De Verordening (EU) 2016/679 (AVG, in het Spaans RGPD) raakt direct elke organisator die gegevens van bezoekers verzamelt. E-mailadressen, namen, telefoonnummers, aankoopvoorkeuren... dit zijn allemaal persoonsgegevens die je volgens de regels moet verwerken. In Spanje wordt de verordening aangevuld door de Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Artikel 83.5 van de AVG stelt de hoogste boetecategorie op 20 miljoen euro of 4% van de totale wereldwijde jaaromzet, indien dit bedrag hoger is; artikel 83.4 kent een lagere categorie van 10 miljoen of 2%. Deze gids legt het belangrijkste uit.
Het risico is niet theoretisch. De Spaanse toezichthouder voor gegevensbescherming (AEPD) meldde op 23 januari 2026 dat zij in 2025 2.765 meldingen van datalekken had ontvangen, waarvan 80% uit de private sector. Dat zijn 7,6 meldingen per dag (eigen berekening op basis van het cijfer van de AEPD). Een organisator met een database van kopers valt binnen dat universum.
Welke gegevens verzamel je als evenementenorganisator?
Als evenementenorganisator verzamel je waarschijnlijk meer gegevens dan je denkt. Het is belangrijk ze allemaal in kaart te brengen, zodat je ze goed kunt beheren.
- Aankoopgegevens: naam, e-mailadres, telefoonnummer, factuuradres
- Toegangsgegevens: tijdstip van binnenkomst, zone, validatiepogingen
- Gedragsgegevens: bezochte pagina's, verlaten winkelmandjes
- Apparaatgegevens: IP-adres, browser, besturingssysteem
- Optionele gegevens: voorkeuren, geboortedatum, geslacht
De nuttige oefening is niet om ze op te sommen, maar om elk gegeven te koppelen aan zijn rechtsgrond en bewaartermijn. Deze tabel is het skelet van het register van verwerkingsactiviteiten dat artikel 30 van de AVG vereist:
| Gegeven | Waarvoor je het gebruikt | Rechtsgrond (art. 6, lid 1 AVG) | Tot wanneer |
|---|---|---|---|
| Naam en e-mailadres van de koper | Het ticket uitgeven en versturen | Uitvoering van de overeenkomst, letter b) | Zolang de overeenkomst en de verjaringstermijnen lopen |
| Factuurgegevens | Fiscale verplichtingen nakomen | Wettelijke verplichting, letter c) | De termijn die de fiscale regelgeving oplegt |
| E-mailadres voor de nieuwsbrief | Het volgende evenement verkopen | Toestemming, letter a) | Tot de betrokkene die intrekt |
| Tijdstip en toegangspoort van validatie | Capaciteits- en toegangscontrole | Gerechtvaardigd belang, letter f) | Zolang nodig voor de exploitatie van het evenement |
| Camerabeelden | Veiligheid van de locatie | Gerechtvaardigd belang, letter f) | Een maand (art. 22 LOPDGDD) |
| Gezondheids- of toegankelijkheidsgegevens | Een aangepaste plaats toewijzen | Uitdrukkelijke toestemming, art. 9, lid 2, onder a) | Zolang nodig om de dienst te verlenen |
Bronnen: artikelen 6, lid 1, 9, lid 2 en 30 van de AVG en artikel 22 van de LOPDGDD. De fiscale termijnen worden uitgewerkt in de gids over belastingen bij ticketverkoop. Welke gegevens je wel en niet mag vragen in het aankoopformulier staat in de gids over welke gegevens je van de koper van een ticket mag vragen.
Welke rechtsgronden bestaan er voor de verwerking van gegevens?
Artikel 6, lid 1 van de AVG vereist dat elke verwerking van gegevens op een van de zes opgesomde rechtsgronden berust. Voor evenementenorganisatoren zijn dit de belangrijkste:
- Uitvoering van een overeenkomst: je hebt de gegevens nodig om het ticket te verkopen en te leveren
- Toestemming: om nieuwsbrieven of commerciële berichten te versturen
- Gerechtvaardigd belang: om fraude te voorkomen of de dienst te verbeteren
- Wettelijke verplichting: fiscale gegevens die je volgens de wet moet bewaren. Raadpleeg de gids over belastingen bij ticketverkoop voor meer details
Twee waarschuwingen over gerechtvaardigd belang. De eerste: letter f) van artikel 6, lid 1 stelt als voorwaarde dat niet prevaleren «los intereses o los derechos y libertades fundamentales del interesado» («de belangen of de fundamentele rechten en vrijheden van de betrokkene»). Er is dus een schriftelijke afweging nodig, geen etiket. De tweede: artikel 21, lid 2 van de AVG geeft de bezoeker het recht om te allen tijde bezwaar te maken tegen verwerking voor direct-marketingdoeleinden, en dan «los datos personales dejarán de ser tratados para dichos fines» («de persoonsgegevens worden niet meer voor deze doeleinden verwerkt»). Geen enkele afweging houdt stand tegen een bezwaar.
