AVG trouwwebsite: uitnodigingscode, privacy en hosting

De reflex is begrijpelijk: het gaat om een feest, niet om een bedrijf. Maar de gegevens die een trouwwebsite verzamelt zijn precies het soort gegevens waar de AVG voor is geschreven — contactgegevens van tientallen mensen, en bij een deel van hen een gezondheidsgegeven dat ze alleen aan de keuken kwijt wilden.

De AVG geldt in Nederland en België rechtstreeks; er is geen nationale variant die het lichter maakt. De toezichthouder heet in Nederland de Autoriteit Persoonsgegevens en in België de Gegevensbeschermingsautoriteit, maar de regels waar het hier om gaat zijn dezelfde.

Dit stuk gaat over de algemene kant. De datavragen die aan één onderdeel hangen — wie de lijst ziet, wie mag uploaden, wie in de domeinregistratie staat — staan bij die onderdelen zelf.

Zet één keer op een rij wat er in de loop van de planning wordt vastgelegd. De lijst is langer dan hij aanvoelt:

• Namen en adressen van gasten, en vaak ook van hun introducés.
• E-mailadressen en telefoonnummers, soms van meerdere mensen per huishouden.
• Menukeuzes, dieetwensen en allergieën.
• Leeftijden van kinderen, voor stoel, menu en oppas.
• Reis- en overnachtingsgegevens bij gasten van ver.
• Foto’s van gasten, uit de galerij en van de fotograaf.

Twee categorieën springen eruit. Een allergie is een gegeven over iemands gezondheid en verdient een strakkere behandeling dan een voorkeur voor vis; houd die twee dus uit elkaar, ook in het formulier zelf. En foto’s van kinderen zijn gegevens waar hun ouders over gaan, niet de gasten die ze maken.

De AVG kent een uitzondering voor puur persoonlijk of huishoudelijk gebruik — een verjaardagslijstje in een notitieboekje valt er niet onder. Veel paren rekenen daarop, en voor een deel van wat jullie zelf doen klopt dat ook.

De uitzondering doet alleen weinig voor het punt dat er hier toe doet, want zij gaat over jullie en niet over de dienst die jullie gebruiken. De aanbieder die de website host, de formulieren draait en de antwoorden opslaat, doet dat als bedrijf, en op die kant is de verordening onverkort van toepassing. Zodra gegevens van gasten op een server van een derde staan, is de vraag waar ze staan en wat die derde ermee mag een gewone AVG-vraag.

Praktisch is dat geen slecht nieuws maar een handvat: het betekent dat jullie de aanbieder ernaar mógen vragen, en dat een serieuze aanbieder een antwoord klaar heeft staan in plaats van te zeggen dat het maar een bruiloft is.

Drie vragen aan de aanbieder dekken het grootste deel. In welk land staan de servers? Is er een verwerkersovereenkomst, en is die zonder mailwisseling te krijgen? En welke andere partijen zitten er in de keten — een mailverzender, een opslagdienst, een statistiekentool?

Die derde vraag is de minst gestelde en de meest verrassende. Een trouwwebsite die er van buiten uitziet als één product, stuurt de uitnodigingsmails vaak via een externe dienst en de foto’s naar een externe opslag. Dat is niet verkeerd, maar het hoort opgeschreven te staan, en het bepaalt mede waar de gegevens fysiek terechtkomen.

Let daarnaast op meetscripts. Een gastenpagina heeft geen advertentiepixel nodig, en een pagina waar gasten hun allergie invullen al helemaal niet. Wat er op de publieke productpagina van een aanbieder staat, is zijn zaak; wat er meeloopt op jullie gastenpagina, is die van jullie.

Het lek dat in de praktijk voorkomt is zelden een server maar bijna altijd een gedeelde link. Een pagina die zonder code te bekijken is, wordt doorgestuurd; een export in een familiegroepsapp is niet meer terug te halen.

Maak daarom drie kringen. Jullie tweeën zien alles. Een kleine kring van helpers — getuigen, een ceremoniemeester — ziet wat ze voor hun taak nodig hebben en niets erbovenop. Leveranciers krijgen een uittreksel: de cateraar aantallen en dieetwensen, de zaal aantallen en tijden, de drukker namen. Niemand van hen krijgt de complete lijst omdat dat makkelijker is.

Voor de website zelf betekent dat: de gastenpagina hoort niet in een zoekmachine, en de scheiding tussen een openbare pagina en een pagina met gastgegevens hoort te staan voordat de eerste uitnodiging weggaat, niet erna. Hoe de lijstkant daaraan bijdraagt, staat in de gastenlijst die online samenloopt.

Bewaren zonder einddatum is de fout die het langst onopgemerkt blijft, omdat een oude trouwwebsite niemand stoort. Toch is het de enige verplichting die jullie volledig zelf in de hand hebben.

Zet één datum in de agenda, ergens na de bedankkaarten. Op die dag gaan de contactgegevens eruit: adressen, telefoonnummers, e-mailadressen. Dieetwensen en allergieën gaan dan zeker weg — die hadden één doel en dat doel is voorbij. Wat mag blijven is wat jullie zelf willen bewaren: de foto’s, het programma, de teksten.

Gasten mogen daarnaast vragen wat jullie van hen hebben, en vragen om verwijdering. Dat is bij een bruiloft zeldzaam maar niet ondenkbaar — een gast die niet in de galerij wil, is precies dat verzoek. Zorg dus dat het praktisch kán: een galerij zonder mogelijkheid om één beeld te verwijderen, maakt dat verzoek onuitvoerbaar. Die kant staat in de fotogalerij met gastenupload.