Is jouw huurovereenkomst bedrijfsruimte AVG-proof?

Een huurovereenkomst voor bedrijfsruimte is AVG-proof zodra je daarin transparant vastlegt welke persoonsgegevens je verwerkt, op welke grondslag en hoe lang je ze bewaart. Als verhuurder verwerk je vrijwel altijd persoonsgegevens: voor het opstellen en uitvoeren van het contract, voor een screening van kandidaat-huurders en soms voor toegangsverlening met een persoonlijke badge. Veel standaard modelcontracten houden daar onvoldoende rekening mee, waardoor je risico loopt op klachten, reputatieschade en handhaving door de Autoriteit Persoonsgegevens.

Wat betekent “AVG-proof” voor een huurovereenkomst?

AVG-proof betekent dat de manier waarop je in en rondom de huurovereenkomst persoonsgegevens verwerkt, voldoet aan de kernbeginselen van de Algemene Verordening Gegevensbescherming (AVG). Het draait niet om een stempel of certificaat, maar om aantoonbare keuzes: je kunt voor elke verwerking uitleggen waarom je de gegevens nodig hebt, waarop je je baseert en hoe je ze beveiligt en bewaart.

Een persoonsgegeven is elk gegeven over een identificeerbaar persoon: naam, e-mailadres, telefoonnummer, een foto en in veel gevallen ook financiele gegevens. Zodra je die gegevens vastlegt, ordent of bewaart, is er sprake van een verwerking en gelden de AVG-regels. Let op: ook bij verhuur aan een onderneming verwerk je in de praktijk persoonsgegevens, bijvoorbeeld van de tekenbevoegde bestuurder, de contactpersoon of medewerkers met een toegangspas.

Waarom verwerkt een verhuurder persoonsgegevens?

Bij de verhuur van een bedrijfsruimte ontkom je niet aan het gebruik van persoonsgegevens. Je hebt naam, contactgegevens en vaak financiele informatie nodig om de huurovereenkomst te kunnen opstellen en uit te voeren. Daarnaast verwerk je soms gegevens voor:

• Screening van kandidaat-huurders, bijvoorbeeld een check op kredietwaardigheid of betalingsverleden.
• Toegangsverlening, zoals een persoonlijke badge met naam en foto om het pand te betreden.
• Beheer en communicatie gedurende de looptijd van de huur, denk aan onderhoudsmeldingen en facturatie.

Elke verwerking valt onder de AVG. Dat betekent dat je per verwerking moet kunnen uitleggen waarom je de gegevens nodig hebt en op welke wettelijke grondslag je je baseert.

De drie kernbeginselen voor verhuurders

1. Een geldige grondslag

Je mag persoonsgegevens alleen verwerken als je daarvoor een grondslag hebt. Voor het aangaan en uitvoeren van de huurovereenkomst leun je doorgaans op de grondslag “noodzakelijk voor de uitvoering van een overeenkomst”. Voor beveiliging en toegangscontrole kan een gerechtvaardigd belang als grondslag dienen, mits dat belang zwaarder weegt dan de privacy van de betrokkene. Toestemming is lang niet altijd nodig en is bovendien lastig: de huurder kan toestemming op elk moment intrekken.

2. Dataminimalisatie

Vraag alleen op wat je echt nodig hebt. Voor een badge zijn naam en foto verdedigbaar, maar gevoelige gegevens zoals geloof, gezondheid of seksuele geaardheid horen er niet bij. Sterker nog: het opvragen van bijvoorbeeld iemands religie kan al snel de schijn van discriminatie wekken. Beperk je tot de noodzakelijke gegevens.

3. Transparantie

De huurder moet vooraf en kosteloos weten wat je met zijn gegevens doet. Voer je een screening uit? Leg dan helder uit welke gegevens je opvraagt, waarom, hoe lang je ze bewaart en wat er daarna mee gebeurt. In de praktijk neem je hiervoor een privacyclausule op in de huurovereenkomst en verwijs je naar een privacyverklaring.