Hoe krijg je goed toestemming?
Artikel 4, lid 11 van de AVG definieert toestemming als een wilsuiting die «libre, específica, informada e inequívoca» («vrij, specifiek, geïnformeerd en ondubbelzinnig») is, en artikel 7 voegt de voorwaarden toe om haar aan te tonen en in te trekken. Dat betekent dat je geen vooraf aangevinkte vakjes mag gebruiken, de aankoop niet afhankelijk mag maken van het accepteren van marketing en de toestemming niet mag verstoppen in algemene voorwaarden. Verstuur je daarnaast commerciële berichten per e-mail of sms, dan geldt ook artikel 21 van de Ley 34/2002 (LSSI-CE).
- Aparte vakjes voor elk doel (een voor marketing, een voor derden)
- Duidelijke, begrijpelijke taal, zonder juridisch jargon
- Toestemming even makkelijk intrekken als geven
- Registratie van wanneer en hoe elke toestemming is verkregen
Lid 1 van dat artikel 21 is stellig: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas» («Het is verboden reclame- of promotieberichten per e-mail of een ander gelijkwaardig elektronisch communicatiemiddel te versturen die de ontvangers daarvan niet eerder hebben gevraagd of uitdrukkelijk hebben toegestaan»). Lid 2 opent de enige bruikbare deur voor een organisator: bestaat er een eerdere contractuele relatie, zijn de gegevens rechtmatig verkregen en gaat het bericht over producten of diensten die lijken op de afgenomen, dan mag je iemand mailen die al bij je kocht. In ruil daarvoor moet je het bezwaar mogelijk maken via «un procedimiento sencillo y gratuito» («een eenvoudige en kosteloze procedure»), zowel bij het verzamelen van het gegeven als in elk bericht. In de praktijk: wie een ticket voor je festival kocht, mag de aankondiging van de volgende editie ontvangen; wie een theaterticket kocht, is niet de natuurlijke doelgroep van de campagne van een derde. Hoe je die reeks opzet, lees je in de gids over e-mailmarketing voor evenementen.
Welke rechten hebben bezoekers over hun gegevens?
De artikelen 15 tot en met 22 van de AVG geven bezoekers een reeks rechten over hun gegevens, die je moet kunnen afhandelen. Artikel 12, lid 3 geeft je een maand na ontvangst van het verzoek om te antwoorden. Die termijn kan met nog twee maanden worden verlengd als de complexiteit of het aantal verzoeken dat rechtvaardigt, mits je de betrokkene binnen de eerste maand informeert en de reden van de vertraging uitlegt.
- Inzage: weten welke gegevens je over hen hebt
- Rectificatie: onjuiste gegevens corrigeren
- Wissing: hun gegevens verwijderen (met wettelijke uitzonderingen)
- Overdraagbaarheid: hun gegevens in een gestructureerd formaat ontvangen
- Bezwaar: bepaalde verwerkingen weigeren
Twee praktische nuances. De overdraagbaarheid van artikel 20 geldt alleen voor gegevens die de betrokkene zelf aan je heeft verstrekt en voor verwerkingen op basis van toestemming of overeenkomst, en moet worden geleverd «en un formato estructurado, de uso común y lectura mecánica» («in een gestructureerd, gangbaar en machineleesbaar formaat»): een csv-bestand voldoet, een schermafbeelding niet. En de wissing van artikel 17 is niet absoluut: lid 3, onder b) maakt een uitzondering wanneer de verwerking nodig is «para el cumplimiento de una obligación legal» («voor het nakomen van een wettelijke verplichting»), en dat is precies wat er gebeurt met de fiscale administratie van een verkoop. Het marketingprofiel verwijderen en de factuur bewaren is geen tegenstrijdigheid: het is wat de regelgeving vraagt.
