Een hotel of restaurant verwerkt persoonsgegevens op momenten die voor de gast heel verschillend voelen: reserveren, inchecken, een allergie doorgeven, wifi gebruiken of op beeld verschijnen. De AVG in de horeca vraagt daarom om een beoordeling per doel, niet één algemene toestemming bij de receptie. Bij overnachtingen speelt bovendien het nachtregister, waarvoor artikel 438 Wetboek van Strafrecht en lokale regels relevant zijn. Deze gids laat zien welke gegevensstroom u voor welk doel nodig heeft, hoe u wettelijke registratie van commercieel gebruik scheidt en welke vragen u bij camera’s, wifi en marketing moet beantwoorden.
Wifi-tracking illustreert waarom een historische boete geen eenvoudig antwoord geeft. De AP legde Enschede in 2021 een boete van €600.000 op voor wifi-metingen in de binnenstad, maar de Afdeling bestuursrechtspraak van de Raad van State liet op 29 juli 2026 de intrekking van die boete in stand. Volgens de uitspraak waren de gestelde overtredingen onvoldoende vastgesteld en mocht een laat aangevoerde andere grondslag het besluit niet redden. Dat oordeel is geen algemene toestemming voor het volgen van gasten. Beoordeel bij uw eigen systeem de identificatie, doelen, noodzaak, informatie en risico’s op basis van de werkelijke feiten.
Belangrijkste punten
- Wie bedrijfsmatig nachtverblijf aanbiedt, moet de nationale regels van artikel 438 Sr en toepasselijke gemeentelijke eisen controleren. De registratie legitimeert geen paspoortkopie of marketingprofiel.
- Een gewone restaurantreservering is iets anders dan een hotelnachtregister. Verzamel per dienst alleen noodzakelijke gegevens en kies een passende grondslag.
- Cameratoezicht vraagt een concreet doel, noodzaak, belangenafweging, informatie, beperkte toegang en een bewaartermijn die niet langer is dan nodig. Er geldt geen algemene wettelijke maximumtermijn van vier weken voor alle horecabeelden.
- Gasten-wifi aanbieden betekent niet dat u bewegingsprofielen mag maken. Techniek, doel en herkenbaarheid bepalen de privacytoets.
- E-mailmarketing en loyaliteitsprofielen hebben eigen regels; gegevens uit een wettelijke registratie mogen niet stilzwijgend voor reclame worden hergebruikt.
Het nachtregister: nationale plicht en lokale invulling
Artikel 438 Sr ziet op degene die er zijn beroep van maakt nachtverblijf te verschaffen. De bepaling verlangt onder meer dat bij aankomst een geldig reisdocument of identiteitsbewijs wordt getoond en dat een doorlopend register de wettelijke gegevens vastlegt. De Rijksdienst voor Ondernemend Nederland legt uit dat gemeenten aanvullende of praktische eisen kunnen stellen en dat de gemeente ook de bewaartermijn voor het nachtregister bepaalt. Controleer daarom uw gemeente en type accommodatie; neem niet zonder meer een lijst uit een andere stad over. Een café zonder overnachting heeft niet enkel door zijn horeca-activiteit hetzelfde nachtregister nodig.
Houd onderscheid tussen tonen en kopiëren van een identiteitsbewijs. De RVO zegt dat de uitbater het identiteitsbewijs van gasten niet tijdelijk mag bewaren of kopiëren en het BSN niet mag registreren. Artikel 438 vraagt het tonen en het noteren van de aard van het overgelegde document, niet een digitale scan. Vraag personeel dus geen foto ‘voor het gemak’ in een gedeelde map op te slaan. Heeft een andere specifieke rechtsregel in een bijzondere situatie wél een kopie nodig, beoordeel die afzonderlijk; laat de algemene nachtregisterroutine niet vooruitlopen op zo’n uitzonderlijk geval.
Een nachtregister kan nodig zijn voor hulpdiensten, gemeentelijk toezicht en toeristenbelasting. Dat betekent niet dat dezelfde gegevens naar uw nieuwsbriefsysteem mogen vloeien. Gebruik een technisch of organisatorisch onderscheid tussen verplichte gegevens, boekingsgegevens en marketingkeuzes. Als één hotelprogramma alles bevat, regel dan gescheiden velden, toegangsrechten, exports en verwijdermomenten. Een gast die een document toont of zijn naam moet opgeven om te overnachten, geeft daarmee geen toestemming voor een aanbieding. Meer over die scheiding staat bij de AVG-beginselen van doelbinding en minimalisatie.
