Gegevensbeschermingseffectbeoordeling (DPIA)

Conform art. 35 AVG (EU) 2016/679 | EDPB Richtsnoeren WP248 rev.01 | AP Lijst verplichte DPIA's

💡 Archieftip: Sla op als PDF voor uw AVG-dossier (Ctrl+P). Bewaar samen met de Verwerkersovereenkomst en het Verwerkingsregister (ROPA).

Organisatie: PropAI — Lars Tils (eenmanszaak / startup)
Verwerkingsverantwoordelijke: Lars Tils, PropAI
Verwerking: AI-ondersteunde huurder screening & onboarding wizard
Versie: 1.0 — Initiële DPIA
Datum opstelling: 20 juni 2026
Volgende review: 20 juni 2027 (of eerder bij materiële wijziging verwerking)
Wettelijke grondslag DPIA-plicht: Art. 35 lid 1 + 35 lid 3 sub a AVG — systematische geautomatiseerde beoordeling met besluitvormingsgevolgen
FG/DPO geraadpleegd: Niet van toepassing (geen FG aangesteld — niet verplicht voor eenmanszaak, art. 37 AVG)

Stap 1 — Is een DPIA verplicht?

Wettekst art. 35 lid 1 AVG: "Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit."

Wettekst art. 35 lid 3 sub a AVG: "Een DPIA is met name vereist bij: een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd die de natuurlijke persoon wezenlijk treffen."

EDPB 9-criteria toets (WP248 rev.01 — vuistregel: 2+ criteria = DPIA verplicht)

⚠️ Criterium 1 — Evaluatie/scoretoekenning VAN TOEPASSING

De screening wizard genereert een numerieke score (0–100) op basis van ingevoerde huurdergegevens (beroep, documenten, leeftijdscategorie, huurprijs-inkomen-ratio). Dit is een directe score op persoonlijke aspecten van een betrokkene.

⚠️ Criterium 2 — Geautomatiseerde besluitvorming met gevolgen VAN TOEPASSING

De AI genereert een aanbeveling: "Goedkeuren / Aanvullende info / Afwijzen". Dit beïnvloedt direct of een huurder een woning kan huren — een besluit met wezenlijke gevolgen (art. 35 lid 3 sub a AVG). Menselijke tussenkomst is aanwezig maar de AI-aanbeveling is sturend.

⚠️ Criterium 4 — Gevoelige / zeer persoonlijke gegevens VAN TOEPASSING

Verwerkt worden: financiële gegevens (inkomen, huurprijs-ratio, borg), identiteitsbewijzen, geboortedatum, antecedentenscreening. Financiële gegevens en identiteitsgegevens zijn zeer persoonlijk (EDPB WP248 §75).

⚠️ Criterium 8 — Nieuwe technologische toepassing VAN TOEPASSING

Gebruik van een Large Language Model (OpenAI API) voor geautomatiseerde beoordeling van huurkandidaten is een nieuwe technologie waarvan de werking niet volledig transparant is voor betrokkenen ("black box").

✅ Criterium 3 — Stelselmatige monitoring NIET VAN TOEPASSING

Geen monitoring van gedrag of openbare ruimten.

✅ Criterium 5 — Grootschalige verwerking NIET VAN TOEPASSING

PropAI is een startup met beperkt aantal verwerkingen; niet grootschalig in de zin van art. 35 AVG op dit moment.

✅ Criterium 6 — Samenvoegen datasets NIET VAN TOEPASSING

Geen koppeling van externe datasets buiten PropAI.

✅ Criterium 7 — Kwetsbare groepen BEPERKT

Huurkandidaten kunnen een machtsongelijkheid ervaren t.o.v. verhuurder. Niet structureel gericht op wettelijk kwetsbare groepen (kinderen, patiënten etc.).

✅ Criterium 9 — Uitsluiting van dienst/contract DEELS VAN TOEPASSING

Een negatieve AI-aanbeveling kan leiden tot weigering van een huurcontract. Dit grenst aan criterium 9.

Conclusie stap 1: Er zijn 4 van de 9 EDPB-criteria van toepassing (criteria 1, 2, 4 en 8) + deels criterium 9. De EDPB-vuistregel is 2+ criteria = DPIA verplicht. Bovendien valt de verwerking direct onder art. 35 lid 3 sub a AVG (systematische geautomatiseerde beoordeling met besluitvormingsgevolgen). DPIA is verplicht.

