Mijn gegevens zijn gelekt bij een datalek: kan ik schadevergoeding eisen?

Zaten jouw gegevens in een datalek bij een bedrijf? Binnen een maand krijg je de feiten, en als je schade aantoont, kun je schadevergoeding eisen op grond van artikel 82 AVG.

Bijgewerkt op 31 oktober 2026 · 5 min. leestijd

Een kort mailtje met "je gegevens zijn mogelijk getroffen" is voor de meeste mensen het eindpunt. Dat hoeft niet. In de EU en het VK kun je het bedrijf op grond van de AVG precies vragen wat er is gebeurd, en het moet binnen een maand antwoorden. Heeft het datalek je schade bezorgd, dan kun je schadevergoeding eisen op grond van artikel 82. Dat geldt voor geld dat je kwijt bent en voor immateriële schade, waaronder de angst dat je gegevens worden misbruikt. Een datalek alleen is niet genoeg: je moet de schade aantonen.

Wat het bedrijf je na een datalek verschuldigd is

Brengt een datalek waarschijnlijk een hoog risico voor je mee, dan moet het bedrijf je dat zonder onnodige vertraging laten weten, in duidelijke en eenvoudige taal. In die melding moet staan wat de waarschijnlijke gevolgen zijn, wat het bedrijf aan het datalek heeft gedaan en bij wie je terechtkunt, zoals de functionaris voor gegevensbescherming.

Het moet het datalek ook binnen 72 uur nadat het ervan op de hoogte is gekomen melden bij de privacytoezichthouder, tenzij er waarschijnlijk geen risico is.

Daarna kun je meer vragen. Op grond van artikel 15 kun je een kopie krijgen van de gegevens die het bedrijf over je heeft, met wie ze zijn gedeeld en waar ze vandaan komen. Het bedrijf moet binnen een maand antwoorden. Bij ingewikkelde verzoeken mag het die termijn met twee maanden verlengen, maar dan moet het je dat binnen de eerste maand laten weten en zeggen waarom.

Wanneer je schadevergoeding kunt eisen

Het Hof van Justitie van de EU heeft in 2023 vastgelegd waaraan een claim moet voldoen. Je hebt drie dingen tegelijk nodig:

Een inbreuk op de AVG, zoals beveiliging die niet goed genoeg was om je gegevens te beschermen.
Schade: geld dat je kwijt bent, of immateriële schade.
Een verband tussen die twee: de schade komt door het datalek.

Voor immateriële schade geldt geen minimale drempel van ernst. Maar het Hof was duidelijk: een datalek levert niet vanzelf geld op. Je moet laten zien wat het met je heeft gedaan.

"We zijn gehackt" is niet het laatste woord

Bedrijven antwoorden vaak dat ze zelf slachtoffer waren van een criminele aanval. Precies daar keek het Hof naar in een uitspraak van december 2023, na een hack bij de Bulgaarse belastingdienst.

Angst telt mee. Angst voor mogelijk misbruik van je gegevens kan op zichzelf al immateriële schade zijn.
De bewijslast ligt bij hen. Het bedrijf moet bewijzen dat zijn beveiligingsmaatregelen passend waren.
Een hack bewijst niets, in welke richting dan ook. Het laat op zichzelf niet zien dat hun beveiliging tekortschoot, en het pleit hen ook niet vrij.

Volgens artikel 82, lid 3, ontloopt het bedrijf zijn aansprakelijkheid alleen als het bewijst dat het op geen enkele wijze verantwoordelijk is.

In het VK staat hetzelfde artikel 82 in de UK GDPR, maar Britse rechters zijn niet gebonden aan deze uitspraken van het Europese Hof. Zij bepalen dus zelf welke maatstaf geldt.

Waar je een klacht indient

Je kunt een klacht indienen bij de privacytoezichthouder in het land waar je woont, waar je werkt of waar het datalek plaatsvond.

Land	Privacytoezichthouder
Frankrijk	CNIL
Duitsland	De privacytoezichthouder van je deelstaat (op federaal niveau de BfDI)
Spanje	AEPD
Italië	Garante per la protezione dei dati personali
Portugal	CNPD
Nederland	Autoriteit Persoonsgegevens
Polen	UODO
België	APD-GBA
Ierland	Data Protection Commission
Verenigd Koninkrijk	Information Commissioner's Office (ICO)

De toezichthouder kan onderzoek doen en het bedrijf opdragen in actie te komen. Schadevergoeding kent hij niet toe. Die komt van het bedrijf, of van de rechter.

Zo dien je je claim in, stap voor stap

Beveilig eerst jezelf. Verander de wachtwoorden die zijn gelekt, zet tweestapsverificatie aan en waarschuw je bank als het om kaart- of bankgegevens gaat.
Bewaar alles. De melding van het datalek, elke nep-sms, elk telefoontje en elke inlogpoging sindsdien, en de bonnetjes van alle kosten.
Houd een kort dagboek bij. Datum, wat je deed, hoe lang het duurde en wat het met je deed. Dit is je bewijs van immateriële schade.
Schrijf de functionaris voor gegevensbescherming aan. Vraag welke gegevens zijn getroffen, wanneer, wat ze hebben gedaan en of ze het datalek hebben gemeld. Vraag om een kopie van je gegevens.
Eis schadevergoeding in hetzelfde bericht. Noem artikel 82, beschrijf je schade en zeg welk bedrag je eist. Het bedrag kies je zelf: baseer het op je bonnetjes en een eerlijke beschrijving van de gevolgen.
Noem een datum. Eén maand, zoals artikel 12, lid 3, voorschrijft.

