. Trekt iemand zijn toestemming voor de nieuwsbrief in, dan moet u niet alleen stoppen met verzenden, maar ook beoordelen of u het e-mailadres nog voor een ander doel mag bewaren. Meestal is dat niet zo, en dan geldt: verwijderen of afschermen. Houd de intrekking bovendien bij in uw administratie, zodat u kunt aantonen dat u het verzoek tijdig heeft uitgevoerd.

Veelgemaakte fouten bij toestemmingsformulieren

De meeste ongeldige formulieren vertonen dezelfde gebreken. Eén verzamelvinkje voor meerdere doelen — marketing, profilering én delen met partners in één zin — schendt de specificiteitseis. Een verplicht vakje (“ik ga akkoord met alles”) koppelt de toestemming aan de dienst en maakt haar onvrij. En een verwijzing naar een lange, vage privacyverklaring in plaats van concrete informatie bij het vakje zelf ondermijnt de geïnformeerdheid.

Toets elk formulier daarom aan één simpele vraag: kan de betrokkene bij dit exacte vakje zien wie zijn gegevens waarvoor gebruikt, en kan hij nee zeggen zonder nadeel? Is het antwoord op één van beide nee, dan is de toestemming niet geldig — hoe netjes het vinkje er ook uitziet. Leg tot slot elke verzamelde toestemming vast met versie en datum, zodat u bij een wijziging van de tekst weet welke gebruikers onder welke versie akkoord gingen.

Hoe Legiscope hierbij helpt

Het beheren van toestemmingsteksten, versies en intrekkingen over meerdere formulieren en talen heen is foutgevoelig als u het handmatig doet. Legiscope legt per verwerking vast welke toestemmingstekst geldig was op welk moment, zodat u bij een AP-controle direct het bewijs van toestemming kunt tonen.

FAQ

Is een voorgevinkt vakje geldig als toestemming?

Nee. Het Hof van Justitie oordeelde in de Planet49-zaak (C-673/17, 1 oktober 2019) dat een vooraf aangevinkt vakje geen geldige, actieve toestemming oplevert. De betrokkene moet zelf een handeling verrichten — het vakje zelf aanvinken.

Moet ik toestemming schriftelijk vastleggen?

De AVG schrijft geen specifieke vorm voor, maar art. 7 lid 1 eist dat u de toestemming kunt aantonen. Bewaar daarom de exacte tekst, de datum en het kanaal. Een enkele “true” in uw database zonder de bijbehorende tekst is onvoldoende bewijs.

Wat is de kinderleeftijd voor toestemming in Nederland?

16 jaar. Artikel 5 van de Uitvoeringswet AVG (UAVG) vult de bandbreedte van art. 8 AVG maximaal in. Onder de 16 is toestemming van een ouder of voogd nodig, en u moet redelijke inspanningen leveren om die te verifiëren.

Kan ik toestemming en een andere grondslag combineren?

Nee, niet voor dezelfde verwerking. U kiest per verwerkingsdoel één grondslag uit artikel 6 AVG. Toestemming “voor de zekerheid” vragen naast bijvoorbeeld een gerechtvaardigd belang maakt uw positie zwakker, want de betrokkene kan dan intrekken en de verwerking stilleggen.

---

Meer weten over toestemming en andere grondslagen? Bekijk de officiële AVG-tekst op EUR-Lex, de richtsnoeren van de Autoriteit Persoonsgegevens en de consent-richtlijnen van de EDPB.