GDPR for udlejere: Det må du gemme om dine lejere (og det må du ikke)

Screeningen: hvad du må indsamle, og hvad du skal lade ligge

Princippet er dataminimering. Du må indsamle de oplysninger, der er nødvendige for at vurdere og indgå lejeforholdet, og ikke mere. I praksis betyder det, at navn, kontaktoplysninger, husstandens størrelse og dokumentation for betalingsevne som lønsedler eller anden indkomstdokumentation er i orden med et sagligt formål, mens følsomme oplysninger som helbred, religion og etnicitet samt oplysninger om straffedomme som udgangspunkt er forbudt land for en udlejer at indsamle. Har en ansøger selv oplyst noget følsomt, så lad være med at gemme det. Grundlaget for behandlingen er typisk selve lejeaftalen og de skridt, der går forud, suppleret af dine retlige pligter og en afvejet legitim interesse for det praktiske.

CPR-nummeret fortjener sin egen regel. For det er en fortrolig oplysning med særregulering. Private må som udgangspunkt kun behandle CPR, når det følger af lov, eller når lejeren har givet samtykke, og kun når der er et reelt behov, fx til bestemte tilmeldinger. Indhent det derfor ikke pr. automatik i annoncefasen, og send det aldrig i ukrypteret mail. Siden 2019 har Datatilsynet håndhævet krav om sikker transmission af fortrolige og følsomme oplysninger. sådan screener du en lejer

Under og efter lejeforholdet: oplysningspligt, opbevaring og sletning

Når du indsamler oplysninger, har du en oplysningspligt. Lejeren skal senest ved indsamlingen have at vide, hvem du er, hvad formålet og grundlaget er, hvem oplysningerne eventuelt deles med, hvor længe de opbevares eller efter hvilke kriterier, og hvilke rettigheder lejeren har, herunder indsigt, berigtigelse, sletning, begrænsning, indsigelse og retten til at klage til Datatilsynet. Det lyder tungt og løses let. En kort persondatapolitik som fast bilag eller link ved lejekontrakten opfylder pligten, og bruger du en administrator, skal der ligge en databehandleraftale, ligesom du skal kunne fremvise en enkel fortegnelse over dine behandlinger.

Opbevaringen styres af saglighed, ikke af faste GDPR-frister. Du må gemme, så længe der er et reelt behov. Typisk betyder det lejeforholdets varighed plus perioden, indtil alle udeståender er afsluttet, hvor en ramme på op til omkring 3 år efter ophør ofte bruges med forældelsesreglerne i ryggen, mens bogføringsmateriale skal gemmes i 5 år efter bogføringsloven. Læg derfor en simpel slettepolitik. En årlig gennemgang, hvor afsluttede lejeforhold slettes eller anonymiseres, og husk ved sikkerhedsbrud, fx en mail til forkert modtager med fortrolige oplysninger, at brud med risiko skal anmeldes til Datatilsynet inden 72 timer, og at alle brud skal dokumenteres internt. depositum og forudbetalt leje

Hverdagens gråzoner og de klassiske fejl

Tre gråzoner fylder i praksis. Flyttesynsfotos: billeder af boligens stand er god dokumentation og som udgangspunkt uproblematiske, når du fotograferer boligen og ikke lejerens personlige ejendele eller personer. Opbevar dem som en del af sagens dokumentation med samme levetid som resten. Kommunikation til flere lejere. Fælles mails skal sendes med skjulte modtagere, for en åben adresseliste er videregivelse af personoplysninger, og opslag i opgangen med navne og restancer er en klassiker, der aldrig må ske. Og tv-overvågning: den har sit eget regelsæt oven i GDPR med krav om bl.a. skiltning. Så den disciplin kræver forberedelse, ikke bare et kamera. forbrugsregnskab for udlejere

Må og må ikke, kort: Du MÅ gemme lejekontrakt, korrespondance, betalingshistorik, synsrapporter med fotos af boligen og nødvendig indkomstdokumentation fra screeningen, så længe der er sagligt behov. Du MÅ IKKE indsamle helbreds- og andre følsomme oplysninger, kræve CPR uden reelt behov og grundlag, sende fortrolige oplysninger i åben mail, dele lejerens data unødigt eller gemme alt for evigt, fordi det er nemmest. Tommelfingerreglen: hvis du ikke kan forklare formålet i én sætning, skal oplysningen ikke gemmes.

