Mieterdaten sind sensible Informationen, die rechtssicher behandelt werden müssen. Am Bodensee gelten dabei nicht nur die bundesweite DSGVO, sondern auch spezifische Regelungen Baden-Württembergs, die Vermietende und Hausverwaltungen beachten müssen.
Wir bei LIVENTA Immobilien Management wissen, dass viele Fehler bei der Mieterdaten Verwaltung und dem Datenschutz entstehen, weil die rechtlichen Anforderungen unklar sind. Dieser Beitrag zeigt Ihnen, welche Verpflichtungen Sie haben und wie Sie Mieterinformationen praktisch und konform schützen.
Welche Datenschutzverpflichtungen gelten für Vermieter am Bodensee
Die EU-Datenschutz-Grundverordnung (DSGVO) ist der rechtliche Rahmen für alle Vermieter und Hausverwaltungen am Bodensee – unabhängig von Unternehmensform oder Größe. Baden-Württemberg verschärft diese Anforderungen durch die Landesdatenschutzgesetze zusätzlich. Das bedeutet konkret: Jede Erhebung von Mieterdaten, von der Besichtigung bis zur Kündigung, muss einer Rechtsgrundlage folgen. Die Datenschutzkonferenz (DSK) hat 2024 ein Drei-Stufen-Modell veröffentlicht, das genau regelt, welche Daten in welcher Phase zulässig sind.
Die drei Phasen der Datenerhebung nach DSK-Modell
In Stufe A (Besichtigung) erfassen Sie nur minimale Daten – Name, Vorname und Kontakt. Eine Ausweiskopie zu fertigen ist nicht erlaubt; der Ausweis darf nur zur Identitätsprüfung vorgezeigt werden. In Stufe B (konkretes Anmietungsinteresse) erweitern sich die Möglichkeiten: Anzahl der einziehenden Personen, Arbeitgeber, Beruf und Nettoeinkommen sind zulässig.
Insolvenzanträge und Räumungstitel der letzten fünf Jahre dürfen erwähnt werden, allerdings nur begrenzt. Haustiere sind zulässig, soweit deren Haltung zustimmungspflichtig ist. Unzulässig bleiben dagegen Fragen zu Familienstand, Religion, Rasse oder ethnischer Herkunft, Staatsangehörigkeit, Schwangerschaft und Parteizugehörigkeit. In Stufe C (nach der Auswahl) sind Einkommensnachweise mit Schwärzung irrelevanter Angaben möglich, ebenso ein Bonitätsnachweis durch den Interessenten selbst.
Rechtsgrundlagen korrekt anwenden
Die DSGVO kennt mehrere Rechtsgrundlagen für die Verarbeitung. Im Besichtigungsstadium gilt Artikel 6 Absatz 1 Buchstabe f (berechtigtes Interesse), ab dem Moment eines konkreten Mietinteresses greift Artikel 6 Absatz 1 Buchstabe b (Vertragsanbahnung). Entscheidend ist: Liegt eine gesetzliche Rechtsgrundlage vor, ist der Rückgriff auf eine Einwilligung unzulässig. Eine Einwilligung darf nicht als Ersatz für eine notwendige Rechtsgrundlage genutzt werden. Das bedeutet, dass Sie nicht einfach eine pauschale Einwilligung einholen und damit alle Datenerhebungen legitimieren können. Stattdessen dokumentieren Sie für jede Erhebungsphase die passende Rechtsgrundlage. Dies ist nicht optional – Aufsichtsbehörden wie die Landesanstalt für Datenschutz Baden-Württemberg prüfen Immobilienverwaltungen regelmäßig. Im Jahr 2022 erhielt die Deutsche Wohnen SE ein Bußgeld von 14,5 Millionen Euro wegen unzureichender Lösch- und Archivierungslösungen. Solche Strafen sind nicht theoretisch, sondern real und betreffen auch kleinere Verwaltungen.
