GDPR voor vastgoedmakelaars: wat je moet weten

Elke verwerking heeft een rechtsgrond nodig. Het BIV geeft voor makelaars deze voorbeelden:

• Overeenkomst: de gegevens van je opdrachtgever onder de bemiddelingsovereenkomst.
• Wettelijke verplichting: de identificatie van koper en verkoper voor de antiwitwaswet, en het bijhouden van kandidaat-kopers om je opdrachtgever te kunnen informeren.
• Gerechtvaardigd belang: kan voor direct marketing, als je de belangenafweging documenteert en een eenvoudige opt-out aanbiedt.
• Toestemming: volgens het BIV vaak eenvoudiger én transparanter, zeker voor marketing.

Je identificeert je klant vóór je de bemiddelingsovereenkomst tekent, en de tegenpartij vóór er een compromis of een verkoop- of aankoopbelofte wordt gesloten. Je noteert naam, voornaam, geboortedatum en geboorteplaats.

Een afschrift van de bewijsstukken bewaar je 10 jaar na het einde van de relatie, en daarna verwijder je het. De FOD Economie kan boetes opleggen tot €1.250.000. Het BIV raadt aan zijn antiwitwastool te gebruiken, maar dat is niet verplicht. Meer in de antiwitwaswet voor vastgoedmakelaars.

Een kopie van de identiteitskaart neem je alleen in de gevallen die de wet voorschrijft, zoals het afschrift van de bewijsstukken voor de antiwitwascontrole. Voor andere doelen volstaat het dat iemand de kaart toont, zegt de Gegevensbeschermingsautoriteit (GBA).

Het rijksregisternummer mag je alleen gebruiken met een machtiging of als een wet het toelaat. De gegevens die het BIV opsomt voor de antiwitwasidentificatie bevatten het rijksregisternummer niet.

Voor marketing per e-mail heb je in principe voorafgaande toestemming nodig, met een uitzondering voor bestaande klanten. Werk je op basis van gerechtvaardigd belang, dan bied je vanaf het eerste contact een recht van bezwaar aan. Maakt iemand bezwaar, dan stop je meteen.

In de praktijk:

• Leg vast wanneer en hoe iemand toestemming gaf, bijvoorbeeld bij het aanmaken van een zoekprofiel.
• Zet in elke matchingmail en nieuwsbrief een eenvoudige manier om uit te schrijven.
• Verwerk een uitschrijving of bezwaar meteen, ook in je CRM.

Hoe je zoekprofielen bijhoudt en kandidaten nieuwe panden toont, lees je in je kandidatenbestand is goud waard.

Vraagt iemand inzage, correctie of verwijdering van zijn gegevens, dan antwoord je binnen een maand. Je mag die termijn met maximaal twee maanden verlengen, als je dat binnen de eerste maand laat weten. Een ontvangstbevestiging alleen geldt niet als antwoord.

• Register van verwerkingsactiviteiten: de uitzondering voor kleine bedrijven is smal en geldt niet voor verwerkingen die je regelmatig doet. De GBA biedt een sjabloon aan.
• Verwerkersovereenkomst: sluit er een met elke leverancier die persoonsgegevens voor je verwerkt, zoals je CRM, je mailtool, je hosting en je AI-tools. Vraag ook waar de gegevens bewaard worden. Voor AI lees je meer in AI op een makelaarskantoor; hoe Maako het regelt, staat op de pagina veiligheid en gegevensbescherming.
• Datalekken: meld een datalek aan de GBA, indien mogelijk binnen 72 uur nadat je het ontdekt.

De GBA houdt toezicht. De AVG voorziet boetes tot €20 miljoen of 4% van de wereldwijde jaaromzet.