Gastgegevens en privacy: AVG-proof omgaan met id-bewijzen en persoonsgegevens

Open je e-mail en zoek op het woord “paspoort”. Als je al een jaar of twee verhuurt, vind je waarschijnlijk een dozijn bijlagen: gescande id-pagina’s, foto’s van rijbewijzen, af en toe de voorkant van een creditcard. De meeste kwamen binnen omdat je een gast vroeg om vóór het inchecken “een kopie van je id te sturen”, en de meeste staan sindsdien in je inbox: volledig geïndexeerd, volledig doorzoekbaar, geback-upt bij de cloud van je mailprovider en leesbaar voor iedereen die ooit in je account komt.

Die stapel is het stille privacyprobleem dat bijna elke host van kortetermijnverhuur met zich meedraagt. Je bent niet begonnen om een database met overheidsdocumenten op te bouwen. Je probeerde de wet na te leven (in veel landen ben je verplicht gasten te registreren en hun identiteitsdocumenten vast te leggen) of wilde gewoon fraude tegengaan. Maar de manier waarop de meeste hosts die gegevens verzamelen, via e-mail of een berichtenapp, zonder plan om ze te verwijderen, is precies het soort omgang waar regels als de Europese AVG (GDPR) tegen zijn geschreven. De boetes zijn reëel, het risico op een datalek is reëel, en de oplossing zit vooral in het veranderen van de manier waarop gegevens stromen, niet in het kopen van meer software.

Waarom dit ertoe doet

Persoonsgegevens hebben een prijs, ook als er niets misgaat, en een veel hogere als dat wel gebeurt. Onder de AVG is een paspoortscan geen gewone informatie. Het identificeert een persoon, kan worden gebruikt voor identiteitsfraude en geldt in veel uitleggingen als een gevoelige categorie die extra zorg vraagt. De verordening verwacht dat je alleen verzamelt wat je echt nodig hebt, het alleen bewaart zolang je het nodig hebt, het goed beveiligt en op verzoek kunt uitleggen wat je bewaart en waarom.

Een inbox vol id-bewijzen voldoet tegelijk niet aan de meeste van die verwachtingen. Er is geen bewaartermijn, dus je bewaart een rijbewijs dat je drie zomers geleden hebt vastgelegd van een gast die je nooit meer ontvangt. Er is geen echt toegangsbeheer behalve je wachtwoord. Er is geen vastlegging van toestemming of een duidelijke reden om het te bewaren. En e-mail is een van de meest voorkomende plekken waar gegevens lekken: een hergebruikt wachtwoord, een phishinglink, een doorgestuurde mailketen, en plotseling heeft iemand een map met identiteitsdocumenten van vreemden.

De bedragen zijn niet gering. AVG-boetes kunnen in theorie oplopen tot miljoenen of een percentage van de omzet bij ernstige gevallen, en hoewel een individuele host het kopstukbedrag waarschijnlijk niet krijgt, liggen kleinere boetes en formele klachten zeker binnen bereik, zeker als een gast je meldt. Vastgoedbeheerders met tientallen eenheden lopen verhoudingsgewijs meer risico. Naast toezichthouders zijn er de gevolgen voor het vertrouwen: een gast die hoort dat zijn paspoort jarenlang in jouw e-mail rondzwerft, boekt niet opnieuw bij je en zegt dat misschien ook openbaar. Onzorgvuldig omgaan met identiteitsgegevens is een aansprakelijkheid die met elke boeking stilletjes groter wordt.

De volledige tekst en begrijpelijke gidsen vind je op GDPR.eu; de Franse toezichthouder legt de essentie uit in het overzicht van de CNIL over de AVG.

De standaardoplossingen die hosts nu gebruiken

Er bestaat geen enkele tool die het omgaan met gastgegevens automatisch conform maakt, maar een handvol aanpakken komt steeds terug. De meeste hosts combineren er twee of drie.

