Makelaars verwerken persoonsgegevens bij bezichtigingen, selectie, onderhandelingen, cliëntenonderzoek en vastgoedbeheer. Welke gegevens nodig zijn, verandert per fase. Een belangstellende voor een bezichtiging hoeft niet automatisch hetzelfde dossier aan te leveren als iemand met wie een huurovereenkomst wordt voorbereid. Ook de Wwft rechtvaardigt niet zonder meer alle informatie die een kantoor graag zou verzamelen.
De AVG vraagt om een concrete koppeling tussen doel, grondslag, gegevens en bewaartermijn. Deze gids werkt die koppeling uit voor de vastgoedpraktijk: van een eerste contact tot het afsluiten van een dossier. Daarbij worden gewone selectiegegevens, wettelijke identificatie en marketing afzonderlijk beoordeeld. Zo blijft duidelijk waarom een document wordt gevraagd en wie het later mag gebruiken.
Bepaal eerst uw rol en het doel van de verwerking
Een makelaarskantoor kan voor eigen bemiddelingswerkzaamheden verwerkingsverantwoordelijke zijn. Een dienstverlener die uitsluitend volgens instructies van een opdrachtgever gegevens verwerkt, kan juist verwerker zijn. De benaming in de overeenkomst beslist niet zelfstandig: bepalend is wie de doeleinden en wezenlijke middelen vaststelt. Eén samenwerking kan verschillende activiteiten met verschillende rollen bevatten.
Een verhuurder die selectiecriteria bepaalt en een makelaar die kandidaten beoordeelt, moeten bijvoorbeeld expliciet vaststellen wie waarvoor verantwoordelijk is. Gezamenlijke besluitvorming kan onder omstandigheden gezamenlijke verantwoordelijkheid opleveren; alleen het uitwisselen van gegevens doet dat niet automatisch. Voor woningcorporaties kunnen bovendien andere taken en wettelijke kaders meespelen dan voor een particulier makelaarskantoor. Die context staat in de uitleg over AVG bij woningcorporaties.
Koppel iedere activiteit vervolgens aan een grondslag uit artikel 6 AVG. De uitvoering van een overeenkomst is alleen bruikbaar voor noodzakelijke verwerking binnen de vereiste verhouding met de betrokkene, of voor noodzakelijke stappen op diens verzoek voorafgaand aan zo’n overeenkomst. De bemiddelingsovereenkomst met een verkoper verklaart dus niet vanzelf iedere verwerking van informatie over bezoekers en kopers.
Een wettelijke verplichting kan specifieke Wwft-verwerking dragen. Een gerechtvaardigd belang vraagt een concrete noodzaak en belangenafweging. Toestemming moet vrij en gericht zijn; een verplichte brede toestemmingsverklaring bij een woningaanvraag lost overmatige gegevensverzameling niet op. De AVG-checklist voor bedrijven helpt deze keuzes in de overige bedrijfsprocessen te verwerken.
Vraag gegevens op het moment dat ze nodig zijn
Voor het plannen van een bezichtiging kunnen beperkte contactgegevens en de afspraakgegevens voldoende zijn. Leg uit hoe iemand bereikbaar moet zijn en waarom. Een volledige loonstrook, medische toelichting of identiteitskopie hoort niet automatisch bij deze eerste stap. Bepaal vooraf welke informatie nodig wordt als iemand later daadwerkelijk in aanmerking komt.
Voor een serieuze huurkandidaat kan beoordeling van de betaalbaarheid noodzakelijk zijn. Kies dan de minst ingrijpende onderbouwing die het concrete doel voldoende ondersteunt. Een inkomensverklaring of gedeeltelijk afgeschermd document kan soms volstaan. Een compleet bankafschrift laat vaak veel meer zien, zoals betalingen aan een zorgverlener of vereniging. De noodzaak om inkomen te controleren rechtvaardigt niet zonder meer kennis van alle uitgaven.
Maak onderscheid tussen wat een medewerker moet controleren en wat het kantoor moet bewaren. Als een gerichte controle en vastlegging van de uitkomst voldoende zijn, hoeft het volledige brondocument niet automatisch in het algemene klantdossier te blijven. Beoordeel wel of een toepasselijke wettelijke plicht juist specifieke bewijsstukken verlangt. Dat onderscheid voorkomt zowel te veel verzamelen als onvoldoende onderbouwing van een wettelijke controle.
Bij zelfstandige kandidaten kunnen andere bewijsstukken beschikbaar zijn dan bij werknemers. Vraag niet zonder nadere reden complete klantadministraties op om één inkomensvraag te beantwoorden. Voor de aanleverende ondernemer is ook de bescherming van gegevens over eigen klanten relevant; zie daarvoor de uitleg over AVG voor zzp’ers en freelancers. Een passend alternatief verdient beoordeling voordat een aanvraag uitsluitend wegens een ontbrekend standaarddocument wordt afgewezen.
