Zodra je tickets verkoopt, verwerk je persoonsgegevens — naam, e-mailadres en betaalgegevens — en val je onder de Algemene verordening gegevensbescherming (AVG). In de kern komen je verplichtingen neer op vijf punten: je hebt een grondslag nodig (voor ticketverkoop is dat de uitvoering van de overeenkomst; voor marketingmails daarnaast aparte toestemming), je bewaart gegevens niet langer dan nodig, je sluit een verwerkersovereenkomst met je ticketplatform, je beveiligt de gegevens passend en je honoreert de rechten van bezoekers op inzage, correctie en verwijdering. De Autoriteit Persoonsgegevens houdt toezicht en kan boetes opleggen die oplopen tot 4 procent van de jaaromzet — maar wie deze vijf punten op orde heeft, voldoet aan het overgrote deel van de verplichtingen. In dit artikel lopen we ze stuk voor stuk langs, toegespitst op de praktijk van een evenementenorganisator.
Bijgewerkt op 1 september 2026: toegevoegd dat de Autoriteit Persoonsgegevens sinds 1 september 2026 wettelijk verplicht is een opgelegde sanctie openbaar te maken (artikel 21b Uitvoeringswet AVG). Eerdere aanvulling (10 augustus 2026): toegevoegd dat er een Europees voorstel ligt (het Digital Omnibus-pakket) om de meldtermijn bij een datalek van 72 naar 96 uur te verruimen en de meldplicht te beperken tot lekken met een hoog risico. Dat voorstel is nog niet aangenomen; de 72-uursregel geldt onverkort.
Elke ticketverkoop is een gegevensverwerking
Zodra je tickets verkoopt, verwerk je persoonsgegevens: naam, e-mailadres, soms een telefoonnummer en betaalgegevens. Daarmee val je onder de Algemene verordening gegevensbescherming (AVG). Geen reden tot paniek — wel reden om een paar dingen goed te regelen.
1. Heb een grondslag en doel
Je mag gegevens alleen verwerken met een geldige grondslag. De AVG kent er zes; de Autoriteit Persoonsgegevens loopt ze langs in Grondslagen AVG uitgelegd. Voor ticketverkoop is dat doorgaans de uitvoering van de overeenkomst: je hebt de gegevens nodig om het ticket te leveren en de koper toe te laten. Wil je daarna ook marketingmails sturen? Dan heb je daarvoor doorgaans aparte toestemming nodig — waar de AP aparte eisen aan stelt, zie Grondslag toestemming. Houd die twee dus gescheiden.
2. Bewaar niet langer dan nodig
Gegevens mogen niet eindeloos blijven staan. Bepaal per soort gegeven een redelijke bewaartermijn (denk aan fiscale bewaarplicht voor facturen versus marketingdata die je veel eerder opschoont) en houd je daaraan.
3. Sluit een verwerkersovereenkomst
Gebruik je een ticketplatform, dan verwerkt dat platform gegevens namens jou. Daarvoor hoort een verwerkersovereenkomst te bestaan waarin staat hoe het platform met die gegevens omgaat en beveiligt. Vraag hier altijd naar — het is een wettelijke eis, geen formaliteit. De Autoriteit Persoonsgegevens legt uit wat er precies in moet staan op Verwerkersovereenkomst.
4. Respecteer de rechten van bezoekers
Bezoekers hebben recht op inzage in hun gegevens, op correctie en op verwijdering ("recht om vergeten te worden"). Het volledige rijtje staat bij de Autoriteit Persoonsgegevens onder Privacyrechten AVG. Je moet zo'n verzoek kunnen uitvoeren. Een platform dat dit zelf faciliteert, scheelt je veel handwerk.