Sanktionssiden til sidst, uden skræmmebilleder: Datatilsynet kan udtale kritik, give påbud og i grovere tilfælde politianmelde med bødeindstilling, og boligområdet har haft tilsynets særlige fokus. Den reelle pointe er dog en anden: ordentlig datahåndtering er også god udlejning. For den lejer, der oplever styr på papirerne, er også den lejer, der stoler på flytteopgørelsen. digital bogføring for udlejere

Overblik: hvad du må og ikke må

Tabellen er GDPR for udlejere i fem rækker. Gennemgangen ovenfor folder den ud. Den røde tråd er enkel. Du må indsamle og opbevare de oplysninger, du reelt har brug for til lejeforholdet, kun så længe du har brug for dem. Alt derudover er en risiko. Reglerne er ikke lavet for at genere udlejeren, men for at beskytte lejeren, og de gælder, uanset om du udlejer én bolig eller mange.

Taleksempel: mappen, der var for fuld

Lad os se reglen arbejde. Alle tal er kun illustration.

Sig, at to udlejere begge har lejere og gemmer oplysninger om dem.

Udlejer A gemmer kun det nødvendige. Navn, kontakt, det, der skal til for lejeforholdet og regnskabet. Ved fraflytning slettes det, der ikke længere har et formål, og det, der skal gemmes af hensyn til for eksempel bogføring, opbevares sikkert i den periode, det kræves. A's mappe er ryddelig og lovlig.

Udlejer B gemmer alt. Kopier af pas, gamle ansøgeres oplysninger, følsomme detaljer, der aldrig var brug for. Intet slettes. Sker der et brud, eller klager en lejer, står B med en stor mængde oplysninger, der aldrig burde have været gemt, og en tilsvarende risiko.

Forskellen var ikke antallet af lejere. Det var disciplinen i, hvad der blev gemt, og hvor længe. Det er GDPR's hele lære for udlejeren. Gem kun det nødvendige, kun så længe det er nødvendigt, og slet resten. Byg gode rutiner ind i din drift, se digital udlejning, og hold styr på oplysningerne fra første screening, se lejerscreening.

Sådan overholder du GDPR som udlejer

Fire principper holder dig på sikker grund.

Indsaml kun det nødvendige ved screeningen. Du må bede om det, der er relevant for at vurdere lejeren og indgå aftalen, men ikke mere. Lad de oplysninger ligge, du ikke reelt skal bruge, se rammen i lejerscreening.

Opbevar med formål og sikkerhed. De oplysninger, du gemmer, skal have et klart formål og opbevares sikkert, ikke bare ligge i en usikret mappe. Ved du, hvorfor du gemmer noget, og hvor længe, er du langt.

Slet, når formålet ophører. Når en oplysning ikke længere har et formål, skal den slettes, dog med respekt for de perioder, hvor lovgivning kræver, at du gemmer for eksempel regnskabsbilag. Ansøgeres oplysninger, du ikke valgte, skal typisk væk hurtigt.

Og hold dig fra de følsomme oplysninger. Særligt beskyttede oplysninger har du sjældent brug for og bør undgå at indsamle og gemme. Kommer de alligevel, kræver de ekstra omhu. GDPR virker stort, men for de fleste udlejere koger det ned til én vane: Gem kun det, du skal bruge, kun så længe du skal bruge det, opbevar det sikkert, og slet resten. Den vane beskytter både lejeren og dig selv.

Faldgruber

• At indsamle for meget i screeningen. Følsomme oplysninger og unødvendige data er forbudt land.
• At bruge CPR pr. automatik. Nummeret kræver reelt behov og grundlag, og aldrig ukrypteret mail.
• At gemme alt for evigt. Uden sagligt behov skal der slettes eller anonymiseres efter en fast politik.
• At glemme oplysningspligten. En persondatapolitik ved kontrakten løser den på fem minutter.
• At sende fællesmails med åbne modtagere. Adresselisten er i sig selv en videregivelse.

