Bij het bedrijfsfeest heeft iedereen zijn telefoon in de hand. Aan het einde van de avond heeft jullie team honderden foto’s en filmpjes, en bijna niets bereikt de rest van het bedrijf. Alles raakt verspreid over privé camera rolls, een WhatsApp-groep waar met drie mensen niet uit kan exporteren, en een 'tijdelijke' gedeelde map. Dan vraagt Internal Comms een paar shots voor de nieuwjaarsnieuwsbrief en begint de zoektocht.
Er is een snellere manier om alles op één plek te verzamelen - en bij een bedrijfsevenement met medewerkers in beeld moet de snelle manier ook de conforme manier zijn. Op het moment dat je organisatie foto’s van identificeerbare medewerkers verzamelt, opslaat of publiceert, is de Algemene Verordening Gegevensbescherming van toepassing, en «het was maar het kerstfeest» is geen standpunt dat je functionaris voor gegevensbescherming zal goedkeuren. Dit is een praktische stap-voor-stapgids om het goed te doen: teamfoto’s verzamelen zonder app, toestemming vastleggen bij het uploaden, medewerkersafbeeldingen in de EU bewaren, een verstandige bewaartermijn instellen en een verzoek om verwijdering honoreren wanneer dat binnenkomt. Hij is geschreven voor de EU/EER-context, met aantekeningen voor Duitsland; voor de diepere juridische behandeling zie onze begeleidende gids AVG en foto’s van medewerkers bij evenementen: wat HR in 2026 moet weten.
Geen juridisch advies. Dit deel legt relevante AVG-bepalingen uit voor algemene guidance en citeert de verordening direct zodat je elk punt kunt controleren — maar vervangt geen advies van jullie functionaris gegevensbescherming of juridisch counsel.
Waarom de gebruikelijke methoden ongemerkt een probleem creëren
De standaardinstellingen lijken onschuldig — daarom veroorzaken ze problemen. Een WhatsApp- of Teams-groep verspreidt medewerkersfoto’s over een chat die niemand beheerst, zonder nette export en zonder mogelijkheid om iemands beelden op verzoek te verwijderen — en groepschats worden toch genegeerd (40% voelt zich overweldigd; News.com.au groepschat angstreport, 2024). Een gedeelde Drive-map heeft geen toestemmingsbewijs, geen bewaartermijn en blijft bestaan voor altijd. Een stapel persoonlijke camera-rollen betekent dat foto’s het bedrijf nooit bereiken — ongeveer 70% van smartphone-foto’s wordt nooit herbekeken (Popsa Memory Economy Report, 2026).
Geen van deze opties kan de vijf vragen van een corporate event beantwoorden: welke rechtsgrondslag? hebben we geïnformeerd? waar staan de data? hoe lang bewaren we ze? hoe snel wissen we op verzoek? Een purpose-built collector kan dat wel — en dit valt duidelijk onder de AVG. De vaak doorgegeven uitzondering voor "privégebruik" (verwerking "door een natuurlijke persoon in het kader van een zuiver persoonlijke of huishoudelijke activiteit", art. 2(2)(c)) kan een medewerker beschermen die eigen beelden bewaart; niet de werkgever. Een door het bedrijf georganiseerd event met bedrijfsmatige doelen is professioneel/commercieel verwerken, en identificeerbare collega's op die foto's zijn persoonsgegevens.
Stap 1 — Kies een verzamelmethode die vanaf de basis AVG-conform is
De manier waarop foto's binnenkomen bepaalt hoe moeilijk latere verplichtingen worden. Een QR-code, browser-gebaseerde collector is de laagste-frictie optie voor een corporate publiek: gasten scannen één code en uploaden vanaf hun telefoon, zonder app en zonder account. Je kunt niet 200 collega’s vragen om software te installeren en zich aan te melden vóór ze een foto delen — en een appvrij model werkt omdat smartphones en QR-scanning nu nagenoeg universeel zijn (ongeveer 97% smartphone penetratie in Duitsland in 2024 volgens Statista; 68% van consumenten gebruikte vorig jaar een QR-code, volgens samenvatting QRKit van TEAM LEWIS consumentenonderzoek, 2024).
