Een bemiddelingsbureau voor vakantiehuizen zit tussen twee partijen in: de gast die boekt en de eigenaar die verhuurt. Van allebei verwerk je gegevens, en bij elke boeking stuur je gastgegevens door naar de eigenaar, de schoonmaak en soms de sleuteldienst. Wie daar nooit over heeft nagedacht, deelt bijna zeker meer dan nodig is.
Voor je eigen bedrijfsvoering (boekingen aannemen, facturen sturen, je website) ben je verwerkingsverantwoordelijke voor zowel gast- als eigenaarsgegevens. Maar zodra je namens een eigenaar taken uitvoert, bijvoorbeeld zijn gastenadministratie of nachtregistratie bijhoudt, kun je voor dat deel verwerker zijn. Die rolverdeling bepaalt wie de gast moet informeren, wie een verzoek om inzage of verwijdering afhandelt en met wie je afspraken op papier zet. In de praktijk is er vaak niets vastgelegd. Wat je kunt doen: beschrijf per gegevensstroom wie wat bepaalt, leg de afspraken met eigenaren vast in je bemiddelingsovereenkomst, en zorg dat je privacyverklaring beide klantgroepen apart benoemt.
art. 28 + art. 13 AVGBij elke boeking gaan gastgegevens de deur uit: naam en aankomsttijd naar de eigenaar, adres en data naar de schoonmaakploeg, telefoonnummer naar de sleuteldienst. Vaak gaat de complete boekingsbevestiging naar iedereen, inclusief betaalgegevens, gezinssamenstelling en opmerkingen van de gast. De AVG vraagt om per ontvanger alleen te delen wat die nodig heeft, en de gast moet in je privacyverklaring kunnen lezen wie zijn gegevens ontvangt. Wat je kunt doen: maak per partij een vaste, minimale gegevensset (de schoonmaak heeft geen naam van de gast nodig, alleen het huis en de wisseldag), stuur geen complete boekingsdossiers door, en benoem de ontvangers in je privacyverklaring.
art. 5 AVGVoor borg of nachtregistratie vragen eigenaren en bemiddelaars regelmatig een kopie van het identiteitsbewijs, en die komt per mail binnen. Zo ontstaat een mailbox vol paspoorten die jaren bewaard blijven, doorzoekbaar voor iedereen met toegang en goud waard bij een hack. Meestal is de kopie helemaal niet nodig: voor een register volstaat het overnemen van enkele gegevens, en een borg regel je via de betaling. Wat je kunt doen: stop met het opvragen van ID-kopieën waar het zonder kan, verwijder binnengekomen kopieën direct na gebruik, ruim de mailbox periodiek op, en beveilig mailaccounts met tweestapsverificatie.
art. 5 + art. 32 AVGDe boekingssite is je etalage, en juist daar gaat het vaak stil mis. Externe lettertypen die bij Google worden geladen sturen het IP-adres van elke bezoeker naar de VS, analytics- en marketingpixels laden mee voordat iemand iets heeft aangevinkt, en de cookiebanner heeft wel een accepteerknop maar geen gelijkwaardige weigerknop. Voor een bedrijf dat bij elke boeking om vertrouwen vraagt, is dat een onnodige valse start. Wat je kunt doen: host lettertypen op je eigen server, laat niet-noodzakelijke cookies pas laden na toestemming, geef de banner een echte weigerknop en controleer welke gegevens je boekingsformulier precies vraagt.
art. 44 e.v. AVG + art. 11.7a TelecommunicatiewetDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanAlleen wat de eigenaar nodig heeft voor het verblijf, zoals naam, aantal personen en aankomstdatum. Een complete boekingsbevestiging met betaalgegevens en persoonlijke opmerkingen gaat verder dan nodig. Zet in je privacyverklaring dat en welke gegevens je met de eigenaar deelt.
Meestal is dat niet nodig en dus niet toegestaan volgens het uitgangspunt van minimale gegevensverwerking. Een borg regel je via de betaling, en voor registratie volstaat het overnemen van enkele gegevens. Komt er toch een kopie binnen, verwijder die dan direct na gebruik.
Vaak allebei, per gegevensstroom verschillend. Voor je eigen boekingsadministratie en marketing ben je verantwoordelijke; voer je taken uit die de eigenaar bepaalt, dan kun je voor dat deel verwerker zijn. Leg de rolverdeling vast in je overeenkomst met de eigenaar.
Ja. Eigenaren zijn een eigen groep betrokkenen: je verwerkt hun naam, adres, bankgegevens en verhuurresultaten. Je privacyverklaring hoort beide groepen te beschrijven, met per groep het doel, de bewaartermijn en de ontvangers.
Niet langer dan nodig voor het doel. Factuurgegevens vallen onder de fiscale bewaarplicht van zeven jaar, maar het volledige boekingsdossier met opmerkingen en reisgezelschap niet. Een korte, vaste termijn na het verblijf, met een jaarlijks opruimmoment, is een werkbare aanpak.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.