DSGVO bei der Vermietung von Immobilien

Darstellung am Beispiel des Vermietungsprozesses

Der Datenschutz scheint für viele Immobilieneigentümer- und Immobilienverwalter immer noch ein heißes Eisen zu sein, das man ungern und dann nur mit Handschuhen anfasst. Die DSGVO gilt dabei für den Wohnungskonzern genauso, wie für den „kleinen“ Einzelvermieter.

Datenschutz stellt an die gesamte Wirtschaft neue Herausforderung. Ob wir es wollen oder auch nicht, die DSGVO wird bleiben. Die Entscheidungen einzelner Behörden und Gerichte in den vergangenen Jahren zeigen klar in eine Einrichtung. Wer sich nicht an den Datenschutz hält, muss mit empfindlichen Bußgeldern rechnen.

Bußgeld gegen die Deutsche Wohnen

Eines der prominentesten Beispiele ist der Bußgeldbescheid gegen die Deutsche Wohnen aus dem Jahr 2019 in Höhe von 14,5 Millionen Euro. Letztlich hat die Datenschutzbehörde das Bußgeld verhängt, weil Daten insbesondere aus dem Vermietungsprozess nicht bzw. nicht ausreichend gelöscht waren. Die Behörde hat argumentiert, dass die Deutsche Wohnen die Daten nicht mehr gebraucht hat und es keinen Rechtsgrund für die Deutsche Wohnen gab, die Daten weiterhin zu speichern. Das gerichtliche Verfahren gegen die Deutsche Wohnen ist aktuell noch nicht abgeschlossen.

Häufig verwendete Begriffe

In Zusammenhang mit der DSGVO werden oft die folgenden Begriffe verwendet: Verantwortlicher, Betroffener, personenbezogene Daten, Datenverarbeitung, Kategorien von personenbezogenen Daten, Auftragsverarbeiter, Verfahrensverzeichnis, Verarbeitungsverzeichnis, Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-Folgeabschätzung, technische und organisatorische Maßnahmen (TOMs), Aufsichtsbehörde, Zweck der Datenverarbeitung, Rechtsgrund für die Datenverarbeitung, Informationspflicht, Recht auf Auskunft, Recht auf Löschung („Recht auf Vergessenwerden“), Profiling, gemeinsam Verantwortliche.

Ziel dieses und der folgenden Beiträge ist es, in die Systematik der DSGVO einzuführen und die Anwendung der DSGVO für die Immobilienbranche an praktischen Beispielen zu erklären.

Verzeichnis der Verarbeitungstätigkeiten

Jeder Immobilieneigentümer und Immobilienverwalter organisiert für sich bzw. für seine Firma praktische Prozesse. Dabei werden z.B. im Vermietungsprozess folgende Arbeitsschritte und Zuständigkeiten intern bestimmt:

• Mitarbeiter A stellt die Anzeige über die zu vermietende Wohnung im Internet ein
• Mitarbeiter A nimmt die Anfragen der Interessenten entgegen
• Mitarbeiter A stimmt mit den Interessenten Besichtigungstermine ab
• Mitarbeiter B macht die Besichtigungen
• Mitarbeiter B wählt den passenden Mieter aus
• Mitarbeiter B schließt den Mietvertrag

In jedem dieser praktischen Prozesse werden unterschiedliche Daten verarbeitet, an unterschiedliche Personen weitergegeben und die Daten zu unterschiedlichen Zeiten gelöscht. Die DSGVO schreibt vor, dass der Vermieter diese „Datenverarbeitungsprozesse“ klar definieren, entsprechend dokumentieren und die Prozesse entsprechend umsetzen muss. Diese Dokumentation / Definition der Datenverarbeitung erfolgt in den Verzeichnissen der Verarbeitungstätigkeiten (Art. 30 DSGVO – oft auch als Verarbeitungsverzeichnis, Verfahrensverzeichnis bezeichnet). Passende Verfahrensverzeichnisse finden Sie hier.

Im Ergebnis wird der Vermietungsprozess des Vermieters von zwei Seiten beschrieben – 1x die praktische Prozessbeschreibung und 1x die Datenverarbeitung. Beides läuft parallel.

