Een privacyverklaring voor je restaurant maken: plicht, inhoud, aanpak

De privacyverklaring (in het Duits: Datenschutzerklärung; in het Engels: privacy policy) is de openbaar toegankelijke informatie waarmee je bezoekers van je website uitlegt hoe je met hun persoonsgegevens omgaat. De Algemene verordening gegevensbescherming (AVG, in het Duits: DSGVO) verplicht verwerkingsverantwoordelijken om betrokkenen duidelijk en transparant te informeren zodra gegevens worden verwerkt. Dat begint al bij eenvoudige handelingen zoals het openen van de pagina, waarbij een server doorgaans het IP-adres registreert.

• Ze vervult de transparantie- en informatieplicht uit de AVG tegenover je websitebezoekers.
• Ze schept vertrouwen, omdat gasten kunnen begrijpen wat er met hun gegevens gebeurt.
• Ze wordt gestuurd door de werkelijkheid: bepalend is welke gegevens je echt verwerkt en met welke tools.
• Ze beschermt jezelf, omdat ontbrekende of onjuiste informatie aanleiding kan geven tot een aanmaning of klacht.
• Ze moet makkelijk te vinden zijn, doorgaans via een eigen, goed zichtbare link in de voettekst.

Het onderscheid met het impressum is belangrijk: het impressum (juridische aanbiederidentificatie, in Duitsland op grond van § 5 van de Wet digitale diensten, DDG, die het vroegere § 5 TMG heeft vervangen) vermeldt wie er achter de website zit. De privacyverklaring beschrijft daarentegen hoe met persoonsgegevens wordt omgegaan. Beide documenten staan los van elkaar, beide zijn doorgaans verplicht, en beide zouden als eigen pagina's gelinkt moeten zijn.

Welke punten er concreet in horen, hangt af van wat er op je website gebeurt. Een pure visitekaartjespagina heeft minder nodig dan een pagina met reserveringen, online bestellen en een nieuwsbrief. Toch is er een terugkerende kern aan onderwerpen die bijna elke horecawebsite betreft.

Typische onderdelen in één oogopslag

• Verwerkingsverantwoordelijke: wie verantwoordelijk is voor de gegevensverwerking, met contactgegevens en eventueel een contact voor privacyvragen.
• Hosting en serverlogbestanden: dat bij het openen van de pagina technische gegevens zoals IP-adres, datum en opgevraagde pagina worden vastgelegd, en op welke rechtsgrondslag.
• Cookies, toestemming en analyse: welke cookies of trackingdiensten worden gebruikt en hoe daarvoor toestemming wordt gevraagd, indien nodig.
• Formulieren: contact-, reserverings- en bestelformulieren en een eventuele nieuwsbrief, elk met doel, verwerkte gegevens en rechtsgrondslag.
• Diensten van derden en insluitingen: kaartdiensten, lettertypen, video- of socialmedia-insluitingen en vergelijkbare externe aanbieders.
• Bewaartermijnen en rechten van betrokkenen: hoe lang gegevens worden bewaard en welke rechten betrokkenen hebben (zoals inzage, rectificatie, wissing, bezwaar).

Bij de rechtsgrondslagen gaat het in de kern om artikel 6 AVG, bijvoorbeeld toestemming, uitvoering van een overeenkomst of gerechtvaardigd belang. Je hoeft geen jurist te zijn, maar je zou voor elke verwerking begrijpelijk moeten kunnen maken waarom je die uitvoert en waarop ze berust. Dat is precies wat de privacyverklaring weerspiegelt.

De betrouwbaarste weg loopt niet via een willekeurig gekopieerd sjabloon, maar via een eerlijke inventarisatie van je website. Pas wanneer je weet wat er technisch echt gebeurt, kan de tekst daarbij passen. Ga hiervoor het best in deze volgorde te werk.

1. 1Breng alle functies van je website in kaart: hosting, formulieren, reserveringen, online bestellen, nieuwsbrief, kaarten, insluitingen en analysetools.
2. 2Noteer per functie welke gegevens worden verwerkt, met welk doel en of er derden bij betrokken zijn.
3. 3Wijs elke verwerking een rechtsgrondslag toe en bepaal of toestemming nodig is (bijvoorbeeld voor niet-noodzakelijke cookies of analyse).
4. 4Stel de tekst zelf op deze basis op of met behulp van een betrouwbare generator, en pas hem aan je werkelijke tools aan.
5. 5Beoordeel het resultaat kritisch: schrap alles wat je niet gebruikt en vul aan wat in de generator ontbreekt.
6. 6Link de privacyverklaring op een goed zichtbare plek en win bij twijfel deskundig advies in.

Generatoren kunnen de start aanzienlijk vergemakkelijken, maar nemen je de verantwoordelijkheid niet uit handen. Een gegenereerde tekst noemt vaak standaarddiensten die je helemaal niet gebruikt, of laat een dienst weg die je juist wel gebruikt. Lees het resultaat daarom altijd door en vergelijk het met je echte website voordat je het publiceert.

Een privacyverklaring is geen eenmalig document, maar geeft een toestand weer die verandert. Zodra je een nieuwe tool inbouwt, van dienst wisselt of een functie verwijdert, moet de tekst meebewegen. De meest voorkomende problemen ontstaan wanneer deze vergelijking achterwege blijft.

• Een gekopieerd sjabloon dat diensten noemt die je nooit hebt gebruikt, of je werkelijke tools verzwijgt.
• Een privacyverklaring die met het impressum is vermengd of helemaal niet is gelinkt.
• Ontbrekende of verouderde informatie nadat een nieuwe boekings-, bestel- of nieuwsbrieftool is toegevoegd.
• Insluitingen zoals kaarten of socialmedia-inhoud die onvermeld blijven hoewel ze gegevens aan derden doorgeven.
• Geen duidelijke informatie over de rechten van betrokkenen en over een contact voor privacyvragen.

Neem het best een eenvoudige routine aan: telkens wanneer je iets technisch aan je website wijzigt, controleer je kort of de privacyverklaring nog klopt. Een klein lijstje van alle gebruikte diensten dat je actueel houdt, is handig. Zo blijft de tekst eerlijk en volledig zonder dat het een doorlopende klus wordt.

Een goede privacyverklaring beschrijft precies de functies die je website daadwerkelijk gebruikt. Juist hier komt gastronomx van pas: omdat reserveringen, online bestellen, beoordelingen, de digitale menukaart en een eventuele nieuwsbrief centraal op één plek zijn gebundeld, zie je in één oogopslag welke functies bij jou actief zijn.

Overzicht in plaats van giswerk

Als je weet dat je bijvoorbeeld reserveringen en online bestellen aanbiedt maar geen nieuwsbrief, kun je je privacyverklaring nauwkeuriger formuleren: je beschrijft alleen wat er echt gebeurt en laat weg wat niet van toepassing is. Deze eerlijke vergelijking tussen gebruikte functies en tekst is de kern van een degelijke verklaring, en gastronomx maakt het makkelijker om dat overzicht te behouden.

Begrijp dit goed: gastronomx maakt je privacyverklaring niet automatisch en vervangt geen juridische toetsing. Als exploitant blijf je verantwoordelijk voor de inhoud en de juistheid. Dit artikel biedt een algemene oriëntatie en is geen juridisch advies. Verhelder bij twijfel openstaande punten met de bevoegde toezichthoudende autoriteit of met gekwalificeerd juridisch advies.