Wat mag het VvE-bestuur delen van de AVG?

Het is het derde agendapunt en de zaal veert op. Iemand vraagt hoe groot de betalingsachterstand eigenlijk is, en van wie. De penningmeester schuift met papieren. Twee stoelen verderop klinkt het beslist. Dat mag niet van de AVG. En daarmee is de discussie meestal klaar, want tegen die vier letters durft niemand iets in te brengen. Zonde, want rond de privacyregels in een VvE zingt veel onzin rond, en die onzin werkt twee kanten op. Er mag meer dan het bestuur denkt, en er moet soms zelfs iets waarvan de zaal denkt dat het verboden is.

Waarom de vereniging jouw gegevens heeft

Een VvE kiest haar leden niet en de leden kiezen de VvE niet. Wie een appartement koopt, is automatisch lid, zo regelt de wet het. Diezelfde wet draagt de vereniging op een administratie te voeren, de leden voor vergaderingen op te roepen en bijdragen te innen. Voor die kerntaken heeft het bestuur dus namen, adressen en betaalgegevens nodig op grond van een wettelijke verplichting, en daar is geen toestemming voor nodig. Sterker, toestemming vragen is hier bijna altijd de verkeerde keuze, want toestemming kan worden ingetrokken en de wettelijke taken lopen gewoon door. Voor alles wat niet uit de wet volgt, zoals een telefoonnummer voor noodgevallen of een appgroep, geldt de afweging van het gerechtvaardigd belang. De rode draad is steeds dezelfde. Niet meer gegevens gebruiken dan voor het doel nodig is.

De ledenlijst

De modelreglementen van 1973 tot en met 2017 verplichten het bestuur een register van eigenaars en gebruikers aan te leggen; het model voor kleine VvE's uit 2021 verwijst alleen naar de wettelijke registratieplichten. Maar een algemeen recht van leden op een kopie van die lijst bestaat niet. De privacytoezichthouder schreef over verenigingen dat een ledenlijst niet zomaar met alle leden gedeeld mag worden, en dat het alleen mag bij een gerechtvaardigd belang. Onder het model van 2017 ligt het genuanceerder, want daar staat het ledenregister uitdrukkelijk bij de stukken waarin ieder lid inzage heeft, met in dezelfde adem een voorbehoud voor de privacyregels. Het model kiest dus niet; het legt de afweging bij het bestuur. En inzage is iets anders dan een kopie meekrijgen. Voor je mailadres geldt nog een eigen regel. Dat opgeven aan het bestuur is onder de nieuwere modellen een plicht en de oproep voor de vergadering mag ernaartoe, maar dat zegt niets over het doorgeven van dat adres aan je medebewoners of een appgroep; dat is een aparte verwerking met een apart doel, en dus een eigen afweging. Toch is de lijst geen staatsgeheim. Wie eigenaar is van een appartementsrecht staat gewoon in de openbare registers en is bij het Kadaster op te vragen voor een paar euro, en een rechter woog dat mee bij de afwijzing van een eis tot afgifte.

En er is één situatie waarin het bestuur juist hoort te leveren, kosteloos en onverwijld. Wie een besluit van de vergadering wil aanvechten, moet van de wet alle stemgerechtigden bij naam oproepen en heeft dus hun namen en adressen nodig. Kijk wel eerst in je eigen akte welk reglement geldt, want de modellen van 2006 en 2017 schrijven die verstrekking letterlijk voor en de oudere niet. Een kantonrechter vond zelfs onder zo'n ouder reglement dat een weigerend bestuur in strijd handelde met de redelijkheid en billijkheid, met een proceskostenveroordeling erbij, al wilde het hof Amsterdam die stap eerder juist niet zetten; helemaal uitgemaakt is dit dus niet. De AVG is in elk geval geen slagboom die altijd dicht zit. Het is een weegschaal, en soms slaat hij door naar moeten delen.

