AI en Privacy in de Horeca: Voldoet HorecaHub aan de AVG?

Iedere horecaondernemer die AI inzet voor reserveringen, vragen of follow-ups loopt vroeg of laat tegen dezelfde vraag aan: hoe zit het eigenlijk met privacy en de AVG? Het is een legitieme vraag, want gastdata is gevoelig. Namen, telefoonnummers, dieetwensen en soms zelfs medische informatie zoals allergenen komen voorbij. In dit artikel leggen we uit hoe HorecaHub omgaat met AI horeca privacy, welke keuzes wij maken om aan de Europese AVG te voldoen en wat dat in de praktijk betekent voor jou als ondernemer.

We baseren ons op richtlijnen van de Autoriteit Persoonsgegevens, de officiële tekst van de Europese AI Act en de praktische guidance van EDPB.

Wat valt onder AI horeca privacy

Bij AI horeca privacy gaat het in de praktijk om vier soorten data: contactgegevens (naam, telefoon, e-mail), reserveringsdata (datum, tijd, aantal personen), gespreksinhoud (wat zegt een gast in een chat of telefoongesprek) en gevoelige notities (allergenen, mobiliteit, dieetwensen). Niet al deze data is per definitie persoonsgegeven onder de AVG, maar in combinatie wel.

Onze regel is simpel: wij verwerken alleen wat nodig is om de gast op dat moment te helpen, niets meer. Dit principe heet dataminimalisatie en staat letterlijk in artikel 5 van de AVG.

Hoe lang bewaart de AI gastdata

De standaard bewaartermijn voor gespreksinhoud is 30 dagen. Na die termijn worden gesprekken automatisch verwijderd of geanonimiseerd. Reserveringsdata zelf valt onder de bewaartermijnen van het reserveringssysteem van de ondernemer, niet onder onze systemen. Bijzondere categorieën zoals allergeneninformatie bewaren wij alleen zolang de reservering loopt en daarna nog maximaal zeven dagen voor klachtenafhandeling.

Ondernemers kunnen deze termijnen in overleg verkorten als hun eigen privacybeleid dat vraagt. Verlengen kan ook, maar alleen met expliciete grondslag en motivatie in het verwerkersregister.

Waar staat de data fysiek opgeslagen

Alle gastdata wordt versleuteld opgeslagen op servers binnen de Europese Unie. Wij maken geen gebruik van datacenters buiten de EU voor opslag van persoonsgegevens. Bij het gebruik van AI-modellen draaien wij waar mogelijk op Europese instanties; waar dat technisch nog niet beschikbaar is, gebruiken wij standaard data processing addenda en aanvullende waarborgen conform de richtsnoeren van de EDPB.

Hoe weten gasten dat zij met een AI praten

De Europese AI Act vereist dat gasten weten wanneer zij met een AI communiceren. Wij verwerken dit standaard in de eerste zinnen van een gesprek, in de taal van de gast, op een natuurlijke manier zodat het geen juridische disclaimer wordt. Bij chat staat dit zichtbaar in de chatwidget. Bij stem hoort de gast in de begroeting dat een digitale assistent meeluistert en helpt.

Wie is verwerkingsverantwoordelijke en wie is verwerker

In het standaard model is de horecaondernemer de verwerkingsverantwoordelijke en HorecaHub de verwerker. Dat betekent dat de ondernemer bepaalt waarvoor data wordt verzameld en wij namens hen de verwerking uitvoeren. Een verwerkersovereenkomst sluiten wij standaard af bij het begin van de samenwerking. Het tekenen kost minder dan vijf minuten en de inhoud is gebaseerd op het modelcontract van de Autoriteit Persoonsgegevens.

Wat zijn de rechten van een gast

Een gast heeft onder de AVG het recht op inzage, correctie, verwijdering, beperking en dataportabiliteit. In de praktijk verwerken wij verzoeken via de horecaondernemer: als een gast vraagt om verwijdering van zijn data, kan de ondernemer dit via één klik in de admin doorgeven. Wij voeren het verzoek binnen vijf werkdagen uit en bevestigen schriftelijk. Bij gevoelige verzoeken kunnen wij ook rechtstreeks met de gast schakelen, mits de ondernemer dat goedkeurt.

Hoe gaan we om met klachten en datalekken

Bij een vermoeden van een datalek hanteren wij een vast incidentprotocol: binnen 24 uur intern gemeld, binnen 48 uur impactanalyse, binnen 72 uur melding bij de Autoriteit Persoonsgegevens indien vereist. De ondernemer wordt vanaf het eerste moment betrokken en ontvangt een geschreven rapport van wat er gebeurd is, welke data geraakt is en welke maatregelen genomen zijn. Wij hebben dit protocol bewust kort omdat snelheid bij privacy-incidenten doorslaggevend is.

Wat moet ik als horecaondernemer zelf regelen

Drie dingen. Eén: een actueel privacy- en cookiestatement op de website waarin AI-verwerking expliciet wordt genoemd. Wij leveren standaard tekstblokken die je kunt overnemen of laten valideren door je eigen jurist. Twee: een interne verwerkersovereenkomst met HorecaHub, die wij standaard meeleveren. Drie: korte interne afspraken over wie van het team de AI-resultaten kan inzien en wat het team doet bij een gastverzoek over data.

Hoe sluit dit aan op andere wet- en regelgeving

Naast de AVG en de AI Act spelen voor horeca ook sectorspecifieke regels mee. Denk aan informatieverplichtingen rond allergenen onder de Europese voedselinformatieverordening. Een actueel praktijkkader vind je via KHN, de branchevereniging die voor leden vertalingen levert van Europese regels naar het dagelijks werk in de zaak. Een goed ingerichte AI helpt om dit type informatie consistent en uniform te communiceren, ongeacht wie er die avond achter de bar staat.

Wat betekent dit voor toekomstige ontwikkelingen

De Europese AI Act wordt de komende jaren gefaseerd ingevoerd, met strengere eisen voor risicovolle toepassingen. Klantenservice-AI valt grotendeels onder een lichter regime, maar transparantie blijft de hoeksteen. Wij volgen de ontwikkelingen actief en passen het platform aan voordat nieuwe regels van kracht worden, zodat ondernemers nooit voor verrassingen komen te staan.

Praktische checklist voor ondernemers

Loop deze vijf punten één keer per kwartaal door: is de privacyverklaring op de site nog actueel, staat de verwerkersovereenkomst op de juiste naam, weet het team waar gastverzoeken naartoe moeten, kloppen de bewaartermijnen met je actuele werkwijze en is de AI-melding in de chat en telefonie nog zichtbaar. Vijftien minuten werk per kwartaal, maar het voorkomt verreweg de meeste compliance-problemen.

Veelgestelde vervolgvraag van ondernemers

Bijna iedere ondernemer vraagt: kan de Autoriteit Persoonsgegevens mij beboeten als ik AI inzet en er iets misgaat? Het korte antwoord is dat boetes meestal voortkomen uit het ontbreken van basismaatregelen: geen verwerkersovereenkomst, geen privacyverklaring, geen meldprocedure. Als die basis op orde is en je werkt met een verwerker die aantoonbaar de AVG volgt, is het boete-risico laag. Wij ondersteunen ondernemers actief om deze basis goed in te richten, omdat een goede privacy-houding ook het vertrouwen van gasten vergroot.