Bij een corporate event zijn de doorslaggevende vragen niet filters en stickers — dit zijn ze, en de rest van deze gids behandelt ze één voor één:
- Wordt toestemming vastgelegd en toon je een informatiebericht bij upload? (Stap 2)
- Waar zijn de gegevens gehost? (Stap 4)
- Kun je op verzoek snel inhoud van één persoon verwijderen? (Stap 6)
- Biedt het een verwerkersovereenkomst? (Stap 7)
- Voorkomt het standaard gezichtsherkenning? (hieronder)
Een valkuil die je meteen vermijdt: diverse consumenten-eventapplicaties zetten in op gezichtsherkenning (“scan een selfie, krijg al je foto's”). Een leuke truc op een bruiloft; op een bedrijfsfeest een aansprakelijkheidsrisico. Een gezichtsfoto is niet automatisch een speciaal persoonsgegeven — overweging 51 bevestigt dat afbeeldingen “alleen biometrische gegevens” zijn als ze met een specifieke technische methode worden verwerkt die unieke identificatie of authenticatie van een natuurlijk persoon mogelijk maakt. Zodra een tool een gezichts-template bouwt om mensen te matchen, verwerkt hij biometrische gegevens om iemand uniek te identificeren — wat artikel 9(1) verbiedt zonder specifieke uitzondering (meestal afzonderlijke expliciete toestemming). Een eenvoudige galerij die geen gezichts-templates bouwt valt standaard buiten art. 9. (Gathmo biedt geen gezichtsherkenning of gezichtszoekfunctie — dat staat op de Fase 2-roadmap, geen live-functie. Hier is de afwezigheid juist de veiligere instelling.)
Stap 2 — Toestemming vastleggen en de melding tonen bij upload
Transparantie is niet voldaan met een bord waar niemand naar kijkt. Als je persoonsgegevens rechtstreeks bij mensen verzamelt, verplicht art. 13(1) je je op het moment van verzamelen te laten zien wie de verantwoordelijke is en hoe die te bereiken, met welke doelen en rechtsgrond, en bij legitiem belang het specifieke belang dat wordt nagestreefd.
Het uploadscherm achter je QR-code is daar de natuurlijke plek voor. Als een collega scant en daar terechtkomt, kan die pagina de melding tonen en toestemming in context vastleggen — geregistreerd waar de foto gedeeld wordt, niet verstopt in een policy die niemand leest. Houd de melding eenvoudig: wie de verwerkingsverantwoordelijke is en hoe te bereiken (plus de DPO indien aanwezig); waarom je de foto's verzamelt; de rechtsgrondslag (en bij gerechtvaardigd belang, wat dat belang is); hoe lang de beelden worden bewaard; en welke rechten mensen hebben, inclusief bezwaar en verzoek tot verwijdering.
Bij de rechtsgrond wordt het door de arbeidsrelatie ingewikkelder: omdat werknemers afhankelijk zijn van hun werkgever, betwijfelen toezichthouders of toestemming in die context ooit echt ‘vrijelijk gegeven’ kan zijn. Voor interne documentatie met weinig risico – enkele foto’s in de volgende teamupdate – kan gerechtvaardigd belang (art. 6(1)(f)) volstaan, mits u de belangenafweging hebt uitgevoerd en vastgelegd. Voor alles wat extern of promotioneel is – werving, marketing, sociale media – is expliciete opt-in-toestemming, met het recht om zonder nadelige gevolgen te weigeren, de best verdedigbare route. In Duitsland regelt BDSG § 26 werknemersgegevens rechtstreeks, en de daarin gestelde ‘noodzaak’ past slecht bij marketingfoto’s – nog een reden om buiten het intranet op vastgelegde toestemming te steunen. Voor de offsite-variant van hetzelfde event behandelt foto-ideeën voor een bedrijfsoffsite wat de moeite van het vastleggen waard is.