In diesen Verzeichnissen der Verarbeitungstätigkeiten ist unter anderem definiert:

• welche Daten werden verarbeitet
• zu welchem Zweck werden die Daten verarbeitet
• welchen Rechtsgrund gibt es für die Datenverarbeitung
• woher stammen die Daten
• an wen werden die Daten weitergegeben
• wann werden die Daten gelöscht

Nach Art. 30 DSGVO ist jeder Verantwortliche verpflichtet, diese Verzeichnisse der Verarbeitungstätigkeiten zu führen.

Verantwortlicher im Sinne der DSGVO

Die DSGVO definiert den Verantwortlichen als jede natürliche oder juristische Person die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Datenverarbeitung entscheidet – (Art. 4 Ziffer 7 DSGVO). Ein Vermieter entscheidet darüber, welche Daten er vom Mieter zu welchem Zweck haben möchte und wie er diese Daten verarbeitet. Ein Vermieter ist insoweit ein Verantwortlicher im Sinne der DSGVO. Insoweit ist jeder Vermieter zum Führen der Verfahrensverzeichnisse verpflichtet.

Datenverarbeitung im Vermietungsprozess

Der Vermietungsprozess gliedert sich grundsätzlich in folgende Einzelprozesse:

1. Wohnungsbesichtigung
2. Auswahl des Wohnungsmieters
3. Abschluss des Wohnungsmietvertrages

In allen drei Prozessen werden unterschiedliche Daten verarbeitet.

Zweck der Datenverarbeitung

Welche Daten zu welcher Zeit benötigt werden, bestimmt letztendlich der Zweck des einzelnen Prozesses.

Bei der Wohnungsbesichtigung ist dies klar – es geht um eine reine Wohnungsbesichtigung. Daten über die reinen Kontaktdaten hinaus sollten hier nicht verarbeitet werden. Viele potenzielle Mieter kommen bereits in dieser Phase auf den Vermieter zu und überschütten den Vermieter geradezu mit Daten. In der Regel sind diese Daten eigentlich dem zweiten Prozess (Auswahl des Wohnungsmieters) zuzuordnen. Vor diesen unnötigen Daten sollte sich der Vermieter schützen und diese gar nicht erst annehmen. Vermieter sollten sich nicht davor scheuen, den potenziellen Mietern mitzuteilen, dass Sie diese Daten zum aktuellen Zeitpunkt nicht haben wollen. Letztlich benötigt der Vermieter diese Daten in diesem Stadium noch gar nicht. Daten die der Vermieter nicht hat, kann er nicht verlieren, muss sie nicht löschen und riskiert kein Bußgeld (siehe oben Deutsche Wohnen).

Hinzutritt, dass insbesondere in Ballungszentren auf eine zu vermietende Wohnung z.B. 100 Bewerber kommen können. Die Wohnung kann letztlich nur einmal vermietet werden. Insofern hat der Vermieter bzw. der Verwalter hier 99 Datensätze die er am Ende nicht braucht.

In der zweiten Phase (Auswahl des Wohnungsmieters) ist der Zweck die richtige Auswahl des zukünftigen Vertragspartners. Der Vermieter möchte sichergehen, dass der Mieter eine gute Bonität hat. Um diese beurteilen zu können, benötigt der Vermieter weit mehr Daten als bei der Wohnungsbesichtigung – teilweise sensible Daten.

Beim Abschluss des Wohnungsmietvertrages braucht der Vermieter nur die Daten, die er für den eigentlichen Zweck benötigt – Durchführung des Mietverhältnisses.

Welche Daten dürfen im Vermietungsprozess erfasst werden?

Welche konkreten Daten der Vermieter/Verwalter vom potenziellen Mieter haben darf, ist leider nicht einheitlich geklärt und wird von den Datenschutzbehörden der einzelnen Länder unterschiedlich beurteilt. Teilweise vermitteln die Datenschutzbehörden das Gefühl, dass der Vermieter möglichst gar keine Daten haben sollte (was aus Sicht der Datenschutzbehörden das Optimum wäre). Allerdings funktioniert so die Realität nicht. Ein Vermieter darf wissen, mit wem er konkret einen Vertrag schließt. Neben Name, Vorname und vorheriger Anschrift darf aus unserer Sicht der Vermieter weitere Daten, wie z.B. das Geburtsdatum des Vertragspartners und die Anzahl der Personen erfragen, die die Wohnung nutzen wollen. Es wird wohl noch eine Weile dauern, bis Klarheit und Einheitlichkeit hergestellt wurde.

