Når en professionel ejendomsadministrator er omfattet af hvidvaskloven, skal virksomheden kende sine kunder og kunne dokumentere, hvem der ejer eller kontrollerer dem. Ved administration af en foreningsejendom betyder det typisk, at administratoren skal identificere foreningen, finde de relevante personer i eller omkring bestyrelsen og kontrollere deres identitet.
Det lyder enkelt, men der er flere faldgruber. Alle ejendomsadministratorer er ikke automatisk omfattet af hvidvaskloven. Alle bestyrelsesmedlemmer skal heller ikke altid aflevere en kopi af deres pas. Omfanget afhænger af administratorens ydelser, foreningens juridiske form, vedtægterne og den konkrete risiko.
VF Bolig gør det muligt at indhente, følge op på og opbevare legitimationsmateriale samlet på platformen. Her får du det juridiske og praktiske overblik, du skal bruge for at konfigurere processen rigtigt.
Kort fortalt: En hvidvaskpligtig administrator skal identificere kunden, kundens reelle ejere og personer, der handler på kundens vegne. Indhentningen skal være risikobaseret. Du bør derfor vælge personer ud fra en dokumenteret vurdering og ikke bede alle beboere om legitimation som standard.
Gælder hvidvaskloven for ejendomsadministratorer?
Det afgørende er virksomhedens konkrete ydelser. Ejendomsadministration står ikke som en selvstændig branche i hvidvasklovens liste over omfattede virksomheder.
En ejendomsadministrator kan blandt andet være omfattet, hvis virksomheden erhvervsmæssigt leverer ekstern bogføring eller andre ydelser, der svarer til de ydelser, som advokater, revisorer eller ejendomsmæglere leverer. Ejendomsmæglere er desuden omfattet, når de optræder som mellemmand ved udlejning af fast ejendom.
Virksomheden bør derfor beskrive sine ydelser og vurdere hver aktivitet op mod hvidvasklovens anvendelsesområde. Det er virksomhedens aktiviteter og ikke stillingsbetegnelsen, der afgør, om reglerne gælder.
Er virksomheden omfattet, er indhentning af legitimation kun en del af arbejdet. Der skal også være en dokumenteret risikovurdering, skriftlige politikker og forretningsgange, løbende kundekendskab, undersøgelse af usædvanlige forhold og underretning ved mistanke, som ikke kan afkræftes.
Hvem skal ejendomsadministratoren indhente legitimation fra?
Svaret tager udgangspunkt i, hvem kunden er, hvem der kontrollerer kunden, og hvem der kan handle på kundens vegne.
Foreningen som kunde
Når administrationsaftalen er indgået med en ejerforening, andelsboligforening eller en anden forening, er foreningen den juridiske kunde. Administratoren skal som udgangspunkt indhente foreningens navn og CVR nummer og kontrollere oplysningerne ved en pålidelig og uafhængig kilde.
Vedtægter, stiftelsesdokument, CVR oplysninger og det seneste generalforsamlingsreferat kan være relevante for at forstå foreningens formål, ledelse og tegningsregel. Materialet hjælper også administratoren med at afgøre, hvem der kan forpligte foreningen.
Foreningens reelle ejere
En reel ejer er den eller de fysiske personer, som i sidste ende ejer eller kontrollerer kunden. I mange foreninger er der ingen fysisk person, som ejer eller kontrollerer en tilstrækkelig andel. I den situation skal administratoren undersøge, hvem der udgør foreningens daglige ledelse. Det vil ofte være bestyrelsen eller en direktion, hvis foreningen har en sådan.
Vurderingen skal ske ud fra den konkrete forenings juridiske form, vedtægter og faktiske ledelsesforhold. Man kan derfor ikke uden videre sætte lighedstegn mellem hele bestyrelsen og de reelle ejere i alle foreninger.
Finanstilsynets vejledning om foreninger viser, hvordan en risikobaseret tilgang kan begrænse byrden. Ved lav eller mellem risiko kan det i mange tilfælde være tilstrækkeligt at kontrollere identiteten på de tegningsberettigede bestyrelsesmedlemmer. Ved høj risiko kan det være nødvendigt at kontrollere alle bestyrelsesmedlemmer. Den præcise vurdering afhænger blandt andet af vedtægterne og foreningens forhold.
Personer, der handler på foreningens vegne
Hvis en person handler på vegne af foreningen, skal administratoren identificere personen, kontrollere identiteten og sikre sig, at personen har den nødvendige beføjelse.
Det vil ofte være formanden, kassereren eller andre tegningsberettigede. Det kan også være en person med fuldmagt. Tegningsregel, generalforsamlingsreferat, bestyrelsesreferat eller fuldmagt kan dokumentere beføjelsen.