Identiteit controleren is niet altijd een kopie bewaren
Identificeren, de identiteit verifiëren en een document bewaren zijn verschillende handelingen. Beschrijf bij iedere stap waarom zij nodig is. Het bekijken van een document kan een ander doel dienen dan het vastleggen van alle zichtbare gegevens. Een algemene kantoorroutine of de voorkeur van een softwareleverancier is op zichzelf geen juridische onderbouwing voor een volledige kopie.
Onder de Wwft kan wel een wettelijke documentatieplicht gelden. Artikel 33 onderscheidt bij natuurlijke personen onder meer vastlegging van bepaalde identificerende gegevens of een afschrift van het gebruikte document, naast gegevens over het verificatiedocument. De wet verplicht daarmee niet in ieder geval tot het verzamelen van een volledig onbewerkte identiteitskopie van iedere belangstellende. De gekozen vastlegging moet de toepasselijke wettelijke eisen daadwerkelijk dekken.
Het BSN heeft bovendien een afzonderlijk regime. Artikel 46 UAVG beperkt het gebruik van wettelijk voorgeschreven identificatienummers tot uitvoering van de betrokken wet of wettelijk bepaalde doeleinden. Leid uit een identificatieplicht dus niet automatisch af dat u het BSN voor uw eigen klantenadministratie mag gebruiken. Scherm gegevens af waarvoor geen passende bevoegdheid en noodzaak bestaat en voorkom dat dezelfde informatie toch via een ander deel van de kopie wordt vastgelegd.
Organiseer de aanlevering veilig. Een beperkt toegankelijk uploadkanaal kan praktisch geschikter zijn dan losse kopieën in verschillende mailboxen. Het kanaal moet vervolgens ook goed zijn ingericht: alleen bevoegde medewerkers krijgen toegang, tijdelijke links verlopen en exports blijven beheerst. De keuze voor een portaal is geen zelfstandig bewijs dat de verwerking aan de AVG voldoet.
Wanneer geldt de Wwft voor vastgoedbemiddeling?
De actuele Wwft omvat beroeps- of bedrijfsmatige bemiddeling bij het tot stand brengen en sluiten van overeenkomsten inzake onroerende zaken. Voor huurovereenkomsten geldt de genoemde categorie wanneer de maandelijkse huurprijs € 10.000 of meer bedraagt. Een verhuurbemiddeling beneden die grens valt daardoor niet op die grond onder deze Wwft-categorie. De grens mag niet worden verward met een algemene vrijstelling voor alle activiteiten van het kantoor.
Bij een toepasselijke opdracht beperkt het cliëntenonderzoek zich niet noodzakelijk tot de eigen opdrachtgever. Artikel 3 lid 12 rekent voor deze bemiddelaars ook de wederpartij bij de tot stand gebrachte en gesloten overeenkomst tot de cliënt. De officiële informatie voor Wwft-beroepsgroepen licht deze uitbreiding toe. Dat betekent niet dat iedere bezoeker van een open huis al als daadwerkelijke wederpartij moet worden behandeld.
Het onderzoek kan onder meer identificatie, verificatie, vertegenwoordiging, uiteindelijk belanghebbenden en doel en aard van de relatie betreffen. De omvang wordt afgestemd op het risico. Stel daarom vast welke verplichting voor de concrete cliënt en transactie geldt. Een standaardverklaring dat de klant akkoord gaat met controle vervangt de wettelijke uitvoering niet, en maakt aanvullende niet-noodzakelijke gegevens evenmin toegestaan.
Artikel 4 bevat het uitgangspunt dat de betreffende identificatie- en verificatiestappen vóór het aangaan van de relatie of de relevante incidentele transactie worden verricht. De wet kent specifieke afwijkingen, waaronder verificatie tijdens het aangaan van de relatie onder voorwaarden. Gebruik zo’n uitzondering niet als algemeen uitstel tot na afronding. Leg vast waarom zij in de concrete situatie van toepassing is en hoe de controle tijdig wordt voltooid.
Wwft-informatie blijft doelgebonden. Artikel 34a verbiedt commercieel hergebruik en ander onverenigbaar gebruik van persoonsgegevens die op grond van die wet zijn verzameld. Een identiteitsdossier mag daarom niet zonder meer worden gebruikt om een rijker marketingprofiel op te bouwen. Informeer cliënten vooraf over de betrokken wettelijke gegevensverwerking en beperk toegang tot medewerkers die deze informatie voor hun taken nodig hebben.