De wanbetaler op de vergadering

Terug naar dat derde agendapunt. De vergadering heeft een echt belang bij inzicht in de achterstanden, want een tekort wordt over de andere eigenaars omgeslagen. Maar voor dat doel is het totaalbedrag meestal genoeg, en dan is het noemen van namen niet nodig, en wat niet nodig is mag niet. Of een naam in de notulen ooit door de beugel kan, is juridisch niet uitgemaakt, dus wees er zuinig mee. Het beste kompas gaf een rechtbank die over bestuursuitlatingen oordeelde. Deel alleen wat de leden nodig hebben, blijf feitelijk juist, wees terughoudend bij een verschil van mening, en wees terughoudender naarmate de uitlatingen bij meer mensen buiten de VvE terecht kunnen komen. Eén ding is dan weer geen twijfelgeval. Verkoopt de eigenaar met de achterstand zijn appartement, dan is het bestuur wettelijk verplicht die achterstand aan de notaris op te geven, zodat de koper weet waarvoor hij aansprakelijk wordt. Wie dan de AVG inroept om te zwijgen, draait de regel om. En andersom geldt ook iets. Wie zelf de AVG inroept, moet concreet maken wat er mis is, want een kaal beroep op de vier letters strandde bij de rechter.

Wat er wel echt moet

• Weten wat je verwerkt en waarom. Leg vast welke gegevens de vereniging bijhoudt, met welk doel en op welke grond. Reken jezelf niet te snel rijk met de vrijstelling voor kleine organisaties, want die vervalt onder meer zodra de verwerking niet incidenteel is, en houd er sterk rekening mee dat een doorlopende ledenadministratie daaronder valt; een uitspraak van de toezichthouder die dat voor VvE's met zoveel woorden zegt, is er nog niet.
• De leden één keer goed informeren. Een korte privacyverklaring bij de oproeping of in de ledenomgeving dekt de informatieplicht.
• Een draaiboek voor een datalek. Eerst inschatten of er risico is; melden bij de toezichthouder moet binnen 72 uur als dat zo is, en documenteren moet altijd, ook als je niet meldt.
• Netjes omgaan met vertrekkende leden. De administratie moet zeven jaar bewaard blijven, dat is een wettelijke plicht. Maar het mailadres, het telefoonnummer en de toegang tot de ledenomgeving kunnen weg zodra iemand geen eigenaar meer is.
• Geen paniek over functionarissen. Een functionaris gegevensbescherming is voor een VvE niet verplicht.

En één les van buiten de VvE-wereld verdient het om binnen te komen. Een tennisbond die ledengegevens met sponsors deelde, kreeg in 2019 een boete van 525.000 euro. Na een gang langs het Europese Hof verlaagde de toezichthouder die eind 2025 tot 250.000 euro min de kosten van een voorlichtingscampagne, en het definitieve besluit moet nog volgen. Het Hof oordeelde daarbij dat zelfs een commercieel belang een gerechtvaardigd belang kán zijn, maar alleen als de verstrekking strikt noodzakelijk is en de belangen van de leden niet zwaarder wegen. Ga er niet van uit dat je die toets haalt, hoe klein je ook bent.

De beheerder en de software

Zodra een beheerder, boekhouder of softwarepakket namens de vereniging persoonsgegevens verwerkt, eist de AVG een verwerkersovereenkomst, en zonder dat contract zijn beide partijen in overtreding. Vraag een beheerder wel eerst in welke rol hij optreedt, want dat bepaalt of je een verwerkersovereenkomst nodig hebt. De brancheorganisatie van beheerders schrijft dat de rol verschuift zodra de beheerder ook bestuurder is, omdat hij dan in zoverre zelf over doel en middelen beslist; een standpunt van de toezichthouder hierover is er niet. En stel elke leverancier een paar vragen die elk fatsoenlijk antwoord verdienen. Waar staan onze gegevens en blijven ze binnen Europa. Worden ze versleuteld. Welke onderaannemers ziet u in, en hoe snel meldt u ons een datalek. En wat gebeurt er als wij stoppen, krijgen we alles mee en wist u daarna. Een leverancier die hier omheen praat, vertelt je daarmee ook iets.