Dokumentation und Löschpflichten in der Praxis
Sie führen ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO, das alle Datenflüsse von der Bewerbung bis zur Betriebskostenabrechnung dokumentiert. Ebenso wichtig: Daten von abgelehnten Interessenten müssen gelöscht werden. Das Führen von sogenannten schwarzen Listen ist unzulässig. Nach Mietvertragsabschluss löschen Sie Bewerberdaten, die für die Abwicklung nicht mehr benötigt werden. Für AGG-bezogene Ansprüche gilt eine Höchtspeicherfrist von etwa sechs Monaten. Steuerrelevante Mieterdokumente bewahren Sie gemäß Abgabenordnung sechs bis acht Jahre auf, private Vermieter mindestens drei Jahre nach Ende des Mietverhältnisses. Eine digitale Mieterakte bietet hier erhebliche Vorteile: Platzersparnis, schneller Zugriff und langfristige Verfügbarkeit.
Digitale Archivierung muss jedoch die Anforderungen an Integrität, Authentizität, langfristige Lesbarkeit und DSGVO-Konformität erfüllen. Sie setzen auf digitale Systeme mit Berechtigungskonzepten, Verschlüsselung und regelmäßigen Backups – das ist kein Luxus, sondern Pflicht. Wie Sie diese Anforderungen technisch umsetzen, zeigt sich in den praktischen Maßnahmen zur sicheren Verwaltung von Mieterdaten.
So schützen Sie Mieterdaten technisch und organisatorisch
Die Datenschutzkonformität bleibt Theorie, wenn Sie die praktische Umsetzung nicht bewältigen. Viele Vermieter und Hausverwaltungen haben die richtigen Absichten, scheitern aber bei der technischen Umsetzung. Der entscheidende Punkt liegt darin, dass Sie nicht nur wissen, welche Daten Sie erheben dürfen, sondern auch wie Sie diese physisch und digital schützen. Das bedeutet konkret: Ihr System muss Verschlüsselung nutzen, Zugriffe protokollieren und Löschprozesse automatisieren. Ohne diese Maßnahmen werden Sie bei einer Prüfung durch die Landesanstalt für Datenschutz Baden-Württemberg nicht bestehen. Eine digitale Lösung mit Berechtigungskonzepten ist nicht optional – sie ist die einzige realistische Möglichkeit, Mieterdaten sicher zu verwalten.
Verschlüsselung und sichere Speicherung als Basis
Ihre Mieterdaten müssen Verschlüsselung und sichere Speicherung nutzen, sowohl während der Übertragung als auch im Ruhezustand. Wenn Sie Selbstauskunftsformulare online erfassen, arbeitet die Verbindung mit SSL-Verschlüsselung. Wenn Sie Unterlagen digital archivieren, schützen Sie diese Dateien mit Verschlüsselung. Viele Vermieter nutzen einfache Cloud-Lösungen oder E-Mail-Anhänge – das ist fahrlässig und verstößt gegen die DSGVO. Regelmäßige Backups sind ebenfalls Pflicht, denn ein Datenverlust durch technisches Versagen entbindet Sie nicht von der Verantwortung. Ihre Backups lagern an einem separaten, ebenfalls verschlüsselten Ort. Gleichzeitig dokumentieren Sie, dass diese Maßnahmen existieren. Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO muss explizit aufzählen, welche technischen Sicherheitsmaßnahmen Sie einsetzen (Verschlüsselung, Backup-Strategie, Zugriffskontrolle). Das ist nicht bürokratisches Theater – es ist der Nachweis, dass Sie die Anforderungen ernst nehmen.
Berechtigungskonzepte verhindern unbefugte Zugriffe
Ein Berechtigungskonzept bedeutet, dass nicht jeder Mitarbeiter auf alle Mieterdaten Zugriff hat. Der Hausmeister braucht keine Einkommensnachweise, der Buchhalter keine Räumungstitel. Sie definieren Rollen und ordnen Mitarbeitern diese zu: Sachbearbeiterin für Neuvermietung, Buchhalter für Betriebskostenabrechnungen, Verwaltungsleiter mit Vollzugriff. Jeder Zugriff wird protokolliert – wer hat wann welche Datei geöffnet? Diese Audit-Trails sind nicht nur für die Datenschutzkonformität wichtig, sie helfen Ihnen auch, Fehler nachzuvollziehen. Wenn ein Mieter behauptet, dass sensible Daten weitergegeben wurden, zeigen Sie anhand der Protokolle, wer tatsächlich Zugriff hatte. Schulungen sind hier entscheidend: Ihre Mitarbeiter verstehen, warum Datenschutz wichtig ist und wie sie damit umgehen. Eine jährliche Auffrischung ist das Minimum. Ohne klare Rollen und Schulungen scheitert jedes noch so gute technische System.
