AVG bij ticketverkoop: welke gegevens vraag je wel en niet?

Wie online tickets verkoopt, verzamelt al snel persoonsgegevens. Denk aan naam, e-mailadres, betaalgegevens, tickettype en soms extra informatie zoals dieetwensen of de naam van een team. Dat is praktisch, maar het vraagt ook om een bewuste keuze: welke gegevens heb je echt nodig om het evenement goed te organiseren?

De AVG draait niet om zoveel mogelijk formulieren en juridische tekst. Voor kleine en middelgrote organisatoren is vooral belangrijk dat je gegevens met een duidelijk doel vraagt, niet meer verzamelt dan nodig is en bezoekers eenvoudig uitlegt wat je met hun gegevens doet. In dit artikel lees je hoe je dat toepast bij ticketverkoop voor een voorstelling, workshop, feestavond, sportactiviteit of rondleiding.

Waarom speelt de AVG mee bij ticketverkoop?

Bij ticketverkoop verwerk je persoonsgegevens omdat gegevens herleidbaar zijn naar een persoon. Een e-mailadres, naam of betalingskenmerk is genoeg om onder de AVG te vallen. Dat betekent niet dat je geen gegevens mag vragen. Je mag gegevens verwerken als je daar een geldige reden voor hebt en als de verwerking past bij het doel.

Voor een ticketbestelling is vaak een praktische basis aanwezig: je hebt gegevens nodig om de bestelling te bevestigen, het ticket te versturen, toegang te controleren en vragen over de bestelling te beantwoorden. Dat is iets anders dan gegevens verzamelen omdat ze misschien later handig zijn. Juist daar gaat het in de praktijk vaak mis.

Welke gegevens zijn meestal logisch bij een ticketbestelling?

Begin bij het doel van de bestelling. Voor de meeste evenementen zijn deze gegevens goed uit te leggen:

• naam van de besteller;
• e-mailadres voor bevestiging en tickets;
• aantal tickets en tickettype;
• betaalstatus en ordernummer;
• eventuele factuurgegevens als de bezoeker of organisatie daarom vraagt.

Deze gegevens helpen je om de bestelling uit te voeren. Je kunt de bezoeker een ticket sturen, bij de ingang controleren of het ticket geldig is en achteraf een vraag over de bestelling terugvinden. Voor veel kleinschalige evenementen is dit voldoende.

Vraag jezelf per extra veld af: kan het evenement doorgaan zonder deze informatie? Als het antwoord ja is, maak het veld dan niet verplicht of laat het weg.

Welke gegevens vraag je beter niet standaard?

Extra gegevens lijken soms handig, maar ze maken je administratie ook gevoeliger. Vraag daarom niet standaard om geboortedatum, adres, telefoonnummer, geslacht, beroep of namen van alle bezoekers als je die gegevens niet nodig hebt.

Een telefoonnummer kan nuttig zijn bij een last minute wijziging, maar meestal kun je bezoekers ook per e-mail bereiken. Een adres is vaak niet nodig als tickets digitaal worden geleverd. Een geboortedatum is alleen logisch als leeftijd echt relevant is, bijvoorbeeld bij een evenement met een leeftijdsgrens. In veel andere gevallen is een eenvoudige bevestiging, zoals “ik ben 18 jaar of ouder”, al praktischer dan het opslaan van volledige geboortedata.

Wees extra voorzichtig met gevoelige gegevens. Denk aan medische informatie, dieetwensen die iets over gezondheid kunnen zeggen, religieuze voorkeuren of informatie over beperkingen. Soms heb je zulke informatie nodig om bezoekers goed te ontvangen. Maak dan duidelijk waarom je de gegevens vraagt, beperk het veld tot wat nodig is en voorkom dat deze informatie breder wordt gedeeld dan nodig.

Wanneer maak je een veld verplicht?

Een verplicht veld moet verdedigbaar zijn. De besteller moet begrijpen waarom je het vraagt. Bij een e-mailadres is dat duidelijk: zonder e-mailadres kun je geen digitaal ticket sturen. Bij een telefoonnummer is dat minder vanzelfsprekend.

Een praktische werkwijze is om velden in drie groepen te verdelen:

• Noodzakelijk: gegevens zonder welke je de bestelling niet kunt verwerken.
• Handig maar niet noodzakelijk: gegevens die kunnen helpen, maar optioneel blijven.
• Niet nodig: gegevens die geen duidelijk doel hebben voor dit evenement.

Voor een workshop kan een vraag naar ervaring met het onderwerp nuttig zijn, maar meestal hoeft die niet verplicht te zijn. Voor een dineravond kunnen dieetwensen belangrijk zijn, maar vraag dan alleen wat de keuken nodig heeft. Een vrij tekstveld met “bijzonderheden” kan te brede informatie opleveren. Een gerichte vraag werkt vaak beter.

Hoe ga je om met nieuwsbrief en marketing?

Ticketverkoop en marketing zijn verschillende doelen. Een bezoeker die een ticket koopt, geeft niet automatisch toestemming voor een nieuwsbrief. Wil je bezoekers later mailen over nieuwe evenementen, vraag daar dan apart en duidelijk om.

Gebruik dus geen vooraf aangevinkt vakje. Zet bij het afrekenen liever een losse keuze, bijvoorbeeld: “Ja, ik ontvang graag nieuws over toekomstige voorstellingen van deze organisatie.” Maak duidelijk van wie de berichten komen en zorg dat afmelden makkelijk is.