Beboere og ejere
Beboere eller ejere skal ikke generelt aflevere legitimation, alene fordi de bor i en ejendom, som administratoren administrerer. Indhentning kan være relevant, hvis personen selv er kunde, er reel ejer, handler på kundens vegne eller indgår i en aktivitet eller transaktion, hvor kundekendskab er påkrævet.
Det følger samtidig af GDPR princippet om dataminimering, at administratoren ikke må indsamle flere personoplysninger end nødvendigt. VF Bolig gør det teknisk muligt at sende en anmodning til enhver beboer, men muligheden bør kun bruges, når administratoren har et dokumenteret formål og behandlingsgrundlag.
Hvilken legitimation skal du indhente?
For en fysisk person skal en hvidvaskpligtig virksomhed som udgangspunkt indhente navn og CPR nummer. Hvis personen ikke har et CPR nummer eller et tilsvarende nummer, anvendes navn og fødselsdato efter lovens regler.
Oplysningerne skal kontrolleres ved dokumenter, data eller oplysninger fra en pålidelig og uafhængig kilde. Hvidvaskloven kræver ikke en bestemt dokumenttype eller et bestemt antal dokumenter. Valget skal være tilstrækkeligt i forhold til den konkrete risiko.
I VF Bolig kan personen uploade
- sundhedskort
- pas eller kørekort
Kombinationen kan give administratoren både CPR oplysninger og billedlegitimation. Et sundhedskort er ikke billedlegitimation, og et pas eller kørekort indeholder ikke nødvendigvis alle de oplysninger, administratoren skal kontrollere. Derfor kan kombinationen være praktisk, men den er ikke i sig selv et lovkrav.
Når materialet er modtaget, bør administratoren kontrollere
- at navn og øvrige identitetsoplysninger stemmer overens
- at dokumenterne tilhører den person, som skal legitimeres
- at billedet og oplysningerne er tydelige
- at et dokument med udløbsdato fortsat er gyldigt
- at eventuelle uoverensstemmelser bliver afklaret og dokumenteret
En upload er dermed ikke det samme som en gennemført kontrol. Administratoren skal foretage kontrollen og kunne dokumentere, hvorfor materialet blev vurderet som tilstrækkeligt.
Hvornår skal legitimationen indhentes eller opdateres?
Kundekendskabsproceduren skal som udgangspunkt gennemføres, når forretningsforbindelsen etableres. Den skal også gennemføres igen, når kundens relevante forhold ændrer sig, på passende tidspunkter i det løbende kundeforhold, ved tvivl om tidligere oplysninger og ved mistanke om hvidvask eller terrorfinansiering.
I administrationen af foreningsejendomme er disse hændelser særligt relevante
- en ny forening bliver kunde
- foreningen får nye tegningsberettigede
- bestyrelsen eller den daglige ledelse ændres
- vedtægterne eller tegningsreglen ændres
- ejer eller kontrolforhold ændrer sig
- administratoren får nye oplysninger, der ændrer risikovurderingen
- tidligere dokumentation er blevet utilstrækkelig eller utroværdig
Der findes ikke en generel regel om, at alle legitimationsdokumenter skal fornyes hvert eller hvert femte år. Intervallet for ajourføring skal passe til risikoen. Udløbne dokumenter, bestyrelsesskifte eller ændrede forhold kan dog gøre det nødvendigt at indhente nyt materiale.
Hvor længe skal legitimationsdokumenter opbevares?
Hvidvaskpligtige virksomheder skal opbevare identitets og kontroloplysninger samt kopier af foreviste legitimationsdokumenter i mindst fem år efter forretningsforbindelsens ophør eller efter gennemførelsen af en enkeltstående transaktion. Personoplysninger skal som udgangspunkt slettes fem år efter dette tidspunkt, medmindre anden lovgivning fastsætter noget andet.
Fristen regnes altså normalt fra afslutningen af kundeforholdet med foreningen. Den regnes ikke automatisk fra den dag, dokumentet blev uploadet, eller fra den dag et bestyrelsesmedlem udtrådte.
VF Bolig kan indstilles til automatisk sletning efter et til fem år. Når perioden udløber, slettes dokumenterne, og systemet sender en ny anmodning, hvis personen fortsat har en rolle, hvor legitimation er påkrævet.
Administratoren skal vælge indstillingen som en del af sin samlede opbevaringspolitik. Hvis materialet i VF Bolig slettes tidligere end fem år efter kundeforholdets ophør, skal virksomheden sikre, at den lovpligtige dokumentation fortsat opbevares korrekt et andet sted. Automatisk fornyelse af aktuelle dokumenter og lovpligtig opbevaring af historisk dokumentation er to forskellige behov.
