AVG voor makelaars: persoonsgegevens in vastgoed

Makelaars en vastgoedbeheerders verwerken uitzonderlijk veel gevoelige persoonsgegevens: inkomens- en identiteitsgegevens van huurkandidaten, financiële informatie van kopers, en soms hele woningdossiers. De AVG stelt daar strikte grenzen aan: u mag alleen verzamelen wat noodzakelijk is (dataminimalisatie, art. 5 lid 1 sub c AVG), en gegevens van afgewezen kandidaten mag u niet langer bewaren dan nodig. Deze gids behandelt de AVG voor makelaars met de concrete valkuilen: kopie-ID, inkomenstoetsing, Wwft-screening en bewaartermijnen.

De grootste fout in de branche is te veel vragen “voor de zekerheid”. Een makelaar die van elke bezichtiger een kopie van het paspoort eist, verzamelt structureel te veel — en dat is precies wat de AP als disproportioneel bestempelt.

Key Takeaways

• Dataminimalisatie: vraag alleen wat noodzakelijk is; geen kopie-ID van bezichtigers of afgewezen kandidaten.
• Gegevens van afgewezen huurkandidaten: maximaal circa 4 weken bewaren (AP-lijn), tenzij een langere termijn te onderbouwen is.
• Inkomensgegevens mag u toetsen, maar niet ongelimiteerd opslaan of doorgeven.
• Wwft-verplichtingen (identificatie bij vastgoedtransacties) vormen een eigen wettelijke grondslag naast de AVG.
• Deelt u gegevens met een IT-platform of biedsysteem, sluit dan een verwerkersovereenkomst.

Welke gegevens mag u verwerken?

Het uitgangspunt is noodzaak per doel. Voor een bezichtiging heeft u naam en contactgegevens nodig — geen inkomensgegevens en geen identiteitsbewijs. Die komen pas in beeld bij een concrete huur- of koopintentie.

Fase	Noodzakelijke gegevens	Niet nodig
Bezichtiging	Naam, contact	Kopie-ID, inkomen
Huurintentie	Inkomensindicatie, werkgeversverklaring	Kopie paspoort met BSN zichtbaar
Huurovereenkomst	Identiteit, inkomen, borg	Medische gegevens
Wwft-transactie	Identificatiegegevens (wettelijk)	—

De onderliggende grondslag kiest u uit artikel 6 AVG: meestal de uitvoering van een overeenkomst of een gerechtvaardigd belang, en bij Wwft een wettelijke plicht.

Kopie-ID: bijna nooit toegestaan

De AP is helder: een makelaar mag niet standaard een kopie van het identiteitsbewijs vragen of bewaren. Het BSN mag u alleen verwerken met een wettelijke grondslag, en die heeft een makelaar bij een gewone verhuur niet. Moet u de identiteit vaststellen, laat de kandidaat het document dan tonen in plaats van een kopie te maken, of laat pasfoto en BSN afdekken.

Onnodige kopie-ID’s zijn een klassiek datalekrisico: één gehackte mailbox met paspoortscans en u heeft een meldplichtig lek van identiteitsgegevens.

Datzelfde geldt voor de inkomensgegevens die u bij een huurintentie opvraagt. Een werkgeversverklaring of loonstrook mag u gebruiken om de betaalbaarheid te toetsen, maar u hoeft de onderliggende documenten niet blijvend te bewaren zodra de toets is afgerond. Noteer het resultaat — “inkomen voldoende voor deze woning” — en verwijder de brondocumenten. Zo beperkt u de hoeveelheid gevoelige financiële gegevens die u onder u heeft, en daarmee de omvang van een eventueel lek. Vraag ook nooit om een bankafschrift met alle uitgaven zichtbaar; dat onthult veel meer dan nodig is voor een inkomenstoets en is een duidelijke schending van het minimalisatiebeginsel.

Bewaartermijnen: afgewezen kandidaten

Kiest u een huurder, dan mag u de gegevens van de afgewezen kandidaten niet blijven bewaren. De AP hanteert als richtsnoer een korte termijn van ongeveer vier weken, tenzij u een langere termijn concreet kunt onderbouwen (bijvoorbeeld een lopend geschil). Leg dit vast in uw bewaartermijnenbeleid en verwijder actief.

Wwft-screening versus AVG

Bij vastgoedtransacties gelden verplichtingen uit de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft): cliëntenonderzoek en identificatie. Dit is een eigen wettelijke grondslag die verdergaande verwerking rechtvaardigt dan een gewone verhuur. Houd de twee stromen gescheiden: Wwft-gegevens verwerkt u voor het Wwft-doel, met de bijbehorende bewaartermijn, en niet zomaar voor marketing of andere doeleinden (doelbinding).

Delen met platforms en verwerkers

Werkt u met een woningplatform, CRM of biedlogboek, dan verwerkt die partij persoonsgegevens namens u. Dat vereist een verwerkersovereenkomst met afspraken over beveiliging, subverwerkers en datalekmelding. Zonder zo’n overeenkomst bent u zelf aansprakelijk voor wat het platform met de gegevens doet.