Automatisierte Löschprozesse und externe Dienstleister
Manuelle Löschprozesse funktionieren nicht – Sie werden vergessen, sind fehleranfällig und hinterlassen Spuren. Stattdessen implementieren Sie automatisierte Löschregeln in Ihrem System: Bewerberdaten von abgelehnten Interessenten werden nach 30 Tagen automatisch gelöscht, Daten von Mietern, deren Mietverhältnis vor mehr als drei Jahren endete, werden automatisch archiviert und nach acht Jahren gelöscht. Steuerrelevante Unterlagen folgen den Aufbewahrungsfristen der Abgabenordnung. Ihr System muss diese Regeln durchsetzen und dokumentieren, dass die Löschung stattgefunden hat. Das Führen von schwarzen Listen ist unzulässig – Ihr System darf also nicht einfach alte Daten mit einem Flag versehen und weiterspeichern. Wenn Sie externe Dienstleister nutzen (etwa einen Scanservice für die Digitalisierung von Mieterakten), muss ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO vorliegen. Dieser Vertrag regelt, wie der Dienstleister mit Ihren Daten umgeht und dass er keine eigenen Zwecke damit verfolgt. Ohne diesen Vertrag ist die Zusammenarbeit datenschutzrechtlich nicht zulässig. Diese technischen und organisatorischen Maßnahmen bilden die Grundlage für eine sichere Verwaltung – doch in der Praxis entstehen Fehler oft dort, wo diese Maßnahmen nicht konsequent umgesetzt werden.
Wo Vermieter bei Mieterdaten scheitern
Viele Vermieter und Hausverwaltungen am Bodensee verstehen die gesetzlichen Anforderungen, setzen sie aber nicht um. Die Folge sind drei typische Fehler, die immer wieder zu Bußgeldern und rechtlichen Konsequenzen führen.
Fehlende Dokumentation von Datenverarbeitungsprozessen
Der erste Fehler liegt darin, dass Sie Mieterdaten erheben, aber nicht dokumentieren, wo diese gespeichert sind, wer Zugriff hat und wann sie gelöscht werden. Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO bleibt eine leere Pflicht – oder existiert gar nicht. In der Praxis sieht das so aus: Ein Mitarbeiter erhält eine Bewerbung per E-Mail, speichert sie in einem persönlichen Ordner ab und leitet sie an einen Kollegen weiter, der sie ausdruckt und in einen Aktenschrank legt. Niemand weiß später, ob die Daten gelöscht wurden. Die Landesanstalt für Datenschutz Baden-Württemberg prüft genau diese Punkte. Ohne dokumentierte Prozesse können Sie nicht nachweisen, dass Sie die DSGVO einhalten. Ihr System muss klar regeln, in welcher Phase welche Daten erhoben werden, wo sie gespeichert sind und nach welcher Frist Sie diese löschen. Diese Dokumentation ist nicht optional – sie ist der Nachweis Ihrer Compliance.
Mangelhafte Sicherung von physischen und digitalen Unterlagen
Der zweite Fehler entsteht durch unzureichende Sicherungsmaßnahmen. Sie speichern Mieterdaten in einfachen Cloud-Diensten ohne Verschlüsselung, verwenden Excel-Dateien mit schwachen Passwörtern oder lagern ausgedruckte Unterlagen in zugänglichen Aktenschränken. Ein Mitarbeiter, ein Handwerker oder ein Einbrecher erhält Zugriff auf sensible Informationen. Digitale Dateien versenden Sie per E-Mail, ohne dass die Verbindung verschlüsselt ist. Backups existieren nicht oder liegen am selben Ort wie die Original-Dateien – im Brandfall sind alle Daten weg. Hier ist klare Ansage notwendig: Ihre Sicherung muss technisch robust sein. Das bedeutet Verschlüsselung bei der Speicherung und Übertragung, regelmäßige Backups an separaten Orten und physische Sicherheit für Papierdokumente. Ohne diese Maßnahmen verstoßen Sie gegen Artikel 32 DSGVO und riskieren Bußgelder bis 20 Millionen Euro oder zehn Prozent des weltweiten Jahresumsatzes.
