DSGVO in der Hausverwaltung — Pflichten und Muster.
Verwalter verarbeiten Bank daten, Selbstauskünfte, Mietschulden und Schriftverkehr — alles personenbezogen. Was die DSGVO konkret verlangt und welche Muster (Verzeichnis, AV-Vertrag, Löschkonzept) jeder Verwalter braucht.
Verwalter sind Auftragsverarbeiter für den Eigentümer und Verantwortliche für eigene Daten (Personal, Geschäftskontakte). Pflicht sind Verzeichnis nach Art. 30 DSGVO, Vertrag nach Art. 28 DSGVO, technische Maßnahmen und ein Löschkonzept. Mieterdaten werden nach Vertragsende meist drei Jahre nach Kündigung aufbewahrt (Gewährleistung, Rückzahlung Kaution) und dann gelöscht.
Wer ist Verantwortlicher, wer Auftragsverarbeiter?
Für die Miete-Daten des Objekts ist der Eigentümer der Verantwortliche im Sinn von Art. 4 Nr. 7 DSGVO. Der Verwalter, der diese Daten in seinem Auftrag verarbeitet, ist Auftragsverarbeiter (Art. 28 DSGVO). Für die eigenen Geschäftskontakte (Handwerker, Buchhalter, Bewerber) ist der Verwalter selbst Verantwortlicher. Beide Rollen laufen im Alltag parallel und brauchen eigene Verzeichnisse.
In der WEG-Verwaltung gilt eine Sonderkonstellation: seit dem WEMoG (2020) ist die Gemeinschaft rechtsfähig und damit selbst Verantwortliche. Der Verwalter ist Auftragsverarbeiter der WEG, nicht der einzelnen Eigentümer.
Diese Muster gehören in jeden Ordner
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) — je Rolle eins
- Vertrag zur Auftragsverarbeitung (Art. 28 Abs. 3 DSGVO) mit jedem Eigentümer
- Datenschutzhinweise für Mieter (Art. 13 DSGVO) — spätestens bei Vertragsschluss
- Datenschutzhinweise für Bewerber — vor der Selbstauskunft
- Löschkonzept mit Fristen je Datenkategorie
- TOM-Übersicht (technische und organisatorische Maßnahmen)
- Prozess für Auskunftsersuchen (Art. 15 DSGVO): max. 1 Monat Frist
- Meldeprozess für Datenpannen: 72 Stunden an die Landesdatenschutzbehörde
Löschfristen — Übersicht
| Datenart | Aufbewahrung | Grundlage |
|---|---|---|
| Selbstauskunft abgelehnter Bewerber | Höchstens 6 Monate nach Absage | Art. 5 Abs. 1 lit. e DSGVO |
| Selbstauskunft angenommener Mieter | Bis Vertragsende + 3 Jahre | § 195 BGB Verjährung |
| Mietvertrag | 10 Jahre nach Ende | § 147 AO |
| Kautionsabrechnung | 3 Jahre nach Rückzahlung | § 195 BGB |
| Nebenkostenabrechnung | 10 Jahre | § 147 AO |
| Belege zur Buchführung | 10 Jahre | § 147 AO |
| Bewerberkontakte ohne Vertrag | 6 Monate | Art. 5 DSGVO |
Rechenbeispiel: Ein Vermieter mit 30 Einheiten sammelt pro Wechsel etwa 40 MB personenbezogene Daten (Ausweiskopien, Selbstauskünfte, Schriftverkehr). Nach 5 Jahren Betrieb liegen leicht 15 bis 20 GB im System — ohne Löschkonzept ein Datenschutz risiko und ein Speicherproblem.
Technische und organisatorische Maßnahmen (TOM)
- Verschlüsselung ruhender Daten (Festplatte, Backup) mit AES-256
- Transportverschlüsselung TLS 1.2+ bei jedem Übertragen
- Zugriffs steuerung: Rollen, Mehr-Faktor-Login, keine geteilten Konten
- Backup mit Trennung vom Produktivsystem, Wiederherstellung getestet
- Belege archivsicher (unveränderlich), Aufbewahrungsfrist automatisch prüfbar
- Papieraktenschrank verschließbar, Reißwolf mit Sicherheitsstufe P-4
- Dienstleister nur mit AV-Vertrag (Steuerberater, Software, Externe)
Wer Belege, Verträge und Schriftverkehr in einer Software mit Zugriffs steuerung, verschlüsselter Ablage und dokumentiertem Löschkonzept führt, deckt einen großen Teil der TOM ab. Rentprime protokolliert Zugriffe, verschlüsselt Belege im Ruhezustand und erlaubt Rollen je Objekt — das erspart im Streitfall den Nachweis, dass die Maßnahmen mehr sind als eine Zeile im Verzeichnis.
