GDPR en werknemersfoto's op evenementen: wat HR in 2026 moet weten

Jullie bedrijf heeft net zijn zomer offsite gehad. Driehonderd foto’s liggen verspreid over persoonlijke telefoons, een WhatsApp-groep die niemand goed kan exporteren en een gedeelde map die iemand in 2023 “tijdelijk” heeft opgezet. Internal Comms wil twaalf goede shots voor de nieuwsbrief. En één medewerker heeft zojuist gemaild dat er nergens foto's van hem/haar gepubliceerd mogen worden.

Die laatste e-mail is de aanleiding om HR even te laten stoppen en heroverwegen. Zodra je organisatie foto's van identificeerbare medewerkers verzamelt, bewaart of publiceert, geldt de AVG — en “het was alleen het kerstfeest” is geen argument dat een privacy officer accepteert.

Deze gids leidt HR-managers en interne eventplanners door de AVG-verplichtingen rond foto's op employee events: wat je werkelijke juridische basis is, wanneer je toestemming nodig hebt en wanneer niet, hoe lang je de beelden kunt bewaren en wat je eist van elke tool voor fotocollectie vóórdat deze een enkel werknemersgezicht verwerkt. Hij is geschreven voor de EU/EEA-context, met specifieke aandachtspunten voor Duitsland.

Is de AVG op foto's van werknemers bij evenementen van toepassing?

Ja — en de “privégebruik”-uitzondering die vaak rondgaat redt je niet.

De AVG sluit verwerking uit die door een natuurlijk persoon geschiedt in de context van een zuiver persoonlijke huishoudelijke activiteit zonder beroepsmatige of commerciële activiteit (Art. 2(2)(c)). Een gast die privé zijn eigen feestfoto’s bewaart kan hieronder vallen. De werkgever niet. Een door het bedrijf georganiseerd evenement dat wordt gefotografeerd voor bedrijfsmatige doelen — nieuwsbrief, intranet, recruitmentpagina, volgende all-hands deck — is per definitie beroepsmatig/commercieel. De uitzondering beschermt het individu; niet de organisatie als verantwoordelijke, noch een platform als verwerker in diens opdracht.

Nog een belangrijke grens. Het Hof van Justitie van de EU oordeelde in de zaak Ryneš (C-212/13) dat de huishoudelijke uitzondering nauw moet worden uitgelegd: verwerking “naar buiten gericht vanuit de private sfeer van een persoon” — hier videobewaking op een openbare ruimte — kan niet als zuiver persoonlijk gelden. Toegepast op evenementen, vallen foto’s van anderen die buiten een gesloten privékring worden gepubliceerd (bijv. op internet) waarschijnlijk buiten de uitzondering en valt de plaatser in de volle AVG-reikwijdte.

De praktische regel voor HR is duidelijk: ga ervan uit dat de AVG van toepassing is op iedere identificeerbare medewerker op elke foto die je bedrijf verzamelt, vanaf het moment van verzamelen.

Wat is jouw rechtsgrondslag: toestemming of gerechtvaardigd belang?

Elke verwerking van persoonsgegevens heeft een wettelijke grondslag nodig onder artikel 6. Voor reguliere evenementfoto's zijn er in de praktijk twee realistische opties: gerechtvaardigd belang (Art. 6(1)(f)) en toestemming (Art. 6(1)(a)).

Legitiem belang is mogelijk wanneer de verwerking noodzakelijk is voor de belangen van de verwerkingsverantwoordelijke of een derde, en die belangen niet worden overschaduwd door de rechten en vrijheden van de betrokkene; dat vergt een echte afwegingstoets die je uitvoert en documenteert, met verhoogde bescherming wanneer een kind betrokken is. Voor lage-risico interne-eventdocumentatie kunnen veel organisaties hierop steunen.

Toestemming moet specifiek, geïnformeerd en vrij gegeven zijn. Het is de veiligste grondslag en is vereist wanneer de belangenafweging bij gerechtvaardigd belang faalt of wanneer bijzondere persoonsgegevens betrokken zijn.

De valkuil voor HR is expliciet de arbeidsrelatie. Omdat werknemers afhankelijk zijn van hun werkgever, zijn toezichthouders sceptisch of consent in die context ooit echt "vrijwillig" is. Duitslands BDSG regelt werknemersgegevens rechtstreeks in BDSG §26, staat verwerking toe waar nodig voor de arbeidsrelatie, en erkent dat toestemming geldig kan zijn, maar beoordeeld moet worden op vrijwilligheid gezien de afhankelijkheid — en meestal schriftelijk zou moeten zijn.