Bewaren per dossieronderdeel, niet per klantmap
Een afgewezen huurkandidaat, een afgeronde verkoop en een Wwft-onderzoek kennen niet automatisch dezelfde bewaartermijn. De beginselen van artikel 5 AVG verlangen dat identificeerbare gegevens niet langer worden bewaard dan noodzakelijk. Er bestaat geen algemene wettelijke AVG-termijn van vier weken voor alle afgewezen huurkandidaten. Een kantoor moet een passende termijn en verwijderingswerkwijze voor zijn eigen proces onderbouwen.
Zodra selectie is afgerond, kan de noodzaak voor ontvangen inkomensstukken vervallen. Een beperkt beslisverslag kan voor een concreet verantwoordingsdoel nog nodig zijn, zonder dat daarvoor alle financiële bijlagen moeten blijven bestaan. Een daadwerkelijk geschil kan afzonderlijke bewaring van relevante stukken rechtvaardigen. Leg dan vast welke stukken nodig zijn, wie erbij mag en wanneer de noodzaak opnieuw wordt beoordeeld.
Voor Wwft-cliëntenonderzoek schrijft artikel 33 in beginsel vijf jaar bewaring voor na beëindiging van de zakelijke relatie of na de betreffende transactie. Voor gegevens over een melding van een ongebruikelijke transactie noemt artikel 34 eigen aanknopingspunten, waaronder de melding en ontvangst van het FIU-bericht. De termijnen moeten daarom op het juiste dossieronderdeel en startmoment worden toegepast.
Artikel 34a verlangt vernietiging van de op grond van de Wwft verkregen persoonsgegevens zodra de betreffende termijn is verstreken, tenzij een wettelijk voorschrift anders bepaalt. Behandel daarnaast bijvoorbeeld fiscale administratie volgens het daarvoor geldende regime. Een fiscale bewaarplicht voor een factuur maakt niet automatisch iedere identiteitskopie of elk selectieformulier in dezelfde map fiscaal noodzakelijk.
Werk deze verschillen uit in een bewaartermijnenbeleid. Benoem de categorie, het doel, het startmoment, de verantwoordelijke medewerker en de wijze van verwijderen. Neem mailboxen, exports en leverancierskopieën mee. Automatisering kan helpen, maar ook dan moet worden gecontroleerd of de ingestelde regel bij het juiste soort gegevens hoort en of uitzonderingen begrensd blijven.
Selectie, bijzondere gegevens en risicoprofielen
Een financieel document is niet uitsluitend door zijn gevoeligheid een bijzonder persoonsgegeven in de zin van artikel 9. Het kan wel informatie over gezondheid, religie of andere beschermde categorieën onthullen. Ook een vrije toelichting van een kandidaat kan zulke gegevens bevatten. De uitleg over bijzondere persoonsgegevens helpt bepalen wanneer een aanvullende uitzonderingsgrond vereist is.
Beperk vrije tekstvelden tot wat voor de selectie nodig is en geef medewerkers instructies voor ongevraagde gevoelige informatie. Een kandidaat die een medische situatie noemt, verleent daarmee geen algemene toestemming om die gegevens breed te verspreiden of onbeperkt te bewaren. Een praktische vraag over toegankelijkheid kan soms met een gerichte voorziening worden opgelost, zonder opname van een diagnose in het selectiedossier.
Frauderegistraties en zwarte lijsten vragen een afzonderlijke toets. Zodra strafrechtelijke informatie wordt verwerkt, zijn artikel 10 AVG en de toepasselijke Nederlandse uitzonderingen relevant. Een intern incidentendossier geeft niet automatisch een recht om gegevens met alle aangesloten makelaars te delen. Controleer juistheid, doel, ontvangers en de mogelijkheid om onjuiste informatie te corrigeren voordat een registratie andere aanvragen beïnvloedt.
Beoordeel bij ingrijpende screening of een DPIA vereist is, onder meer wegens waarschijnlijk hoge risico’s of de toepasselijke verplichte lijst. Niet ieder klein selectiebestand is automatisch DPIA-plichtig. Een systeem dat grote aantallen bronnen combineert, gevoelige kenmerken afleidt of personen ingrijpend beoordeelt, verlangt echter een andere analyse dan een eenvoudige afsprakenlijst. Ook volledig geautomatiseerde beslissingen kunnen aanvullende AVG-beperkingen oproepen.
CRM, verhuurplatforms en gegevens delen
Breng in kaart welke partijen gegevens ontvangen: opdrachtgever, verhuurder, notaris, fotograaf, CRM-aanbieder, platform en eventuele screeningsdienst. Stuur per ontvanger alleen de informatie die voor diens taak rechtmatig nodig is. Dat meerdere partijen aan dezelfde transactie werken, maakt een volledige gedeelde dossiermap niet vanzelf noodzakelijk.
