Verwerkingsverwerkingenovereenkomsten voor eventtechnologie: waar u op moet letten vóór ondertekening

Een fototool voor je volgende conferentie lijkt een kleine aankoop. Het is één event, enkele honderden bezoekers, een QR-code op een lanyard. Daarna vraagt legal om de DPA en wordt de kleine aankoop een inkoopvraag — want zodra het tool een foto van een identificeerbare persoon verzamelt, verwerkt het persoonsgegevens namens jou en is het DPA de overeenkomst die dat verwerkingskader vastlegt.

Wat dit artikel is en wat niet. Dit is algemene begeleiding om een leveranciervergelijking te structureren — het is geen juridisch advies. Voor jouw specifieke situatie neem je de gegevensbeschermingsfunctionaris of juridisch adviseur erbij. Prijzen en productfuncties veranderen; controleer opnieuw voordat je erop afgaat.

Eerst: waarom heeft eventtechnologie eigenlijk een DPA nodig?

De DPA is geen standaardtekst. Zij is het juridisch instrument dat AVG vereist wanneer een organisatie persoonsgegevens ten behoeve van een andere verwerkt, en bestaat vanwege de verantwoordelijkheidsverdeling van de verordening. Als je een bedrijfs-evenement organiseert en besluit om foto's en video’s van aanwezigen te verzamelen, is jouw organisatie de verwerkingsverantwoordelijke — jij bepaalt waarom en hoe de data wordt verwerkt. Het foto-platform dat die beelden op jouw instructies opslaat en toont is de verwerker. Artikel 28 zegt dat deze relatie «geregeld wordt door een contract of andere rechtshandeling» bindend voor de verwerker — een schriftelijke overeenkomst over onderwerp en duur van de verwerking, aard en doel, type persoonsgegevens en categorieën betrokkenen, en de verplichtingen en rechten van de verantwoordelijke (AVG art. 28 lid 3).

Als een evenementtechnologieleverancier persoonsgegevens van je deelnemers verwerkt, verplicht de EU-wetgeving je om een DPA te hebben — er is geen uitzondering voor “het is maar één evenement”, en de plicht rust op jou als verwerkingsverantwoordelijke net zo goed als op de leverancier. Daarom is een ontbrekende of zwakke DPA een deal-stopper, geen extraatje: het is het document dat de hele opzet rechtmatig maakt.

Ééchte scope-opmerking: hieronder gaan we uit van normale foto- en videogalerijen — het opslaan en tonen van beelden. Als een tool gezichtsherkenning gebruikt om deelnemers te groeperen of te identificeren, veranderen gegevens en verplichtingen wezenlijk (zie hieronder meer over sub-processors); een gezichtsmodel dat is opgebouwd om een persoon uniek te identificieren, is biometrische data binnen een veel strenger regime (AVG Art. 9(1), considerans 51).

Wat een DPA volgens artikel 28 AVG moet bevatten

Een DPA is niet "goed" omdat hij lang is of op briefhoofdpapier van een advocatenkantoor staat. Hij is goed als hij echt bevat wat Art. 28(3) eist. Vergelijk elke overeenkomst van een aanbieder aan deze elementen — een DPA die die mist is incompleet, hoe afgewerkt ook.

• De verwerkingsbeschrijving — onderwerp en duur, aard en doel, soort persoonsgegevens en categorieën van betrokkenen (Art. 28(3)). Voor eventmedia moet zichtbaar zijn dat de verwerker foto’s, video’s en eventuele spraakberichten van deelnemers verwerkt om deze te verzamelen en te tonen, voor een gedefinieerd tijdsbestek. Vaagheid is op zichzelf al een waarschuwingssignaal.

• Alleen verwerken op basis van gedocumenteerde instructies (Art. 28(3)(a)) — je beslist wat er met de foto's gebeurt; de leverancier kan ze niet hergebruiken.

