DSGVO für Vermieter: welche Pflichten Sie treffen

Wer vermietet, verarbeitet personenbezogene Daten — Name, Anschrift, Bankverbindung, Einkommen, manchmal Gesundheitsdaten. Die DSGVO gilt dabei unabhängig von der Zahl der Wohnungen; eine Bagatellgrenze für Kleinvermieter kennt sie nicht. Das ist die schlechte Nachricht. Die gute: Die Pflichten sind überschaubar, wenn man sie einmal sortiert.

Ihre Rolle

Sie sind Verantwortlicher im Sinne der DSGVO. Sie entscheiden über Zwecke und Mittel der Verarbeitung, und Sie haften für ihre Rechtmäßigkeit.

Setzen Sie einen Dienstleister ein, der die Daten für Sie verarbeitet — eine Software, einen Messdienst, eine Hausverwaltung —, wird dieser Auftragsverarbeiter. Ihre Verantwortung geht damit nicht über; sie wird nur vertraglich geteilt.

Welche Daten Sie erheben dürfen

Der Grundsatz der Datenminimierung aus Art. 5 DSGVO bedeutet: nur, was für den jeweiligen Zweck erforderlich ist. Erforderlich richtet sich nach der Phase.

Bei der Besichtigung ist wenig erforderlich. Name und Kontaktdaten genügen. Eine Selbstauskunft mit Einkommensnachweis, Schufa und Vormieterbescheinigung gehört in die Phase, in der ein konkretes Vertragsangebot ansteht — nicht auf den ersten Besichtigungstermin mit dreißig Interessenten.

Unzulässig sind Fragen nach Schwangerschaft, Kinderwunsch, Religionszugehörigkeit, Parteizugehörigkeit, Vorstrafen ohne Bezug zum Mietverhältnis und Krankheiten. Die Antwort auf eine unzulässige Frage darf der Interessent falsch geben, ohne dass das eine spätere Anfechtung trägt.

Nach Vertragsschluss ist die Rechtsgrundlage regelmäßig die Vertragserfüllung. Für die abgelehnten Interessenten fällt die Grundlage dagegen weg — deren Unterlagen sind zeitnah zu löschen oder zurückzugeben.

Der Auftragsverarbeitungsvertrag

Art. 28 Abs. 3 DSGVO verlangt einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt sowie die Pflichten des Auftragsverarbeiters regelt — Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Umgang mit Unterauftragnehmern, Löschung nach Vertragsende.

Das gilt unabhängig davon, ob Sie zahlen. Ein kostenloses Werkzeug, das Mieterdaten verarbeitet und keinen AVV anbietet, ist damit kein Schnäppchen, sondern ein Problem.

Technische und organisatorische Maßnahmen richten sich nach Art. 32 DSGVO. Für Sie selbst heißt das konkret: Zugriffsschutz auf dem eigenen Gerät, verschlüsselte Übertragung, keine Mieterakten offen im gemeinsam genutzten Cloud-Ordner.

Das Auskunftsrecht

Art. 15 DSGVO gibt jedem Mieter das Recht zu erfahren, welche Daten Sie über ihn verarbeiten, zu welchen Zwecken, an wen Sie sie weitergeben und wie lange Sie sie speichern — samt einer Kopie der Daten.

Die Frist beträgt einen Monat ab Eingang. Nach Art. 12 Abs. 3 DSGVO können Sie um zwei weitere Monate verlängern, müssen den Betroffenen darüber aber innerhalb des ersten Monats informieren.

In der Praxis kommt ein solches Ersuchen selten — und wenn, dann fast immer im Konflikt. Wer dann erst zusammensuchen muss, welche Daten wo liegen, verliert Zeit, die die Frist nicht hergibt.

Daneben bestehen die Rechte auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).

Löschfristen

Nach Ende des Mietverhältnisses sind Daten zu löschen, sobald der Zweck entfällt — aber nicht sofort. Gegenläufig wirken Aufbewahrungspflichten und die Notwendigkeit, Ansprüche geltend zu machen oder abzuwehren.