Ook hier helpt nuchterheid. Voor een vereniging met vaste leden kan de situatie anders zijn dan voor een openbaar evenement met losse bezoekers. Twijfel je, vraag dan juridisch advies of raadpleeg de informatie van de privacytoezichthouder.

Hoe lang bewaar je ticketgegevens?

De AVG noemt geen algemene bewaartermijn die voor elk evenement geldt. Het uitgangspunt is dat je persoonsgegevens niet langer bewaart dan nodig voor het doel waarvoor je ze verzamelde. Voor ticketverkoop betekent dit dat je vooraf nadenkt over je eigen bewaarbeleid.

Direct na het evenement heb je gegevens soms nog nodig voor vragen, terugbetalingen, no show analyses of administratieve controle. Daarna kun je vaak opschonen of gegevens beperken. Financiële administratie kan onder andere regels vallen dan bezoekersinformatie in een ticketshop. Maak daarom onderscheid tussen orderinformatie die je boekhoudkundig nodig hebt en extra velden die alleen voor het evenement zelf waren bedoeld.

Een praktisch voorbeeld: dieetwensen voor een theaterdiner zijn na het evenement meestal niet meer nodig. Een factuur of betalingsregistratie kan langer nodig zijn voor administratie. Zet dit verschil ook intern duidelijk op papier.

Wat zet je in je privacytekst bij ticketverkoop?

Een goede privacytekst hoeft niet ingewikkeld te zijn. Bezoekers moeten in gewone taal kunnen lezen:

• welke gegevens je vraagt;
• waarvoor je die gegevens gebruikt;
• met welke partijen gegevens worden gedeeld, bijvoorbeeld het ticketsysteem en de betaalprovider;
• hoe lang je gegevens ongeveer bewaart;
• hoe bezoekers contact kunnen opnemen over hun gegevens.

Schrijf dit specifiek voor je organisatie. Een algemene tekst die niet past bij je echte werkwijze helpt weinig. Als je Flextickets gebruikt, loopt de betaling via je eigen Mollie-account en kun je in je ticketshop werken met gegevens die voor jouw evenement relevant zijn. Leg daarbij uit welke rol je eigen organisatie heeft en verwijs waar nodig naar de privacyinformatie van betrokken dienstverleners.

Praktisch voorbeeld: toneelavond van een vereniging

Stel: een toneelvereniging organiseert drie voorstellingen in een dorpshuis. De vereniging verkoopt online tickets en wil bezoekers goed kunnen ontvangen. Een eenvoudige bestelpagina kan dan genoeg hebben aan naam, e-mailadres, voorstelling, aantal tickets en betaalinformatie.

Wil de vereniging ook rolstoelplaatsen reserveren, dan kan een optionele vraag worden toegevoegd: “Heb je een rolstoelplaats nodig?” Dat is gerichter dan een breed veld voor medische bijzonderheden. Wil de vereniging bezoekers later uitnodigen voor een volgende voorstelling, dan hoort daar een aparte nieuwsbriefkeuze bij.

Na de laatste voorstelling controleert de vereniging openstaande vragen en betalingen. Extra informatie die alleen voor de ontvangst nodig was, wordt daarna verwijderd of niet langer actief gebruikt. Zo blijft de administratie overzichtelijk en beperk je onnodige risico’s.

Checklist voor je ticketshop

• Schrijf per veld op waarom je het nodig hebt.
• Maak alleen noodzakelijke velden verplicht.
• Vraag gevoelige informatie alleen als het echt nodig is.
• Vraag nieuwsbrief toestemming apart van de ticketkoop.
• Controleer of je privacytekst past bij je echte werkwijze.
• Bepaal wanneer je evenementgebonden extra gegevens verwijdert.
• Beperk toegang tot bezoekerslijsten tot mensen die deze nodig hebben.

Veelgestelde vragen

Mag ik de namen van alle bezoekers vragen?

Dat kan alleen verstandig zijn als je daar een duidelijke reden voor hebt, bijvoorbeeld persoonlijke toegang, workshops met deelnemerslijsten of veiligheidseisen. Voor een gewone vrije zitplaats is de naam van de besteller vaak voldoende.

Mag ik bezoekers na afloop mailen over een nieuw evenement?

Niet automatisch. Een servicemail over de gekochte tickets is iets anders dan promotie voor nieuwe evenementen. Vraag voor een nieuwsbrief of marketingmail apart toestemming of controleer zorgvuldig welke andere grondslag mogelijk is.

Moet ik een verwerkingsregister hebben?

Veel organisaties moeten kunnen uitleggen welke persoonsgegevens ze verwerken en waarom. De Belgische Gegevensbeschermingsautoriteit wijst erop dat een register van verwerkingsactiviteiten een belangrijk overzicht en controlemiddel is. Ook als je klein begint, is een eenvoudig intern overzicht verstandig.

Is een privacyverklaring verplicht in de ticketshop?

Bezoekers moeten duidelijk geïnformeerd worden over de verwerking van hun persoonsgegevens. Een begrijpelijke privacytekst of privacyverklaring bij de ticketshop is daarvoor de meest logische plek.

Rustig beginnen met minder gegevens

Een goede ticketshop vraagt niet om zoveel mogelijk informatie, maar om de juiste informatie. Dat is prettiger voor bezoekers en overzichtelijker voor je organisatie. Begin met de gegevens die nodig zijn voor bestelling, betaling en toegang. Voeg alleen extra vragen toe als ze echt helpen bij de uitvoering van je evenement.

Met Flextickets kun je je ticketshop afstemmen op je evenement, betalingen verwerken via je eigen Mollie-account en tickets controleren met de scan-app. Wil je sparren over een praktische inrichting van je ticketverkoop?

Contact