Stap 2 — Beschrijving van de verwerking (art. 35 lid 7 sub a AVG)

2.1 Naam en doel van de verwerking

Aspect	Detail
Naam verwerking	AI-ondersteunde huurder screening & onboarding wizard
Doel	Verhuurders ondersteunen bij het beoordelen van huurkandidaten op financiële betrouwbaarheid en volledigheid van dossier
Rechtsgrondslag (art. 6 AVG)	Art. 6 lid 1 sub b AVG — noodzakelijk voor de uitvoering van een (pre-contractuele) overeenkomst
Verwerkingsverantwoordelijke	Lars Tils / PropAI — bepaalt het doel en de middelen
AI-subverwerker	OpenAI Ireland Ltd. — verwerkt geanonimiseerde data (na stap 3 data minimalisatie)

2.2 Categorieën persoonsgegevens

Categorie	Specifieke gegevens	Gevoeligheid	Noodzakelijk?
Identiteitsgegevens	Naam, geboortedatum (→ na fix: leeftijdscategorie)	Hoog	Naam: Ja (contractidentificatie). Exacte geboortedatum: Nee → vervangen door leeftijdscategorie ✅
Contactgegevens	E-mailadres (→ na fix: niet naar AI)	Hoog	Voor contractregistratie: Ja. Voor AI-screening: Nee → uit AI-prompt verwijderd ✅
Financiële gegevens	Beroep, huurprijs, borg, inkomensverklaring (aanwezig/niet)	Kritiek	Ja — kern van de screening
Documentstatus	ID-bewijs aanwezig (j/n), inkomensverklaring (j/n), borgbewijs (j/n), antecedentenscreening (j/n)	Hoog	Ja — aanwezigheid, niet de inhoud
Vastgoedgegevens	Pand adres, huurprijs, contracttype, ingangsdatum	Laag	Ja

2.3 Categorieën betrokkenen

Huurkandidaten (natuurlijke personen) die zich aanmelden via de PropAI onboarding wizard. Deze personen bevinden zich in een afhankelijke positie t.o.v. de verhuurder (machtsongelijkheid).

2.4 Proces beschrijving

Stap	Actie	Verwerking persoonsgegevens
1	Verhuurder start onboarding wizard voor kandidaat-huurder	Naam, e-mail, beroep, geboortedatum ingevoerd door verhuurder
2	Documenten aangevinkt als aanwezig/ontbrekend	Documentstatus (boolean — geen inhoud opgeslagen)
3	Systeem stuurt geanonimiseerde data naar OpenAI API	Na data minimalisatie: leeftijdscategorie, beroep, documentstatus, huurprijs — geen naam, geen e-mail, geen exacte geboortedatum
4	OpenAI genereert score 0-100 + aanbeveling	Verwerking buiten EEA (VS) via EU SCC 2021/914
5	Verhuurder ziet score en aanbeveling	Verhuurder neemt zelf het definitieve besluit — AI is ondersteunend
6	Data opgeslagen in Supabase (EU datacenter)	Volledig dossier opgeslagen in Supabase (Ierland/EU)

Stap 3 — Noodzaak en evenredigheid (art. 35 lid 7 sub b AVG)

Wettekst art. 35 lid 7 sub b AVG: De beoordeling bevat "een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden."

Beginsel	Beoordeling PropAI screening	Status
Doelbinding (art. 5 lid 1 sub b)	Data wordt uitsluitend gebruikt voor de screening van de betreffende huurkandidaat. Geen hergebruik voor marketing of andere doeleinden.	Voldoet
Data minimalisatie (art. 5 lid 1 sub c)	Na implementatie stap 3: naam/e-mail verwijderd uit AI-prompt. Geboortedatum → leeftijdscategorie. Documentinhoud niet opgeslagen — alleen aanwezigheid.	Voldoet (na fix)
Juistheid (art. 5 lid 1 sub d)	Verhuurder voert gegevens in — verantwoordelijkheid voor juistheid ligt bij verhuurder. Kandidaat heeft geen correctiemogelijkheid in huidige versie.	Aandachtspunt — zie maatregel M4
Opslagbeperking (art. 5 lid 1 sub e)	Screening-data blijft bewaard zolang er een actieve relatie is. Afgewezen kandidaten: bewaren max. 4 weken (AVG-norm, niet langer dan noodzakelijk). Automatische cleanup actief.	Voldoet
Integriteit en vertrouwelijkheid (art. 5 lid 1 sub f)	Supabase met RLS (Row Level Security). TLS in transit. Geen publieke URLs voor gevoelige documenten.	Voldoet
Transparantie (art. 5 lid 1 sub a)	Huurkandidaten worden door verhuurder geïnformeerd. PropAI heeft geen directe relatie met kandidaten. Kandidaten weten niet dat AI wordt ingezet.	Risico — zie maatregel M1
Evenredigheid	AI is ondersteunend — verhuurder neemt het definitieve besluit. Dit beperkt de impact van onjuiste AI-output. Score en aanbeveling zijn niet bindend.	Voldoet