Praktische controle aan de balie
Laat medewerkers weten welke gegevens de wet en gemeente werkelijk vragen. Zet de lijst naast het check-informulier en verwijder overbodige velden. Controleer of een online formulier dezelfde vragen stelt als de balie, of dat een kopie via e-mail wordt gevraagd terwijl het document pas ter plekke hoeft te worden getoond. Bespreek hoe u omgaat met reisgezelschappen, minderjarigen en uitzonderingen binnen artikel 438; presenteer één vaste set velden niet als universeel voor ieder gezelschap. Noteer welke gemeentelijke regeling en bewaartermijn u gebruikte, plus de datum van controle. Zo kan een opvolger de inrichting herzien als de lokale regels wijzigen.
Toegang tot het register moet passen bij het doel. Een nachtportier kan gegevens nodig hebben voor check-in, maar een marketeer niet. Beveilig digitale exports en scherm het register af voor bezoekers aan de balie. Vraag een leverancier of verwijderingen ook in back-ups en gekoppelde rapporten worden verwerkt. De gids over bewaartermijnen helpt de verschillende gegevensstromen uit elkaar te houden; een algemene hotelbrede termijn is meestal te grof.
Reserveringen, no-shows en betaalgegevens
Voor een restaurantreservering zijn naam, tijdstip en een contactmogelijkheid vaak voldoende. Een verzoek om geboortedatum of thuisadres verdient uitleg. Voor een hotelboeking kunnen meer gegevens nodig zijn voor verblijf, betaling en wettelijk nachtregister, maar bepaal per veld het doel. De AVG-grondslag overeenkomst uit artikel 6 lid 1 onder b geldt alleen wanneer verwerking objectief noodzakelijk is voor een overeenkomst met de betrokkene of voor stappen op diens verzoek. Bij een boeking door een werkgever voor een medewerker is die grondslag voor elke betrokken persoon niet automatisch passend. Maak een rol- en grondslagkaart voor hoofdboeker, medereiziger en zakelijke betaler.
Een no-showbeleid kan een contact- of betaalgegeven vergen, maar een onbeperkte zwarte lijst is geen logisch gevolg. Leg vast welke afspraak is geschonden, hoe een gast fouten kan corrigeren en hoelang het gegeven nodig is. Voorkom subjectieve labels als ‘lastige gast’ zonder verifieerbaar feit. Delen van een weigeringenlijst tussen ondernemingen vergroot de impact en vergt een afzonderlijke juridische beoordeling. Als een systeem profielen maakt die toegang tot een dienst beïnvloeden, onderzoek ook of een gegevensbeschermingseffectbeoordeling nodig is wegens waarschijnlijk hoog risico. Een DPIA is geen automatische plicht voor elke gemiste reservering.
Betaalgegevens blijven bij voorkeur beperkt tot wat uw gekozen betaalroute nodig heeft. Een externe betaaldienst is niet vanzelf uw verwerker: zij kan voor eigen wettelijke en fraudepreventiedoelen verantwoordelijke zijn. Leg in uw privacyinformatie uit welke partij welke rol heeft en hoe een gast vragen kan stellen. Bewaar geen volledige kaartgegevens in e-mail of een notitieveld van het reserveringssysteem. Gebruik de relevante betaalstandaarden en toegangsinstellingen, maar beloof niet dat een leverancier alleen door zijn merknaam aan alle AVG-eisen voldoet.
Allergieën en dieetwensen zorgvuldig behandelen
Een expliciete allergie of medische dieetbeperking kan een gezondheidsgegeven onder artikel 9 AVG zijn. Vraag alleen informatie die nodig is om de gevraagde maaltijd veilig te bereiden; vermijd uitgebreide medische geschiedenis. Bepaal zowel een grondslag onder artikel 6 als een passende uitzondering op het verbod van artikel 9 voordat u zulke informatie structureel registreert. De mogelijkheid van uitdrukkelijke toestemming kan in sommige situaties relevant zijn, maar een standaardvakje bij de boeking is niet automatisch vrij en specifiek. Als u het gegeven niet hoeft te bewaren, kan mondelinge afstemming met keuken en bediening met kortdurende, beperkte vastlegging passender zijn.
Maak duidelijk wie het gegeven moet zien. De keuken kan moeten weten dat een maaltijd vrij van een ingrediënt moet zijn, zonder het hele gastprofiel te bekijken. Verwijder de notitie na het verblijf of diner wanneer het doel is bereikt, tenzij een concrete reden voor langer bewaren bestaat. Als een gast zelf terugkerende voorkeuren wil bewaren, maak die keuze apart en herroepbaar. Een vegetarische voorkeur is niet per definitie een gezondheidsgegeven; maak de gevoeligheid afhankelijk van de inhoud. De uitleg over bijzondere persoonsgegevens helpt bij de kwalificatie.
