AVG voor makelaars: klantgegevens aan de telefoon
Mensen bellen je midden in een scheiding, een verhuizing of een nalatenschap. Dat maakt elk telefoongesprek een verwerking van persoonsgegevens.
Als makelaar verwerk je meer gevoelige informatie dan je op het eerste gezicht denkt. Niet alleen namen en adressen, maar ook de reden waarom iemand verkoopt: een scheiding, een overlijden, een gedwongen verkoop, een gezin dat uit elkaar valt.
Dat maakt van elk telefoongesprek een verwerking van persoonsgegevens. Dit artikel gaat over wat de AVG daarvan vraagt, met nadruk op de telefoon en op het uitbesteden daarvan.
Dit is algemene uitleg, geen juridisch advies. Voor je eigen situatie leun je op je brancheorganisatie of een privacyjurist.
Welke gegevens je verwerkt
| Categorie | Voorbeelden | Gevoeligheid |
|---|---|---|
| Contactgegevens | Naam, telefoonnummer, e-mail | Basis |
| Woon- en objectgegevens | Adres, woningtype, eigendomssituatie | Basis, maar herleidbaar |
| Financiële context | Budget, financieringsvoorbehoud, biedingen | Hoog |
| Persoonlijke omstandigheden | Scheiding, overlijden, gezondheid, gedwongen verkoop | Zeer hoog |
| Identificatie voor de Wwft | Documentgegevens | Zeer hoog, met eigen wettelijk regime |
De vierde rij is waar het in de makelaardij misgaat. Die informatie is niet iets wat je opvraagt, het komt vanzelf in het gesprek naar boven omdat mensen uitleggen waarom ze verkopen. En zodra het in je systeem staat, is het een persoonsgegeven dat je moet beschermen.
Vier dingen die op orde moeten zijn
1. Een verwerkingsregister
Een overzicht van welke gegevens je verwerkt, waarom, op welke grondslag en hoe lang je ze bewaart. Geen dik document, wel een actueel document.
2. Verwerkersovereenkomsten
Met elke partij die namens jou persoonsgegevens verwerkt: je softwareleverancier, je fotograaf als die klantgegevens ontvangt, je marketingbureau en je telefonieaanbieder. Zonder overeenkomst mag die verwerking niet plaatsvinden.
3. Een privacyverklaring die klopt
Op je website, en belangrijker: overeenkomend met wat je werkelijk doet. Een gekopieerde verklaring die spreekt over verwerkingen die je niet uitvoert, of die je echte verwerkingen niet noemt, is erger dan geen verklaring.
4. Bewaartermijnen die je ook toepast
Dit is in de praktijk het zwakste punt. Kantoren bewaren relatiebestanden en biedhistorie tot in de eeuwigheid, omdat het ooit nog eens van pas kan komen. Dat is precies wat de AVG niet toestaat.
Let hierbij op het onderscheid met de Wwft, die juist een wettelijke bewaartermijn kent voor cliëntenonderzoek. Houd die twee stromen gescheiden, zoals uitgelegd in Wwft voor makelaars.
De telefoon in het bijzonder
Drie situaties waar het vaak misgaat.
Gegevens van derden delen
Een beller die vraagt waarom de bewoners verkopen, of hoeveel bezichtigingen er zijn geweest, vraagt naar informatie over andere mensen. Dat deel je niet, ook al is het interessant voor de verkoop en ook al staat het in je systeem.
Gesprekken opnemen
Opnemen mag niet zomaar. Je hebt een grondslag nodig, je moet erover informeren, en je moet bepalen hoe lang je bewaart. Voor de meeste kantoren is de eenvoudigste route: niet opnemen, wel een zakelijke samenvatting vastleggen van wat er is afgesproken.
Uitbesteden zonder afspraken
Laat je je telefoon aannemen door een externe partij, dan verwerkt die partij persoonsgegevens namens jou. Vier dingen die je vastlegt:
- Een verwerkersovereenkomst.
- Waar de gegevens staan, bij voorkeur binnen de EU.
- Hoe lang gespreksgegevens bewaard blijven, en dat je dat zelf kunt instellen.
- Dat je gegevens niet gebruikt worden om modellen mee te trainen.
Die laatste is bij AI-diensten de vraag die je expliciet moet stellen, en waar je een schriftelijk antwoord op wil. Bij ons is dat antwoord nee, en dat staat in de verwerkersovereenkomst.