Wanneer heb je een effectbeoordeling nodig voor je evenement?
Wanneer de verwerking een hoog risico inhoudt. Artikel 35, lid 1 van de AVG verplicht je de gegevensbeschermingseffectbeoordeling (in het Spaans EIPD) uit te voeren voordat je de verwerking start, en de AEPD publiceert de lijst van soorten verwerkingen waarvoor een effectbeoordeling nodig is waarin artikel 35, lid 4 voorziet. Die lijst hanteert een praktisch criterium: een EIPD is nodig «en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios» («in de meeste gevallen waarin die verwerking aan twee of meer criteria voldoet») van de elf die de lijst opsomt.
Meerdere van die criteria komen samen bij een groot festival: verwerkingen die «perfilado o valoración de sujetos» («profilering of beoordeling van personen») inhouden (criterium 1), «el uso de datos biométricos con el propósito de identificar de manera única a una persona física» («het gebruik van biometrische gegevens om een natuurlijke persoon unieke te identificeren», criterium 5), «el uso de datos a gran escala» («het gebruik van gegevens op grote schaal», criterium 7), de «asociación, combinación o enlace de registros de bases de datos de dos o más tratamientos con finalidades diferentes o por responsables distintos» («koppeling, combinatie of samenvoeging van databankregistraties van twee of meer verwerkingen met verschillende doeleinden of door verschillende verwerkingsverantwoordelijken», criterium 8) en «la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas» («het gebruik van nieuwe technologieën of een innovatief gebruik van gevestigde technologieën», criterium 10).
Laten we het uitrekenen voor een concreet geval. Dit is onze lezing van de lijst en geen besluit van de AEPD: een festival dat de toegang valideert met een vingerafdruk, de kopersdatabase kruist met die van de cashless-betaling en campagnes segmenteert op koopgedrag, voldoet aan de criteria 5, 7, 8 en 10. Dat zijn er vier van de elf: de EIPD is dan niet meer ter discussie.
Mag je gezichtsherkenning of vingerafdruk gebruiken bij de toegangscontrole?
Alleen met een zeer solide juridische grondslag, en bijna nooit met alleen toestemming. De AEPD publiceerde op 23 november 2023 de gids Tratamientos de control de presencia mediante sistemas biométricos (verwerkingen voor aanwezigheidscontrole met biometrische systemen) en stelt in haar persbericht dat zij «el tratamiento de datos biométricos, tanto para identificación como para autenticación, como un tratamiento de alto riesgo que incluye categorías especiales de datos» beschouwt («de verwerking van biometrische gegevens, zowel voor identificatie als voor authenticatie, als een verwerking met hoog risico waarbij bijzondere categorieën gegevens betrokken zijn»).
Dat heeft drie gevolgen. Je hebt een omstandigheid nodig die het verbod van artikel 9, lid 1 van de AVG opheft en daarnaast een voorwaarde van artikel 6 die de verwerking legitimeert. Je hebt een EIPD nodig «de forma previa al inicio del tratamiento» («voorafgaand aan de start van de verwerking»). En je moet aantonen dat «la superación del triple análisis de idoneidad, necesidad y proporcionalidad» («de drievoudige toets van geschiktheid, noodzakelijkheid en evenredigheid is doorstaan»): als een persoonsgebonden QR-code of een NFC-armband de toegangscontrole oplost, haalt de vingerafdruk de noodzakelijkheidstoets niet. Daarom blijven de meeste locaties bij toegangscontrole met QR en NFC, die veel minder gegevens verwerkt en niet onder artikel 9 valt.
Wat met leveranciers en verwerkers?
Wanneer je een ticketingplatform, een e-mailmarketingdienst of een andere leverancier gebruikt die toegang heeft tot gegevens van je bezoekers, vereist artikel 28 van de AVG een schriftelijke verwerkersovereenkomst. Dat artikel somt op wat de overeenkomst minimaal moet bevatten: onderwerp, duur, aard en doel van de verwerking, soort gegevens, categorieën van betrokkenen en de verplichtingen van de verwerker, waaronder alleen handelen volgens jouw instructies en de gegevens wissen of teruggeven na afloop van de dienst.