• Id-bewijzen via e-mail of chat verzamelen (de standaard). De weg van de minste weerstand en de riskantste. Het document belandt op een plek die niet is gebouwd om gevoelige gegevens op te slaan, en het blijft er meestal eeuwig staan. Als dit je huidige werkwijze is, moet je die als eerste veranderen.
• Gespecialiseerde identiteitsverificatiediensten. Gespecialiseerde aanbieders laten een gast zijn id uploaden via een beveiligde flow op de eigen infrastructuur van de aanbieder. Jij ontvangt een geslaagd/mislukt-resultaat, soms een overeenkomst van naam en geboortedatum, maar het originele document komt nooit in je inbox. Dit is de grootste verbetering die de meeste hosts kunnen doorvoeren, omdat jij niet langer de bewaarder van de scan zelf bent.
• Versleutelde opslag met een bewaarbeleid. Als je documenten echt moet bewaren (sommige lokale registratiewetten vereisen dat je gegevens gedurende een bepaalde periode bewaart), is het veiligere patroon een versleutelde opslag met toegangsbeheer, een schriftelijke regel over hoe lang bestanden bewaard blijven en een echt proces om ze te verwijderen zodra de termijn verstrijkt.
• Een privacyverklaring en een vastgestelde rechtsgrond. Geen tool, maar een document. Een korte verklaring in gewone taal die gasten vertelt wat je verzamelt, waarom, hoe lang je het bewaart en hoe ze om verwijdering kunnen vragen. Elk type gegevens koppelen aan een rechtsgrond (een wettelijke verplichting om gasten te registreren, een gerechtvaardigd belang bij fraudepreventie, enzovoort) maakt van “ik heb deze gegevens” het verschil naar “ik mag deze gegevens hebben”.
• Dataminimalisatie door ontwerp. De goedkoopste maatregel van allemaal: vraag minder. Je hebt zelden een volledige paspoortafbeelding nodig als een geverifieerd ja/nee over de identiteit, plus de wettelijk vereiste registratievelden, volstaat. Elk veld dat je niet verzamelt, kun je niet lekken.

Hoe een goede aanpak eruitziet

Haal het jargon weg en een privacyvriendelijke werkwijze slaagt voor een paar eenvoudige tests. Deze zijn niet aan een leverancier gebonden; elke combinatie van tools die eraan voldoet is prima.

• Je verzamelt het minimum. Het uitgangspunt voor elk veld is: “hebben we dit echt nodig?” Identiteit wordt geverifieerd in plaats van opgeslagen. Marketinggegevens staan los van operationele gegevens en worden nooit zomaar aangenomen.
• Originele documenten staan nooit in algemene tools. Geen paspoortscans in je e-mail, de fotorol van je telefoon of een gedeelde chatthread. Als een document al moet bestaan, staat het achter goed toegangsbeheer, bij voorkeur op het systeem van een gespecialiseerde aanbieder in plaats van op het jouwe.
• Alles heeft een vervaldatum. Je kunt per gegevenstype aangeven hoe lang je het bewaart en waarom, en verwijdering gebeurt ook echt. “Voor altijd, omdat ik er nooit aan toegekomen ben” is geen bewaarbeleid.
• Gasten weten wat je doet. Een duidelijke privacyverklaring is beschikbaar voordat ze iets uit handen geven, geschreven voor een mens, niet voor een jurist.
• Je kunt een verzoek honoreren. Als een gast vraagt wat je bewaart of vraagt het te verwijderen, kun je het vinden en actie ondernemen, omdat de gegevens op bekende plekken staan en niet verspreid zijn over jaren inbox.

Hoe Nowistay met de identiteit van gasten omgaat

Identiteitsverificatie is het onderdeel van gastgegevens waarbij hosts de meeste problemen krijgen, omdat daar het gevoeligste document, een overheids-id, van hand wisselt. De aanpak van Nowistay is zo gebouwd dat dat document nooit bij jou terechtkomt.