Löschung von Daten

Wie das obige Beispiel der Deutschen Wohnen zeigt, sollte sich der Vermieter von Daten trennen, die er nicht mehr benötigt und für deren Verarbeitung es keinen Rechtsgrund mehr gibt.

Ist der Prozess der Wohnungsbesichtigung abgeschlossen, muss der Vermieter sich von den Daten trennen, die er nicht für den nächsten Prozess (Auswahl des Wohnungsmieters) benötigt.

Grundsätzlich könnten sämtliche Daten zum Prozess Auswahl des Mieters in dem Moment gelöscht werden, wenn der Mietvertrag mit dem einen der 99 Mieter abgeschlossen wurde. Es gibt verschiedene Gründe, warum man diese Daten nicht sofort löscht. Zum einen kann es sein, dass der Wohnungsmieter sich kurzfristig doch noch entscheidet – die Wohnung nicht anzumieten und der Vermieter dann gern auf den nächsten Kandidaten zugehen möchte. Ein anderer Aspekt kann sein, dass man Daten sichern will, die gegebenenfalls nach dem allgemeinen Gleichbehandlungsgesetz (AGG) benötigt werden. Führt ein potentieller Mieter sich beispielsweise aufgrund seiner Hautfarbe diskriminiert, kann er innerhalb einer bestimmten Frist eine Klage erheben. Will der Vermieter gegen solche Klagen gewappnet sein, ist es hilfreich, die Unterlagen der anderen Bewerber für eine bestimmte Zeit aufzubewahren. Wird innerhalb der vorgeschriebenen Frist keine Klage eingereicht, braucht der Vermieter die Unterlagen nicht mehr und sollte sie löschen. Die Löschfrist kann auch mit technischen und organisatorischen Fragen zusammenhängen. Wenn beispielsweise der Vermieter / Verwalter regelmäßig feste Zeitpunkte für sich definiert hat, wann er Daten löscht, dann könnten die Daten eventuell auch bis zu diesem Zeitpunkt gespeichert bleiben (z.B. die Löschung von Daten erfolgt immer im Januar eines Jahres).

Überlagerung der Prozesse

Die oben genannten drei Prozesse überlagern sich teilweise. Dies sowohl in Bezug auf die verwendeten Daten, als auch in Bezug auf die Dauer, in der diese Daten für den Prozess benötigt werden. Die folgende Grafik soll diese Überlagerung darstellen:

Je höher das entsprechende Kästchen für den jeweiligen Prozess dargestellt ist, desto mehr Daten werden verarbeitet. Daher ist der Kasten für den Prozess Auswahl des Mieters höher als die anderen Prozesse. Gleichzeitig ist erkennbar, wie sich die einzelnen Prozesse überlagern. Während beispielsweise noch Wohnungsbesichtigungen durchgeführt werden, läuft bereits der Prozess Auswahl des Mieters. Die Prozesse sind jeweils immer erst abgeschlossen, wenn alle Daten entsprechend gelöscht sind.

Weniger ist Mehr – gerade im Datenschutz

Der Vermieter sollte sich auf die Daten konzentrieren, die er tatsächlich benötigt. Er sollte nicht erforderliche Daten erst gar nicht annehmen oder speichern. Nicht mehr benötigte Daten sollten frühzeitig gelöscht werden. Gerade beim Datenschutz gilt „Weniger ist Mehr“. Weitere Informationen erhalten Sie auf unserer Seite zum Datenschutz in der Immobilienbranche. Auf der LEWENTO Akademie finden Sie passende Webinare zum Datenschutz.

Autor: GROSS Rechtsanwaltsgesellschaft mbH

Bildnachweis: Pixabay