Je reserveringssysteem lekt, en dan? Wat de AVG van je vraagt als je leverancier wordt gehackt

Vorige week kwam een hacker binnen bij Tebi, het horecasoftwarebedrijf van Adyen-medeoprichter Arnout Schuijff. Hij nam lijsten met e-mailadressen van gasten mee. Volgens Tebi gaat het om een beperkte set gegevens, niet gekoppeld aan specifieke restaurants, en is er voor zover bekend niets misbruikt. De toegang werd snel dichtgezet en de beveiliging is aangescherpt.

Dat klinkt geruststellend. Maar wie Tebi gebruikt voor reserveringen of de kassa, heeft er een vraag bij gekregen: is dit nu mijn datalek of dat van Tebi? Het antwoord op die vraag is minder vanzelfsprekend dan veel ondernemers denken. En het geldt voor elke zaak met een online reserveringssysteem, of dat nu van Tebi is of van een andere leverancier.

Jouw gasten, jouw verantwoordelijkheid

De AVG verdeelt de rollen scherp. De partij die bepaalt waarvoor en waarmee persoonsgegevens worden gebruikt, is de verwerkingsverantwoordelijke. De partij die de gegevens in opdracht verwerkt, is de verwerker.

Bij een reserveringssysteem is het restaurant meestal de verantwoordelijke en de softwareleverancier de verwerker. Jij besluit dat je namen, telefoonnummers en e-mailadressen van gasten vastlegt, en waarom. De leverancier levert alleen het gereedschap. Ook Tebi legt het zo neer: volgens de privacyverklaring van het bedrijf zijn de klanten, dus de restaurants, verantwoordelijk voor de gegevens van hun eindgebruikers, onder wie de gasten.

Dat heeft een ongemakkelijk gevolg. Wordt de leverancier gehackt, dan is het formeel jóúw datalek. Niet alleen dat van de leverancier.

Er zijn uitzonderingen. Sommige platforms, zoals grote boekingssites, verwerken gastgegevens ook voor eigen doelen, bijvoorbeeld voor een eigen gastaccount of eigen marketing. Voor dat deel zijn ze zelf verantwoordelijk. Waar de grens ligt, staat in de voorwaarden en de verwerkersovereenkomst. Wie die niet heeft gelezen, weet het eigenlijk niet.

De klok gaat lopen bij de melding van de leverancier

De meldplicht staat in artikel 33 van de AVG. Een verwerkingsverantwoordelijke meldt een datalek zonder onredelijke vertraging aan de Autoriteit Persoonsgegevens (AP), en zo mogelijk binnen 72 uur nadat hij ervan weet. Melden hoeft niet als het niet waarschijnlijk is dat het lek een risico vormt voor de betrokkenen.

De leverancier heeft geen eigen meldplicht bij de AP voor jouw gegevens. Die moet jóú zonder onredelijke vertraging inlichten. Vanaf dat moment weet je ervan, en loopt jouw termijn van 72 uur. Volgens de Europese privacytoezichthouders begint die zodra er een redelijke mate van zekerheid is dat er een beveiligingsincident met persoonsgegevens is geweest.

Niet alles hoeft in één keer. Is de omvang nog onduidelijk, dan kun je een eerste melding doen en die later aanvullen. Dat is vaak de realistische route: de leverancier zoekt nog uit wat er is weggehaald, terwijl jouw termijn al loopt.

Moet een lijst e-mailadressen gemeld worden?

Een e-mailadres is een persoonsgegeven. De vraag is dus niet óf het onder de AVG valt, maar of het lek een risico oplevert.

Bij een losse lijst e-mailadressen ligt het grootste risico bij phishing. Hoe dat uitpakt, liet de hotelsector dit jaar zien. In april waarschuwde Booking.com gasten dat onbevoegden bij boekingsgegevens waren gekomen: namen, e-mailadressen, telefoonnummers en boekingsdetails. Volgens beveiligingsbedrijf Malwarebytes liep de inbraak via hotelpartners waarvan medewerkers malware hadden binnengehaald. Daarna kregen gasten berichten waarin oplichters zich voordeden als het hotel en om een extra betaling of creditcardgegevens vroegen.

In juni meldde Hospecs, dat diensten levert aan hotels, een lek waarbij volgens de NOS in Nederland minstens honderd hotels waren getroffen. Ook daar volgden berichten aan gasten met het verzoek een reservering te bevestigen en te betalen.

Een e-mailadres zonder naam en zonder reservering is minder bruikbaar voor zulke trucs. Een e-mailadres dat zichtbaar bij een restaurant hoort, is dat wel. Volgens Tebi waren de adressen niet aan specifieke restaurants gekoppeld. Of dat klopt en wat het betekent voor het risico, is precies wat je bij je leverancier moet navragen.

Twijfel je, leg dan vast waarom je wel of niet meldt. Dat moet sowieso. Artikel 33 verplicht je alle datalekken intern te documenteren, ook de lekken die je niet bij de AP meldt: wat er gebeurde, wat de gevolgen zijn en wat je eraan deed.