• Een vertrouwelijkheidsverplichting voor iedereen die de verwerker machtigt (art. 28(3)(b)).

• Artikel 32 beveiliging — passende technische en organisatorische maatregelen op basis van risico (Art. 28(3)(c)).

• Sub-verwerker voorwaarden — geen verdere verwerker zonder autorisatie, dezelfde verplichtingen in de keten (Art. 28(3)(d)). Dit regelt wie nog meer jouw data verwerkt; de eigen sectie staat hieronder.

• Ondersteuning bij rechten van betrokkenen, inclusief —cruciaal voor eventmedia— het recht op wissen (Art. 28(3)(e)).

• Ondersteuning bij verplichtingen uit artikelen 28–36 — beveiliging, meldingen bij datalekken en impact assessments waar van toepassing (Art. 28(3)(f)).

• Verwijdering of teruggeven aan het einde van de engagement, naar keuze van de verwerkingsverantwoordelijke, plus verwijdering van kopieën tenzij de wet bewaarplicht vereist (Art. 28(3)(g)). Dit is de clausule die het gegevensleven beëindigt — neem die op in het contract, niet in een verkoopmail.

• Informatie voor en indiening bij audits (Art. 28(3)(h)).

Deze negen elementen vormen de kern van elke AVG-conforme DPA. Je hoeft subclausules niet uit je hoofd te kennen, maar als je een leveranciersovereenkomst leest moet je elk idee erin kunnen terugvinden. Een gat hier is geen opmaakprobleem; het is een ontbrekende wettelijke verplichting.

De checklist vóór ondertekening: wat te controleren voordat je besluit

De bovenstaande clausules tonen wat een DPA moet bevatten. Deze sectie gaat over wat je bij een concrete leverancier controleert vóór ondertekening: de praktische vragen die echt beslissend zijn bij inkoopcontrole. Werk ze in volgorde door; de eerste is een poortvereiste.

1. Bestaat er überhaupt een DPA, en kun je die lezen vóór aankoop? Dat is de kwestie. Als een leverancier geen overeenkomst op grond van Art. 28 AVG kan overleggen, mag een EU-bedrijf die niet legaal gebruiken voor een bedrijfsfeestje of evenement — de contractuele basis moet er zijn zodat de verwerking rechtsgeldig is (Art. 28(3)). Veel consumentgerichte fototools worden als eenmalige aankoop verkocht zonder enterprise-contractpad: prima voor een privéfeest, een blokkade voor een bedrijfsgebeurtenis. Vraag de DPA te zien vóór je besluit.

1. Bevat het de hierboven genoemde elementen uit artikel 28(3)? Vouw het uit aan de hand van de negenpuntenlijst. De punten die vaak mager zijn in lichte overeenkomsten zijn de sub-verwerkervoorwaarden, de verwijderings-/teruggaveplicht en de auditbepaling.

1. Noemt de aanbieder sub-verwerkers en waar ze zitten? Een DPA die sub-verwerking toestaat zonder de sub-verwerkers te noemen maakt transfer- of vendor-riskanalyse onmogelijk — je kunt niet beoordelen wat je niet ziet. (Zie hieronder.)

1. Waar worden gegevens gehost en verlaat een deel de EU? Houd je ze in de EU en je ontwijkt de transferanalyse; laat je ze gaan en heb je een rechtmatig mechanisme nodig dat in de bijlagen van de DPA moet worden weerspiegelt. 'We don’t disclose that' is een fail. (Section hieronder.)

1. Heeft het verwijderpad een klok? Controleer of de DPA de processor verplicht om op verwijdering te handelen, inclusief een specifiek verzoek tot verwijdering van één persoon, binnen de wettelijke termijn (Art. 17(1); Art. 12(3)). (Zie sectie hieronder.)