Leg alle verwerkingen — kandidaten, huurders, kopers, Wwft — vast in uw verwerkingsregister. Dat is het eerste wat de AP opvraagt.

Woningdossiers en overlastregistraties

Bij vastgoedbeheer verzamelt u soms uitgebreide woningdossiers: betaalgeschiedenis, correspondentie, meldingen van overlast. Deze dossiers kunnen gevoelige informatie bevatten en raken de rechten van huurders direct. Beperk de inhoud tot wat noodzakelijk is voor het beheer, en wees extra terughoudend met overlast- of “probleemhuurder”-registraties.

Een lijst van ongewenste huurders — bijvoorbeeld gedeeld tussen verhuurders of beheerders — is een zwaar middel. Zo’n zwarte lijst is doorgaans DPIA-plichtig en vraagt een strikte afweging: is de registratie op feiten gebaseerd, is de betrokkene geïnformeerd, en is de bewaartermijn kort? Registreert u iemand op basis van een vermoeden of een enkel incident, dan is de kans groot dat de verwerking onrechtmatig is. De reputatieschade voor de betrokkene weegt zwaar, en de AP beoordeelt dit type verwerking kritisch.

Beeldmateriaal en bezichtigingen

Foto’s en video’s van te koop of te huur staande woningen zijn een vast onderdeel van het vak, maar een bewoonde woning bevat persoonsgegevens: naamplaatjes, foto’s, persoonlijke bezittingen, soms zichtbare medische hulpmiddelen. Vraag toestemming van de bewoners voor het publiceren van interieurbeelden en blur waar nodig herkenbare persoonlijke elementen.

Bij bezichtigingen registreert u soms wie langskomt. Houd die bezichtigingslijsten kort en verwijder ze na afronding van de transactie. Ook hier geldt de kern van de AVG voor makelaars: verzamel per doel het minimum, bewaar niet langer dan nodig, en zorg dat elke verwerking een grondslag en een plek in het register heeft. Zo blijft uw kantoor uitlegbaar op het moment dat een betrokkene — of de toezichthouder — vragen stelt.

Hoe Legiscope hierbij helpt

Een makelaarskantoor verwerkt gegevens in een CRM, een biedplatform, e-mail en papieren dossiers — vier stromen met verschillende grondslagen en bewaartermijnen. Legiscope brengt ze samen in één register en signaleert waar bewaartermijnen ontbreken of verwerkersovereenkomsten missen.

FAQ

Mag een makelaar een kopie van mijn paspoort vragen?

Bij een gewone verhuur niet. De AP acht het standaard vragen of bewaren van een kopie-ID disproportioneel, en het BSN mag zonder wettelijke grondslag niet worden verwerkt. Alleen bij een Wwft-plichtige transactie geldt een aparte identificatieverplichting, en ook dan mag u niet meer vastleggen dan de wet voorschrijft. Laat de kandidaat het identiteitsbewijs bij voorkeur tonen in plaats van een kopie te bewaren.

Hoelang mag een makelaar gegevens van afgewezen huurkandidaten bewaren?

Kort — als richtsnoer ongeveer vier weken na afwijzing, tenzij u een langere termijn concreet kunt onderbouwen. Gegevens van niet-gekozen kandidaten “voor de zekerheid” bewaren is in strijd met het opslagbeperkingsbeginsel.

Mag ik huurdersgegevens gebruiken voor marketing?

Alleen binnen de grenzen van doelbinding en met de juiste grondslag. Gegevens die u voor de verhuur heeft verzameld, mag u niet zonder meer voor ongerelateerde marketing inzetten. Zie de gids over direct marketing en de AVG. Wilt u kopers of huurders later benaderen met nieuwe aanbiedingen, vraag daar dan aparte toestemming voor of beoordeel of u zich op de klantuitzondering kunt beroepen. Een e-mailadres dat u kreeg voor de afhandeling van een transactie, is geen vrijbrief voor een structurele nieuwsbrief.

Heb ik een verwerkersovereenkomst nodig met mijn CRM-leverancier?

Ja. Een CRM- of platformleverancier die persoonsgegevens namens u verwerkt, is een verwerker in de zin van art. 28 AVG. U moet daarmee een verwerkersovereenkomst sluiten voordat u gegevens deelt. Let daarbij ook op waar de leverancier de gegevens opslaat: bij hosting buiten de Europese Economische Ruimte gelden aanvullende eisen voor internationale doorgifte. Vraag uw leverancier expliciet naar de opslaglocatie en de subverwerkers die hij inschakelt, en leg die informatie vast in uw register.

---

Bronnen: de AVG-tekst op EUR-Lex en de richtsnoeren over kopie-ID en huren van de Autoriteit Persoonsgegevens.

Zie ook: AVG voor zzp’ers en AVG voor woningcorporaties.