GDPR ved opbevaring af pas, kørekort og sundhedskort
Legitimationsdokumenter indeholder fortrolige personoplysninger. Sundhedskortet indeholder blandt andet CPR nummer, som er særskilt reguleret i databeskyttelsesloven.
En hvidvaskpligtig virksomhed har et lovbestemt formål med behandlingen, men skal stadig følge databeskyttelsesreglerne. Det indebærer blandt andet, at virksomheden skal
- informere personen om behandlingen af oplysningerne
- begrænse indsamlingen til det, der er nødvendigt
- anvende oplysningerne til det oplyste og lovlige formål
- begrænse adgangen til medarbejdere med et arbejdsbetinget behov
- beskytte oplysningerne med passende tekniske og organisatoriske foranstaltninger
- have fastlagte og dokumenterede slettefrister
Oplysninger, der indsamles efter hvidvaskloven, må kun behandles med henblik på at forebygge hvidvask og terrorfinansiering. De må ikke genbruges til markedsføring eller andre kommercielle formål.
Det er en fordel at undgå spredte kopier i almindelige mailbokse, lokale drev og personlige mapper. En samlet arbejdsgang gør det lettere at styre adgang, følge op og slette efter en fast regel.
Læs vores guide til hvordan du inshenter legitimation i VF Bolig.
En praktisk arbejdsgang for kundekendskab i foreningsejendomme
En holdbar proces kan bygges op i denne rækkefølge.
1. Afklar om virksomheden er omfattet
Kortlæg de konkrete ydelser. Notér, hvilken bestemmelse eller aktivitet der gør virksomheden hvidvaskpligtig, og hvilke kundeforhold pligten omfatter.
2. Identificér kunden og forstå foreningen
Indhent navn, CVR nummer, vedtægter, relevante referater og oplysninger om foreningens formål og forventede aktiviteter. Klarlæg ejer og kontrolstruktur samt tegningsregel.
3. Vurder risikoen
Vurder blandt andet foreningens formål, økonomiske omfang, betalingsmønstre, geografiske forhold, ledelsesstruktur og de ydelser, administratoren leverer. Dokumentér konklusionen. En risikoklasse uden en begrundelse er ikke tilstrækkelig dokumentation.
4. Udpeg de personer, der skal legitimeres
Fastlæg reelle ejere, daglig ledelse og personer, der handler på kundens vegne. Afgør på den baggrund, om anmodningen skal sendes til tegningsberettigede, hele bestyrelsen eller andre konkrete personer.
5. Konfigurér VF Bolig
Knyt automatiske anmodninger til de relevante roller. Brug enkeltstående anmodninger til særlige tilfælde. Fastlæg også, hvem hos administratoren der må se og downloade dokumenterne.
6. Kontrollér og dokumentér
Sammenhold materialet med de oplysninger, virksomheden allerede har. Afklar uoverensstemmelser, og registrér den vurdering, som gør kontrollen tilstrækkelig.
7. Hold oplysningerne ajour
Reagér på bestyrelsesskifter, ændrede vedtægter, nye fuldmagter og andre ændringer. Planlæg løbende gennemgang efter risiko og ikke alene efter en fast kalender.
8. Opbevar og slet korrekt
Sørg for, at den samlede løsning opfylder den lovpligtige femårsfrist efter kundeforholdets ophør. Slet derefter personoplysningerne, medmindre anden lovgivning kræver fortsat opbevaring.
Typiske fejl ved indhentning af legitimation
Alle beboere bliver bedt om legitimation
Det er sjældent nødvendigt alene på grund af deres status som beboere. Indhentning skal have et konkret formål og et behandlingsgrundlag.
Alle bestyrelsesmedlemmer behandles ens
Personkredsen skal fastlægges ud fra ejer og kontrolforhold, tegningsregel og risiko. Tegningsberettigede kan være tilstrækkelige i nogle kundeforhold, mens hele bestyrelsen kan være relevant i andre.
Upload bliver forvekslet med kontrol
Dokumentet skal kontrolleres. Uoverensstemmelser og utilstrækkeligt materiale skal håndteres og dokumenteres.
Opbevaringsfristen regnes fra uploaden
Hvidvasklovens femårsfrist regnes som udgangspunkt fra kundeforholdets ophør eller den enkeltstående transaktion. Det er et andet tidspunkt end dokumentets uploaddato.
Dokumenter ligger i mailbokse
Kopier i mail, downloadmapper og lokale drev gør adgangsstyring og sletning vanskeligere. Fastlæg, hvor materialet må opbevares, og fjern overflødige kopier.