1. Is de DPA inbegrepen, extra, of niet beschikbaar? Dit is een compliancepunt met juridische gevolgen. Bij Gathmo is een DPA op aanvraag beschikbaar op de per-event-licenties en opgenomen in de B2B Studio-, Agency- en Enterprise-plannen — dus er is een contractpad, of je nu één event koopt of een abonnement.

Als je item 1 laat vallen, is de rest zinloos. Maar als je 1 haalt en struikelt op 3, 4 of 5, heb je concrete, onderbouwbare gaten om voor ondertekening aan te kaarten — precies de positie die je wilt hebben in een inkoopreview.

Subprocessors: het deel van de DPA waar verrassingen op zitten

In eventtech verbergt de sub-processor clausule de belangrijkste stap — omdat een foto-share platform zelden alles alleen doet. Er zit cloudopslag achter, een media-verwerkingsprovider, mogelijk e-mail of sms-service, misschien een AI-moderatie-engine. Elk is een sub-verwerker die je deelnemersdata raakt, en artikel 28 vereist dat dezelfde verplichtingen doorwerken (GDPR art. 28(3)(d)). Twee dingen die je verder checkt dan alleen “bestaat de clausule”:

Wie zijn zij en waar bevinden ze zich? Een benoemde lijst met subverwerkers maakt de rest van je analyse mogelijk. Een verwerker buiten de EU in de keten is niet automatisch diskwalificerend — maar daar gaan de overdrachtsregels in werking, en dat moet je weten. Een leverancier die zijn subverwerkers openbaar maakt geeft je de route; eentje dat niet doet, vraagt je praktisch om blind te ondertekenen.

Trekt de stack je naar striktere regimes waar je niet om gevraagd hebt? Dat is de valkuil van gezichtsherkenning. Een gezichtsfoto is niet automatisch een speciaal gegeven: overweging 51 stelt dat beelden pas biometrische gegevens zijn "wanneer zij worden verwerkt via een specifieke technische methode die unieke identificatie of authenticatie van een natuurlijk persoon mogelijk maakt."

Maar een gezichtsherkenningsengine die templates bouwt om deelnemers te groeperen of mensen te laten "al mijn foto's vinden" verwerkt biometrische gegevens met het doel iemand op unieke wijze te identificeren, wat artikel 9(1) verbiedt tenzij een specifieke uitzondering geldt (doorgaans afzonderlijke, uitdrukkelijke toestemming). (GDPR art. 9(1); overweging 51). Diverse tools in deze markt mikken op face-recognition-photo-finding; bij een corporate event met medewerkers verandert dat sub-processor jouw fotocollectie in een Art. 9-verwerking met een verplichting tot expliciete toestemming die je niet wilde aangaan.

De lijst met subverwerkers is ook waar je checkt of de datacategorie stilletjes omhoog escaleert.

Waar de data staat: de locatievraag waarop de DPA rust

Een DPA zegt op zichzelf niet waar je gegevens zich bevinden. Zij regelt de relatie; de plaats van verwerking is een apart gegeven dat je zelf moet vaststellen — en bepaalt hoeveel van het overdrachtsregime op jou van toepassing is. Overdrachten buiten de EU zijn alleen rechtmatig op basis van een adequaatheidsbesluit (art. 45) of passende waarborgen zoals Standard Contractual Clauses (art. 46), met afdwingbare rechten en rechtsmiddelen (AVG art. 45, art. 46(2)(c)). De adequaatheidsbeslissing van het EU-US Data Privacy Framework (aangenomen juli 2023) geldt medio 2026 nog steeds, dus overdracht naar DPF-gecertificeerde organisaties in de VS is mogelijk — maar niet zonder risico, en SCC’s plus transfer-impact assessment blijven de verstandige fallback (HvJUE C-311/18 Schrems II; Commissie-besluit DPF 2023).