Stap 3 — Controleer voordat iets op scherm of in nieuwsbrief verschijnt
Een bedrijfsfeest is precies het event waarop je de foto’s wilt inzien vóór publicatie — iemand kan een onvoldragen of niet geschikte foto uploaden, of iets wat een collega niet op een all-hands slide wil. De compliant werkwijze is review-vóór-publicatie: uploads komen in een privé wachtrij en een organisator keurt goed wat naar het gedeelde album, het scherm of de Internal Comms-shortlist gaat. AI-prefiltering kan duidelijk ongepaste content markeren; de eindbeslissing blijft bij een mens. Dit beschermt zowel de mensen op de foto als het bedrijfsmerk — een controle die je niet hebt als beelden direct in een groepschat belanden. (Gathmo draait visuele AI-moderatie plus menselijke reviewqueue; AI-moderatie zit vanaf Essential in; Free is ongemodereerd, belangrijk om te weten als je medewerkerfoto’s verzamelt.)
Stap 4 — Bewaar werknemersfoto's in de EU
Voor een EU-bedrijf dat eigen medewerkers fotografeert, is waar de data zit een compliance-beslissing, geen featurevoorkeur — en het in de EU houden van data vermijdt de derde-landtransfervraag volledig. Transfers buiten de EU zijn alleen rechtmatig op basis van een adequaatheidsbesluit (Art. 45) of passende waarborgen zoals Standaard Contractuele Clausules (Art. 46). Midden 2026 is het adequaatheidsbesluit van het EU-US Data Privacy Framework (juli 2023) nog van kracht — de EU-rechtbank wees de eerste challenge in september 2025 af, met een hoger beroep in de CJEU lopend — zodat transfers naar DPF-gecertificeerde VS-organisaties mogelijk zijn, maar het kader is niet risicovrij en SCC’s plus een transfer impact assessment blijven de verstandige fallback. De schonere uitkomst is om data helemaal niet te exporteren. Hier splitst de markt zich scherp op basis van de publiek beschikbare informatie van elke provider zoals vastgelegd op 2026-06-08:
- Expliciet VS-gebaseerd: GuestCam geeft aan dat data op VS-cloudstorage staat zonder EU-optie; Kululu slaat primaire content op in Google Cloud (Firebase) in de VS; Fotify wordt geëxploiteerd door een bedrijf uit Delaware, VS.
- EU-hosted: EventPics (Austrië, hosting in EU-regio) en JoinMyMoment (EU/EEA-subprocessoren in Duitsland, Frankrijk en AWS Frankfurt) vermelden EU-residentie expliciet.
- Onuitgesproken: sommige tools zeggen helemaal niet waar de data staat — dat is meteen een rode vlag, want zonder rechtsgebied kun je je analyse niet afronden.
(Gathmo host direct in EU — objectopslag onder EU-jurisdictie, primaire database in Frankfurt, EU computing — met DPA's met zijn processors. Om precies te zijn: meerdere leveranciers claimen Europese servers, dus het echte verschil is verifieerbaar bewijs: een benoemde datacenterlocatie en ondertekende DPAs, niet alleen de EU-claim op zich.)
Stap 5 — Stel vooraf een bewaartermijn in, niet achteraf na een klacht
Foto’s van medewerkers kunnen niet eindeloos op een drive blijven staan. Twee beginselen uit artikel 5 gelden hier: gegevensminimalisatie (art. 5(1)(c)) — alleen verzamelen wat nodig is — en opslagbeperking (art. 5(1)(e)) — identificeerbare data niet langer bewaren dan noodzakelijk voor het doel. Daarom bepaal je de bewaartermijn voordat je begint met verzamelen: een galerij die automatisch verwijdert na een vast venster, zorgt voor opslagbeperking zonder dat iemand volgend jaar een map opruimt. Stel hem lang genoeg in zodat Internal Comms kan ophalen wat nodig is en het team zijn foto’s kan downloaden, en laat hem dan verlopen. (De per-evenement tarieven van Gathmo werken met expliciete, eindige bewaartermijnen — van 30 dagen op Free tot 1 jaar in de top tier — in plaats van onbeperkte opslag, precies wat art. 5(1)(e) verlangt.)