Unbefugte Weitergabe von Mieterinformationen an Dritte
Der dritte Fehler ist die unkontrollierte Weitergabe von Mieterinformationen. Das passiert häufig unbewusst: Ein Makler ruft an und möchte Informationen zu einem Mieter, ein Nachbar fragt nach Kontaktdaten, ein ehemaliger Vermieter bittet um Auskunft. Viele Verwaltungen geben diese Informationen heraus, ohne zu prüfen, ob eine Rechtsgrundlage besteht. Besonders problematisch ist die Zusammenarbeit mit externen Dienstleistern ohne Auftragsverarbeitungsvertrag (etwa ein Scanservice, der Ihre Mieterakten digitalisiert und die Dateien auf seinen Servern speichert, ohne klare vertragliche Regelung). Damit verlieren Sie die Kontrolle über Ihre Daten. Sie dürfen Mieterdaten nur an solche Dritte weitergeben, die eine berechtigte Funktion haben – etwa SCHUFA-Auskunfteien zur Bonitätsprüfung oder Ihre Hausverwaltung zur Abwicklung des Mietverhältnisses. Jede andere Weitergabe ist unzulässig. Mit externen Dienstleistern schließen Sie einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ab, der regelt, wie diese mit Ihren Daten umgehen. Ohne diesen Vertrag ist die Zusammenarbeit nicht datenschutzkonform.
Diese drei Fehler sind nicht theoretisch – sie führen zu echten Konsequenzen. Fehlende Dokumentation, mangelnde Sicherung und unbefugte Weitergabe sind die Hauptgründe für Bußgelder durch Datenschutzbehörden. Sie lassen sich alle drei durch klare Prozesse, robuste Systeme und vertragliche Klarheit vermeiden.
Schlussfolgerung
Die rechtssichere Verwaltung von Mieterdaten am Bodensee folgt klaren Regeln, die Sie nicht ignorieren können. Sie erheben Mieterdaten nur in den zulässigen Phasen, schützen diese mit technischen Maßnahmen und löschen sie nach definierten Fristen – so verpflichten es die DSGVO und die Landesdatenschutzgesetze Baden-Württembergs. Das Drei-Stufen-Modell der Datenschutzkonferenz gibt Ihnen dabei eine praktische Orientierung: minimale Daten bei der Besichtigung, erweiterte Informationen bei konkretem Mietinteresse, Bonitätsnachweise nach der Auswahl.
Sie dokumentieren diese Prozesse in einem Verzeichnis von Verarbeitungstätigkeiten, regeln mit Berechtigungskonzepten, wer Zugriff hat, und implementieren automatisierte Löschregeln, um unnötige Speicherung zu vermeiden. Eine digitale Mieterakte mit Verschlüsselung, Backups und klaren Zugriffskontrolle spart Ihnen Zeit bei der Suche nach Unterlagen und reduziert das Risiko von Datenverlust erheblich. Mit dokumentierten Prozessen und robusten Systemen können Sie bei einer Prüfung durch die Landesanstalt für Datenschutz Baden-Württemberg nachweisen, dass Sie die Anforderungen ernst nehmen.
Die Komplexität der DSGVO, die Anforderungen an digitale Archivierung und die technischen Maßnahmen zur Datensicherung überfordern viele Vermieter und kleinere Hausverwaltungen. LIVENTA Immobilien Management unterstützt Sie mit rechtssicheren Prozessen, digitalen Systemen mit angemessenem Datenschutz und transparenten Abläufen, die Ihre Mieterinformationen schützen. Mit professioneller Unterstützung vermeiden Sie die typischen Fehler, die zu Bußgeldern führen, und konzentrieren sich auf das, was zählt – die Verwaltung Ihrer Immobilien.
No responses yet