Camera’s in de zaak, bij de ingang en op het terras
Beveiliging van mensen en eigendommen kan een gerechtvaardigd belang zijn, maar dat is het begin van de toets. Is de camera noodzakelijk voor het doel, zijn minder ingrijpende maatregelen mogelijk, en weegt het belang op tegen de privacy van gasten en personeel? Richt een camera niet zonder noodzaak op tafels, toiletten, kleedruimtes, buren of de openbare weg. Geluidsopname is volgens de AP niet passend als onderdeel van regulier beveiligingscameratoezicht. Informeer met zichtbare aanduiding en aanvullende uitleg over verantwoordelijke, doel, bewaartermijn en rechten. Beperk wie live en achteraf beelden ziet.
De AP zegt op haar actuele organisatiepagina: bewaar beelden niet langer dan noodzakelijk; beelden van een concreet incident mogen worden bewaard totdat dat incident is afgehandeld. Een maximum van vier weken in artikel 151c Gemeentewet ziet op een andere situatie, namelijk gemeentelijk cameratoezicht op openbare plaatsen, en is niet een universele horecanorm. Stel voor uw situatie een korte, gemotiveerde automatische overschrijfperiode vast en documenteer waarom die nodig is. Bewaar bij een incident alleen relevante fragmenten langer. Controleer ook of een voorgenomen grootschalige of systematische inzet een DPIA vereist en of een ondernemingsraad instemmingsrecht heeft voor een regeling die werknemers raakt. De AP-regels voor cameratoezicht bij organisaties geven de actuele voorwaarden.
Een camera voor veiligheid mag niet ongemerkt worden gebruikt om bedieningstijden van personeel of het koopgedrag van gasten te analyseren. Dat is een ander doel met een eigen beoordeling. Verborgen cameragebruik is uitzonderlijk en kent extra voorwaarden; maak er geen standaardinstrument tegen vermoedelijk kassaverlies van. Onderzoek eerst minder ingrijpende maatregelen, toegangsbeperking en voorlichting. Een intern camerabeleid kan technische instellingen, toegang, verzoeken van betrokkenen en incidentopslag vastleggen.
Gasten-wifi is geen bewegingsanalyse
Een wifi-netwerk voor internettoegang kan gegevens als apparaatadres, inlogtijd en verbruikslog nodig hebben voor levering en beveiliging. Bepaal een grondslag, beperk bewaartermijnen en vertel gasten wat u logt. Met wifi-sensoren de beweging of herhaalbezoeken van personen afleiden is een andere verwerking. Zelfs wanneer een apparaatadres wordt gehasht, kan herhaalde herkenning mogelijk blijven. Vraag welke persoon of hetzelfde apparaat over tijd herkenbaar is, of metingen tussen locaties worden gekoppeld, en of telling zonder individuele tracking haalbaar is.
De uitspraak over Enschede van 29 juli 2026 draaide om bewijs en de grenzen van de besluitvorming in dat specifieke handhavingsdossier; de AP-boete van 2021 bleef ingetrokken. Gebruik het bedrag dus niet als bestaande sanctie of bewijs dat iedere wifi-telling verboden is. Evenmin volgt uit de intrekking dat hoteltracking vrij is. Een privacyvriendelijke bezettingsschatting zonder herleidbare identifiers vraagt een andere toets dan een profiel per gast. Doe bij waarschijnlijk hoog risico vooraf een DPIA en bekijk de gids over privacy by design voor minder ingrijpende architectuur. Informeer gasten via de relevante wifi- en privacyinformatie, ook als het systeem van een externe netwerkbeheerder komt.
Loyaliteit en e-mail na het verblijf
Een spaarkaart kan orderhistorie en voorkeuren verwerken. Wees duidelijk over de tegenprestatie, gegevens, profielvorming en bewaartermijn; deelname mag niet automatisch alle advertentiekanalen activeren. Een gast die een reservering maakt, heeft daarmee geen aparte e-mailmarketingtoestemming gegeven. Voor elektronische reclame geldt in beginsel voorafgaande toestemming, met een beperkte klantuitzondering onder de Telecommunicatiewet voor eigen gelijksoortige producten of diensten wanneer aan de voorwaarden is voldaan, waaronder een kosteloze afmeldmogelijkheid bij verkrijging en ieder bericht. De AVG-grondslag en transparantie moeten daarnaast kloppen. Gebruik gegevens uit het nachtregister niet als reclamebron.
