Een kandidaat-huurder stuurt op vrijdagmiddag zijn paspoort, drie loonstroken en een werkgeversverklaring naar uw algemene mailadres. Maandag komen er vier van zulke mails bij. Bij makelaars en taxateurs stroomt gevoelige informatie binnen via de mailbox, en daar blijft ze vaak jaren staan.
Of het nu om een Wwft-identificatie bij een verkoop gaat of om een huurscreening: de ID-kopie komt vrijwel altijd per e-mail binnen en blijft daar staan, ongemaskeerd, jaren na dato. Wordt die mailbox gehackt, dan liggen tientallen paspoorten met pasfoto en BSN op straat, en is identiteitsfraude het reële gevolg. Wat u concreet kunt doen: sla identificaties op in één beveiligde dossieromgeving en verwijder de mail met bijlage direct daarna. Vraag bij huurscreening geen volledige ID-kopie: de identiteit vaststellen kan door het document bij de bezichtiging te laten tonen. Is een kopie echt nodig, laat de pasfoto en het BSN dan afschermen. Zo blijft alleen over wat u werkelijk nodig heeft.
art. 5 + art. 32 AVGBij verhuurbemiddeling is het verleidelijk om iedereen bij inschrijving meteen om loonstroken, werkgeversverklaring en bankafschriften te vragen. Dat staat op gespannen voet met dataminimalisatie: u verzamelt dan financiële gegevens van tientallen mensen die de woning nooit krijgen. De AP heeft juist voor de omgang met gegevens van woningzoekenden herhaaldelijk aandacht gevraagd. Wat u concreet kunt doen: werk getrapt. Vraag bij interesse alleen naam en contactgegevens, en pas in de serieuze fase (bijvoorbeeld bij de twee overgebleven kandidaten) de financiële onderbouwing. Verwijder de gegevens van afgewezen kandidaten kort na de toewijzing, denk in weken en niet in jaren, en beschrijf deze werkwijze in uw privacyverklaring zodat kandidaten weten waar ze aan toe zijn.
art. 5 + art. 13 AVGBemiddelt u bij koop of verkoop, dan bent u Wwft-plichtig: cliëntenonderzoek doen, de identiteit vastleggen en die vastlegging vijf jaar na het einde van de relatie bewaren. Daarmee heeft u naast de AP een tweede toezichthouder, het Bureau Toezicht Wwft van de Belastingdienst, en telt een slordig dossier dubbel. De bewaarplicht wordt in de praktijk vaak verward met eindeloos bewaren: de kopie moet er zijn, maar na de termijn ook weer weg. En de plicht zegt niets over de opslagplek; een mailbox of een gedeelde map zonder toegangsbeperking is geen dossier. Concreet: leg per transactie vast wanneer de Wwft-termijn afloopt, bewaar de identificatie op één beveiligde plek, en neem de opruiming van verlopen dossiers op in een vaste jaarlijkse ronde.
Wwft + art. 5 AVGDe eigen website is bij makelaars een onderschatte bron van risico. Laadt uw site lettertypen rechtstreeks bij Google, dan gaat het IP-adres van elke bezoeker naar de VS, zonder dat iemand daarvoor koos. Woningvideo's via een standaard YouTube-embed laden trackers mee voordat de bezoeker iets heeft aangeklikt. En het bezichtigingsformulier verzamelt namen en telefoonnummers die ergens in een postvak belanden. Wat u concreet kunt doen: host lettertypen op uw eigen server, gebruik voor video's een embed-variant die pas laadt na een klik, houd het formulier beperkt tot naam en contactgegevens, en controleer of uw privacyverklaring beschrijft wat er werkelijk op de site gebeurt. Dat is grotendeels eenmalig werk voor uw websitebouwer.
art. 13 AVG + art. 11.7a TelecommunicatiewetDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanWees daar terughoudend mee. De identiteit vaststellen kan door het document bij de bezichtiging te laten tonen; een kopie is dan niet nodig. Is een kopie in een concrete fase toch nodig, laat dan pasfoto en BSN afschermen. Bij een Wwft-plichtige koop- of verkooptransactie is vastlegging wel verplicht.
Zo kort mogelijk: het doel vervalt zodra de woning is toegewezen. Verwijder de gegevens van afgewezen kandidaten kort daarna, denk in weken. Wilt u iemand voor een volgende woning benaderen, vraag daar dan apart toestemming voor.
Bij bemiddeling bij koop of verkoop van vastgoed wel. U moet dan cliëntenonderzoek doen, de identiteit vastleggen en die vastlegging vijf jaar na het einde van de relatie bewaren. Het Bureau Toezicht Wwft van de Belastingdienst houdt hier toezicht op, naast de AP voor de AVG-kant.
Ja, want een mailbox is een geliefd doelwit en de bijlagen blijven daar onbeperkt staan. Verplaats de documenten naar een beveiligde dossieromgeving, verwijder de oorspronkelijke mails, en spreek met kantoor af dat dit de vaste werkwijze is voor alles wat binnenkomt.
Alleen als de site niet-noodzakelijke cookies of trackers gebruikt, bijvoorbeeld voor statistieken of marketing. Plaatst u die, dan moet weigeren net zo makkelijk zijn als accepteren; dat volgt uit art. 11.7a Telecommunicatiewet. Zonder zulke cookies is een banner niet nodig.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.