Bij de reservering vraagt je systeem naar bijzonderheden, en gasten vullen daar braaf in: "zwanger, 24 weken" of "hartklachten, liever geen 90 graden". Goedbedoeld en veilig, maar daarmee staan er gezondheidsgegevens in je reserveringssysteem. Tel daar de camera's, de gastenbestanden en de arrangement-mails bij op, en een wellnessbedrijf heeft meer met de AVG te maken dan het lijkt.
Een vrij veld "bijzonderheden" bij de reservering lijkt onschuldig, maar gasten zetten er precies in wat je niet ongemerkt wilt bewaren: zwangerschap, hartklachten, epilepsie, een recente operatie. Dat zijn bijzondere persoonsgegevens, en die staan dan onbeschermd tussen de gewone boekingsdata, zichtbaar voor iedereen met toegang tot het systeem. Wil je contra-indicaties uitvragen omdat dat voor de veiligheid nodig is, doe het dan bewust: vraag gericht, leg uit waarom, en vraag er uitdrukkelijke toestemming voor. Concreet: vervang het vrije veld waar mogelijk door gerichte keuzevragen, beperk wie in het systeem deze velden kan zien, en schoon opmerkingenvelden na het bezoek op. Wat de gast aan de balie mondeling meldt, hoeft meestal helemaal niet genoteerd te worden.
art. 9 + art. 7 AVGCameratoezicht bij de parkeerplaats, entree of kassa kan gerechtvaardigd zijn voor de veiligheid van gasten en personeel, mits je het duidelijk aankondigt, de beelden kort bewaart en niet meer filmt dan nodig. Maar in een wellnessbedrijf ligt de grens dichtbij: kleedruimtes, doucheruimtes en het saunagedeelte zijn plekken waar filmen simpelweg niet aan de orde is. Structureel cameratoezicht op voor publiek toegankelijke ruimtes kan bovendien een gegevensbeschermingseffectbeoordeling vereisen, zeker op grotere schaal. Concreet: loop na waar je camera's precies hangen en wat ze in beeld hebben, hang duidelijke bordjes op, bewaar beelden standaard maar enkele weken, leg het cameratoezicht vast in je verwerkingsregister en beperk streng wie de beelden mag terugkijken.
art. 5 + art. 30 + art. 35 AVGHet gastenbestand is commercieel goud: iedereen die ooit boekte, krijgt de nieuwsbrief met winterarrangementen. Maar reclame per e-mail vereist in beginsel voorafgaande toestemming. Er is één uitzondering die voor jou relevant is: eigen klanten mag je mailen over vergelijkbare eigen diensten, mits je het adres bij de boeking kreeg, dat toen meldde en bij elke mail een makkelijke afmeldknop biedt. Gekochte adressenlijsten of adressen van cadeaubon-ontvangers vallen daar niet onder. Concreet: check hoe elk adres in je nieuwsbriefbestand terechtkwam, verwijder adressen zonder duidelijke herkomst, zorg dat elke mail een werkende afmeldlink heeft en verwerk afmeldingen direct. Een kleiner bestand dat wél mag, levert meer op dan een groot bestand met klachtenrisico.
art. 11.7 Telecommunicatiewet + art. 6 AVGEen wellnessbedrijf leunt op externe systemen: het reserveringsplatform, de cadeaubonwebshop, het kassasysteem, de mailtool. Elk daarvan verwerkt gastgegevens in jouw opdracht, en met elk daarvan hoort een verwerkersovereenkomst te bestaan. In de praktijk ligt die er bij het grote reserveringsplatform meestal wel (in de voorwaarden), maar bij de kleinere schakels vaak niet. Extra aandacht verdient het opmerkingenveld uit de eerste sectie: staan daar gezondheidsgegevens in, dan staan die dus ook bij je platformleverancier. Concreet: zet alle systemen die gastdata raken op een rij, controleer per systeem of er een verwerkersovereenkomst is en waar de data staat, en spreek met je platform af welke velden na het verblijf worden geleegd.
art. 28 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanAlleen als het echt nodig is voor een veilig bezoek, en dan met uitdrukkelijke toestemming en een korte uitleg waarom je het vraagt. Gebruik gerichte keuzevragen in plaats van een vrij opmerkingenveld, en schoon de antwoorden na het bezoek op.
Bij de entree, kassa of parkeerplaats kan dat gerechtvaardigd zijn, met duidelijke bordjes en een korte bewaartermijn. In kleedruimtes, doucheruimtes en het saunagedeelte zelf hoort geen camera. Leg je cameratoezicht vast in je verwerkingsregister.
Eigen gasten mag je mailen over vergelijkbare eigen diensten, als je het adres bij de boeking kreeg, dat toen hebt gemeld en elke mail een afmeldknop heeft. Voor alle andere adressen heb je vooraf toestemming nodig. Gekochte lijsten zijn geen optie.
Niet langer dan nodig voor het doel. Voor boekingsgegevens is een termijn van één tot twee jaar na het bezoek meestal goed uit te leggen; factuurgegevens bewaar je fiscaal zeven jaar. Leg je termijnen vast en ruim periodiek op, ook in het reserveringssysteem.
De koper laat naam, mailadres en betaalgegevens achter, vaak bij een externe cadeaubonleverancier. Zorg dat je met die partij een verwerkersovereenkomst hebt en gebruik het mailadres van de ontvanger niet zomaar voor reclame: die persoon is geen klant van je geworden.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.