De identiteitsverificatie van gasten loopt via Stripe Identity. Als je een gast vraagt zich te verifiëren, doorloopt die de controle in de beveiligde flow van Stripe, en het id-document wordt door de verificatieaanbieder verwerkt, niet door Nowistay en niet door jou. Wat terugkomt in je dashboard is het resultaat: of de gast geslaagd is, plus een vage vergelijking van de geverifieerde naam met de naam op de boeking, zodat een bijna-overeenkomst (een extra tweede naam, een weggevallen accent) nog steeds klopt terwijl een werkelijk andere persoon opvalt. Je krijgt de zekerheid dat de persoon die incheckt, die is die hij zei te zijn, zonder de bewaarder van een paspoortscan te worden. Dat is dataminimalisatie in de praktijk, en precies het soort omgang dat dataprotectieregels belonen: de riskantste informatie komt nooit in je inbox, je telefoon of je berichtenthreads terecht. Je kunt het per woning inschakelen in een paar klikken; de stappen staan in identiteitsverificatie van gasten inschakelen.

Documenten uit je inbox houden maakt ook de rest van de naleving eenvoudiger. Omdat het verificatieresultaat in je dashboard staat in plaats van in verspreide e-mailthreads, is een vraag van een gast over wat je bewaart een kwestie van op één plek kijken, niet van drie jaar e-mail doorzoeken. Als je meer dan een handvol woningen beheert en je eigen gegevens in gewone taal wilt bevragen, kan dat met de officiële ChatGPT-app of de Claude-connector van Nowistay, met dezelfde minimalisatie: e-mailadressen en telefoonnummers van gasten blijven achter tenzij je er expliciet om vraagt, en postadressen worden nooit gedeeld, zoals beschreven in ChatGPT of Claude koppelen aan Nowistay. Voor de duidelijkheid over de reikwijdte: Nowistay verzorgt de verificatieflow en houdt het originele document bij jou weg, maar geeft geen juridisch advies, en jij blijft zelf verantwoordelijk voor je privacyverklaring, bewaartermijnen en eventuele lokale registratieplichten. Zoek in je inbox op “paspoort” en noteer hoeveel bijlagen vandaag naar boven komen: dat is je nulmeting. Zodra de verificatie aanstaat en de oude bestanden zijn verwijderd, moet dezelfde zoekopdracht leeg blijven, en elke nieuwe treffer laat zien dat een gast nog gevraagd is een kopie per e-mail te sturen.

Veelgemaakte fouten

Je inbox als archiefkast gebruiken

De meest voorkomende fout: gasten vragen een foto van hun id te mailen en die vervolgens nooit verwijderen. Zelfs als je het één keer bekijkt en doorgaat, blijft het bestand bestaan in je verzonden en ontvangen mappen en in elke back-up daarachter. Als je een document al moet ontvangen, haal het dan meteen uit de e-mail en verwijder het origineel.

Meer verzamelen dan nodig

“Stuur een volledige kopie van je paspoort” is zelden de juiste vraag. Voor de meeste verblijven moet je de identiteit bevestigen en de specifieke velden vastleggen die een lokale wet vereist, niet het hele document opslaan. Te veel verzamelen verandert een kleine verplichting in een grote aansprakelijkheid.

Geen verwijderklok

Hosts richten een nette opslag in en bewaren toch alles onbeperkt omdat niemand heeft bepaald wanneer bestanden weg moeten. Bepaal de bewaartermijn vooraf (vaak gekoppeld aan hoe lang een registratiewet bewaring van gegevens vereist), leg die vast en maak verwijderen een routine, geen bijzaak.

Stilte in plaats van een privacyverklaring

Veel hosts verzamelen persoonsgegevens zonder enige verklaring. Gasten hebben het recht te weten wat je neemt en waarom, voordat ze het delen. Een korte, eerlijke verklaring is snel geschreven en dicht een echt gat.

Operationele gegevens met marketing vermengen

Ervan uitgaan dat je een gast na een boeking op een marketinglijst mag zetten, is een veelgemaakte misstap. De reden dat je iemands e-mailadres hebt om een verblijf te coördineren, is niet dezelfde reden als om promoties te sturen. Houd die doelen gescheiden en ga niet uit van toestemming die je nooit hebt gekregen.

Een praktisch plan voor deze week

Je hebt geen compliance-project nodig om echte vooruitgang te boeken. Een paar gerichte uren dekken het grootste deel van het risico.