- Controleer of je leveranciers de AVG naleven
- Sluit verwerkersovereenkomsten af
- Controleer waar ze de gegevens opslaan (internationale doorgiften)
- Houd een register bij van alle leveranciers met toegang tot gegevens
Drie punten die in standaardcontracten vaak ontsnappen. Artikel 28, lid 2 verbiedt de verwerker om zonder jouw voorafgaande schriftelijke, specifieke of algemene toestemming te onderaannemen: wisselt je platform van aanbieder voor transactionele e-mail, dan heb je het recht dat te weten en er bezwaar tegen te maken. Artikel 28, lid 3, onder h) geeft je het recht de verwerker te auditen of zijn audits te ontvangen. En als een leverancier gegevens buiten de Europese Economische Ruimte verwerkt zonder adequaatheidsbesluit, is het gebruikelijke instrument de modelcontractbepalingen van Uitvoeringsbesluit (EU) 2021/914 van de Commissie, die je moet ondertekenen en aanvullen met een beoordeling van het land van bestemming. Het startpunt van dat gesprek is eenvoudig: vraag vóór de ondertekening schriftelijk om de lijst van subverwerkers en het land waar de gegevens worden gehost, niet na het eerste incident.
Wat doe je bij een beveiligingsincident?
Artikel 33, lid 1 van de AVG verplicht je het beveiligingsincident te melden bij de toezichthoudende autoriteit, in Spanje de Agencia Española de Protección de Datos, «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella» («zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat je er kennis van hebt genomen»). Er zijn twee nuances die vaak over het hoofd worden gezien: je hoeft niet te melden als het onwaarschijnlijk is dat het lek een risico voor de rechten en vrijheden van personen inhoudt, en als je de 72 uur overschrijdt, moet je de vertraging motiveren. Is het risico hoog, dan verplicht artikel 34 je bovendien de betrokkenen te informeren. De AEPD publiceert een gids voor het melden van datalekken; het protocol klaar hebben liggen voordat het gebeurt, maakt het verschil.
De cijfers van de AEPD over 2025 helpen om dit te ijken. Van de 2.765 ontvangen meldingen zijn er elf doorgezet naar aanvullend onderzoek vanwege hoge ernst: 0,4% (eigen berekening). Melden is geen bekentenis van een overtreding; niet melden is wel op zichzelf een schending van artikel 33. De lekken met de grootste impact waren volgens de Spaanse toezichthouder zelf die door ransomware en inbraken in informatiesystemen, maar tot de meest voorkomende behoren de alledaagse: persoonsgegevens naar de verkeerde ontvangers sturen en per ongeluk persoonsgegevens tonen. Een e-mail met de gastenlijst in zichtbare cc is precies dat.
Twee nuttige hulpmiddelen. De AEPD biedt Comunica-Brecha RGPD om te bepalen of je de betrokkenen conform artikel 34 moet informeren. En artikel 33, lid 5 verplicht je alle lekken intern te documenteren, ook die je niet meldt, met hun gevolgen en de genomen maatregelen: dat register is het eerste wat een inspectie opvraagt.
Welke fouten maken organisatoren het vaakst?
Zes, en geen enkele vereist een hacker.
- De gastenlijst in zichtbare cc. Een mailing met honderd zichtbare adressen is een inbreuk op de vertrouwelijkheid, van het soort dat de AEPD als een van de meest voorkomende beschrijft.
- Het vooraf aangevinkte marketingvakje. Onverenigbaar met artikel 4, lid 11 van de AVG, dat een ondubbelzinnige wilsuiting vereist.
- De kopersdatabase aan de sponsor overdragen. Dat is een ander doel en heeft een eigen rechtsgrond en voorafgaande informatie nodig. Het past niet in de verkoopovereenkomst van het ticket.
- De database exporteren naar een nieuwe tool zonder verwerkersovereenkomst. Artikel 28 geldt even goed voor een test-CRM als voor het hoofdplatform.
- Het identiteitsbewijs (DNI) vragen «voor de zekerheid». Het beginsel van minimale gegevensverwerking in artikel 5, lid 1, onder c) vereist dat je alleen verzamelt wat toereikend is en beperkt tot wat noodzakelijk is.
- Camerabeelden langer dan een maand bewaren. Artikel 22 van de LOPDGDD verplicht je ze binnen die termijn te wissen, tenzij ze onrechtmatige handelingen aantonen.
Waarom is de AVG een kans en niet alleen een verplichting?