Praktikabel ist eine gestufte Betrachtung: Unterlagen zur Betriebskostenabrechnung so lange, wie Ansprüche daraus bestehen können; steuerlich relevante Belege nach den Fristen des § 147 AO; die Daten abgelehnter Interessenten binnen weniger Monate.

Ein pauschales „alles zehn Jahre“ ist bequem und nicht datenschutzkonform.

Was Sie an Mieter weitergeben dürfen

Bei der Betriebskostenabrechnung gilt eine praktische Grenze: Der Mieter darf die Gesamtkosten und seinen Anteil sehen — beides braucht er, um die Abrechnung prüfen zu können. Die Einzelanteile anderer Mietparteien sind deren personenbezogene Daten.

Bei der Belegeinsicht heißt das: Rechnungen des Objekts ja, die Verbrauchswerte der Nachbarwohnung grundsätzlich nein — wobei sich bei verbrauchsabhängiger Abrechnung eine Einsicht in anonymisierter Form anbieten kann.

Was zu tun ist

Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist auch für kleine Vermieter sinnvoll und bei regelmäßiger Verarbeitung erforderlich. Es ist kein großes Dokument: Zweck, Datenkategorien, Empfänger, Löschfristen.

Ein Datenschutzbeauftragter ist bei privater Vermietung praktisch nie erforderlich; die Schwelle liegt bei in der Regel mindestens 20 Personen, die ständig mit der Verarbeitung beschäftigt sind (§ 38 BDSG).

Eine Datenschutzinformation nach Art. 13 DSGVO gehört dem Mieter bei Vertragsschluss ausgehändigt.

Bei einer Datenpanne — verlorenes Notebook, versehentlich falsch adressierte Abrechnung — gilt die Meldepflicht nach Art. 33 DSGVO innerhalb von 72 Stunden, wenn ein Risiko für die Betroffenen besteht.

Videoüberwachung

Kameras am Objekt sind der Bereich mit dem höchsten Konfliktpotenzial und den strengsten Anforderungen.

Zulässig ist eine Überwachung nur bei einem konkreten, belegbaren Anlass — nicht vorsorglich. Der erfasste Bereich muss auf das eigene Grundstück beschränkt bleiben; Gehweg und Nachbargrundstück dürfen nicht im Bild sein. Eingangsbereiche und Treppenhäuser sind heikel, weil dort das Kommen und Gehen der Mieter erfasst würde.

Erforderlich sind außerdem ein Hinweisschild vor dem erfassten Bereich, eine kurze Speicherdauer und ein dokumentierter Zweck. Attrappen sind übrigens nicht harmlos: Auch der bloße Überwachungsdruck kann das Persönlichkeitsrecht verletzen.

Vermietungsplattformen und Makler

Geben Sie Interessentendaten an einen Makler weiter, ist zu klären, in welcher Rolle er handelt. Arbeitet er weisungsgebunden für Sie, liegt Auftragsverarbeitung vor und es braucht einen Vertrag nach Art. 28 DSGVO. Verfolgt er eigene Zwecke, ist er selbst Verantwortlicher — dann brauchen Sie eine Rechtsgrundlage für die Übermittlung.

Dasselbe gilt für Portale, über die Sie inserieren. Prüfen Sie, was mit den Daten der Interessenten geschieht, die sich dort melden.

Für den Alltag hilft eine einfache Faustregel: Fragen Sie sich bei jeder Information, für welchen konkreten Zweck des Mietverhältnisses Sie sie brauchen und wie lange. Lässt sich beides nicht in einem Satz beantworten, ist die Erhebung oder die weitere Speicherung mit einiger Wahrscheinlichkeit nicht erforderlich. Das ersetzt keine Prüfung im Einzelfall, filtert aber den größten Teil der Fälle zuverlässig heraus — und es ist genau die Begründung, die eine Aufsichtsbehörde im Zweifel hören will.

Dieser Beitrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.