5. Beveilig, en weet wat je doet bij een datalek
Persoonsgegevens horen versleuteld en goed beveiligd te zijn; wat "passend" betekent, werkt de AP uit in Beveiliging van persoonsgegevens. Gaat er toch iets mis en lekken er gegevens, dan moet je dat in beginsel binnen 72 uur melden bij de Autoriteit Persoonsgegevens (en soms bij de betrokkenen) — de AP schrijft daarover: "Dit moet u doen binnen 72 uur na kennisname van het lek" (Zo meldt u een datalek). Zorg dat je weet hoe je dat doet vóórdat het nodig is.
Let op: die 72 uur staat op de nominatie om te veranderen
Er ligt in Brussel een voorstel dat precies deze regel raakt. In het Digital Omnibus-pakket dat de Europese Commissie op 19 november 2025 presenteerde, wordt artikel 33 AVG zo herschreven dat de meldplicht alleen nog geldt bij een lek "that is likely to result in a high risk to the rights and freedoms of natural persons", met een termijn van "not later than 96 hours after having become aware of it" — zie de voorgestelde verordening op EUR-Lex. De melding zou bovendien via één Europees loket gaan in plaats van rechtstreeks bij de nationale toezichthouder. De EDPB en de EDPS steunden die verruiming in hun gezamenlijke advies van 11 februari 2026.
Belangrijk: dit is nog geen geldend recht. Anders dan het AI-deel van hetzelfde pakket, dat inmiddels is aangenomen, staat dit voorstel medio 2026 nog als "tabled" in de wetgevingsmonitor van het Europees Parlement. Richt je proces dus gewoon in op 72 uur en op de bestaande meldplicht — en houd er rekening mee dat het regime binnen afzienbare tijd kan verschuiven.
Een sanctie is sinds 1 september 2026 openbaar
Bij het inschatten van je risico hoort sinds kort nog één ding. Tot voor kort publiceerde de Autoriteit Persoonsgegevens boetes en andere sancties op grond van haar eigen beleid; sinds 1 september 2026 is ze daartoe wettelijk verplicht. Het nieuwe artikel 21b van de Uitvoeringswet AVG, ingevoerd via de Verzamelwet gegevensbescherming (Staatsblad 2026, 154, in werking gezet bij Staatsblad 2026, 196), maakt openbaarmaking van een bestuurlijke sanctie het uitgangspunt in plaats van een afweging per geval.
Voor een organisatie waarvan de naam het belangrijkste bezit is — een festival, een corso, een vereniging — verschuift daarmee het zwaartepunt van het risico. Niet de boete zelf, maar wat erover te lezen valt. Wat er precies is veranderd en welke tien werkdagen je krijgt voordat een besluit online gaat, staat in Vanaf 1 september komt een AVG-boete met naam en toenaam online.
Hoe MijnEvent je hierbij helpt
Privacy zit bij MijnEvent in het ontwerp:
- Bezoekers regelen het zelf. In hun account kunnen ze hun gegevens downloaden (export) en hun account laten verwijderen — precies de AVG-rechten, zonder dat jij iets hoeft te doen.
- E-mailadressen worden afgeschermd waar dat kan, zodat gevoelige gegevens niet onnodig zichtbaar zijn.
- Versleutelde opslag van gevoelige velden, en een heldere afspraak over wie waarvoor verantwoordelijk is.
Zo voldoe je makkelijker aan de AVG zonder dat je zelf een privacyjurist hoeft te zijn.
Kort samengevat
De AVG vraagt om een geldige grondslag, beperkte bewaartermijnen, een verwerkersovereenkomst, respect voor bezoekersrechten en goede beveiliging. Met een platform dat dit ondersteunt, wordt compliance een kwestie van goede keuzes maken in plaats van zelf het wiel uitvinden.
Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg bij twijfel een privacyspecialist.
Wet- en regelgeving verandert, en tarieven worden jaarlijks herzien. We doen ons best dit artikel actueel te houden en verwijzen waar mogelijk naar de bron, maar we kunnen niet garanderen dat alles op jouw moment van lezen nog klopt. Gaat het om een beslissing met financiële of juridische gevolgen, controleer het dan bij de instantie zelf of leg het voor aan een jurist of adviseur. Zie ook onze algemene disclaimer.