Zo hebben wij dit opgelost

De angst om het fout te doen is nergens zo groot als bij privacy, want tegen die vier letters durft niemand iets in te brengen. In SamenVvE is terughoudendheid daarom de standaard. In de bewonerslijst bepaalt elk lid per veld zelf wat de buren zien, en financiële gegevens of achterstanden van anderen zijn voor gewone leden nooit zichtbaar. Elk lid kan de eigen gegevens downloaden en een verwijderverzoek indienen, en voor bestuursaccounts staat tweestapsverificatie op nieuwe omgevingen verplicht aan. De vragen uit de vorige alinea mag je ook aan ons stellen; dat hoort er gewoon bij als je andermans gegevens bewaart. En eerlijk erbij, een kant-en-klare verwerkersovereenkomst bieden we op dit moment nog niet actief aan; die ligt bij ons als concept klaar.

Bronnen bij dit artikel

• Burgerlijk Wetboek Boek 5, artikel 112, artikel 122, artikel 125 en artikel 130. Het lidmaatschap van de VvE ontstaat van rechtswege bij het verkrijgen van een appartementsrecht, de statuten moeten een regeling bevatten voor de periodieke bijdragen en voor de bijeenroeping van de vergadering, en bij verkoop hecht de notaris een verklaring van het bestuur over de achterstand aan de akte. Wie een vergaderbesluit wil aanvechten, moet bovendien alle stemgerechtigden bij naam oproepen.
• Burgerlijk Wetboek Boek 2, artikel 10. Het bestuur moet een deugdelijke administratie voeren en die zeven jaar bewaren. Dat is de wettelijke basis voor de bewaartermijn nadat iemand geen eigenaar meer is.
• De modelreglementen bij splitsing, via notaris.nl. 1973 (artikel 41), 1983 (artikel 42), 1992 (artikel 42), 2006 (artikel 54) en 2017 (artikel 50, artikel 58 en artikel 59). Elke generatie sinds 1973 verplicht het bestuur, in het model van 1973 nog de administrateur genoemd, een register van eigenaars en gebruikers aan te leggen, en het model van 2017 zet dat register uitdrukkelijk bij de stukken waarin elke eigenaar inzage heeft, met een voorbehoud voor de privacyregels. Datzelfde model verplicht de eigenaar zijn mailadres aan het bestuur op te geven en laat de oproeping voor de vergadering daarnaartoe gaan. Onder de modellen van 2006 en 2017 moet het bestuur die namen en adressen bovendien kosteloos en onverwijld geven aan een eigenaar die ze nodig heeft om de overige eigenaars en stemgerechtigden in een juridische procedure op te roepen.
• Gerechtshof Amsterdam, 22 april 2014, ECLI:NL:GHAMS:2014:1485. Het hof legde het inzagerecht van het Modelreglement 1983 zo uit dat het geen recht geeft op afgifte van kopieën, en wilde het nieuwere Modelreglement 2006 niet naar analogie toepassen op een VvE die nog onder dat oudere model viel. Onder het model van 2017 mag een eigenaar wel tegen kostprijs kopieën maken van wat hij inziet.
• Rechtbank Gelderland, kantonrechter, 31 mei 2017, ECLI:NL:RBGEL:2017:3530 en Rechtbank Gelderland, kantonrechter, 4 juli 2017, ECLI:NL:RBGEL:2017:3531. De kantonrechter vond dat een bestuur in strijd handelt met de redelijkheid en billijkheid als het een lid dat een besluit wil aanvechten de namen en adressen van de stemgerechtigden onthoudt, en liep daarbij vooruit op het model van 2006, dat voor deze VvE niet gold. De VvE leverde de lijst na het tussenvonnis alsnog en werd in de proceskosten veroordeeld.
• Rechtbank Noord-Nederland, voorzieningenrechter, 12 juni 2019, ECLI:NL:RBNNE:2019:2561. De rechter wees een eis tot afgifte van de ledenlijst af, mede omdat wie eigenaar is van een appartementsrecht toch al bij het Kadaster is op te vragen.
• Rechtbank Den Haag, 13 juli 2022, ECLI:NL:RBDHA:2022:6787. De rechtbank gaf een toetsingskader voor uitlatingen over individuele leden, met als vuistregels alleen wat nodig is, feitelijk juist, terughoudend bij een verschil van mening en terughoudender naarmate de uitlatingen bij meer mensen buiten de VvE terecht kunnen komen. Een kaal beroep op de AVG zonder concrete onderbouwing hield in dezelfde zaak geen stand.