GDPR in de verhuursector: geen uitzondering
Als verhuurder werk je dagelijks met persoonsgegevens. Naam, adres, inkomensgegevens, kopie van het identiteitsbewijs, bankgegevens - je verzamelt het allemaal. En dat betekent dat de GDPR (in Nederland en Belgie ook AVG genoemd) op jou van toepassing is.
Toch denken veel verhuurders, zeker particuliere, dat de GDPR niet voor hen geldt. “Ik ben geen bedrijf,” hoor je dan. Of: “Ik heb maar twee appartementen.” Maar de GDPR maakt geen onderscheid tussen groot en klein. Het maakt onderscheid tussen persoonlijk en professioneel.
De Spaanse zaak: EUR 1.200 boete voor een verhuurder
In 2022 legde de Spaanse toezichthouder (AEPD) een boete op van EUR 1.200 aan een particuliere verhuurder. De reden: de verhuurder verzamelde persoonsgegevens van een huurder (identiteitsbewijs, inkomensbewijzen, bankgegevens) zonder de huurder te informeren over de verwerking.
Concreet ontbrak het volgende:
- Geen informatie over het doel van de gegevensverwerking
- Geen vermelding van de rechtsgrond
- Geen informatie over de bewaartermijn
- Geen verwijzing naar de rechten van de huurder (inzage, correctie, verwijdering)
De verhuurder had simpelweg een kort privacydocument bij het huurcontract moeten voegen. Dat had hem misschien een halfuur gekost. De boete kostte hem EUR 1.200.
Dit is geen uitzonderlijk geval. Toezichthouders in heel Europa kijken steeds vaker naar de vastgoedsector, juist omdat veel verhuurders zich niet bewust zijn van hun verplichtingen.
De huishoudelijke vrijstelling: wanneer geldt die wel en niet?
De GDPR kent een “huishoudelijke vrijstelling” (Artikel 2, lid 2, sub c). Die zegt dat de GDPR niet van toepassing is op verwerkingen door een persoon voor puur persoonlijke of huishoudelijke activiteiten.
Maar wanneer is verhuur “puur persoonlijk”?
Mogelijk vrijgesteld:
- Je verhuurt een kamer in je eigen woning aan een huisgenoot
- Je verhuurt incidenteel een vakantiewoning aan familie of vrienden
Niet vrijgesteld:
- Je verhuurt meerdere panden structureel aan derden
- Je werkt met een makelaar of vastgoedbeheerder
- Je plaatst advertenties op platforms zoals Funda, Immoweb of Pararius
- Je houdt een gestructureerde administratie bij van huurders en betalingen
De vuistregel: zodra je verhuuractiviteit een georganiseerd karakter heeft, val je onder de GDPR. Verhuur je 10 appartementen? Dan is er geen discussie. Verhuur je er 1 via een platform? Dan waarschijnlijk ook.
Welke gegevens mag je verzamelen?
Het dataminimalisatieprincipe (Artikel 5 GDPR) bepaalt dat je alleen gegevens mag verzamelen die noodzakelijk zijn voor het doel. Voor verhuur betekent dat:
Mag wel
- Naam en contactgegevens - nodig voor het huurcontract
- Identiteitsbewijs - ter verificatie van identiteit (bekijken, niet kopieren tenzij wettelijk verplicht)
- Inkomensgegevens - voor het beoordelen of de huurder de huur kan betalen (loonstrookjes, arbeidscontract)
- Bankgegevens - voor het innen van de huur
- Huurgeschiedenis/referenties - relevant voor het beoordelen van de huurder
Mag niet
- Medische gegevens - niet relevant voor verhuur
- Religie, politieke voorkeur, seksuele orientatie - bijzondere categorieen die je nooit mag vragen
- Sociale media profielen - niet noodzakelijk voor het huurcontract
- Strafblad - mag je als particuliere verhuurder niet opvragen
- Meer kopieren dan nodig - een volledig dossier met alle bankafschriften van de afgelopen 5 jaar is buitensporig
Wat moet je regelen als verhuurder?
1. Informeer je huurders
Voeg een kort privacydocument toe aan het huurcontract. Vermeld:
- Welke gegevens je verzamelt en waarom
- De rechtsgrond (meestal: uitvoering van de huurovereenkomst)
- Hoe lang je de gegevens bewaart
- De rechten van de huurder (inzage, correctie, verwijdering)
- Je contactgegevens voor privacyvragen
2. Beperk wat je verzamelt
Vraag alleen wat je echt nodig hebt. Een loonstrookje om het inkomen te checken? Prima. Alle bankafschriften van het afgelopen jaar? Overbodig.
3. Stel bewaartermijnen vast
- Tijdens het huurcontract: alle gegevens nodig voor de uitvoering
- Na afloop huurcontract: financiele gegevens maximaal 7 jaar (belastingwetgeving), overige gegevens verwijderen
- Afgewezen kandidaat-huurders: gegevens binnen 4 weken verwijderen, tenzij je een langere termijn hebt afgesproken
4. Beveilig de gegevens
Bewaar huurderdossiers niet in een onbeveiligde map op je bureaublad. Gebruik op zijn minst:
- Wachtwoordbeveiliging op digitale bestanden
- Beperkte toegang (alleen jij en eventueel je beheerder)
- Een afgesloten kast voor papieren dossiers
5. Let op bij vastgoedplatforms
Als je een extern platform of makelaar inschakelt die toegang heeft tot huurdergegevens, heb je mogelijk een verwerkersovereenkomst nodig. Check of het platform er al een biedt in de algemene voorwaarden.
Samenvatting: de drie grote fouten van verhuurders
- Niet informeren - je huurders niet vertellen wat je met hun gegevens doet (precies de fout uit de Spaanse zaak)
- Te veel verzamelen - alles opvragen “voor de zekerheid” terwijl het niet noodzakelijk is
- Nooit verwijderen - huurderdossiers jarenlang bewaren na afloop van het contract
Geen van deze fouten is moeilijk te voorkomen. Een kort privacydocument, een bewuste selectie van gegevens, en een jaarlijkse opschoonactie zijn genoeg om de basis op orde te hebben.
GDPRWise helpt je als verhuurder of vastgoedbeheerder om je verwerkingsregister, privacyverklaring en bewaartermijnen op te stellen. In een paar minuten, niet in een paar weken.