Een CRM-aanbieder die uitsluitend in opdracht persoonsgegevens verwerkt, kan verwerker zijn. Een platform dat eigen doeleinden bepaalt, kan voor bepaalde activiteiten juist zelfstandig verantwoordelijk zijn. Voor toepasselijke verwerkersrelaties is een schriftelijke, ook elektronisch mogelijke overeenkomst of andere bindende Unierechtelijke of lidstaatrechtelijke rechtshandeling volgens artikel 28 vereist. De uitleg over de verwerkersovereenkomst helpt bij de inhoudelijke beoordeling; een ondertekend document herstelt een onjuiste rolindeling niet.
Beschrijf de verwerkingsactiviteiten in het verwerkingsregister. Een klein kantoor is niet automatisch vrijgesteld: onder meer niet-incidentele verwerking, verwerking die risico kan inhouden en activiteiten met artikel 9- of artikel 10-gegevens sluiten de kleine-organisatie-uitzondering voor de betreffende activiteiten uit. Het register biedt overzicht, maar is geen vervanging voor de onderliggende grondslagen of beveiliging.
Foto’s en marketing apart afwegen
Woningfoto’s kunnen persoonsgegevens bevatten wanneer bewoners herkenbaar zijn of de inrichting informatie over hen onthult. Bespreek vooraf welke beelden nodig zijn, welke persoonlijke voorwerpen buiten beeld blijven en waar publicatie plaatsvindt. Bepaal de passende grondslag en houd rekening met de positie van bewoners. De opdracht van een eigenaar is niet automatisch een onbeperkte toestemming namens iedere bewoner.
Een bezichtigingsaanvraag betekent evenmin dat iemand iedere nieuwsbrief wil ontvangen. Voor commerciële e-mail geldt naast de AVG artikel 11.7 Telecommunicatiewet. Voorafgaande toestemming is het uitgangspunt. De bestaande-klantuitzondering voor eigen gelijksoortige producten of diensten heeft voorwaarden, waaronder een gemakkelijke kosteloze bezwaarmogelijkheid bij verzameling en ieder bericht. Een losse belangstellende mag niet zonder beoordeling als bestaande klant worden aangemerkt.
Houd gevraagd contact over een concrete woning en algemene reclame uit elkaar. Leg een eventuele toestemming aantoonbaar vast en verwerk afmeldingen in alle gebruikte verzendsystemen. De verdere uitwerking staat bij direct marketing onder de AVG. Wwft-documenten blijven daarbij buiten commercieel hergebruik, ook wanneer andere contactgegevens rechtmatig voor marketing kunnen worden gebruikt.
Verzoeken en incidenten praktisch afhandelen
Maak het mogelijk om onjuiste gegevens te laten herstellen. Een verkeerd overgenomen inkomensbedrag kan invloed hebben op de selectie; een verschil van mening over de beoordeling vraagt een andere behandeling. De uitleg over rectificatie helpt dat onderscheid maken. Controleer waar een correctie moet worden doorgevoerd en beoordeel de kennisgeving aan ontvangers volgens artikel 19 AVG.
Reageer op privacyverzoeken zonder onredelijke vertraging en in ieder geval binnen één maand. Een noodzakelijke verlenging met maximaal twee maanden vanwege complexiteit of aantal verzoeken moet binnen die eerste maand worden meegedeeld en gemotiveerd. Geeft u geen gevolg aan een verzoek, deel dan binnen dezelfde uiterste termijn de redenen en informatie over klacht en beroep mee. Een wettelijke bewaarplicht kan verwijdering van bepaalde gegevens verhinderen, maar rechtvaardigt geen stilzwijgen of onbeperkte bewaring van het gehele dossier.
Beoordeel bij verkeerd verzonden stukken of onbevoegde toegang of sprake is van een persoonsgegevensinbreuk. Meld die zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur na kennisneming aan de bevoegde toezichthouder, tenzij risico voor personen onwaarschijnlijk is; motiveer een latere melding. Documenteer alle persoonsgegevensinbreuken, ook zonder meldplicht. Informeer betrokkenen daarnaast zonder onredelijke vertraging bij een waarschijnlijk hoog risico, behoudens de uitzonderingen van artikel 34. De procedure voor een datalek melden bij de AP ondersteunt deze afzonderlijke beslissingen.
Een werkbaar vastgoeddossier bevat uiteindelijk de informatie die voor de concrete fase en taak nodig is. Door identificatie, selectie, wettelijke controle en reclame afzonderlijk te organiseren, kunnen medewerkers uitleggen waarom zij iets vragen en wanneer het weer wordt verwijderd. Dat maakt de gegevensverwerking controleerbaar voor zowel het kantoor als de kandidaat, koper of bewoner.