DPIA — Gegevensbeschermingseffectbeoordeling

1. Inleiding en aanleiding

Deze gegevensbeschermingseffectbeoordeling (DPIA) beschrijft de verwerkingen van persoonsgegevens binnen het MijnEvent-platform, beoordeelt de risico's daarvan voor de rechten en vrijheden van betrokkenen en beschrijft de maatregelen waarmee die risico's worden beperkt. De DPIA is opgesteld conform artikel 35 van de Algemene Verordening Gegevensbescherming (AVG). Omdat MijnEvent grootschalig persoonsgegevens verwerkt in een ticketomgeving met betalingen, doorverkoop en toegangscontrole, is een DPIA passend en ondersteunt zij tevens organisatoren bij hun eigen verantwoordingsplicht.

2. Verantwoordelijkheden en rolverdeling

MijnEvent vervult afhankelijk van de verwerking twee rollen:

Voor de persoonsgegevens van bezoekers (ticketkoop, betaling, doorverkoop, check-in) is de organisator verwerkingsverantwoordelijke en treedt MijnEvent op als verwerker, conform de verwerkersovereenkomst (AVG art. 28).
Voor de eigen verwerkingen van het platform — organisator-accounts, authenticatie en beveiliging, facturatie en platform-brede statistieken — is MijnEvent zelf verwerkingsverantwoordelijke.
Deze DPIA dekt beide rollen op platformniveau en stelt organisatoren in staat hun eigen DPIA-verplichting te vervullen.

3. Systematische beschrijving van de verwerkingen

Onderstaand register beschrijft per verwerking het doel, de rechtsgrond, de betrokkenen, de categorieën persoonsgegevens en de bewaartermijn.

Verwerking	Doel	Rechtsgrond (AVG art. 6)	Betrokkenen	Persoonsgegevens	Bewaartermijn
Ticketverkoop en bestellingen	Verwerken van ticketaankopen en leveren van tickets.	Uitvoering van de overeenkomst (art. 6.1.b).	Bezoekers/kopers.	Naam, e-mailadres, woonplaats, bestel- en ticketgegevens.	Duur van het evenement; financiële gegevens vallen onder de fiscale bewaarplicht van de organisator.
Betalingsverwerking (Mollie Connect)	Afhandelen van betalingen en de platform fee.	Uitvoering van de overeenkomst (art. 6.1.b); wettelijke plicht (art. 6.1.c).	Bezoekers/kopers.	Betaalstatus en transactiereferenties. Kaart- en bankgegevens worden uitsluitend door Mollie verwerkt en raken de servers van MijnEvent niet.	Conform Mollie en de fiscale bewaarplicht.
Organisator-accounts en Mollie-koppeling	Beheer van de organisatie, facturatie/acceptatie en het koppelen van het eigen Mollie-account van de organisator.	Uitvoering van de overeenkomst (art. 6.1.b); wettelijke plicht (art. 6.1.c); gerechtvaardigd belang (art. 6.1.f).	Organisatoren en teamleden.	Naam, zakelijk e-mailadres, bedrijfsgegevens (KVK, btw) die de organisator in MijnEvent invult, en versleuteld opgeslagen Mollie OAuth-tokens.	Duur van het account, plus wettelijke bewaartermijnen.
Authenticatie en e-mailafscherming	Beveiligde, wachtwoordloze toegang en het afschermen van bezoekers-e-mailadressen in beheeromgevingen.	Gerechtvaardigd belang: beveiliging (art. 6.1.f).	Organisatoren, teamleden en bezoekers.	E-mailadres, gehashte magic-link- en OTP-tokens, apparaat-tokens en een auditlogboek bij onthulling van afgeschermde adressen.	Tokens zijn kortlevend (minuten tot dagen); auditlogboeken worden langer bewaard voor controleerbaarheid.
Doorverkoop (resale)	Peer-to-peer doorverkoop van tickets tussen bezoekers.	Uitvoering van de overeenkomst (art. 6.1.b).	Kopers en verkopers.	Ticket-eigendom, vraagprijs en de oude en nieuwe ticket-tokens.	Duur van het evenement.
Check-in via QR-codes	Toegangscontrole bij het evenement.	Uitvoering van de overeenkomst (art. 6.1.b); gerechtvaardigd belang van de organisator (art. 6.1.f).	Bezoekers en controleurs.	Uniek ticket-token, check-in-tijdstip, controleur-identificatie en optioneel de scanlocatie.	Duur van het evenement met een korte nazorgperiode.
Multi-tenancy (subdomein per organisator)	Logische en, waar van toepassing, fysieke scheiding van de gegevens van elke organisator.	Organisatorische en technische maatregel ter ondersteuning van de overige verwerkingen (geen zelfstandige grondslag).	Niet van toepassing (isolatiemaatregel).	Niet van toepassing.	Niet van toepassing.
Statistieken per organisator	Inzicht bieden in verkoop- en bezoekcijfers.	Gerechtvaardigd belang van de organisator (art. 6.1.f).	Bezoekers (uitsluitend geaggregeerd).	Cookieloze, geaggregeerde bezoekstatistieken en verkoopcijfers; geen individuele bezoekersprofielen.	Zolang de statistieken relevant zijn voor de organisator.
Privacy-verzoeken (inzage/verwijdering)	Faciliteren van de rechten van betrokkenen (inzage, dataportabiliteit, verwijdering).	Wettelijke plicht (art. 6.1.c; art. 15–17 AVG).	Bezoekers en organisatoren.	Identificatie- en verzoekgegevens die nodig zijn om het verzoek af te handelen.	Zolang nodig voor afhandeling en als bewijs van correcte uitvoering.

