# GDPR for udlejere: Det må du gemme om dine lejere (og det må du ikke)

> GDPR gælder også udlejere med én lejer. Se hvad du må indsamle ved screening, CPR-reglerne, opbevaringstider, oplysningspligten og de klassiske fejl.

Kilde: https://boliginvestoren.dk/artikel/gdpr-for-udlejere
Kategori: Udlejning

Mange udlejere tror, at GDPR er noget for store selskaber. Men reglerne gælder fra første lejer. Du er dataansvarlig for alt fra ansøgninger og lejekontrakter til forbrugsdata og flyttesynsfotos. Det gode budskab er, at reglerne er til at leve med, når principperne sidder. Indsaml kun det nødvendige, fortæl lejeren hvad du gemmer, opbevar det sikkert, og slet når formålet er væk. Denne guide oversætter GDPR til udlejerhverdag. Screeningen, CPR-nummeret, opbevaringstiderne, oplysningspligten og de klassiske fejl.

## Kort fortalt

- Udlejeren er dataansvarlig, og GDPR gælder også private udlejere med en enkelt lejer.
- Ved screening må du indsamle nødvendige almindelige oplysninger, ikke følsomme oplysninger.
- CPR-nummer er særreguleret. Private må typisk kun behandle det med samtykke eller lovkrav, og aldrig i åben mail.
- Der er ingen faste slettefrister, men opbevaring kræver et sagligt behov, og bogføringsmateriale gemmes 5 år.
- Oplysningspligten løses enkelt med en persondatapolitik, der følger med lejekontrakten.

## Screeningen: hvad du må indsamle, og hvad du skal lade ligge

Princippet er dataminimering. Du må indsamle de oplysninger, der er nødvendige for at vurdere og indgå lejeforholdet, og ikke mere. I praksis betyder det, at navn, kontaktoplysninger, husstandens størrelse og dokumentation for betalingsevne som lønsedler eller anden indkomstdokumentation er i orden med et sagligt formål, mens følsomme oplysninger som helbred, religion og etnicitet samt oplysninger om straffedomme som udgangspunkt er forbudt land for en udlejer at indsamle. Har en ansøger selv oplyst noget følsomt, så lad være med at gemme det. Grundlaget for behandlingen er typisk selve lejeaftalen og de skridt, der går forud, suppleret af dine retlige pligter og en afvejet legitim interesse for det praktiske.

CPR-nummeret fortjener sin egen regel. For det er en fortrolig oplysning med særregulering. Private må som udgangspunkt kun behandle CPR, når det følger af lov, eller når lejeren har givet samtykke, og kun når der er et reelt behov, fx til bestemte tilmeldinger. Indhent det derfor ikke pr. automatik i annoncefasen, og send det aldrig i ukrypteret mail. Siden 2019 har Datatilsynet håndhævet krav om sikker transmission af fortrolige og følsomme oplysninger. sådan screener du en lejer

## Under og efter lejeforholdet: oplysningspligt, opbevaring og sletning

Når du indsamler oplysninger, har du en oplysningspligt. Lejeren skal senest ved indsamlingen have at vide, hvem du er, hvad formålet og grundlaget er, hvem oplysningerne eventuelt deles med, hvor længe de opbevares eller efter hvilke kriterier, og hvilke rettigheder lejeren har, herunder indsigt, berigtigelse, sletning, begrænsning, indsigelse og retten til at klage til Datatilsynet. Det lyder tungt og løses let. En kort persondatapolitik som fast bilag eller link ved lejekontrakten opfylder pligten, og bruger du en administrator, skal der ligge en databehandleraftale, ligesom du skal kunne fremvise en enkel fortegnelse over dine behandlinger.

