Een woningzoekende die reageert op een appartement stuurt vaak in één mail zijn loonstrook, arbeidscontract en een kopie van zijn paspoort mee, soms nog vóór de bezichtiging. Voor verhuurbemiddelaars, vastgoedbeheerders en VvE-beheerders is dat dagelijkse praktijk, en juist over het uitvragen van te veel gegevens van woningzoekenden heeft de Autoriteit Persoonsgegevens zich vaker kritisch uitgelaten.
Een inkomenstoets is pas relevant als iemand echt kandidaat is voor de woning, niet bij de eerste bezichtigingsaanvraag. Toch vragen inschrijfformulieren vaak meteen om loonstroken, werkgeversverklaring, bankafschriften en gezinssamenstelling, van iedereen die interesse toont. Zo verzamel je van tientallen mensen gevoelige financiële gegevens terwijl één iemand de woning krijgt. Het uitgangspunt van de AVG is minimalisatie: alleen wat nodig is, op het moment dat het nodig is. Concreet: knip het proces op. Vraag bij interesse alleen contactgegevens, vraag pas bij een serieuze kandidatuur de inkomensgegevens die je echt beoordeelt, en vraag nooit standaard om bankafschriften waarop ook uitgaven en saldo's zichtbaar zijn.
art. 5 AVGDe paspoortkopie komt per mail binnen, wordt doorgestuurd naar de verhuurder en blijft vervolgens in drie mailboxen staan, jarenlang en onversleuteld. Een volledige ID-kopie bevat BSN en pasfoto en is een geliefd doelwit voor identiteitsfraude; een gehackte mailbox van een bemiddelaar levert in één klap tientallen kopieën op. Bovendien is een volledige kopie zelden nodig: identiteit vaststellen kan bij de sleuteloverdracht met het document zelf. Concreet: vraag geen ID-kopie per mail. Is vastlegging toch nodig, laat de kandidaat dan BSN en pasfoto afschermen (bijvoorbeeld met de KopieID-app van de overheid), sla de kopie op een afgeschermde plek op en verwijder hem uit de mailbox.
art. 5 + art. 32 AVGVan elke verhuurde woning blijven dossiers over van de kandidaten die het niet werden: loonstroken, contracten, soms ID-kopieën. Die gegevens hebben hun doel gediend zodra de woning is toegewezen, en daarmee vervalt de reden om ze te bewaren. In de praktijk blijven ze staan in de mailbox, het CRM en de map "inschrijvingen 2023". Wie er dan om verwijdering vraagt, krijgt vaak geen volledig antwoord, omdat niemand precies weet waar alles staat. Concreet: verwijder gegevens van afgewezen kandidaten kort na de toewijzing (een termijn van enkele weken is goed uitlegbaar), leg die termijn vast in je privacyverklaring en loop periodiek de mailbox en gedeelde mappen na.
art. 5 + art. 17 AVGAls VvE-beheerder verwerk je de ledenadministratie van je klanten: namen, adressen, bankgegevens, betalingsachterstanden, correspondentie over burenconflicten. Formeel is de VvE verwerkingsverantwoordelijke en ben jij verwerker, en dat vraagt om een verwerkersovereenkomst met elke VvE die je beheert. Die ontbreekt in de praktijk vaak, net als afspraken met je eigen softwareleverancier. Extra aandachtspunt: notulen en vergaderstukken. Een lijst met achterstanden per appartementsnummer die naar alle leden gaat, deelt betalingsgegevens breder dan nodig. Concreet: sluit een verwerkersovereenkomst met elke VvE en met je softwareleverancier, en houd persoonsgerichte betalingsinformatie uit stukken voor alle leden; geanonimiseerde totalen volstaan voor de vergadering.
art. 28 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanWees terughoudend: identiteit vaststellen kan meestal door het document te laten tonen, zonder kopie. Is vastlegging echt nodig, bijvoorbeeld bij het tekenen van het huurcontract, laat dan BSN en pasfoto afschermen en bewaar de kopie beveiligd, niet in de mailbox.
Dat is vrijwel nooit te onderbouwen: op dat moment beoordeel je nog niemand. Vraag inkomensgegevens pas op als iemand serieus kandidaat is, en beperk je tot wat je echt nodig hebt voor de inkomenstoets. Bankafschriften met alle uitgaven erop gaan verder dan nodig.
Alleen zolang het doel dat vraagt, en dat doel vervalt bij de toewijzing van de woning. Een korte termijn van enkele weken na toewijzing is goed uitlegbaar; jaren bewaren "voor het geval dat" niet. Leg je termijn vast in je privacyverklaring en ruim ook echt op.
Het bestuur mag achterstanden bespreken, maar een naar persoon of appartement herleidbare lijst in stukken voor alle leden gaat al snel verder dan nodig. Werk in de vergaderstukken met totalen en behandel individuele gevallen buiten de openbare stukken om.
Ja, twee dingen: een verwerkersovereenkomst tussen jou en elke VvE (jij verwerkt hun ledendata) en een verwerkersovereenkomst tussen jou en je softwareleverancier. Vraag de leverancier ook waar de data wordt opgeslagen, zeker als er servers buiten de EU in het spel zijn.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.