DSGVO in der Immobilienverwaltung: das müssen Verwalter wissen
Das Wichtigste in Kürze
- Jede Datenverarbeitung braucht eine Rechtsgrundlage – meist Vertrag, gesetzliche Pflicht oder berechtigtes Interesse.
- Datenminimierung: nur erheben, was im jeweiligen Schritt erforderlich ist.
- Bonitätsnachweise erst, wenn der Vertragsabschluss unmittelbar bevorsteht.
- Daten abgelehnter Bewerber regelmäßig spätestens nach etwa sechs Monaten löschen.
- Für Dienstleister, die in Ihrem Auftrag Daten verarbeiten, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV).
Kaum eine Branche verarbeitet so viele personenbezogene Daten wie die Immobilienverwaltung: Namen, Adressen, Bankverbindungen, Bonitätsauskünfte, Selbstauskünfte, Korrespondenz. Die DSGVO ist damit kein abstraktes Thema, sondern Alltag. Dieser Überblick zeigt die wichtigsten Pflichten – ohne Anspruch auf Vollständigkeit und ohne Rechtsberatung zu sein.
Welche Rechtsgrundlage gilt?
Personenbezogene Daten dürfen nur verarbeitet werden, wenn eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt. In der Verwaltung sind das meist:
| Rechtsgrundlage | Typisches Beispiel |
|---|---|
| Vertragserfüllung | laufendes Mietverhältnis, Abrechnung |
| rechtliche Verpflichtung | steuerliche Aufbewahrungspflichten |
| berechtigtes Interesse | Forderungsmanagement (Abwägung nötig) |
| Einwilligung | Newsletter, freiwillige Zusatzangaben |
Wichtig: Eine Einwilligung ist nicht für alles nötig, aber wo sie genutzt wird, muss sie freiwillig, informiert und widerrufbar sein.
Datensparsamkeit von Anfang an
Ein zentraler Grundsatz der DSGVO ist die Datenminimierung. In der Praxis heißt das: Bei der Bewerbung um eine Wohnung dürfen nicht beliebig Daten erhoben werden. Bonitätsnachweise sind in der Regel erst angemessen, wenn der Vertragsabschluss unmittelbar bevorsteht – also beim ausgewählten Bewerber, nicht von jedem Interessenten bei der ersten Anfrage.
Löschfristen einhalten
Daten dürfen nicht unbegrenzt gespeichert werden. Sobald der Zweck entfällt und keine Aufbewahrungspflicht mehr besteht, sind sie zu löschen. Besonders relevant: Die Daten abgelehnter Bewerber sind zu löschen, sobald sie für das Auswahlverfahren nicht mehr erforderlich sind – regelmäßig spätestens nach etwa sechs Monaten. Eine begrenzte Aufbewahrung in diesem Rahmen kann der Abwehr möglicher AGG-Ansprüche dienen; eine darüber hinausgehende Speicherung „für später" ist ohne gesonderte Einwilligung unzulässig.
Auftragsverarbeitung sauber regeln
Sobald Sie Dienstleister einsetzen, die in Ihrem Auftrag Daten verarbeiten – etwa eine Software, ein Hosting-Anbieter oder ein externer Dienstleister – brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag (AVV). Achten Sie darauf, dass Ihre Anbieter einen AVV anbieten und transparent machen, wo und wie Daten gespeichert werden.
Technische und organisatorische Maßnahmen
Die DSGVO verlangt einen dem Risiko angemessenen Schutz. Dazu zählen unter anderem:
- Zugriffsbeschränkungen, sodass nur befugte Personen die jeweiligen Daten sehen,
- Verschlüsselung sensibler Daten,
- Mandantentrennung, damit Daten verschiedener Eigentümer oder Mandate sauber getrennt bleiben,
- und nachvollziehbare Prozesse für Auskunft, Berichtigung und Löschung.
Betroffenenrechte ernst nehmen
Mieter und Interessenten haben Rechte: Auskunft über die zu ihrer Person gespeicherten Daten, Berichtigung, Löschung und Einschränkung. Anfragen müssen fristgerecht beantwortet werden. Wer seine Daten verstreut in E-Mails, Tabellen und Aktenordnern hält, kann eine vollständige Auskunft kaum verlässlich erteilen. Ein zentrales System, in dem alle Daten einer Person zusammenlaufen, macht Betroffenenrechte erst praktikabel.
Datenschutz als Wettbewerbsvorteil
Datenschutz ist nicht nur Pflicht, sondern auch Vertrauensargument. Eigentümer und Mieter achten zunehmend darauf, wo ihre Daten liegen. Eine Lösung mit Hosting in Deutschland, Verschlüsselung und strikter Mandantentrennung ist hier ein echtes Verkaufsargument.
Genau diese Prinzipien sind in Immo Manager verankert – mehr dazu auf unserer Seite zu Sicherheit und Datenschutz.
Hinweis: Dieser Beitrag ist eine allgemeine Einführung und ersetzt keine Rechtsberatung. Für die konkrete Umsetzung in Ihrem Betrieb sollten Sie eine Datenschutzbeauftragte oder einen Fachanwalt hinzuziehen.
Häufige Fragen
Brauche ich für jede Datenverarbeitung eine Einwilligung?
Nein. Häufig genügt Vertragserfüllung, eine gesetzliche Pflicht oder ein berechtigtes Interesse. Eine Einwilligung ist nur nötig, wo keine andere Grundlage greift – und muss dann freiwillig, informiert und widerrufbar sein.
Wie lange darf ich Daten abgelehnter Mietinteressenten speichern?
Nur solange sie für das Auswahlverfahren erforderlich sind – regelmäßig spätestens nach etwa sechs Monaten. Eine begrenzte Aufbewahrung in diesem Rahmen kann der Abwehr möglicher Ansprüche nach dem AGG dienen; danach sind die Daten zu löschen.
Brauche ich einen AVV mit meiner Software?
In der Regel ja, sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet (Art. 28 DSGVO). Achten Sie darauf, dass Ihr Anbieter einen AVV anbietet und transparent macht, wo Daten gespeichert werden.
Welche Rechte haben Mieter und Interessenten?
Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung. Anfragen sind fristgerecht – in der Regel innerhalb eines Monats – zu beantworten.
Was sind technische und organisatorische Maßnahmen?
Dem Risiko angemessene Schutzmaßnahmen nach Art. 32 DSGVO, etwa Zugriffsbeschränkungen, Verschlüsselung sensibler Daten und eine saubere Mandantentrennung.