Kilder

Kilder: Datatilsynet (https://www.datatilsynet.dk). Yderligere kilder: lejeloven (LOV nr. 341 af 22.03.2022) (https://www.retsinformation.dk/eli/lta/2022/341); Social- og Boligstyrelsen, Typeformular A, 10. udgave med vejledning (https://www.sm.dk/media/24548/Typeformular%20A%2018-11-22.pdf); Skattestyrelsen, udlejning af bolig (https://skat.dk/borger/bolig-og-ejendom/udlejning); selskabsskatteloven § 17, stk. 1 (https://www.retsinformation.dk/eli/lta/2024/1231). Senest opdateret: maj 2026.

Ofte stillede spørgsmål

Gælder GDPR også for private udlejere med én lejer?

Ja. Udlejeren er dataansvarlig for de personoplysninger, der behandles om lejere og ansøgere, uanset omfang, og skal efterleve principperne om sagligt formål, dataminimering, sikkerhed og sletning samt oplysningspligten. Bruges en administrator, skal der desuden være en databehandleraftale, og behandlingerne skal kunne beskrives i en fortegnelse.

Må jeg bede om CPR-nummer i en lejekontrakt?

Kun med et reelt behov og et gyldigt grundlag. Private må som udgangspunkt kun behandle CPR-nummer, når det følger af lovgivning, eller når lejeren har givet samtykke. Indhent det derfor ikke rutinemæssigt i ansøgningsfasen, dokumentér grundlaget, og send aldrig CPR-nummer i ukrypteret mail, da fortrolige oplysninger kræver sikker transmission.

Hvor længe må jeg gemme oplysninger om en tidligere lejer?

Så længe der er et sagligt behov, for GDPR har ingen faste slettefrister. Typisk lejeforholdets varighed plus tiden, indtil alle udeståender er afsluttet, ofte med en ramme på op til omkring 3 år efter ophør, mens bogføringsmateriale skal opbevares i 5 år efter bogføringsloven. Herefter bør oplysningerne slettes eller anonymiseres efter en fast slettepolitik.

Hvilke oplysninger må jeg indsamle, når jeg screener lejere?

Nødvendige almindelige oplysninger med sagligt formål. Navn og kontakt, husstandens størrelse og dokumentation for betalingsevne som indkomstoplysninger. Følsomme oplysninger som helbred, religion og etnicitet samt oplysninger om straffedomme må som udgangspunkt ikke indsamles, og oplysninger uden et klart formål skal hverken efterspørges eller gemmes.

Må jeg tage billeder ved ind- og fraflytningssyn?

Ja, fotos af boligens stand er god og saglig dokumentation. Fotografér boligen og dens bestanddele, undgå lejerens personlige ejendele og personer i billederne, og opbevar fotoene sammen med synsrapporterne som en del af sagens dokumentation med samme opbevaringstid og slettepraksis som lejeforholdets øvrige materiale.

Må jeg som udlejer gemme kopi af mine lejeres pas og andre id-oplysninger?

Kun hvis du har et klart, sagligt formål, og kun så længe formålet består: GDPR bygger på, at du indsamler og opbevarer de oplysninger, du reelt har brug for til lejeforholdet, ikke mere, og ikke længere end nødvendigt. Kopier af pas og lignende id gemmes ofte uden reelt behov og udgør så en unødig risiko, især hvis der sker et brud. Indsaml derfor kun det nødvendige, opbevar det sikkert, slet det, når formålet ophører, og vær særligt tilbageholdende med følsomme oplysninger, som du sjældent har brug for at gemme.

Om forfatteren

Boliginvestoren Redaktion — Redaktionen

Boliginvestoren.dk's redaktion skriver praktiske, faktatjekkede guides om ejendomsinvestering i Danmark.

Om redaktionen og vores metode

Relaterede artikler

• Lejerscreening: sådan undgår du problemlejeren — Den forkerte lejer kan koste dig måneders manglende husleje, en konflikt om istandsættelse og i værste fald en sag i boligretten (retten, der prøver nævnets afgørelser).
• Depositum og forudbetalt leje: Reglerne du skal kende som udlejer — Depositum og forudbetalt leje er din sikkerhed som udlejer. Men de er også blandt de forhold, hvor flest fejl bliver begået.
• Forbrugsregnskab og a conto: Sådan opkræver du vand og varme korrekt — Forbrugsregnskabet er en af de opgaver, hvor små fejl bliver dyre. Overholder du ikke fristen, mister du retten til at kræve efterbetaling, selv om lejeren har brugt mere, end der er betalt a conto.