Opbevaringen styres af saglighed, ikke af faste GDPR-frister. Du må gemme, så længe der er et reelt behov. Typisk betyder det lejeforholdets varighed plus perioden, indtil alle udeståender er afsluttet, hvor en ramme på op til omkring 3 år efter ophør ofte bruges med forældelsesreglerne i ryggen, mens bogføringsmateriale skal gemmes i 5 år efter bogføringsloven. Læg derfor en simpel slettepolitik. En årlig gennemgang, hvor afsluttede lejeforhold slettes eller anonymiseres, og husk ved sikkerhedsbrud, fx en mail til forkert modtager med fortrolige oplysninger, at brud med risiko skal anmeldes til Datatilsynet inden 72 timer, og at alle brud skal dokumenteres internt. depositum og forudbetalt leje

## Hverdagens gråzoner og de klassiske fejl

Tre gråzoner fylder i praksis. Flyttesynsfotos: billeder af boligens stand er god dokumentation og som udgangspunkt uproblematiske, når du fotograferer boligen og ikke lejerens personlige ejendele eller personer. Opbevar dem som en del af sagens dokumentation med samme levetid som resten. Kommunikation til flere lejere. Fælles mails skal sendes med skjulte modtagere, for en åben adresseliste er videregivelse af personoplysninger, og opslag i opgangen med navne og restancer er en klassiker, der aldrig må ske. Og tv-overvågning: den har sit eget regelsæt oven i GDPR med krav om bl.a. skiltning. Så den disciplin kræver forberedelse, ikke bare et kamera. forbrugsregnskab for udlejere

> Må og må ikke, kort: Du MÅ gemme lejekontrakt, korrespondance, betalingshistorik, synsrapporter med fotos af boligen og nødvendig indkomstdokumentation fra screeningen, så længe der er sagligt behov. Du MÅ IKKE indsamle helbreds- og andre følsomme oplysninger, kræve CPR uden reelt behov og grundlag, sende fortrolige oplysninger i åben mail, dele lejerens data unødigt eller gemme alt for evigt, fordi det er nemmest. Tommelfingerreglen: hvis du ikke kan forklare formålet i én sætning, skal oplysningen ikke gemmes.

Sanktionssiden til sidst, uden skræmmebilleder: Datatilsynet kan udtale kritik, give påbud og i grovere tilfælde politianmelde med bødeindstilling, og boligområdet har haft tilsynets særlige fokus. Den reelle pointe er dog en anden: ordentlig datahåndtering er også god udlejning. For den lejer, der oplever styr på papirerne, er også den lejer, der stoler på flytteopgørelsen. digital bogføring for udlejere

## Overblik: hvad du må og ikke må

| Fase | Kernen |
| --- | --- |
| Screeningen | Kun det nødvendige må indsamles, se ovenfor |
| Under lejeforholdet | Opbevar med formål og sikkerhed, se ovenfor |
| Efter lejeforholdet | Slet, når formålet ophører, se ovenfor |
| Følsomme oplysninger | Særligt beskyttede, hold dig fra dem |
| Den røde tråd | Kun det nødvendige, kun så længe nødvendigt |

Tabellen er GDPR for udlejere i fem rækker. Gennemgangen ovenfor folder den ud. Den røde tråd er enkel. Du må indsamle og opbevare de oplysninger, du reelt har brug for til lejeforholdet, kun så længe du har brug for dem. Alt derudover er en risiko. Reglerne er ikke lavet for at genere udlejeren, men for at beskytte lejeren, og de gælder, uanset om du udlejer én bolig eller mange.

## Taleksempel: mappen, der var for fuld

Lad os se reglen arbejde. Alle tal er kun illustration.

Sig, at to udlejere begge har lejere og gemmer oplysninger om dem.

Udlejer A gemmer kun det nødvendige. Navn, kontakt, det, der skal til for lejeforholdet og regnskabet. Ved fraflytning slettes det, der ikke længere har et formål, og det, der skal gemmes af hensyn til for eksempel bogføring, opbevares sikkert i den periode, det kræves. A's mappe er ryddelig og lovlig.

Udlejer B gemmer alt. Kopier af pas, gamle ansøgeres oplysninger, følsomme detaljer, der aldrig var brug for. Intet slettes. Sker der et brud, eller klager en lejer, står B med en stor mængde oplysninger, der aldrig burde have været gemt, og en tilsvarende risiko.