Bestyrelsesskifter bliver ikke fulgt op
Nye tegningsberettigede eller andre ændringer i den daglige ledelse kan udløse behov for nye oplysninger og ny kontrol.
Ofte stillede spørgsmål om legitimation og hvidvask
Skal en ejendomsadministrator have legitimation fra alle bestyrelsesmedlemmer?
Ikke nødvendigvis. Administratoren skal først afklare, hvem der er reelle ejere eller udgør den daglige ledelse, og hvem der handler på foreningens vegne. Om identiteten skal kontrolleres for de tegningsberettigede eller for hele bestyrelsen, afhænger af foreningens forhold og den konkrete risikovurdering.
Er en ejerforenings bestyrelse reel ejer?
En forening har ofte ingen fysisk person, der ejer eller kontrollerer den i traditionel forstand. I så fald skal virksomheden undersøge, hvem der udgør den daglige ledelse. Det kan være bestyrelsen, men vurderingen afhænger af foreningens juridiske form, vedtægter og faktiske ledelse.
Hvilke legitimationsdokumenter kan bruges efter hvidvaskloven?
Loven fastsætter ikke en udtømmende liste. Identiteten skal kontrolleres ved en pålidelig og uafhængig kilde, og dokumentationen skal være tilstrækkelig i forhold til risikoen. VF Bolig understøtter sundhedskort sammen med pas eller kørekort.
Er et sundhedskort nok som legitimation?
Et sundhedskort kan understøtte kontrollen af navn, CPR nummer og adresse, men det har ikke foto. Om det kan stå alene, afhænger af den samlede kontrol og risikoen. I VF Bolig kombineres sundhedskortet derfor med pas eller kørekort.
Hvor længe skal en ejendomsadministrator opbevare legitimation?
Når materialet er indhentet efter hvidvaskloven, skal det opbevares i mindst fem år efter forretningsforbindelsens ophør eller den enkeltstående transaktions gennemførelse. Personoplysninger skal som udgangspunkt slettes fem år efter dette tidspunkt, medmindre anden lovgivning siger noget andet.
Skal legitimation fornyes hvert femte år?
Der er ikke en generel femårsregel for fornyelse af dokumenter. Oplysningerne skal holdes ajour efter risiko og ved relevante ændringer. Udløbne eller utilstrækkelige dokumenter og ændringer i bestyrelsen kan gøre en ny anmodning nødvendig.
Skal administratoren indhente legitimation ved bestyrelsesskifte?
Et bestyrelsesskifte kan ændre, hvem der kontrollerer eller kan tegne foreningen. Administratoren skal derfor vurdere de nye roller og indhente og kontrollere identiteten på de personer, som kundekendskabsproceduren omfatter.
Må legitimationsdokumenter sendes på mail?
Der er ikke et generelt lovforbud mod mail, men administratoren skal sikre et passende sikkerhedsniveau og begrænse spredning og adgang. En central løsning med tofaktoridentifikation, adgangsstyring og logning giver bedre kontrol end dokumentkopier fordelt i almindelige mailbokse.
Er VF Boligs funktion nok til at overholde hvidvaskloven?
Funktionen understøtter indhentning, påmindelser, opbevaring, adgangskontrol og sletning. Administratoren er fortsat ansvarlig for at afgøre, om virksomheden er omfattet, vurdere risikoen, vælge de rette personer, kontrollere dokumenterne, dokumentere vurderingen og sikre den korrekte opbevaringsperiode.
Hvad gør administratoren, hvis en person ikke indsender legitimation?
Virksomheden bør først undersøge, om kundekendskabet kan gennemføres på en anden forsvarlig måde. Hvis de nødvendige kundekendskabskrav ikke kan opfyldes, kan en hvidvaskpligtig virksomhed være forpligtet til ikke at etablere kundeforholdet eller til at afbryde eller afvikle et eksisterende forhold. Det skal samtidig vurderes, om forholdet giver anledning til en undersøgelse eller underretning.
Få en samlet proces i VF Bolig
Når indhentning af legitimation foregår i samme platform som administrationen af foreningens medlemmer og roller, bliver det lettere at reagere på bestyrelsesskifter, følge op på manglende materiale og begrænse adgangen til dokumenterne.
Med VF Bolig kan du opsætte automatiske anmodninger efter rolle, sende en anmodning til en enkelt person, modtage besked ved upload og få sporbarhed omkring visning og download.
Bestil en demo og se, hvordan VF Bolig kan indgå i jeres arbejde med kundekendskab og legitimation.