Stap 4 — Risicobeoordeling (art. 35 lid 7 sub c AVG)

Wettekst art. 35 lid 7 sub c AVG: "een beoordeling van de risico's voor de rechten en vrijheden van betrokkenen"

Risico	Kans	Impact	Bruto risico	Maatregel	Netto risico
R1 — Discriminatoire AI-output AI genereert systematisch lagere scores voor bepaalde beroepen of leeftijdscategorieën, wat leidt tot indirecte discriminatie (verboden o.g.v. AWGB + art. 21 EU Handvest)	Middel	Hoog	Hoog	M1: Menselijke tussenkomst verplicht (verhuurder beslist altijd zelf). M2: AI-disclaimer in UI.	Middel
R2 — Gebrek aan transparantie Huurkandidaat weet niet dat zijn gegevens via AI worden beoordeeld (schending art. 13/14 AVG informatieplicht)	Hoog	Middel	Hoog	M1: Verhuurder informeert kandidaat via standaard informatieblad PropAI (te implementeren). Privacyverklaring op propai.nl.	Middel
R3 — Datalek bij OpenAI doorgifte Persoonsgegevens komen terecht bij onbevoegde partijen via OpenAI API	Laag	Middel	Middel	M3: Data minimalisatie (stap 3 geïmplementeerd). OpenAI DPA + EU SCC van kracht. OpenAI SOC2/ISO27001.	Laag
R4 — Onjuiste data → onterechte afwijzing Verhuurder voert foutieve data in; huurkandidaat weet niet dat er onjuiste info over hem bestaat en kan dit niet corrigeren	Middel	Middel	Middel	M4: Inzagerecht — huurder kan via verhuurder verzoek indienen. Procedure opnemen in informatieblad.	Laag
R5 — Bewaartermijn overschrijding Dossier afgewezen huurkandidaten langer bewaard dan noodzakelijk	Laag	Laag	Laag	M5: Automatische cleanup actief (4 weken voor afgewezen kandidaten).	Laag
R6 — Profilering zonder toestemming Combinatie van beroep + leeftijdscategorie + financieel profiel = profilering in de zin van art. 4 lid 4 AVG	Middel	Middel	Middel	M1 + M2: Menselijke tussenkomst + transparantie over AI-gebruik. Rechtsgrondslag: art. 6 lid 1 sub b (pre-contractueel).	Laag

Stap 5 — Maatregelen (art. 35 lid 7 sub d AVG)

Wettekst art. 35 lid 7 sub d AVG: "de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen."

Maatregel	Omschrijving	Status	Deadline
M1 — Informatieblad kandidaat	Standaard informatieblad voor verhuurders om te delen met huurkandidaten: informeert over AI-gebruik, rechten (inzage, correctie, bezwaar), contactgegevens. Vereist o.g.v. art. 13/14 AVG.	Te implementeren	1 augustus 2026
M2 — AI-disclaimer in screening UI	Duidelijke melding in de wizard: "Deze beoordeling is AI-ondersteund. De verhuurder neemt altijd het definitieve besluit." Conform art. 50 EU AI Act.	Geïmplementeerd ✅	Gereed (20 juni 2026)
M3 — Data minimalisatie AI-prompts	Naam, e-mail en exacte geboortedatum worden niet naar OpenAI gestuurd. Geboortedatum vervangen door leeftijdscategorie. Conform art. 5 lid 1 sub c AVG.	Geïmplementeerd ✅	Gereed (20 juni 2026)
M4 — Inzage- en correctieprocedure	Huurkandidaten kunnen via de verhuurder een verzoek tot inzage (art. 15 AVG), correctie (art. 16 AVG) of verwijdering (art. 17 AVG) indienen. Procedure vastleggen en publiceren.	Te implementeren	1 augustus 2026
M5 — Automatische bewaartermijn enforcement	Afgewezen huurkandidaten: dossier automatisch verwijderd na 4 weken. Actieve huurders: dossier bewaard zolang huurrelatie bestaat + 2 jaar. Geïmplementeerd via cleanup automation.	Geïmplementeerd ✅	Gereed
M6 — Bezwaarmogelijkheid geautomatiseerde besluitvorming	O.g.v. art. 22 AVG heeft de betrokkene het recht bezwaar te maken tegen uitsluitend geautomatiseerde besluitvorming. PropAI heeft menselijke tussenkomst — verhuurder beslist altijd. Dit recht publiceren in privacyverklaring.	Te documenteren	1 augustus 2026
M7 — OpenAI DPA gearchiveerd	Verwerkersovereenkomst met OpenAI Ireland Ltd. gearchiveerd. EU SCC 2021/914 van kracht. Zie /openai-dpa.html.	Geïmplementeerd ✅	Gereed (20 juni 2026)

