"Ik Dacht €800 te Besparen. Het Kostte Me Mijn Bedrijf."
"Goedemiddag, u spreekt met de Autoriteit Persoonsgegevens. We hebben een klacht ontvangen..."
Marc (39) runt al acht jaar succesvol een schoonmaakbedrijf met 15 medewerkers. Zijn oude website zag eruit alsof zijn kleine neefje zonder ervaring het heeft gebouwd. Tijd voor iets nieuws.
"Ik zag al die advertenties van Wix AI voorbijkomen", vertelt Marc. "Maak je website in 5 minuten". Ik dacht: waarom zou ik €800 betalen aan een bureau als ik dit zelf kan?
Op een zaterdagochtend, koffie in de ene hand, laptop in de andere, begon Marc aan zijn avontuur.
De "5-Minuten" Val
De AI vroeg wat hij deed, welke kleuren hij leuk vond, en of hij een contactformulier wilde. Binnen paar uren had Marc een glimmende nieuwe site. Hij voegde zijn logo toe, wat foto's van zijn team, en publiceerde het resultaat.
"Het zag er best professioneel uit", zegt Marc. "Echt. Ik was trots. Ik betaalde €27 per maand voor hosting en dacht: dit is geniaal. Ik heb honderden euro's bespaard."
Die trots hield twee maanden aan.
Het Eerste Telefoontje
"Goedemiddag, u spreekt met de Autoriteit Persoonsgegevens. We hebben een klacht ontvangen..."
Marc dacht aanvankelijk dat het een grap was. Of een verkeerd nummer. Maar nee. Een klant had geklaagd omdat Marc's website geen functionele cookiebanner had. De standaard cookiebanner die AI had gemaakt bleek niet compliant - die accepteerde alle cookies direct, zonder toestemming.
"Ik wist niet eens wat cookies precies deden", geeft Marc toe. "De AI had die banner erop gezet, dus ik dacht: dat is geregeld."
Het bleek het begin van een nachtmerrie.
De AVG-Boete: €10.000
De AP-onderzoeker vroeg om Marc's verwerkersovereenkomsten. Die had hij niet. Om zijn privacyverklaring. Die was automatisch gegenereerd door Wix, maar bleek juridisch waardeloos - vol met loopholes en geen specifieke informatie over zijn bedrijf.
Om zijn technische en organisatorische maatregelen.
"Technische maatregelen?" lacht Marc bitter. "De AI had een SSL-certificaat geïnstalleerd. Dat was het."
De AP constateerde:
- Geen legale grondslag voor gegevensverwerking (€4.000 boete)
- Ontbreken van verwerkersovereenkomsten met subverwerkers (€3.000 boete)
- Onvoldoende technische beveiligingsmaatregelen (€2.500 boete)
- Niet-tijdige melding van datalek - want ja, die contactformulieren waren niet beveiligd (€500 boete)
Totaal: €10.000 aan boetes.
De Datalek die Niet Eens werd Opgemerkt
Maar het werd erger.
Tijdens het onderzoek ontdekte een IT'er die Marc inhuurde dat zijn contactformulier al drie weken was gehackt. Een simpel SQL-injectie lek - standaard code die de AI had gegenereerd zonder input validatie. Alle aanvragen van klanten waren doorgestuurd naar een server in Rusland.
Namen. Adressen. Telefoonnummers. Sommige klanten hadden zelfs hun bankgegevens in het "extra informatie" veld gezet.
"Ik moest 200 klanten informeren dat hun gegevens waren gelekt", zegt Marc. "Die gezichten... sommige waren woedend. Anderen huilden. Een vrouw met een ex die haar stalkte. Ze vroeg of haar adres nu op straat lag. Ik wist het niet eens."
De AP moest opnieuw worden geïnformeerd. De boete werd verhoogd naar €15.000.
De SEO-Ramp
Terwijl Marc worstelde met de AP en boze klanten, merkte hij iets anders op. Zijn telefoon bleef stil.
Zijn oude site had altijd wel 5-10 aanvragen per week binnengekregen via Google. Nu: niks.
Een SEO-specialist die hij huurde om te kijken wat er mis was, schudde zijn hoofd.