Praktijkvoorbeeld: screening en toegangsbadges

Stel: je verhuurt een bedrijfsverzamelpand en wilt nieuwe huurders screenen op betalingsverleden en hen een toegangsbadge met foto geven. Voor de screening leun je op je gerechtvaardigd belang om wanbetaling te voorkomen, maar je vraagt alleen op wat daarvoor nodig is en je laat de kandidaat vooraf weten dat je deze check uitvoert. De badgefoto bewaar je niet langer dan de huurder toegang heeft. Vraag je daarnaast naar gezondheidsgegevens of een kopie van het paspoort met BSN, dan ga je vrijwel zeker te ver: die gegevens zijn niet noodzakelijk en het BSN mag je als verhuurder in beginsel niet zomaar verwerken.

Heb je altijd toestemming van de huurder nodig?

Nee. Een veelgemaakte misvatting is dat je voor elke verwerking om toestemming moet vragen. Voor de meeste verwerkingen rond een huurovereenkomst leun je juist op de grondslagen “uitvoering van de overeenkomst” of “gerechtvaardigd belang”. Dat is praktischer, omdat toestemming aan strenge eisen is gebonden en altijd kan worden ingetrokken.

Wel geldt er een aantal verplichtingen, ongeacht de grondslag. Zo moet je als verwerkingsverantwoordelijke een verwerkingsregister bijhouden waarin staat welke gegevens je verwerkt, met welk doel, welke bewaartermijnen je hanteert en welke beveiligingsmaatregelen je hebt getroffen.

Waar gaat het mis met standaard modelcontracten?

In de praktijk zien wij dat huurovereenkomsten voor bedrijfsruimte zelden goed zijn afgestemd op de AVG. Veel verhuurders gebruiken nog oudere modelcontracten voor winkel- of kantoorruimte die zijn opgesteld voordat de AVG in werking trad. Die modellen bevatten doorgaans geen of een verouderde privacyparagraaf en zijn op dat punt feitelijk onbruikbaar.

Gebruik je een ouder model? Laat de privacybepalingen dan controleren en aanvullen. Vaak is dat een kleine ingreep waarmee je grote problemen voorkomt. Onze juristen kijken de huurovereenkomst bedrijfsruimte graag voor je na.

Welke andere AVG-verplichtingen heb je als verhuurder?

Naast grondslag, dataminimalisatie en transparantie rusten er nog meer plichten op je:

• Beveiliging. Tref passende technische en organisatorische maatregelen. Denk aan goede toegangsbeveiliging van systemen, het niet laten rondslingeren van bestanden met persoonsgegevens en het periodiek toetsen of je beveiliging nog volstaat.
• Meldplicht datalekken. Bij een datalek met risico voor betrokkenen moet je dit melden bij de Autoriteit Persoonsgegevens, in beginsel zonder onnodige vertraging en uiterlijk binnen 72 uur nadat je het lek hebt ontdekt. Een verkeerd geadresseerde e-mail of een kwijtgeraakte laptop kan al een datalek zijn.
• Verwerkersovereenkomst. Schakel je een externe partij in die namens jou gegevens verwerkt (bijvoorbeeld een vastgoedbeheerder of softwareleverancier)? Leg de afspraken dan vast in een verwerkersovereenkomst.
• Rechten van betrokkenen. Huurders kunnen hun gegevens inzien, laten corrigeren of laten verwijderen. Zorg dat je zo’n verzoek tijdig kunt afhandelen.

Wat zijn de risico’s als je het niet op orde hebt?