Je kunt het gesprek uitbesteden, niet de verantwoordelijkheid. Jij blijft de verwerkingsverantwoordelijke, ook als een ander opneemt.
Wat een AI-telefoniste hier anders maakt
Twee dingen, en ze wijzen in tegengestelde richting.
In je voordeel: een AI volgt de regels die je instelt consequent. Heb je vastgelegd dat de reden van verkoop nooit gedeeld wordt, dan gebeurt dat ook niet op een drukke zaterdagmiddag. Bij mensen is dat een kwestie van oplettendheid.
In je nadeel: er ontstaat een extra verwerking en een extra partij in de keten. Dat vraagt om dezelfde zorgvuldigheid als bij elke andere leverancier, en om de vier afspraken hierboven. De bredere afweging tussen de opties staat in telefoonservice uitbesteden, en wat de AI wel en niet zegt in wat een AI-telefoniste doet.
Bewaartermijnen per categorie
Dit is het punt waar het bij makelaarskantoren het vaakst misgaat: alles blijft staan omdat het ooit nog eens van pas kan komen. De AVG vraagt om een termijn per doel, niet om één termijn voor alles.
| Categorie | Leidraad | Let op |
|---|---|---|
| Telefoonnotities zonder vervolg | Kort, weken tot maanden | Vaak het grootste volume |
| Bezichtigingsaanvragen zonder opdracht | Kort, tenzij de kijker toestemming gaf | Niet automatisch je mailinglijst in |
| Dossiers van uitgevoerde opdrachten | Volgt je administratieplicht | Fiscale en civiele termijnen verschillen |
| Cliëntenonderzoek voor de Wwft | Wettelijk voorgeschreven | Deze mag je juist niet te vroeg wissen |
| Marketingtoestemmingen | Tot intrekking | Leg vast wanneer en hoe de toestemming is gegeven |
Die vierde rij is de reden dat je de stromen gescheiden moet houden. De Wwft dwingt bewaren af waar de AVG wissen vraagt, en dat is alleen te verenigen als je per doel vastlegt wat waar staat. Zie ook Wwft voor makelaars.
Wat je doet bij een datalek
Een datalek is niet alleen een gehackt systeem. Een mail met een bijlage naar de verkeerde ontvanger is er ook een, en dat komt bij makelaarskantoren regelmatig voor omdat je met adresgegevens en dossiers schuift.
- Leg vast wat er gebeurd is, welke gegevens het betreft en hoeveel mensen het raakt.
- Beperk de schade: vraag om verwijdering, trek toegang in, wijzig wachtwoorden.
- Beoordeel of melding bij de toezichthouder nodig is. Er geldt een korte termijn, dus wacht niet af.
- Beoordeel apart of de betrokkenen zelf geïnformeerd moeten worden.
- Noteer het in een intern register, ook als je niet meldt.
Dat laatste punt wordt het vaakst overgeslagen en is het eenvoudigst: ook lekken die je niet hoeft te melden, houd je bij.
Het inzagerecht in de praktijk
Een betrokkene mag opvragen welke gegevens je van hem hebt. Bij een makelaarskantoor komt dat zelden voor, maar als het gebeurt is het meestal na een geschil en dan is er haast bij.
Zorg daarom dat je van tevoren weet waar de gegevens van één persoon overal kunnen staan: in je pakket, in je mailbox, in telefoonnotities en bij externe partijen die namens jou verwerken. Wie dat pas gaat uitzoeken op het moment van het verzoek, haalt de termijn niet.
Waar je vandaag mee kunt beginnen
- Maak een lijst van alle partijen die namens jou gegevens verwerken en check of je met elk een verwerkersovereenkomst hebt.
- Stel per categorie een bewaartermijn vast en zet een terugkerende opruimactie in je agenda.
- Spreek met je team af wat er over bewoners niet gedeeld wordt aan de telefoon.
- Leg vast hoe je omgaat met gespreksnotities en waar die terechtkomen.
Sta je op het punt een kantoor te openen, neem dit dan meteen mee in je opzet in plaats van het later te repareren. De volledige startlijst staat in eigen makelaarskantoor starten.
Wil je weten hoe wij dit hebben ingericht? Plan een kennismakingsgesprek, dan lopen we de verwerkersovereenkomst en de bewaartermijnen met je door.
Benieuwd hoe het klinkt?
Plan een vrijblijvend kennismakingsgesprek en hoor hoe de AI-telefoniste klinkt voor jouw kantoor.
Vraag een demo aan →
