Een gast reserveert online voor vier personen en typt in het opmerkingenveld: "mijn vrouw heeft een notenallergie". Dat ene zinnetje maakt van je reserveringssysteem een administratie met gezondheidsgegevens. Wie een reserveringssysteem, gastenwifi of een no-show-lijst heeft, verwerkt meer persoonsgegevens dan de meeste restaurateurs denken.
Vrijwel elk reserveringssysteem heeft een vrij tekstveld voor bijzonderheden. Daar belandt van alles in: "notenallergie", "rolstoel", "zwanger, geen rauwe vis". Zodra zo'n opmerking aan een naam hangt, verwerk je bijzondere persoonsgegevens over gezondheid, en daarvoor geldt een veel strenger regime dan voor een gewone reservering. Het probleem is niet dat de gast het vertelt, het probleem is dat het jarenlang opgeslagen blijft in een profiel. Wat je kunt doen: bewaar dieetwensen alleen voor de reservering zelf en verwijder ze daarna, vraag er niet standaard naar in het formulier, en spreek met je team af dat medische details niet in vaste gastprofielen terechtkomen.
art. 9 AVGVeel restaurants houden bij wie eerder niet kwam opdagen, soms als aantekening bij de gast, soms als aparte lijst. Dat mag niet zomaar: je legt dan een oordeel over iemand vast dat gevolgen heeft voor toekomstige reserveringen. Daarvoor heb je een grondslag nodig, meestal een gerechtvaardigd belang dat je kunt uitleggen, en de gast moet kunnen weten dat je dit doet. Een aantekening als "lastige gast" of "komt altijd te laat" gaat al snel verder dan nodig. Wat je kunt doen: beperk je tot feitelijke registraties (aantal no-shows, datum), vermeld het beleid in je privacyverklaring, hanteer een korte bewaartermijn en werk niet met gedeelde lijsten van andere zaken.
art. 5 + art. 6 AVGEen wifi-portaal dat om een e-mailadres vraagt voelt als een slimme manier om je nieuwsbrievenbestand te vullen. Maar wifi-toegang en nieuwsbriefinschrijving zijn twee verschillende dingen. Wie inlogt op je wifi geeft daarmee geen toestemming voor marketingmail; daarvoor is een aparte, vrijwillige opt-in nodig, en die mag geen voorwaarde zijn voor de wifi. Sommige portalen van externe aanbieders volgen bovendien het surfgedrag van gasten of delen data met de leverancier. Wat je kunt doen: maak het nieuwsbriefvinkje optioneel en niet vooraf aangevinkt, vraag je wifi-leverancier wat er precies wordt vastgelegd, en zet het wifi-portaal in je privacyverklaring.
art. 11.7 Telecommunicatiewet + art. 7 AVGFormitable, TheFork, een module van je kassaleverancier: het reserveringsplatform bewaart de gegevens van jouw gasten in jouw opdracht. De AVG eist dat daar een verwerkersovereenkomst onder ligt, met afspraken over beveiliging, bewaartermijnen en wat er bij een datalek gebeurt. Bij de grote platforms zit die vaak in de algemene voorwaarden verwerkt, maar bijna geen restaurateur weet of dat zo is en wat erin staat. Let ook op waar de data staat: sommige tools draaien op Amerikaanse servers. Wat je kunt doen: zoek op of je platform een verwerkersovereenkomst aanbiedt, accepteer of onderteken die aantoonbaar, en noteer welke leveranciers gastgegevens voor je bewaren.
art. 28 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanHet kan, maar alleen met een goede onderbouwing en spelregels. Registreer feitelijk (datum, aantal keren), vertel in je privacyverklaring dat je dit doet, en verwijder de aantekening na een redelijke termijn. Subjectieve oordelen over gasten vastleggen is riskant.
Allergieën zijn gezondheidsgegevens en die mag je niet zomaar in een vast gastprofiel bewaren. Gebruik ze voor de reservering waarvoor de gast ze doorgaf en ruim ze daarna op. Wil je ze langer bewaren als service, dan heb je daarvoor uitdrukkelijke toestemming van de gast nodig.
Nee, niet automatisch. Inloggen op de wifi is geen toestemming voor marketing. Je hebt een aparte opt-in nodig die de gast vrijwillig aanvinkt, en de wifi moet ook werken zonder dat vinkje.
De AVG noemt geen vaste termijn, maar zegt: niet langer dan nodig voor het doel. Voor een afgeronde reservering is dat kort, denk aan weken tot enkele maanden. Gegevens die je voor je boekhouding nodig hebt (zoals facturen) vallen onder de fiscale bewaarplicht van zeven jaar, maar dat geldt niet voor het hele gastprofiel.
Ja, grotendeels. Jij bepaalt dat gastgegevens daar worden opgeslagen, dus jij bent verwerkingsverantwoordelijke en het platform is jouw verwerker. Daarom hoort er een verwerkersovereenkomst te liggen en hoor jij te weten wat het platform met de data doet.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.