1. Doorzoek de inbox. Zoek in je e-mail en op je telefoon naar id-documenten (probeer “paspoort”, “id”, “rijbewijs”, “carte”). Noteer hoeveel je er hebt en hoe oud ze zijn.
2. Verwijder wat je niet nodig hebt. Elk document van een eerdere gast waarvoor je geen wettelijke reden hebt om het te bewaren, moet nu weg, ook uit verzonden items en de prullenbak.
3. Stop met het verzamelen per e-mail. Vraag gasten niet meer om id’s te mailen. Verplaats identiteitscontroles naar een verificatieflow waarbij het originele document bij de aanbieder blijft, niet bij jou.
4. Schrijf een privacyverklaring van één alinea. Wat je verzamelt, waarom, hoe lang je het bewaart en hoe je verwijdering kunt aanvragen. In gewone taal. Link ernaar op de plek waar gasten je gegevens geven.
5. Stel een bewaarregel in. Kies per gegevenstype een termijn, leg die vast en zet een terugkerende herinnering in je agenda om alles wat eroverheen is ook echt te verwijderen.
6. Controleer je lokale registratiewet. Bevestig wat je stad of land je werkelijk verplicht vast te leggen en voor hoe lang, zodat je precies dat verzamelt en niet meer.

Waar dit naartoe gaat

De privacyverwachtingen van gasten stijgen, en de handhaving ook. De hosts die rustig slapen zijn degenen die identiteitsgegevens niet meer als iets om te hamsteren zijn gaan zien, maar als iets om te verifiëren, kort te gebruiken en los te laten. De richting is duidelijk: minder ruwe data in jouw handen, meer van het gevoelige werk bij systemen die gebouwd zijn om het veilig te bewaren, en een gastervaring waarin het overhandigen van een id veilig voelt in plaats van riskant. Richt de flow nu goed in (verzamel minder, houd documenten van je eigen apparaten, stel een verwijderklok in en vertel wat je doet) en de volgende ronde regels, in welke vorm ook, wordt een kleine aanpassing in plaats van een haastklus.

Veelgestelde vragen

Is het een overtreding van de AVG om paspoortscans van gasten in mijn e-mail te bewaren?

Id-scans onbeperkt in je inbox bewaren druist tegelijk in tegen meerdere AVG-beginselen: dataminimalisatie, opslagbeperking en passende beveiliging. E-mail is niet gemaakt om gevoelige documenten veilig op te slaan, en er is meestal geen bewaartermijn of toegangsbeheer buiten je wachtwoord. Het is niet in elk geval automatisch onwettig, maar het is precies het soort omgang met gegevens dat tot reële boete- en datalekrisico's leidt als een gast klaagt of je account wordt gehackt. De veiligere aanpak is identiteit te verifiëren via een speciale flow, zodat het originele document nooit in je mailbox terechtkomt.

Ben ik wettelijk verplicht om id-bewijzen van gasten te verzamelen voor een vakantiewoning?

In veel landen en steden wel. Wetten voor kortetermijnverhuur en toeristische accommodatie verplichten je vaak om gasten te registreren en identiteitsgegevens vast te leggen, soms met melding aan lokale autoriteiten. Welke velden, hoe lang je ze moet bewaren en of je een kopie van het document moet houden verschilt sterk per rechtsgebied, dus controleer de lokale regels in plaats van iets aan te nemen. Het belangrijkste is dat je precies verzamelt wat de wet vereist en niet meer, en het alleen zo lang bewaart als nodig is, in plaats van standaard "een volledige paspoortkopie vragen en die eeuwig bewaren".

Hoe gaat Nowistay om met identiteitsverificatie van gasten zonder het document op te slaan?

Nowistay voert de identiteitsverificatie van gasten uit via Stripe Identity. De gast doorloopt de controle in de beveiligde flow van de aanbieder, en het id-document wordt door die aanbieder verwerkt, niet door Nowistay en niet door jou. Je dashboard ontvangt het resultaat, namelijk of de gast geslaagd is, plus een vage vergelijking van de geverifieerde naam met de naam op de boeking. Zo heb je de zekerheid zonder de scan ooit zelf in handen te hebben. Nowistay geeft geen juridisch advies, dus jij blijft verantwoordelijk voor je privacyverklaring, bewaartermijnen en eventuele lokale registratieplichten.