De eerlijke conclusie voor fotografie op corporate events is dit: de noodzaak van artikel 26 past meestal slecht bij marketing- of nieuwsbrieffoto's (een glanzende recruitmentfoto is niet „noodzakelijk“ om de arbeidsovereenkomst uit te voeren). Voor alles wat naar buiten gericht is of promotioneel, is de verdedigbare route vrij en gedocumenteerd toestemming, met een duidelijk recht om te weigeren zonder nadeel voor de medewerker. Let ook op dat op basis van EU- en Duitse jurisprudentie artikel 26(1) deels strijdig met EU-recht is geoordeeld, en verwerking ook rechtstreeks op art. 6 AVG kan rusten — nóg een reden om je foto's op een duidelijke, expliciete toestemming te baseren in plaats van op een opgerekte noodzaakstheorie.

Een praktische vuistregel voor HR:

• Interne, lage-risico documentatie (enkele shots in de volgende team update): legitiem belang kan volstaan, mits je de belangenafweging hebt vastgelegd.

• Alles wat naar buiten wordt gepubliceerd of wordt gebruikt voor marketing/recruiting: vraag expliciete instemming en maak weigering zonder gevolgen.

Heb je een apart en expliciet toestemming nodig voor gezichtsherkenning?

Dit is de vraag die een gewone fotogalerij scheidt van een juridisch moeras — en waar veel consumentgerichte eventapps stilletjes risico creëren.

Een foto van een gezicht is niet automatisch een bijzonder persoonsgegeven. Overweging 51 van de AVG is expliciet: foto's vallen onder de definitie van biometrische data alleen wanneer ze via een specifieke technische methode worden verwerkt die unieke identificatie of authenticatie van een natuurlijk persoon mogelijk maakt. Alleen opslaan en tonen van foto's triggert artikel 9 niet.

Maar zodra een tool gezichtsherkenning-feature-extractie uitvoert — een gezichts-template maakt om gasten te groeperen of te identificeren, of mensen “alle foto's van mij” via een selfie te laten vinden — verwerkt zij biometrische data met het doel iemand uniek te identificeren, wat Art. 9(1) verbiedt tenzij een specifieke uitzondering geldt (meestal afzonderlijke, uitdrukkelijke toestemming). Dat is een materieel veel hogere drempel dan de toestemming voor gewone foto's.

Dit is belangrijk bij het kiezen van een leverancier. Verschillende concurrenten zetten gezichtsherkenning neer als kopfunctie. Die is nuttig op een bruiloft, maar op een bedrijfs-evenement met medewerkers zet het je fotocollectie om in verwerking onder artikel 9 en verplicht je tot expliciete biometrische toestemming en het vastleggen van een artikel 9-grond. Voor een HR-team dat alleen alle offsite-foto’s op één plek wil hebben, is dat een risico dat je niet wenst.

Technisch gezien: Gathmo biedt bij launch geen gezichtsherkenning of face-search (het zit op de roadmap in fase 2, niet als live feature). Voor HR is dit een voordeel: gewone fotogalerieën zonder gezichts-sjablonen vallen standaard niet onder artikel 9. Als je ooit face-search wilt, behandel dat als een bewuste, afzonderlijk goedgekeurde beslissing — niet als een stilgehaltene schakelaar in een app.

Wat moet je aan medewerkers vertellen als je foto's verzamelt?

Transparantie is niet optioneel en wordt niet ingevuld door een bordje dat niemand leest. Waar je persoonsgegevens rechtstreeks bij de betrokkene verzamelt, vereist art. 13 lid 1 AVG dat je op het moment van verzamelen een duidelijk set informatie geeft: identiteit en contactgegevens van de verantwoordelijke, doelen en rechtsgrond voor de verwerking, en, wanneer je op gerechtvaardigd belang steunt, de specifieke legitieme belangen die je nastreeft.

Bij een event betekent dit één heldere, toegankelijke informatieverklaring op het punt van opname of upload: wie controleert de foto's, waarom, op welke rechtsgrond, hoe lang ze bewaard worden en welke rechten de betrokkene heeft. Een QR-code naar een uploadpagina is een natuurlijke plek hiervoor; de landing- of uploadpagina kan de notice tonen zodat toestemming (waar die gebruikt wordt) in de juiste context wordt vastgelegd.

Een korte, duidelijke checklist voor je kennisgeving:

• Wie is de verantwoordelijke (jouw organisatie) en hoe je hem bereikt — en de DPO indien je er een hebt.

• Waarom verzamel je de foto's (bijv. interne nieuwsbrief, intranetgalerij).

• De juridische basis — en, bij gerechtvaardigd belang, wat dat belang precies is.

• Hoe lang de beelden bewaard worden.

• Welke rechten werknemers hebben, inclusief bezwaar en verzoek tot verwijdering.