Stap 6 — Overblijvend risico en beslissing

Wettekst art. 36 lid 1 AVG: "Wanneer uit een gegevensbeschermingseffectbeoordeling blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om het risico te beperken, raadpleegt de verwerkingsverantwoordelijke de toezichthoudende autoriteit voorafgaand aan de verwerking."

Risico	Netto risico na maatregelen	Acceptabel?
R1 — Discriminatoire AI-output	Middel	Ja — menselijke tussenkomst verplicht
R2 — Gebrek transparantie	Middel	Deels — informatieblad nog te implementeren (M1)
R3 — Datalek OpenAI	Laag	Ja
R4 — Onjuiste data	Laag	Ja
R5 — Bewaartermijn	Laag	Ja
R6 — Profilering	Laag	Ja

⚖️ Conclusie DPIA

Voorafgaande raadpleging AP (art. 36 AVG) vereist? Nee — het netto risico na maatregelen is niet meer "hoog". Geen verplichte raadpleging van de Autoriteit Persoonsgegevens.

Mag de verwerking doorgaan? Ja, onder de voorwaarden dat M1, M4 en M6 uiterlijk 1 augustus 2026 worden geïmplementeerd (informatieblad kandidaat, inzageprocedure, bezwaarmogelijkheid).

Kritieke waarborg: De AI-aanbeveling ("Goedkeuren / Afwijzen") is te allen tijde ondersteunend — de verhuurder neemt altijd het definitieve besluit. Dit is de kern-waarborg die het risico van art. 22 AVG (volledig geautomatiseerde besluitvorming) uitsluit.

Stap 7 — Openstaande acties

#	Actie	Wettelijke basis	Deadline	Status
A1	Informatieblad voor huurkandidaten opstellen en beschikbaar stellen aan verhuurders	Art. 13/14 AVG	1 aug 2026	Open
A2	Inzage- en correctieprocedure publiceren in privacyverklaring	Art. 15-17 AVG	1 aug 2026	Open
A3	Bezwaarmogelijkheid art. 22 AVG opnemen in privacyverklaring	Art. 22 AVG	1 aug 2026	Open
A4	DPIA opnemen in Verwerkingsregister (ROPA)	Art. 30 AVG	Direct	Gereed ✅
A5	Jaarlijkse herziening DPIA (of eerder bij materiële wijziging)	Art. 35 lid 11 AVG	20 jun 2027	Gepland

Stap 8 — Ondertekening en archivering

Dit document is opgesteld conform art. 35 AVG, EDPB Richtsnoeren WP248 rev.01 en de AP-lijst verplichte DPIA's. Het is gebaseerd op de wettekst zoals gepubliceerd door EUR-Lex (Verordening (EU) 2016/679). Er zijn geen verouderde bronnen gebruikt.

Verwerkingsverantwoordelijke

Lars Tils
PropAI
Datum: 20 juni 2026

Archivering

Versie: 1.0
Volgende review: 20 juni 2027
Bewaarlocatie: propai.nl/dpia.html

Wettelijke bronnen gebruikt in dit document:
— Verordening (EU) 2016/679 (AVG/GDPR), art. 5, 6, 13, 14, 15-22, 30, 35, 36, 37 — EUR-Lex
— EDPB Richtsnoeren inzake gegevensbeschermingseffectbeoordelingen, WP248 rev.01 (goedgekeurd 4 oktober 2017)
— AP Lijst verwerkingen waarvoor DPIA verplicht is (gepubliceerd Autoriteit Persoonsgegevens Nederland)
— EU AI Act (Verordening (EU) 2024/1689), art. 50 — transparantieplicht AI-systemen

Bij een beveiligingsincident: Datalekprocedure propai.nl