De AVG geeft de Autoriteit Persoonsgegevens stevige handhavingsbevoegdheden. Naast een waarschuwing of een last onder dwangsom kan de toezichthouder bij ernstige of structurele overtredingen een boete opleggen die fors kan oplopen. Voor een verhuurder in het mkb zit het grootste risico echter zelden in een directe megaboete, maar in de combinatie van gevolgen: een klacht van een (kandidaat-)huurder bij de AP, een verzoek tot inzage of verwijdering dat je niet kunt afhandelen, reputatieschade en de tijd en kosten die het herstel met zich meebrengt. Wie de privacybepalingen vooraf goed regelt, voorkomt die problemen meestal met een beperkte inspanning.

Stappenplan: maak jouw huurovereenkomst AVG-proof

1. Breng in kaart welke persoonsgegevens je verwerkt en met welk doel.
2. Bepaal per verwerking de juiste grondslag en schrap gegevens die je niet nodig hebt.
3. Neem een heldere privacyclausule op in de huurovereenkomst en verwijs naar een privacyverklaring.
4. Leg bewaartermijnen vast en richt een verwerkingsregister in.
5. Regel een verwerkersovereenkomst met partijen die namens jou gegevens verwerken.
6. Controleer je beveiligingsmaatregelen en je proces voor het melden van datalekken.

Veelgestelde vragen over een AVG-proof huurovereenkomst

Moet ik als verhuurder een privacyverklaring hebben?

Ja. Omdat je persoonsgegevens van (kandidaat-)huurders verwerkt, moet je hen transparant informeren over wat je met die gegevens doet. Een privacyverklaring is daarvoor het geijkte middel, naast een privacyclausule in de huurovereenkomst zelf.

Is toestemming van de huurder altijd verplicht?

Nee. Voor het opstellen en uitvoeren van de huurovereenkomst en voor beveiliging kun je je doorgaans baseren op de grondslagen “uitvoering van de overeenkomst” of “gerechtvaardigd belang”. Toestemming is dan niet nodig en vaak ook niet wenselijk, omdat die kan worden ingetrokken.

Mag ik een kandidaat-huurder screenen op kredietwaardigheid?

Dat kan, mits je je beperkt tot wat nodig is om wanbetaling te voorkomen en je de kandidaat vooraf informeert over de screening. Vraag niet meer op dan nodig en bewaar de uitkomst niet langer dan noodzakelijk. Gevoelige gegevens of een BSN horen hier niet bij.

Welke gegevens mag ik op een toegangsbadge zetten?

Beperk je tot wat nodig is voor de beveiliging, zoals naam en foto. Gevoelige gegevens, zoals geloof of gezondheid, mag je niet op een badge verwerken.

Wat moet ik doen bij een datalek?

Beoordeel of het lek risico voor betrokkenen oplevert. Is dat het geval, dan meld je het in beginsel binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens en informeer je zo nodig ook de betrokkenen. Leg het lek en je beoordeling intern vast.

Hoe lang mag ik gegevens van huurders bewaren?

Niet langer dan nodig voor het doel waarvoor je ze verzamelde. Voor sommige gegevens gelden wettelijke bewaartermijnen, bijvoorbeeld op grond van fiscale verplichtingen. Leg per categorie een onderbouwde bewaartermijn vast in je verwerkingsregister.

Geldt de AVG ook als ik aan een bedrijf verhuur?

Ja. Ook bij verhuur aan een rechtspersoon verwerk je vrijwel altijd persoonsgegevens van natuurlijke personen, zoals de bestuurder, een contactpersoon of medewerkers met toegang tot het pand. Die verwerkingen vallen onder de AVG, ongeacht of de huurder zelf een onderneming is.

Laat jouw huurovereenkomst controleren door MKB Juristen

Twijfel je of jouw huurovereenkomst bedrijfsruimte voldoet aan de AVG, of gebruik je nog een ouder modelcontract? Onze juristen helpen je de privacybepalingen op orde te brengen en grotere problemen te voorkomen. Bekijk onze expertise op het gebied van privacywetgeving of regel directe juridische rechtshulp.

Plan een vrijblijvende intake in en laat ons meekijken naar jouw contract.