Hoelang kun je de foto's bewaren?

Niet onbeperkt. Twee principes uit artikel 5 bepalen dit:

• Dataminimalisatie (Art. 5(1)(c)): persoonsgegevens moeten passend, relevant en beperkt zijn tot wat nodig is voor het doel. Verwerk alleen media en metadata die je nodig hebt, niet alles wat technisch mogelijk is.

• Bewaarbeperking (Art. 5 lid 1 sub e): gegevens in identificeerbare vorm mogen niet langer worden bewaard dan nodig voor de verwerkingsdoeleinden.

In de praktijk betekent dat dat je een bewaartermijn bepaalt vóór het evenement, niet pas na een klacht. Een bedrijfsgalerij die automatisch verwijdert na een vaste periode, in plaats van voor altijd op een gedeelde schijf te blijven staan, is de nettere aanpak. Dit is één situatie waarin een purpose-built tool met duidelijke automatische retentie een ad-hocmap verslaat: het systeem handhaaft de opslagbeperking voor je in plaats van afhankelijk te zijn van iemands geheugen.

Ter referentie: de per-event tariefstructuur van Gathmo heeft expliciete, eindige bewaartermijnen — van 30 dagen op Free tot 1 jaar op het hoogste plan — in plaats van onbegrensde opslag, wat Art. 5(1)(e) juist vraagt. Welke je ook gebruikt, het principe is hetzelfde: een vast einddatummoment voor de data.

Wat gebeurt er als een medewerker vraagt zijn/haar foto’s te verwijderen?

Dat is het recht op verwijdering — het "recht om vergeten te worden" — en het is geen gunst die je kunt weigeren.

Volgens artikel 17(1) kan de betrokkene de verwerkingsverantwoordelijke vragen zijn persoonsgegevens te laten wissen zonder onnodige vertraging wanneer er een reden is (bijvoorbeeld de data zijn niet langer nodig voor het doel, of toestemming is ingetrokken en er is geen andere juridische basis). Er is een strikte termijn: artikel 12(3) verplicht je om binnen redelijke termijn en in elk geval binnen één maand na ontvangst te reageren. Die periode kan met twee maanden worden verlengd bij een echt complexe of omvangrijke aanvraag — maar alleen als je de betrokkene binnen de eerste maand over de verlenging en reden informeert.

Voor HR volgen twee operationele consequenties:

1. Je moet weten waar elke foto staat. Als je eventmedia verspreid is over telefoons, chats en drives, is een verzoek tot verwijdering na een maand een handmatige chaos. Eén beheerde galerij met duidelijke verwijderroute maakt het één actie.

1. Intrekking van toestemming moet net zo makkelijk zijn als het geven ervan. Als jouw grondslag toestemming is, kan een medewerker deze intrekken en moet je dan wissen (tenzij er een andere rechtsgrond is).

Bij een leverancier evalueer je met een directe vraag: kunnen jullie op verzoek de content van een specifieke persoon binnen de wettelijke termijn verwijderen — en zullen jullie dat ook doen? Bij Gathmo maakt GDPR-conforme verwijdering op verzoek deel uit van het model en gebeurt binnen de wettelijke termijn op elk pakket. Voor procurement is de sleutel om het verwijderpad schriftelijk vast te leggen, niet tijdens een live verzoek ontdekken.

Hoe zit het met internationale evenementen en VS-gebaseerde tools?

Als jouw gasten over meerdere EU-landen verspreid zijn, blijft de GDPR van toepassing — er zijn geen interne EU-grenzen die de analyse veranderen. De grotere vraag is waar de data naartoe gaan; daar wordt platformkeuze een compliance-beslissing, niet alleen een functiekeuze. Waarom EU-dataresidentie meetelt bij B2B-inkoop laat zien hoe dat uitpakt in een inkooptraject.

Persoonsgegevens mogen buiten de EU alleen worden overgedragen bij een passende adequaatheidsbeslissing (Art. 45) of passende waarborgen zoals standaardcontractuele clausules (Art. 46) met afdwingbare rechten en rechtsmiddelen. Midden 2026 is de EU-US Data Privacy Framework-beslissing (ingetreden juli 2023) nog van kracht — de EU-rechtbank verwierp in september 2025 de eerste uitdaging en er loopt een beroep bij het HvJ-EU zonder aangekondigde zitting. Dat maakt overdracht naar DPF-gecertificeerde Amerikaanse organisaties mogelijk, maar niet risicoloos; SCC’s en een transfer-impact assessment blijven de verstandige terugval.