Maak in het reserveringsproces onderscheid tussen operationele berichten, zoals een bevestiging of wijziging, en reclame. Een bericht over een tafel morgen is geen vrijbrief om de volgende maand aanbiedingen te sturen. Documenteer de keuze en handel een bezwaar tegen direct marketing af: onder artikel 21 lid 2 AVG mag na bezwaar niet verder voor dat doel worden verwerkt. De gids voor direct marketing geeft de bredere regels. Controleer bij externe reserveringsplatforms wie de e-mailadressen ontvangt en of het platform zelf een marketingdoel heeft.
Leveranciers, register en verzoeken van gasten
Een leverancier is verwerker wanneer hij persoonsgegevens namens uw onderneming verwerkt op uw instructies. Een reserveringshost of cameraclouddienst kan die rol hebben; een partij met eigen doeleinden niet automatisch. Maak waar toepasselijk een verwerkersovereenkomst onder artikel 28, beoordeel toegang, beveiliging en subverwerkers, en houd rekening met mogelijke toegang buiten de EER. Neem de verschillende verwerkingen op in het verwerkingsregister voor zover artikel 30 van toepassing is. De uitzondering voor organisaties met minder dan 250 personen is per activiteit begrensd; niet-incidentele verwerking, de wettelijke risicovoorwaarde of artikel 9/10-gegevens kunnen haar uitsluiten. Een klein hotel is dus niet categorisch vrijgesteld. De AVG-gids voor kleine bedrijven geeft meer context voor de activiteitentoets.
Richt een route in voor inzage, correctie en verwijdering. Een gast kan zijn marketingprofiel laten wissen terwijl een verplicht nachtregistergegeven nog tijdelijk moet blijven; leg het verschil en de wettelijke grond uit. Als u een verzoek niet inwilligt, moet u redenen zonder onredelijke vertraging en uiterlijk binnen één maand geven, inclusief informatie over klacht en rechterlijk beroep. Zoek gegevens per systeem: reservering, nachtregister, loyaliteit, wifi en camera hebben verschillende eigenaren. Zo voorkomt u dat een medewerker belooft ‘alles is verwijderd’ terwijl een wettelijk register of betaaldossier nog bestaat. De neutrale gids voor AVG-compliance software helpt beoordelen wanneer meerdere systemen om een ondersteunde administratie vragen; software is geen wettelijke voorwaarde.
FAQ
Moet ieder restaurant een nachtregister bijhouden?
Nee, de nationale regel ziet op bedrijfsmatig aanbieden van nachtverblijf. Voor hotels en andere aanbieders van overnachtingen gelden artikel 438 Sr en relevante lokale regels. Een restaurant zonder overnachtingen krijgt niet daardoor een nachtregisterplicht. Controleer bij uw gemeente de concrete velden en bewaartermijn.
Mag ik een paspoort van een hotelgast kopiëren?
Niet als standaardonderdeel van het nachtregister. Artikel 438 vraagt dat een geldig document bij aankomst wordt getoond en verlangt registratie van de aard van het document; de RVO zegt uitdrukkelijk dat een aanbieder het identiteitsbewijs niet tijdelijk bewaart of kopieert en geen BSN registreert. Een eventuele andere specifieke wettelijke plicht moet apart worden vastgesteld.
Hoe lang mag ik camerabeelden bewaren?
Niet langer dan noodzakelijk voor uw concrete doel. Stel een gemotiveerde, korte automatische overschrijfperiode in. Is een incident vastgelegd, dan kunnen relevante beelden blijven totdat het incident is afgehandeld. Vier weken is geen algemene wettelijke horecamaximumtermijn; de in de Gemeentewet genoemde termijn ziet op gemeentelijke camera’s op openbare plaatsen.
Is een interne lijst met gasten die overlast veroorzaakten toegestaan?
Alleen na een concrete grondslag-, noodzaak- en belangenafweging. Leg objectieve feiten vast, beperk toegang en duur, informeer betrokkenen waar vereist en bied correctie. Een gedeelde lijst met andere ondernemingen heeft een grotere impact en vergt een aparte beoordeling. Een DPIA kan nodig zijn bij waarschijnlijk hoog risico, maar is niet automatisch voor iedere no-show verplicht.
Mag ik een hotelgast na vertrek een aanbieding mailen?
Alleen als de regels voor elektronische marketing en AVG-verwerking dat toelaten: doorgaans met voorafgaande toestemming of binnen de beperkte klantuitzondering voor eigen gelijksoortige diensten, met tijdige en eenvoudige afmeldmogelijkheid. Een nachtregisterinschrijving is geen marketingtoestemming en mag niet stilzwijgend als adressenbestand worden hergebruikt.
Primaire bronnen: AVG op EUR-Lex, RVO over het nachtregister en artikel 438 Sr, AP cameratoezicht en Raad van State 29 juli 2026, ECLI:NL:RVS:2026:4403.