Het bericht dat je stuurt

Onderwerp: Melding datalek van 14 oktober 2026: verzoek om informatie en schadevergoeding

Ik ben klant bij u (klantnummer 4471920). In uw e-mail van 14 oktober 2026 staat dat mijn persoonsgegevens zijn getroffen door een datalek in uw systemen.

Op grond van de artikelen 15 en 34 AVG verzoek ik u mij precies te laten weten welke van mijn gegevens zijn getroffen, wanneer het datalek plaatsvond en wanneer u ervan op de hoogte raakte, wat u hebt gedaan om het in te dammen, en of en wanneer u het hebt gemeld bij de toezichthoudende autoriteit. Ook verzoek ik u mij een kopie te sturen van de persoonsgegevens die u over mij hebt.

Sinds het datalek heb ik vier phishing-sms'jes ontvangen waarin mijn naam en bestelgegevens werden gebruikt, en ben ik ongeveer vier uur bezig geweest met wachtwoorden wijzigen en mijn accounts controleren. Op grond van artikel 82 AVG eis ik een schadevergoeding van €300 voor de onrust en de tijd die dit me heeft gekost.

Ik verzoek u binnen een maand te antwoorden, uiterlijk op 14 november 2026, zoals artikel 12, lid 3, AVG voorschrijft.

Vul je eigen gegevens in. Voeg de melding en je screenshots als bijlage toe.

Termijnen en wat je doet als ze weigeren

Geen antwoord na een maand: stuur een korte herinnering met een uiterste datum over 14 dagen.
Een weigering of een laag aanbod: dien een formele klacht in. Verwijs naar artikel 82, lid 3, en de uitspraken van het Hof uit 2023, en vraag om hun definitieve standpunt op papier.
Nog steeds nee: dien een klacht in bij de privacytoezichthouder, en stap voor schadevergoeding naar de rechter. Je kunt een zaak beginnen waar het bedrijf gevestigd is of waar je woont. Voor kleinere bedragen zijn er procedures voor kleine vorderingen, en de Europese procedure voor geringe vorderingen geldt voor een bedrijf in een ander EU-land.
Termijnen om naar de rechter te stappen verschillen per land en staan in de nationale wet. Zoek uit wat voor jou geldt voordat je te lang wacht.

Zijn er veel mensen getroffen, vraag dan een consumentenorganisatie of er al een collectieve claim loopt.

Kort samengevat

Vraag het bedrijf wat er met je gegevens is gebeurd en krijg binnen een maand een kopie. Heeft het datalek je geld, tijd of gemoedsrust gekost, eis dan met je bewijs schadevergoeding op grond van artikel 82. "We zijn gehackt" is op zichzelf geen verweer. Weigeren ze, dien dan een klacht in bij de privacytoezichthouder en leg je claim voor aan de rechter.

Mijn gegevens zijn gelekt bij een datalek: kan ik schadevergoeding eisen? — Bewaar deze gids

Vragen

Hoeveel schadevergoeding kan ik krijgen voor een datalek?

De AVG noemt geen vaste bedragen, dus de rechters in elk land beslissen. Je werkelijke kosten tellen volledig mee, en voor stress en onrust hangt het bedrag af van wat je kunt aantonen over de gevolgen van het datalek voor jou.

Het bedrijf zegt dat nog niemand mijn gegevens heeft misbruikt. Kan ik toch schadevergoeding eisen?

Ja. Het Hof van Justitie van de EU heeft beslist dat angst voor mogelijk misbruik van je gegevens op zichzelf al immateriële schade kan zijn, maar je moet nog steeds aantonen dat je die schade hebt geleden.

Zorgt de privacytoezichthouder ervoor dat ik schadevergoeding krijg?

Nee. De toezichthouder kan onderzoek doen en het bedrijf opdragen in actie te komen, maar schadevergoeding komt van het bedrijf zelf, of van de rechter als het bedrijf weigert.

Ze bieden me gratis kredietmonitoring aan. Moet ik dat accepteren?

Het is nuttige bescherming, maar geen vergoeding voor schade die je al hebt geleden. Lees het aanbod eerst goed: staat erin dat je claim daarmee is afgehandeld, dan is je claim voorbij zodra je het accepteert.

Algemene informatie, geen juridisch advies. Regels veranderen en hangen af van waar je woont: controleer de officiële bron voordat je op een datum of bedrag vertrouwt.

Bronnen

Het pack hiervoor

Datalek: schadevergoeding eisen (EU en VK)$12Claim een schadevergoeding als je gegevens bij een datalek bij een bedrijf zijn uitgelekt. Het krijgt de volledige feiten boven tafel, schrijft de claim op basis van de AVG of UK GDPR en de klacht als ze weigeren.