De eenvoudigste manier om de hele transfer-vraag te vermijden is data vanaf het begin in de EU houden. En hier splitst de markt zich scherp. Op basis van publiek beschikbare bedrijfsinformatie per juni 2026:

• Verscheidene populaire tools zijn expliciet in de VS gevestigd — GuestCam vermeldt dat data op Amerikaanse cloudstorage staat zonder EU/Europa-optie, en Kululu bewaart primaire content op Google Cloud (Firebase)-servers in de Verenigde Staten. Fotify wordt geleid door een bedrijf uit Delaware, VS.
• Een kleinere set is EU-gehost — EventPics (uitgevoerd door een Oostenrijks bedrijf, hostend in een EU-regio) en JoinMyMoment (EU/EEA subverwerkers in Duitsland, Frankrijk en AWS Frankfurt) zijn voorbeelden die expliciet EU-residentie noemen.
• Sommige tools vermelden niet duidelijk waar data staat; dat is op zichzelf al een rode vlag voor inkoopteams: als een leverancier de hostingjurisdictie niet kan aangeven, kun je de transferanalyse niet afronden.

Gathmo is hierop ingericht: data residency in de EU, object storage binnen de EU-jurisdiction, primaire database in Frankfurt, EU compute en verwerkersovereenkomsten met haar processors. Voor HR- of inkoopteams waarvan de standaardvraag is “blijven werknemersdata in Europa?”, is dit een bevestigbaar ja voor legal — en de residentie heeft bewijs (benoemde datacenter, processor-DPA’s), niet alleen een marketinglabel. Toch is precisie belangrijk: meerdere leveranciers claimen Europese servers, dus de echte differentiator is verifieerbaar bewijs en een ondertekende DPA, niet alleen de EU-claim.

Jij bent de verwerkingsverantwoordelijke — waar is de DPA van jouw verwerker?

Dit is het deel dat inkoop niet mag overslaan. Wanneer een extern hulpmiddel persoonsgegevens namens u en op uw aanwijzingen verwerkt, is de relatie controller-verwerker, en vereist de GDPR dat dit wordt geregeld door een bindende schriftelijke overeenkomst — een Data Processing Agreement — op grond van artikel 28(3).

Dat contract is geen boilerplate dat je zomaar afraffelt. Artikel 28(3) vereist dat de reikwijdte, duur, aard en doel van de verwerking, types en categorieën van gegevens en de rechten en verplichtingen van de verwerkingsverantwoordelijke zijn vastgelegd, en dat het specifieke plichten oplegt aan de verwerker: verwerking alleen op uw gedocumenteerde instructies, vertrouwelijkheid, beveiligingsmaatregelen van art. 32, voorwaarden voor onderaannemers, hulp bij rechten van betrokkenen, verwijdering of teruggave van gegevens aan het einde van de dienstverlening en onderworpen zijn aan audits.

In feite: jouw organisatie is de verantwoordelijke; de fototool is de verwerker; en je hebt een AVG-conforme DPA nodig voordat je werknemersfoto’s er in komen. Een leverancier die dit niet kan overleggen, kan niet gebruikt worden door een EU-bedrijf. Wat je moet controleren in een verwerkersovereenkomst voor event tech loopt de clausules langs die er echt toe doen.

Bij je beoordeling is dit de enige vraag met hoogste waarde:

• Kun je een AVG DPA volgens artikel 28 verstrekken? (Als het antwoord is 'wat is dat?', stop.)
• Noem je je subverwerkers en waar ze zitten?
• Zult u onze gegevens aan het einde van de opdracht verwijderen of retourneren?

Gathmo biedt een DPA — op aanvraag voor de per-event tiers, en inbegrepen in B2B Studio, Agency en Enterprise. Voor jullie legal team is de relevante tegenstelling: op deze markt is een dedicated, downloadbare DPA en een gepubliceerde sub-processor-lijst uitzondering, niet de norm — veel consumentgerichte tools bieden dit niet. Een AVG-checklist voor bedrijfsevenementfotografie maakt hier iets van dat een eventplanner kan afwerken.

Een korte opmerking over de QR-code zelf

Als je foto's verzamelt via een scannbare code op lanyards, tafelkaartjes of podiumsignage, houden een paar praktische specificaties het bruikbaar — en de uploadpagina is ook de juiste plek voor je Art. 13 informatieverklaring. Voor lanyards en badges: minimaal 2 × 2 cm (2,5 × 2,5 cm is op armlengte comfortabeler); op een podiumbanner op afstand veel groter. Houd de vereiste quiet-zone aan, gebruik een donkere code op lichte achtergrond, en test altijd een proefdruk en scan op echte grootte voordat je honderden drukt. Een code die niet scannable is verliest niet alleen fotos, hij stuurt gefrustreerde gasten naar een andere plek dan jullie toestemmingsinfo.