Forskellen var ikke antallet af lejere. Det var disciplinen i, hvad der blev gemt, og hvor længe. Det er GDPR's hele lære for udlejeren. Gem kun det nødvendige, kun så længe det er nødvendigt, og slet resten. Byg gode rutiner ind i din drift, se digital udlejning, og hold styr på oplysningerne fra første screening, se lejerscreening.

## Sådan overholder du GDPR som udlejer

Fire principper holder dig på sikker grund.

Indsaml kun det nødvendige ved screeningen. Du må bede om det, der er relevant for at vurdere lejeren og indgå aftalen, men ikke mere. Lad de oplysninger ligge, du ikke reelt skal bruge, se rammen i lejerscreening.

Opbevar med formål og sikkerhed. De oplysninger, du gemmer, skal have et klart formål og opbevares sikkert, ikke bare ligge i en usikret mappe. Ved du, hvorfor du gemmer noget, og hvor længe, er du langt.

Slet, når formålet ophører. Når en oplysning ikke længere har et formål, skal den slettes, dog med respekt for de perioder, hvor lovgivning kræver, at du gemmer for eksempel regnskabsbilag. Ansøgeres oplysninger, du ikke valgte, skal typisk væk hurtigt.

Og hold dig fra de følsomme oplysninger. Særligt beskyttede oplysninger har du sjældent brug for og bør undgå at indsamle og gemme. Kommer de alligevel, kræver de ekstra omhu. GDPR virker stort, men for de fleste udlejere koger det ned til én vane: Gem kun det, du skal bruge, kun så længe du skal bruge det, opbevar det sikkert, og slet resten. Den vane beskytter både lejeren og dig selv.

## Faldgruber

- **At indsamle for meget i screeningen.** Følsomme oplysninger og unødvendige data er forbudt land.
- **At bruge CPR pr. automatik.** Nummeret kræver reelt behov og grundlag, og aldrig ukrypteret mail.
- **At gemme alt for evigt.** Uden sagligt behov skal der slettes eller anonymiseres efter en fast politik.
- **At glemme oplysningspligten.** En persondatapolitik ved kontrakten løser den på fem minutter.
- **At sende fællesmails med åbne modtagere.** Adresselisten er i sig selv en videregivelse.

## Ofte stillede spørgsmål

### Gælder GDPR også for private udlejere med én lejer?

Ja. Udlejeren er dataansvarlig for de personoplysninger, der behandles om lejere og ansøgere, uanset omfang, og skal efterleve principperne om sagligt formål, dataminimering, sikkerhed og sletning samt oplysningspligten. Bruges en administrator, skal der desuden være en databehandleraftale, og behandlingerne skal kunne beskrives i en fortegnelse.

### Må jeg bede om CPR-nummer i en lejekontrakt?

Kun med et reelt behov og et gyldigt grundlag. Private må som udgangspunkt kun behandle CPR-nummer, når det følger af lovgivning, eller når lejeren har givet samtykke. Indhent det derfor ikke rutinemæssigt i ansøgningsfasen, dokumentér grundlaget, og send aldrig CPR-nummer i ukrypteret mail, da fortrolige oplysninger kræver sikker transmission.

### Hvor længe må jeg gemme oplysninger om en tidligere lejer?

Så længe der er et sagligt behov, for GDPR har ingen faste slettefrister. Typisk lejeforholdets varighed plus tiden, indtil alle udeståender er afsluttet, ofte med en ramme på op til omkring 3 år efter ophør, mens bogføringsmateriale skal opbevares i 5 år efter bogføringsloven. Herefter bør oplysningerne slettes eller anonymiseres efter en fast slettepolitik.

## Kilder

Kilder: Datatilsynet. Senest opdateret: juli 2026.

_Denne artikel er generel information og udgør ikke juridisk rådgivning. Datatilsynets praksis udvikler sig, så tjek de aktuelle vejledninger ved tvivl. Kilde: databeskyttelsesforordningen, databeskyttelseslovens § 11, Datatilsynets vejledninger og tilsynspraksis på boligområdet._