Let op: het aanmaken en verifiëren (KYC) van het Mollie-account verloopt rechtstreeks tussen de organisator en Mollie, buiten MijnEvent om. Mollie treedt daarbij op als zelfstandig verwerkingsverantwoordelijke; MijnEvent ontvangt uitsluitend de OAuth-tokens (versleuteld) om namens de organisator betalingen te initiëren, en verwerkt zelf geen identiteits- of KYC-documenten.

Een actueel overzicht van alle ingeschakelde subverwerkers (waaronder Mollie, Amazon Web Services, Cloudflare en de e-mail- en statistiekdiensten), met hun doel en vestigingslocatie, staat op onze beveiligingspagina. Bekijk het actuele subverwerkersoverzicht

4. Noodzaak en evenredigheid

De verwerkingen zijn noodzakelijk om tickets te kunnen verkopen, betalingen af te wikkelen en toegang te controleren. MijnEvent past de volgende beginselen toe:

Dataminimalisatie: van bezoekers worden uitsluitend naam, e-mailadres en woonplaats gevraagd; er worden geen bijzondere categorieën persoonsgegevens verwerkt.
Doelbinding: gegevens worden alleen gebruikt voor de ticketdienst en nooit voor eigen reclame of verkoop aan derden.
Opslagbeperking: gegevens worden niet langer bewaard dan noodzakelijk, met self-service verwijdering en afspraken over teruggave of vernietiging na afloop.
Privacy by design en by default: wachtwoordloze authenticatie, e-mailafscherming, cookieloze statistieken en versleuteling zijn standaard ingebouwd.

5. Risicobeoordeling en restrisico's

Per geïdentificeerd risico voor de rechten en vrijheden van betrokkenen zijn de mitigerende maatregelen en het resterende risico (restrisico) beoordeeld.

Risico	Mitigerende maatregelen	Restrisico
Ongeautoriseerde toegang tot bezoekersgegevens.	Wachtwoordloze magic-link-login met verificatie van onbekende apparaten (OTP) en optionele tweestapsverificatie. Rolgebaseerde toegang binnen het organisatorteam. Afscherming van bezoekers-e-mailadressen in het beheer, met een controleerbaar auditlogboek bij onthulling. Versleutelde verbindingen (HTTPS) en versleuteling van gevoelige gegevens.	Laag
Compromittering van betaalgegevens.	Betaalgegevens worden uitsluitend door Mollie (PCI-DSS-gecertificeerd) verwerkt en raken de servers van MijnEvent niet. Mollie OAuth-tokens worden versleuteld opgeslagen en automatisch ververst.	Laag
Datalek tussen organisatoren onderling (cross-tenant).	Scheiding van gegevens per organisator via de multi-tenancy-architectuur. Identificatie op subdomein en scoping van sessies per organisator.	Laag
Misbruik of duplicatie van tickets via QR-codes of doorverkoop.	Unieke, niet-raadbare ticket-tokens (ULID/UUID) en een geldigheidscontrole bij elke check-in. Unieke check-in-registratie per ticket, zodat een ticket niet dubbel kan worden gebruikt. Bij doorverkoop wordt het oorspronkelijke ticket ongeldig gemaakt en een nieuw token uitgegeven aan de koper.	Laag tot midden
Ongewenste profilering via statistieken.	Cookieloze, privacyvriendelijke en uitsluitend geaggregeerde statistieken. Geen individuele bezoekersprofielen en geen tracking-cookies.	Laag
Bovenmatige of te lange bewaring van gegevens.	Dataminimalisatie en doelbinding. Self-service verwijdering en verwerkersafspraken over teruggave of vernietiging na afloop van het evenement.	Midden
Betrokkene kan zijn of haar rechten niet uitoefenen.	Self-service inzage, download (dataportabiliteit) en verwijdering in de accountomgeving. Afhandeling van privacy-verzoeken en bijstand aan de organisator conform de verwerkersovereenkomst.	Laag
Doorgifte van gegevens buiten de EER.	Hosting binnen de Europese Unie. Subverwerkers binnen de EU of met passende waarborgen; een actueel subverwerkersoverzicht is beschikbaar.	Laag
Onbevoegde of onnavolgbare beheeracties.	Een append-only, hash-geketend auditlogboek voor gevoelige beheeracties. Verplichte tweestapsverificatie voor de super-admin.	Laag
Ongewenste koppeling van identiteiten bij doorverkoop.	Minimale gegevensuitwisseling tussen koper en verkoper. Het nieuwe ticket komt op naam van de koper; de terugbetaling loopt via de oorspronkelijke betaalmethode van de verkoper.	Laag

6. Conclusie en beheersing

Na het treffen van de beschreven maatregelen resteert voor het merendeel van de verwerkingen een laag restrisico. Voor bewaartermijnen en ticketintegriteit geldt een laag tot middelhoog restrisico, dat wordt beheerst door dataminimalisatie, opslagbeperking en unieke, controleerbare tickettokens. De verwerkingen worden daarmee als evenredig en beheersbaar beoordeeld.

De verwerkingen zijn noodzakelijk, evenredig en met passende waarborgen omkleed.
Er worden geen bijzondere categorieën persoonsgegevens verwerkt en er vindt geen geautomatiseerde besluitvorming met rechtsgevolgen plaats.
Deze DPIA wordt herzien bij nieuwe verwerkingen, nieuwe subverwerkers of gewijzigde risico's.

7. Beoordeling en actualisatie

Deze DPIA wordt ten minste jaarlijks en bij elke wezenlijke wijziging in de verwerkingen opnieuw beoordeeld. Bij een hoog restrisico dat niet met redelijke maatregelen kan worden weggenomen, wordt voorafgaand aan de verwerking de Autoriteit Persoonsgegevens geraadpleegd (AVG art. 36).

Gegevens­beschermingseffect­beoordeling