De nette route is om de vraag helemaal te vermijden: houd de data in de EU, en er is geen transferbeoordeling nodig. Hier splitst de event-tech markt zich scherp — uitsluitend op basis van publiek beschikbare informatie per aanbieder zoals vastgelegd op 2026-06-08:

• Meerdere populaire tools zijn expliciet op de VS gebaseerd — GuestCam vermeldt dat de data op US-gebaseerde cloud storage staat zonder EU-optie; Kululu slaat primaire content op Google Cloud (Firebase)-servers in de Verenigde Staten op; Fotify wordt geëxploiteerd door een bedrijf uit Delaware, VS.
• Een kleinere groep staat in de EU gehost en vermeldt dat ook — EventPics (een Oostenrijks bedrijf, gehost in een EU-regio) en JoinMyMoment (EU/EEA-subverwerkers in Duitsland, Frankrijk en AWS Frankfurt) noemen EU-residentie expliciet.
• Sommige tools geven niet duidelijk aan waar de data staat — dat is op zichzelf al een rode vlag, want dan kun je de transferbijlage van een DPA niet invullen tegen een leeg veld.

Gathmo is hierop gebouwd: EU data residency, met primaire database in Frankfurt, EU object storage en compute, en DPA’s met eigen verwerkers. De residency is onderbouwd met bewijs — een benoemde datacenterlocatie, niet een marketinglabel. Maar wees strikt: meerdere leveranciers claimen “Europese servers”; wat een inkoopteam moet testen zijn verifieerbaar bewijs plus ondertekende DPA, niet alleen de EU-claim.

De verwijderingsclausule: een recht met een deadline

Van alle verplichtingen uit een DPA is verwijdering degene die in de praktijk het vaakst wordt getoetst — omdat betrokkenen er recht op hebben en er een deadline aan zit. Volgens artikel 17(1) kan een betrokkene om wissen vragen zonder onnodige vertraging wanneer een grond van toepassing is (data niet langer nodig of toestemming ingetrokken zonder andere rechtsgrond), en artikel 12(3) stelt de termijn: reageren zonder onnodige vertraging en in elk geval binnen één maand na ontvangst, verlengbaar met nog twee maanden alleen bij echt complexe of talrijke verzoeken, met kennisgeving van de verlenging binnen die eerste maand (GDPR Art. 17(1); Art. 12(3)).

Voor de DPA zijn dat twee toetsen. Ten eerste: verplicht de overeenkomst de verwerker om te helpen met — en uit te voeren — verwijdering op verzoek, inclusief een specifiek persoonsverzoek tot verwijdering, binnen de wettelijke termijn? Dat is de concrete invulling van artikel 28 lid 3 onder e); vraag dit expliciet en leg het schriftelijk vast. Ten tweede: eindigt de opdracht met verwijdering of teruggeven van alle data (art. 28 lid 3 onder g)? Bij Gathmo is GDPR-conforme verwijdering op verzoek onderdeel van het model — binnen de wettelijke termijn op elk niveau — en omdat alles in één beheerde gallery staat, is een verzoek binnen een maand één handeling, niet een zoektocht over telefoons en gedeelde schijven.

Tot slot over het standaard alternatief: eventfoto's verzamelen via een WhatsApp-groep, een gedeelde drive of een ketting van persoonlijke e-mails. Die aanpak heeft geen degelijke verwerkersovereenkomst; ze heeft geen DPA en geen mogelijkheid daartoe — geen verwerker om mee te contracteren, geen onderaannemerslijst, geen gedefinieerde bewaartermijn, geen verwijderpad, geen audittrail. (Deze aanpak valt ook niet in de smaak bij mensen in de chat: News.com.au rapporteert over groepschat-anxiëteit en notificatievermoeidheid.com.au group-chat anxiety report](https://www.news.com.au/lifestyle/health/mental-health/why-your-group-chat-is-making-you-anxious/news-story/b9e9ce4805f6e48598646e665bac10da), 2024.) Ad-hoc verzamelen kan niet slagen bij een DPA-review, want er valt simpelweg niets te controleren.