Stap 6 — Wees voorbereid op "wil je alsjeblieft mijn foto’s verwijderen"
Op een bepaald moment zal een collega vragen dat zijn/haar foto's niet worden bewaard of gepubliceerd. Dat is het recht op wissen (Art. 17) — het “recht om vergeten te worden” — en het is geen beleefdheid die je kunt weigeren. Op basis van artikel 17(1) kan iemand om verwijdering vragen zonder onredelijke vertraging wanneer een grond geldt (bijv. gegevens niet langer nodig zijn, of toestemming is ingetrokken zonder andere grond). En er is een harde klok: artikel 12(3) eist reactie binnen een maand na ontvangst, verlengbaar met twee maanden alleen bij echt complexe verzoeken, en dan alleen als je de persoon binnen die eerste maand over de verlenging informeert. Over het feest zelf in plaats van het papierwerk: hoe je een kerstborrel organiseert die iedereen bijblijft behandelt de rest.
Twee gevolgen: je moet precies weten waar elke foto staat — verspreid over telefoons, chats en drives; een verzoek over één maand wordt een handmatige scramble. Eén centraal beheerde galerie met een duidelijke verwijderingsroute maakt het één actie. En intrekking van toestemming moet even eenvoudig zijn als afgifte — waar toestemming je rechtsgrond is, kan een collega het intrekken en moet je daarna wissen. Vraag elk platform direct: kun je de content van een specifieke persoon op verzoek binnen wettelijke termijn verwijderen — en dat schriftelijk toezeggen? (Bij Gathmo is DSGVO-conforme verwijdering op verzoek onderdeel van het model: uitgevoerd binnen de wettelijke termijn op elk abonnement.)
Stap 7 — De Data Processing Agreement regelen
Dit is het deel dat inkoop niet mag overslaan. Als een extern hulpmiddel persoonsgegevens namens u verwerkt op uw instructies, is de relatie verantwoordelijke-processor en vereist de AVG een bindende schriftelijke overeenkomst — een Data Processing Agreement — op grond van artikel 28(3). Dat is niet louter boilerplate: artikel 28(3) verlangt onder meer dat het onderwerp, duur, aard en doel van de verwerking, typen gegevens en categorieën betrokkenen vastlegt en de processor concrete plichten oplegt: alleen verwerken op basis van uw schriftelijk vastgelegde instructies, vertrouwelijkheid, beveiligingsmaatregelen volgens artikel 32, voorwaarden voor subverwerkers, ondersteuning bij rechten van betrokkenen, verwijdering of teruggeven aan het einde, en medewerking aan audits.
Kort gezegd: uw organisatie is de verwerkingsverantwoordelijke, de fototool is de verwerker, en u heeft vóór het gebruik van medewerkersfoto’s een AVG-conforme DPA nodig. Een leverancier die dit niet kan overleggen is niet bruikbaar voor een werkgever in de EU. Drie vragen: kunt u een DPA volgens art. 28 AVG leveren? (Als het antwoord "wat is dat?" is, stop.) Noemt u uw onderverwerkers en hun locaties? Verplicht u zich tot verwijderen of teruggeven van gegevens aan het einde? (Gathmo biedt een DPA — op verzoek in de per-event-tarieven, en inbegrepen bij B2B Studio, Agency en Enterprise. In deze markt zijn een dedicated DPA en een gepubliceerde lijst van onderverwerkers de uitzondering, niet de norm.)
Een praktische opmerking over de QR-code zelf
De uploadpagina achter de code is waar je Art. 13-melding staat; een onleesbare code verliest niet alleen foto’s, maar laat mensen ook langs je toestemmingsmelding gaan. Een paar specificaties houden het bruikbaar:
- Maak het passend bij leesafstand (vuistregel: modulaire grootte ≈ scanafstand ÷ 10): een tafelkaart die op 30–50 cm op zitafstand wordt gescand wil rond 3–5 cm; een A-frame vanaf 1–2,5 m wil 10–25 cm; een scènebanner door de zaal is nog groter.
- Houd de quiet zone aan (de verplichte lege rand van minimaal vier modules aan alle vier zijden), gebruik een donkere code op lichte achtergrond in plaats van omgekeerd, en als je je logo erop plaatst, gebruik dan het hoogste foutcorrectieniveau (H, ~30%) zodat het nog scanbaar blijft.
- Test-print en scan een proof op echte grootte, onder de echte zaalverlichting en op echt materiaal, voordat je een stapel print.