"Deze site is een ramp", zei hij. "Kijk eens naar de code."
Het bleek dat:
- Duplicate content: De AI had standaardteksten gebruikt die op duizenden andere Wix-sites stonden
- Traag als een slak: 4.8 seconden laadtijd door overbodige scripts en niet-geoptimaliseerde afbeeldingen
- Geen structured data: Google begreep niet wat zijn bedrijf deed
- Mobiele versie kapot: Op iPhone versprongen elementen, formulieren die niet werkten
- Core Web Vitals: Alle drie de scores in het rood
"Google heeft je site gedeïndexeerd", legde de specialist uit. "Je bent onzichtbaar geworden."
Verlies aan omzet: €20.000 in twee maanden.
De 'Gratis' Chatbot die Geld Koste
Marc had ook een AI-chatbot geïnstalleerd. "Gratis proefversie", stond er. Wat hij niet las: de kleine lettertjes over dataverwerking in de VS.
De chatbot had gesprekken opgeslagen op Amerikaanse servers. Zonder verwerkersovereenkomst. Zonder dat klanten dit wisten.
Nog een overtreding. Nog een risico op boete.
Hij moest de chatbot direct verwijderen en alle opgeslagen data laten verwijderen. Kosten: €1.200 aan juridische ondersteuning.
De Eindafrekening
Laten we de rekening maken:
AVG boetes AP - €15.000
Datalek melding & afhandeling - €3.500
Klachtenafhandeling & imagoschade - €4.000
Verloren omzet (SEO) - €8.000
Juridische kosten chatbot - €1.200
Nieuwe website (nu wel professioneel) - €2.500
TOTAAL : €34.200
Voor die €800 die Marc dacht te besparen...
Wat Had Marc Anders Moeten Doen?
Het klinkt simpel, maar:
1. Begrijp dat een website meer is dan plaatjes en tekst
Het is een technisch product dat aan wetten moet voldoen. AVG. GDPR. E-commerce regels. Beveiliging & 24/7 monitoring. Consumentenrecht... en gaat maar door.
2. Lees de kleine lettertjes
Die "gratis" tools? Die verkopen jouw data. Niks is gratis.
3. Realiseer je dat AI geen verantwoordelijkheid neemt
Als er iets misgaat, sta jij voor de rechter. Niet Wix. Niet de AI. Jij.
4. Investeer in deskundigheid
Een professional ziet deze risico's van mijlenver. Die vraagt door. Die documenteert. Die zorgt dat je compliant bent.
De Echte Kosten van "Gratis"
AI-website builders zijn geweldig voor:
Hobbyprojecten
Persoonlijke blogs zonder gevoelige data
Proof of concepts
Prototype
Maar voor je bedrijf? Waar klantgegevens doorheen stromen? Waar je omzet van afhankelijk is? Waar je juridisch aansprakelijk bent?
Dan is "gratis" het duurste wat er is.
Is Jouw Website Eigenlijk Wel Compliant?
De meeste ondernemers weten niet eens wat ze niet weten. En tegen de tijd dat de AP belt, is de schade al gedaan.
Bij Asnafy bouwen we geen websites. We bouwen compliance-gewaarborgde bedrijfsmiddelen. Met:
GDPR-ready technische én organisatorische maatregelen
Verwerkersoverekomsten en juridisch waterdichte privacyverklaringen
OWASP Top 10 beveiliging als standaard
SEO die wérkt
Nederlandse servers, geen data naar buiten de EU
en meer...
Starter pakket: vanaf €350 eenmalig + €20/maand
Dat is €240 per jaar. Marc betaalde €34.200 voor zijn "gratis" website.
Wil je weten of jouw site compliant is? We doen gratis checks. Echt gratis. Geen verplichtingen. Gewoon omdat we dit niet nog een keer willen zien gebeuren.
P.S. Marc zijn naam is gefingeerd. Zijn verhaal niet. Dit is een samenstelling van echte gevallen die we tegenkomen. De boetebedragen zijn gebaseerd op werkelijke AP-besluiten voor MKB-bedrijven. Geen fictie. Geen fearmongering. Gewoon de realiteit van wat er gebeurt als je compliance aan een AI overlaat.