Veel huurovereenkomsten voor bepaalde tijd lopen in het late najaar af. Voor veel kleine verhuurders is de volgende klus dus: een nieuwe huurder vinden. Je plaatst de advertentie, de reacties stromen binnen en voor je het weet heb je een map vol met het leven van anderen: loonstroken, bankafschriften, foto's van identiteitsbewijzen, berichten over kinderen en werk.

Het meeste daarvan had je nooit nodig. Onder de AVG (GDPR), die ook voor jou geldt als je maar één woning verhuurt, ben je als verhuurder die persoonsgegevens van kandidaten verzamelt de verwerkingsverantwoordelijke. Dat betekent: je verzamelt alleen wat je voor een duidelijk doel nodig hebt, je bewaart het veilig en je wist het zodra het doel is vervallen. Het goede nieuws is dat dit correct doen minder papierwerk oplevert, niet meer.

Deze gids loopt fase voor fase langs het proces. Hij is gebaseerd op de AVG zoals die in de hele EU geldt, met opmerkingen over het Verenigd Koninkrijk en Ierland. Nationale regels verschillen, dus leg onduidelijkheden voor aan je gegevensbeschermingsautoriteit of een jurist.

Fase 1: de eerste reactie en de bezichtiging

Op dit moment praat je met mensen, je kiest nog niet tussen hen. Je moet kunnen reageren en weten wie er bij je binnenkomt.

Wat je vraagt: naam, telefoonnummer of e-mailadres, en eventueel wanneer iemand wil verhuizen en met hoeveel personen.

Wat je nog niet vraagt: kopieën van identiteitsbewijzen, bankafschriften, loonstroken, werkgeversgegevens, ID- of belastingnummers.

De Ierse toezichthouder, de Data Protection Commission (DPC), heeft zich hier rechtstreeks over uitgelaten. In de richtlijn over het opvragen van persoonsgegevens van toekomstige huurders schrijft de DPC dat verhuurders in de sollicitatiefase vaak veel informatie van veel kandidaten verzamelen, "van wie de overgrote meerderheid uiteindelijk geen huurder wordt". Gedetailleerde informatie is volgens de DPC meestal pas nodig als je een voorkeurshuurder hebt gekozen. Al in 2014 oordeelde de DPC dat er geen grondslag is om bij de bezichtiging bankgegevens, PPS-nummers en energierekeningen te verzamelen, en ze heeft gezegd dat verhuurders vóór het tekenen van de huurovereenkomst niet om foto's of PPS-nummers moeten vragen (bericht in The Irish Times). Die richtlijn is Iers, maar het principe erachter, dataminimalisatie, staat overal in de AVG.

Fase 2: de serieuze kandidaat

Heeft iemand de woning gezien, wil die haar graag en overweeg je die persoon serieus, dan kun je redelijkerwijs twee dingen nagaan: kan de kandidaat de huur betalen, en hoe liep de vorige huurrelatie?

  • Betaalcapaciteit. De DPC vindt het redelijk om documenten te vragen waaruit blijkt dat een kandidaat de huur kan betalen. Dat kan een recente loonstrook zijn, een arbeidsovereenkomst of, voor zelfstandigen, een recent belastingoverzicht. Vraag je bankafschriften, dan heb je niet elke transactie nodig: volgens de DPC volstond een afschrift met lopende saldi waarin de transactiegegevens zijn weggelaten. Nodig kandidaten uit om af te dekken wat jij niet nodig hebt.
  • Referentie van een vorige verhuurder. Een kort telefoontje of mailtje aan de vorige verhuurder, met medeweten van de kandidaat, is meestal de nuttigste controle die je kunt doen. Vraag of de huur op tijd werd betaald, in welke staat de woning werd achtergelaten en of die verhuurder opnieuw aan deze persoon zou verhuren. Vraag het contact aan de kandidaat zelf; ga het niet zelf opzoeken.

Eén punt verrast veel verhuurders: toestemming is hier meestal de verkeerde grondslag. De DPC waarschuwt dat door de ongelijke verhouding tussen een verhuurder en iemand die een woning nodig heeft, toestemming vermoedelijk niet vrijwillig wordt gegeven. Deze controles steunen normaal gesproken op maatregelen vóór het sluiten van een overeenkomst of op je gerechtvaardigd belang, en juist daarom moeten ze proportioneel blijven.

In sommige landen zijn huurders gewend een standaarddocument te overleggen, zoals een kredietrapport van een nationaal kredietbureau. Of je daar om mag vragen en hoe, hangt af van de plaatselijke praktijk, dus zoek dat voor je eigen land uit.

Fase 3: het contract tekenen

Nu heb je genoeg nodig om de partijen goed te identificeren en de huur uit te voeren:

  • de volledige naam en het huidige adres van elke volwassen huurder,
  • de identificerende gegevens die in jouw land gebruikelijk zijn in een huurovereenkomst (in Hongarije bijvoorbeeld bevatten contracten gewoonlijk geboortedatum en -plaats en de meisjesnaam van de moeder),
  • contactgegevens,
  • het bankrekeningnummer waarvan de huur betaald wordt, als dat handig is om betalingen te koppelen,
  • een noodcontact, als de huurder dat wil opgeven.

Wat de wet voorschrijft, zoals registratie van de huur of belastingaangifte in jouw land, mag je in deze fase ook verzamelen, want dan is een wettelijke verplichting je grondslag.