De AVG is niet alleen een wettelijke verplichting, maar ook een kans om vertrouwen op te bouwen bij je bezoekers. Transparant en verantwoord met gegevens omgaan verbetert je reputatie en verkleint risico's. Investeer tijd in het goed inrichten van de basis en werk die bij wanneer je processen veranderen.
En Futura Tickets, welk deel hiervan dekt het?
Geen enkel platform maakt van jou een organisator die aan de regels voldoet: de verwerkingsverantwoordelijke ben jij en het platform is verwerker. Wat per leverancier wél verschilt, is wie de gegevens houdt. Futura Tickets is een Spaans SaaS-ticketingplatform voor professionele organisatoren. Bij Futura Tickets is de database met bezoekers voor 100% van de organisator: e-mailadressen en telefoonnummers worden volledig geleverd, conform de AVG. Dat is belangrijk op de dag dat een bezoeker zijn recht op inzage of wissing uitoefent: als je niet kunt exporteren of verwijderen, kun je het niet afhandelen binnen de maand die artikel 12, lid 3 voorschrijft. De voorwaarden staan onder prijzen.
Wat controleer je voordat je de verkoop opent
Zes controles, allemaal vóór het eerste verkochte ticket.
Schrijf het register van verwerkingsactiviteiten vóór het formulier. Artikel 30 van de AVG vereist het en dwingt je bovendien om voor elk gegeven de rechtsgrond te bepalen. Als je niet weet welke grondslag een veld dekt, is dat veld overbodig.
Scheid de vakjes en bewaar het bewijs. Een voor de aankoop, een voor marketing, een voor het delen met derden. En een registratie met datum, tijdstip en getoonde tekst: artikel 7, lid 1 maakt jou verantwoordelijk voor het aantonen dat de toestemming bestond.
Sluit de verwerkersovereenkomst af met je platform en vraag om de lijst van subverwerkers. Met het land van hosting schriftelijk erbij. Is er een bestemming buiten de EER, vraag dan om de modelbepalingen van Besluit 2021/914.
Beslis vandaag wie een inzageverzoek afhandelt. Je hebt een maand vanaf het verzoek. Een mailbox zonder eigenaar is de meest voorkomende manier om die termijn te missen.
Bereid het datalekprotocol voor vóór het evenement. Wie signaleert, wie beoordeelt het risico, wie meldt en met welke gegevens. De 72 uur van artikel 33 lopen ook door in een festivalweekend.
Controleer welke toegangstechnologie je gaat gebruiken. Als iemand vingerafdruk of gezicht voorstelt, is het korte antwoord dat het verbod van artikel 9 moet worden opgeheven en dat vooraf een EIPD nodig is. Voldoet een persoonsgebonden QR-code, gebruik dan de QR-code.
Bronnen
Alle links zijn geraadpleegd op 11 oktober 2026. Deze gids is informatief en vervangt geen juridisch advies voor een concreet geval.
- Verordening (EU) 2016/679 (AVG) — art. 4, lid 11 en 7 (toestemming), art. 5, lid 1, onder c) (minimale gegevensverwerking), art. 6, lid 1 (rechtsgronden), art. 9 (bijzondere categorieën), art. 12, lid 3 (antwoordtermijn), art. 15-22 (rechten), art. 28 (verwerker), art. 30 (register van verwerkingsactiviteiten), art. 33 en 34 (datalekken), art. 35 (effectbeoordeling), art. 83.4 en 83.5 (boetes)
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales — art. 7 (minderjarigen onder veertien jaar) en art. 22 (videobewaking)
- Ley 34/2002, de servicios de la sociedad de la información (LSSI-CE), art. 21
- Agencia Española de Protección de Datos
- AEPD: gids voor het beheer en de melding van beveiligingsincidenten (PDF)
- AEPD: de toezichthouder ontving 2.765 meldingen van datalekken in 2025 (persbericht, 23 januari 2026)
- AEPD: lijsten van soorten verwerkingen waarvoor een effectbeoordeling nodig is, artikel 35, lid 4 (PDF)
- AEPD: gids over verwerkingen voor aanwezigheidscontrole met biometrische systemen, november 2023 (PDF)
- AEPD: persbericht over het gebruik van biometrische gegevens voor aanwezigheids- en toegangscontrole
- AEPD: hulpmiddel Comunica-Brecha RGPD
- Uitvoeringsbesluit (EU) 2021/914 van de Commissie, modelcontractbepalingen voor de doorgifte van gegevens aan derde landen