AVG, Wwft en klantdata in je makelaars-CRM

Een makelaars-CRM staat vol persoonsgegevens: namen, adressen, telefoonnummers, financiële situatie, soms kopieën van identiteitsbewijzen en informatie over een woning die herleidbaar is tot de bewoners. Daarnaast gelden in Nederland regels over witwasbestrijding (Wwft) en over een navolgbaar biedproces. Dit artikel is een oriëntatie, geen juridisch advies.

AVG: jij blijft verantwoordelijk

Het kantoor is in beginsel de verwerkingsverantwoordelijke. De CRM-leverancier is meestal verwerker: zij hosten en onderhouden het systeem in jouw opdracht. Dat betekent:

• je hebt een verwerkersovereenkomst nodig vóór je echte klantdata in het systeem zet;
• je moet kunnen uitleggen waarom je gegevens vastlegt (opdracht, wettelijke plicht, gerechtvaardigd belang, afhankelijk van het gegeven);
• betrokkenen moeten hun rechten kunnen uitoefenen (inzage, correctie, wissen waar dat kan);
• toegang hoort beperkt te zijn tot wie het dossier nodig heeft.

Een keurige certificering van de leverancier ontslaat jou niet van een eigen inrichting: wachtwoorden, multifactorauthenticatie, geen gedeelde logins, en geen downloads van complete bestanden naar een privémail.

Welke gegevens horen (niet) in het CRM

Contact- en dossiergegevens die je nodig hebt voor de opdracht horen in het systeem, niet in een schaduw-Excel. Bijzondere of gevoelige stukken, denk aan identiteitsdocumenten, gegevens over iemands financiële problemen, of correspondentie met een medische achtergrond die toevallig in een mail staat, vragen extra aandacht. Bewaar ze alleen als het moet, begrens de toegang, en stel een termijn in waarop ze weer verdwijnen.

Kopieën van identiteitsbewijzen zijn een klassiek risico. Als je ze voor de Wwft of identificatie nodig hebt, volg dan de actuele richtsnoeren: vaak is registratie van gegevens genoeg en is een volledige kopie niet vanzelfsprekend toegestaan of wenselijk. Dit punt is te belangrijk om hier een standaardregel van te maken; toets het bij je complianceverantwoordelijke of adviseur.

Bewaartermijnen

Niet alles mag even lang blijven staan. Commerciële leads die nooit klant werden, hebben een andere termijn dan een dossier dat je bewaart vanwege wettelijke of fiscale plichten, of vanwege een mogelijke klacht. Zet in het CRM of in je procedure:

• wanneer een lead wordt opgeschoond;
• hoe lang een afgerond verkoopdossier actief toegankelijk blijft;
• waar een archiefkopie staat en wie daarbij kan;
• hoe je een verzoek tot wissen beoordeelt als er nog een wettelijke bewaarplicht is.

Vraag de leverancier of het systeem herinneringen of bewaarlabels ondersteunt. Zo niet, dan moet je eigen agenda dat doen, en dat is precies hoe verouderde data blijven staan.

Wwft: software helpt, jij beslist

Makelaars vallen onder verplichtingen rond cliëntenonderzoek en het melden van ongebruikelijke transacties, binnen de kaders die voor de beroepsgroep gelden. Een CRM kan een checklist, een vastleggingsveld of een koppeling met een identificatiedienst bieden. Dat is nuttig, maar:

• een afgevinkt vakje is geen voltooid onderzoek als de onderliggende logica ontbreekt;
• het kantoor moet kunnen terugvinden wat er is gecontroleerd, wanneer en door wie;
• updates in de wet of in de leidraad van de toezichthouder worden niet vanzelf in elk scherm verwerkt.

Beoordeel in de demo of je een dossier later nog kunt uitleggen aan een toezichthouder, niet alleen of er een Wwft-knop is.

Biedlogboek en transparantie

Kopers en verkopers moeten kunnen volgen hoe een biedproces is gelopen. Of je nu het portaal van je CRM gebruikt of een gekoppeld biedplatform: leg vast welke biedingen wanneer binnenkwamen, hoe er is gecommuniceerd, en wie toegang had. Dat is naast fatsoen ook risicobeheersing bij een geschil.

Leveranciersvragen die je schriftelijk stelt

• Waar staan de data, en worden ze buiten de EER doorgegeven?
• Hoe werken back-ups, retentie en restore?
• Hoe vraag ik een volledige export aan, inclusief documenten?
• Hoe worden beveiligingsincidenten aan mij gemeld?
• Welke subprocessors (onderaannemers) gebruiken jullie?

Kortom

Kies niet alleen een CRM dat prettig invoert, maar een systeem waarin je rechten, termijnen en wettelijke vastlegging kunt organiseren. De leverancier levert het gereedschap; het kantoor blijft verantwoordelijk voor de klantdata. Dat geldt evengoed voor een biedlogboek en voor kandidaat-huurders in verhuur: meer gegevens betekent scherpere rechten, geen losse WhatsApp-archieven.