Auskunftsersuchen und Datenpannen
Der Betroffene kann jederzeit Auskunft verlangen (Art. 15 DSGVO). Antwortfrist: ein Monat, verlängerbar auf drei Monate bei komplexen Fällen. Der Verwalter muss binnen dieser Frist alle gespeicherten Daten der Person zusammenstellen, die Herkunft nennen und die Empfänger auflisten — auch den Steuerberater und die Handwerker, die je Rechnung informiert wurden.
Bei einer Datenpanne (verlorener Laptop, gehacktes Mailkonto) beginnt eine 72-Stunden-Meldefrist an die Landesdatenschutzbehörde nach Art. 33 DSGVO. Betroffene sind zusätzlich zu informieren, wenn ein hohes Risiko besteht (Art. 34 DSGVO). Ein vorbereiteter Prozess mit Ansprechpartner und Meldeformular verkürzt die Reaktionszeit.
Häufige DSGVO-Fehler in kleinen Verwaltungen
Ein wiederkehrender Fehler ist die „Mieter-Excel“ auf dem Privat-Laptop — ohne Verschlüsselung, ohne Backup, oft ohne Passwort. Landet der Laptop auf dem Rücksitz, liegt eine meldepflichtige Datenpanne vor. Zweiter Klassiker: die WhatsApp-Gruppe mit Mietern, in der Adressen, Handwerker termine und Beschwerden landen — nach Datenschutz recht unzulässig ohne ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Dritter Fehler: Selbstauskünfte aus Papierkopien werden nach der Ablehnung nicht vernichtet. Nach sechs Monaten sind sie zu löschen — physisch mit Reißwolf, digital mit sicherer Löschung. Wer das nicht dokumentiert, kann im Streitfall den Löschzeitpunkt nicht nachweisen und riskiert ein Bußgeld.
Der DSGVO-Jahres check in 30 Minuten
- Verzeichnis nach Art. 30 DSGVO durchsehen und Änderungen ergänzen
- Löschprotokoll führen: welche Selbstauskünfte wurden dieses Jahr vernichtet?
- AV-Verträge mit allen Dienstleistern auf Aktualität prüfen
- Backup-Wiederherstellung einmal testen und Datum protokollieren
- Zugriffs rechte kontrollieren: hat jemand mehr Rechte als nötig?
Einmal pro Jahr, ein Nachmittag — mehr braucht es meist nicht. Wer diesen Check dokumentiert, hat im Fall einer Prüfung durch die Landesdatenschutzbehörde einen belastbaren Nachweis, dass die Pflichten aus der DSGVO nicht nur auf dem Papier stehen.
Häufige Fragen
Brauche ich einen Datenschutzbeauftragten?
Nur, wenn regelmäßig mindestens 20 Personen personenbezogene Daten verarbeiten (§ 38 BDSG) oder wenn die Kerntätigkeit umfangreiche systematische Überwachung erfordert. Für eine nebenberufliche Verwaltung mit wenigen Mitarbeitern fällt das fast nie an.
Darf ich eine Ausweiskopie vom Mieter verlangen?
Zurückhaltend. Die Landesdatenschutzbehörden lehnen die pauschale Kopie ab; erlaubt ist das Vorlegen zur Kontrolle der Angaben, dokumentiert wird nur, was für den Mietvertrag nötig ist. Ausweiskopien in der Akte sind fast immer unzulässig.
Muss ich Mieterdaten sofort löschen, wenn der Vertrag endet?
Nein. Steuerliche und zivilrechtliche Aufbewahrungspflichten gehen der DSGVO vor. Belege 10 Jahre nach § 147 AO, Verträge bis zum Ende der Verjährung nach § 195 BGB — in der Praxis meist 3 Jahre nach letzter Zahlung.
Was passiert bei einem Datenschutzverstoß?
Bußgelder nach Art. 83 DSGVO bis 20 Mio. € oder 4 % des weltweiten Umsatzes — in der Verwalter-Praxis eher vier- bis fünfstellige Beträge, aber verbunden mit Reputations schaden und Kündigungsrisiko durch die Eigentümer.