GDPR og forbrugsdata — hvad må du gemme om lejere?

Hvis du som udlejer eller ejendomsadministrator gemmer aflæsninger på lejere — selv om det "bare" er forbrugstal — så behandler du personoplysninger under GDPR. Det er en kategori mange overser, fordi forbrugsdata ikke umiddelbart føles som "personlig data" på linje med navn, CPR-nummer eller adresse.

Men det er præcis hvad GDPR-myndighederne mener: alt der kan henføres til en identificerbar person er personoplysninger. Hvis du har en aflæsning der hører til Lejlighed 12 i Eksempelvej 4, og du ved hvem der bor i Lejlighed 12 — så er aflæsningen knyttet til en person.

Hvad omfatter "behandling" af forbrugsdata?

Datatilsynet definerer behandling bredt — alle disse processer falder ind under GDPR:

• Indsamling: Gateway læser måler-data → server gemmer
• Opbevaring: Aflæsninger gemmes i database (typisk 7+ år)
• Brug: Afregning udregnes og udsendes
• Videregivelse: Eksport til fjernvarmeselskab, revisor, eller tredjepartssystemer
• Sletning: Anonymisering ved kontrakt-ophør

Hver af disse skal være lovligt grundet og dokumenteret.

Lovligt grundlag for behandling

GDPR artikel 6 kræver mindst ét lovligt grundlag. For lejer-forbrugsdata er der typisk to:

1. Kontrakt (artikel 6(1)(b))

Lejekontrakten kræver afregning af varme og vand efter forbrug. Behandling af aflæsningsdata er nødvendig for at opfylde kontrakten.

2. Lovkrav (artikel 6(1)(c))

Varmefordelingsloven (BEK 563) kræver konkret fordelingsregnskab. Du skal behandle disse data — det er ikke valgfrit.

I praksis bruger de fleste begge grundlag i deres databehandleraftale.

Hvad skal være på plads?

A. Databehandleraftale (DPA)

Hvis du som udlejer bruger en ekstern operator (Techem, ista, eller os), så er operatøren databehandler og du er dataansvarlig. Det kræver en skriftlig DPA mellem jer.

Vores platform auto-genererer DPA ved kundeoprettelse, inkluderet alle obligatoriske felter:

• Behandlingens karakter og formål
• Type af personoplysninger
• Underleverandører (sub-processors)
• Sikkerhedsforanstaltninger
• Rapporteringspligt ved brud
• Retten til audit

B. Privatlivspolitik

Som dataansvarlig skal du give lejer oplysninger om behandlingen (artikel 13). I praksis indsætter de fleste udlejere et afsnit i lejekontrakten eller henviser til en privatlivspolitik. Skal indeholde:

• Hvilke data behandles
• Formålet med behandlingen
• Det lovlige grundlag
• Opbevaringsperiode
• Modtagere (operatør, revisor, fjernvarmeselskab)
• Lejer's rettigheder (indsigt, sletning, indsigelse)
• Kontaktoplysninger til DPO eller dataansvarlig
• Klagerettigheder til Datatilsynet

C. Sikkerhedsforanstaltninger

GDPR artikel 32 kræver "passende tekniske og organisatoriske foranstaltninger". For forbrugsdata typisk:

• Kryptering i transit: TLS 1.3 ved al overførsel mellem gateway, server og UI
• Kryptering i ro: Følsomme felter krypteret i databasen (AES-nøgler, kontaktoplysninger)
• Adgangskontrol: Rollebaseret RBAC — kun de der skal se data har adgang
• Logning: Hvem så hvilken lejer's data og hvornår
• Backup: Krypteret, EU-baseret, immutable

Hvor længe må du gemme forbrugsdata?

Her opstår en konflikt mellem to lovgivninger:

• GDPR: Data skal slettes når formålet er opnået
• Bogføringsloven: 5 års opbevaringspligt for regnskabsdata

Den almindelige praksis er:

Efter perioden skal data anonymiseres, ikke slettes. Anonymisering betyder at ID'er (navn, e-mail, lejlighedsnummer) erstattes med pseudonymer eller fjernes, mens aggregater bevares for historisk sammenligning.

Lejer's rettigheder i praksis

Indsigt (artikel 15)

Lejer kan kræve at se alt du har gemt om vedkommende. Skal udleveres inden 30 dage. I praksis: lejer-portalen viser allerede alle aflæsninger og afregninger, så dette er typisk allerede opfyldt.

Berigtigelse (artikel 16)

Hvis lejer mener data er forkerte (forkert måler, forkert lejligheds-tilknytning), skal det rettes.

Sletning (artikel 17)

Også kendt som "retten til at blive glemt". Lejer kan anmode om sletning, men du kan nægte hvis der er retsligt grundlag (bogføringspligt). I praksis: anonymisering efter 5 år.

Indsigelse (artikel 21)

Lejer kan gøre indsigelse mod behandlingen. Hvis du bruger samtykke som grundlag, skal behandlingen ophøre. Hvis du bruger kontrakt/lovkrav, kan du fortsætte — men skal kunne dokumentere det.

Dataportabilitet (artikel 20)

Lejer kan kræve sine data udleveret i et struktureret format. JSON eller CSV er typisk. Vi har det indbygget i lejer-portalen.

Brud på persondatasikkerheden

Hvis der opstår et brud (data lækker, ubekvem person får adgang, system kompromitteres), skal:

1. Du som dataansvarlig anmelde til Datatilsynet inden 72 timer (artikel 33)
2. Databehandleren (operatøren) straks informere dig
3. Lejer informeres hvis der er "høj risiko" (artikel 34)

Bøder kan være op til 4% af årsomsætningen eller 20 mio. EUR. I praksis ses bøder på 10.000-500.000 kr for SMV'er i Danmark.

Hvordan løser vores platform GDPR?

• Multi-tenant isolation på arkitektur-niveau: Det er teknisk umuligt at se anden kundes data. tenant_id på alle tabeller med RLS-lignende guards i hver query.
• EU-hosting: Hetzner Falkenstein (Tyskland). Ingen tredjelands-overførsel.
• Indbygget DPA-generator: Skabelon med alle obligatoriske felter ved kundeoprettelse.
• Audit log append-only: Ingen UPDATE eller DELETE på audit-tabellen. Fuld historik for compliance-audit.
• Soft delete + anonymisering: deleted_at på alle tabeller. Anonymisering efter 5 år via Celery-task.
• Eksport-endpoints: Lejer kan downloade egne data i JSON/CSV med ét klik.
• TLS 1.3 + per-gateway certifikater: Kompromitteret gateway kan tilbagekaldes individuelt.

Tjekliste: er du compliant?

• Databehandleraftale underskrevet med din operatør
• Privatlivspolitik på dansk, tilgængelig for lejer (lejekontrakten eller separat dokument)
• Procedure for indsigtsanmodninger (inden 30 dage)
• Procedure for sletningsanmodninger (anonymisering)
• Procedure for databrud (anmeldelse inden 72 timer)
• Adgangskontrol: kun nødvendige personer har adgang
• Backup-strategi: EU-baseret, krypteret
• Anonymisering efter 5 år hvor lovligt
• DPO udpeget hvis du er offentlig myndighed eller behandler store mængder data

Konklusion

GDPR-compliance er ikke et engangs-projekt — det er løbende disciplin. Men de fleste krav handler om at have processerne på plads, ikke om at bruge formuer på revisorer. En velbygget platform tager 70% af arbejdet for dig. Resten handler om at have skriftlige procedurer og uddannet personale.

Vi er ikke advokater og dette er ikke juridisk rådgivning. Konsulter en specialist hvis du er i tvivl.