En de gasten zelf?

Gasten hoeven alleen persoonlijk te worden ingelicht als het lek waarschijnlijk een hoog risico voor hen oplevert. Dat staat in artikel 34. Bij alleen e-mailadressen is die drempel niet snel gehaald. Bij namen in combinatie met reserveringen, telefoonnummers of betaalgegevens ligt dat anders.

Ook als het niet verplicht is, kan een kort bericht verstandig zijn. Een gast die een nepmail krijgt met jouw naam erboven, onthoudt vooral jouw naam. Een waarschuwing vooraf dat je nooit per mail om betaalgegevens vraagt, kost weinig.

Wie betaalt als het misgaat

Een boete van de AP is voor een gemiddeld restaurant niet het grootste risico. De AP krijgt tienduizenden meldingen per jaar: in 2025 waren het er 39.407, waarvan 2.428 door een cyberaanval, volgens de cijfers die de toezichthouder in juli publiceerde. De AP kan niet elk lek onderzoeken.

Het andere risico is schadevergoeding. Volgens artikel 82 van de AVG kan iedereen die door een overtreding schade lijdt een vergoeding eisen van de verantwoordelijke of de verwerker. De verantwoordelijke, dus het restaurant, staat daarbij vooraan. De verwerker is aansprakelijk als hij zijn eigen verplichtingen uit de AVG niet nakwam of buiten jouw instructies handelde. Zijn beiden aansprakelijk, dan kan de gast ieder van hen voor het geheel aanspreken. De partij die betaalt, kan het daarna op de ander verhalen.

Het Europese Hof van Justitie heeft daar in december 2023 twee dingen over gezegd, in een zaak over een hack bij de Bulgaarse belastingdienst. Ten eerste betekent een geslaagde hack niet automatisch dat de beveiliging tekortschoot. De rechter moet dat per geval beoordelen, en het is aan de verantwoordelijke om te laten zien dat de maatregelen passend waren. Wijzen naar de hacker alleen is niet genoeg. Ten tweede kan de angst voor misbruik van gegevens op zichzelf schade zijn, mits de gast die aannemelijk maakt. Een louter hypothetisch risico telt niet.

Voor één gast met één gelekt e-mailadres gaat het om kleine bedragen, als er al iets te halen valt. Het wordt pas interessant bij grote aantallen gasten tegelijk. Dan wil je vooraf weten wat je leverancier vergoedt.

Wat je vooraf in het contract regelt

Wie een verwerker inschakelt, is volgens artikel 28 van de AVG verplicht daar schriftelijke afspraken over te maken: de verwerkersovereenkomst. Veel leveranciers hebben er een klaarliggen, en veel ondernemers hebben die nooit gelezen. KHN biedt leden een modelverwerkersovereenkomst aan.

Bij een reserveringssysteem zijn dit de punten die ertoe doen:

• Meldtermijn: de wet zegt "zonder onredelijke vertraging". Spreek een harde termijn af, bijvoorbeeld 24 of 48 uur, zodat je zelf binnen 72 uur kunt melden.
• Inhoud van de melding: leg vast dat de leverancier vertelt welke gegevens van jóúw gasten zijn geraakt, hoeveel het er zijn en welke maatregelen hij neemt. Een algemene verklaring op de website is niet genoeg.
• Subverwerkers: leveranciers gebruiken zelf weer andere partijen, voor hosting, e-mail of klantenservice. Die mogen alleen met jouw toestemming worden ingeschakeld, en je wilt een actuele lijst.
• Locatie: ga na of gegevens buiten de EU worden verwerkt en op welke grondslag.
• Aansprakelijkheid: veel standaardcontracten beperken de aansprakelijkheid van de leverancier tot het abonnementsgeld van een paar maanden. Kijk of dat in verhouding staat tot wat er mis kan gaan.
• Bewaren en verwijderen: spreek af hoe lang gastgegevens blijven staan en wat er gebeurt als je overstapt.
• Toegang: vraag wie bij de leverancier bij jouw gastgegevens kan, en of je eigen accounts met tweestapsverificatie zijn beveiligd. Bij Booking.com liep de inbraak juist via de accounts van hotels.

Wat je nu doet als je Tebi gebruikt

Gebruik je Tebi, of een ander systeem dat is getroffen, dan is dit de volgorde:

• Vraag de leverancier schriftelijk of gegevens van je gasten zijn geraakt, welke en hoeveel.
• Beoordeel of er een risico is voor je gasten, en leg die afweging vast in een eigen register.
• Is er een risico, meld het dan bij de AP. Dat kan binnen 72 uur met een voorlopige melding, die je later aanvult.
• Overweeg je gasten te waarschuwen voor phishing, ook als dat niet verplicht is.
• Zoek je verwerkersovereenkomst op. Is die er niet, vraag er dan nu een aan.

Tebi zegt nauw samen te werken met de aangesloten restaurants om de hack af te handelen. Dat is goed. Maar de wet legt de vraag of er gemeld moet worden niet bij Tebi neer, maar bij jou.