Verboden terrein in elke fase

Sommige dingen vraag je niet en zoek je ook niet uit:

  • Gezondheid, religie, etnische afkomst, politieke opvattingen, seksuele geaardheid. Dit zijn bijzondere categorieën persoonsgegevens volgens artikel 9 van de AVG, en in veel landen kan ernaar vragen bij het kiezen van een huurder ook discriminatie zijn.
  • Sociale media. Door de profielen van een kandidaat heen scrollen is gegevens verzamelen die je niet nodig hebt, en je krijgt precies het soort informatie te zien dat hierboven staat. Laat het dus.
  • Strafrechtelijk verleden. Volgens artikel 10 van de AVG mogen gegevens over strafrechtelijke veroordelingen alleen worden verwerkt onder toezicht van de overheid of als de nationale wet dat uitdrukkelijk toestaat. In veel landen heeft een particuliere verhuurder die toestemming niet, dus vraag niet om een verklaring omtrent gedrag tenzij je hebt gecontroleerd dat de wet in jouw land dat toestaat.

Bekijken, niet kopiëren: identiteitsbewijzen

Bij het tekenen wil je waarschijnlijk een identiteitsbewijs zien, om zeker te weten dat de persoon tegenover je de persoon uit het contract is. Bekijk het, vergelijk de gegevens met het contract en geef het terug. Maak er geen kopie of foto van.

Dit volgt uit het algemene standpunt van de Hongaarse toezichthouder NAIH. In de uitspraak over het maken van kopieën van documenten (NAIH/2018/3654) stelt NAIH dat het tonen van een identiteitsbewijs met foto de juiste manier is om iemands identiteit vast te stellen, dat een kopie niets bewijst over de geldigheid van het origineel, en dat het bewaren van kopieën in strijd is met doelbinding en dataminimalisatie. Volgens NAIH is het kopiëren van identiteitsdocumenten zonder specifieke wettelijke grondslag onrechtmatig, ook als de betrokkene toestemming geeft, en heeft NAIH organisaties die dit deden beboet. NAIH heeft zich niet specifiek over particuliere verhuurders uitgesproken, dus dit is onze eigen conclusie, maar het is moeilijk in te zien waarom een verhuurder anders behandeld zou worden dan een bank of een werkgever. Andere EU-toezichthouders hanteren over het algemeen een vergelijkbare terughoudende aanpak.

De Britse uitzondering. In Engeland moeten verhuurders Right to Rent-controles uitvoeren en kopieën van de documenten bewaren, of de online controle opslaan, gedurende de hele huurperiode en minstens een jaar daarna. Dat is een wettelijke verplichting, dus kopiëren is daar rechtmatig. Het geldt alleen in Engeland en alleen voor de documenten en stappen die de controle vereist.

Een korte privacyverklaring

Kandidaten moeten weten wat je verzamelt en waarom, op het moment dat je het verzamelt. Voor een kleine verhuurder volstaan een paar regels in de advertentie of een kort bericht na de bezichtiging:

Ik gebruik je contactgegevens om de bezichtiging te regelen en om contact met je op te nemen. Als we doorgaan, vraag ik om bewijs van inkomen en het contact van een vorige verhuurder. Als je niet wordt gekozen, wis ik je gegevens binnen een maand nadat de woning is verhuurd. Je kunt me op elk moment vragen wat ik van je bewaar of me vragen het te wissen.

Zet je naam en contactgegevens erbij en noem de gegevensbeschermingsautoriteit als plek om een klacht in te dienen. Ben je in het VK, kijk dan op de website van de ICO of je de vergoeding voor gegevensbescherming moet betalen.

Veilig bewaren

  • Bewaar alles op één plek, niet verspreid over je telefoon, twee mailboxen en een keukenla.
  • Gebruik een sterk wachtwoord en tweestapsverificatie voor e-mail en cloudopslag.
  • Berg papieren kopieën op slot op en versnipper ze als je klaar bent.
  • Stuur documenten van kandidaten niet door naar mensen die ze niet nodig hebben.

Heb je eenmaal gekozen, dan kan LeasingTrack helpen om alles overzichtelijk te houden: je nodigt de nieuwe huurder per e-mail uit en die ziet alleen de eigen huurovereenkomst, niet je andere woningen of andere kandidaten.

Wissen wat je niet meer nodig hebt

Afgewezen kandidaten. Zodra de woning is verhuurd en de nieuwe huurovereenkomst is getekend, heb je geen reden meer om de loonstroken of referenties van de andere kandidaten te bewaren. Volgens de DPC moeten deze gegevens veilig worden vernietigd. De AVG noemt geen vast aantal dagen; een paar weken na ondertekening is een verstandige en verdedigbare vuistregel. Wis ook de e-mails en bijlagen, en kijk in je map met downloads.

De gekozen huurder. Bewaar de huurovereenkomst en de betalingsgegevens voor de duur van de huur en zolang je ze daarna mogelijk nodig hebt voor belasting of juridische vorderingen. Die termijnen verschillen per land (in Hongarije bijvoorbeeld is de algemene verjaringstermijn voor civiele vorderingen vijf jaar). Loonstroken en bankafschriften uit de sollicitatiefase hebben hun werk gedaan zodra de huurovereenkomst is getekend, dus die kun je dan meestal wissen.

Kort samengevat

  1. Bezichtiging: naam en contactgegevens.
  2. Serieuze kandidaat: bewijs van inkomen en een referentie van een vorige verhuurder.
  3. Ondertekening: wat het contract en de wet vereisen.
  4. Nooit: gezondheid, religie, seksuele geaardheid, sociale media en, in veel landen, strafrechtelijk verleden.
  5. Bekijk een identiteitsbewijs, kopieer het niet, tenzij een wet zoals de Right to Rent in Engeland het vereist.
  6. Vertel mensen wat je doet, bewaar het veilig en wis wat je niet meer nodig hebt.

Dit is een algemene gids en geen juridisch advies. Is jouw situatie bijzonder, vraag dan raad aan je gegevensbeschermingsautoriteit of een jurist.