DSGVO-konforme Vermieter-Software: 10 Prüfpunkte.
Vermieter sind Verantwortliche im Sinne der DSGVO — jede Software, die Mieterdaten verarbeitet, wird zum Auftragsverarbeiter. Die 10 Punkte, an denen private Vermieter sonst haften.
Vermieter sind nach Art. 4 Nr. 7 DSGVO Verantwortliche für Mieterdaten und brauchen bei jeder Software: eine Auftragsverarbeitungs-Vereinbarung (Art. 28 DSGVO), definierte Rechtsgrundlagen (Art. 6), technische und organisatorische Maßnahmen (Art. 32) sowie ein Löschkonzept. Auch private Vermieter mit einer Wohnung sind betroffen — nur die Meldepflicht beim Datenschutzbeauftragten entfällt unter 20 Personen.
Wer verantwortlich ist — und wer verarbeitet
Der Vermieter entscheidet über Zwecke und Mittel der Datenverarbeitung — er ist Verantwortlicher (Art. 4 Nr. 7 DSGVO). Die Software führt die Verarbeitung im Auftrag aus — sie ist Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28). Die Rolle ändert sich nicht durch die Größe des Portfolios: Auch für eine einzige Wohnung gelten die Grundregeln der DSGVO. Was für kleine Vermieter entfällt, ist die Pflicht zur Bestellung eines Datenschutzbeauftragten (§ 38 BDSG: unter 20 Personen, die ständig personenbezogene Daten verarbeiten).
Die 10 Prüfpunkte
| # | Prüfpunkt | Warum |
|---|---|---|
| 1 | AV-Vertrag verfügbar | Pflicht nach Art. 28 DSGVO — ohne haftest du für die Software mit |
| 2 | Serverstandort in EU | Drittland-Übermittlung braucht zusätzlich Art. 46 (SCC) oder Angemessenheitsbeschluss |
| 3 | TOM nach Art. 32 | Verschlüsselung, MFA, Backups, Löschkonzept — muss dokumentiert sein |
| 4 | Rechtsgrundlage Art. 6 klar | Vertragserfüllung (b) für Miete, berechtigtes Interesse (f) für Belege |
| 5 | Informationspflicht Art. 13 | Mieter muss wissen, was, warum, wie lange verarbeitet wird |
| 6 | Betroffenenrechte Art. 15–21 | Auskunft, Berichtigung, Löschung, Übertragbarkeit unterstützt |
| 7 | Löschkonzept | 10 Jahre nach § 147 AO für Belege, dann Löschung |
| 8 | Datenschutzverletzung Art. 33 | 72-h-Melde-Prozess beim Anbieter — musst du im Ernstfall auslösen |
| 9 | Datenschutz-Folgeabschätzung Art. 35 | bei größeren Portfolios / Portal / KI oft empfohlen |
| 10 | Zugriff / Rollen | Steuerberater-Zugang eng gefasst, nicht Voll-Admin |
Prüfpunkt 1–3: Vertrag, Serverstandort, Technik
Ohne unterzeichneten AV-Vertrag ist die Nutzung der Software rechtswidrig — der Vermieter haftet dann für Mängel des Auftragsverarbeiters mit. Seriöse Anbieter stellen den AV-Vertrag im Login-Bereich zum Download oder digital zur Signatur bereit. Serverstandort: EU ist der einfachste Weg (Art. 44 ff. DSGVO). Werden US-Dienste eingesetzt (z. B. für Sprach-KI), muss der Anbieter unter dem EU-US Data Privacy Framework zertifiziert sein oder SCC (Standardvertragsklauseln nach Beschluss 2021/914) einsetzen — beides muss im AV-Vertrag benannt sein.
TOM (Art. 32) sind kein Wettbewerbsversprechen, sondern messbar: Verschlüsselung „at rest” (mindestens AES-256) und „in transit” (TLS 1.2+), MFA für Konten, Backups mit Wiederherstellungstest, dokumentiertes Löschkonzept. Rentprime dokumentiert seine TOM in einem separaten Sicherheits-Datenblatt — genau das solltest du bei jedem Anbieter anfordern.
Prüfpunkt 4–6: Rechtsgrundlage und Mieter-Rechte
Die meisten Vermieter-Datenverarbeitungen laufen auf zwei Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. b (Vertragserfüllung): Mietvertrag, Miete, Nebenkosten, Abrechnung.
- Art. 6 Abs. 1 lit. f (berechtigtes Interesse): Fotoprotokoll, Belegverwaltung, Bonitätsauskunft mit Interessenabwägung.
- Art. 6 Abs. 1 lit. c (rechtliche Verpflichtung): 10-jährige Aufbewahrung nach § 147 AO.
Mieter haben nach Art. 15–21 Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit. Gute Software bietet Standard-Reports: Ein Klick erzeugt die Datenauskunft nach Art. 15 als PDF, inklusive Verarbeitungszwecken und Empfängern.
Prüfpunkt 7–10: Aufbewahrung, Vorfälle, Zugriffe
- Löschfrist je Datenkategorie definieren: Mieterdaten 3 Jahre nach Ende (§ 195 BGB Verjährung), Belege 10 Jahre (§ 147 AO), Werbungskosten 10 Jahre.
- Automatisch löschen lassen, wo möglich (Fotos aus Bewerbungsverfahren nach 6 Monaten).
- Datenschutzvorfall: Der Anbieter meldet dir innerhalb 24 h einen Verdacht, du meldest an die Landesbehörde binnen 72 h (Art. 33). Ohne Prozess läuft die Frist gegen dich.
- Datenschutz-Folgeabschätzung (Art. 35) durchführen, wenn du KI-Belegerkennung, Portal und Bonitätsprüfung kombinierst — auch wenn du kein DSB bist.
- Rollen sauber trennen: Steuerberater-Zugang nur auf Steuer-Export, Handwerker-Zugang nur auf Mängel-Tickets.
Muster-Textbausteine für die eigene Datenschutz-Erklärung
| Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|
| Mietvertrag / Zahlungsabwicklung | Art. 6 Abs. 1 lit. b DSGVO | Vertragsdauer + 3 Jahre |
| Nebenkostenabrechnung / Belege | Art. 6 Abs. 1 lit. c i.V.m. § 147 AO | 10 Jahre |
| Bonitätsprüfung Mietinteressent | Art. 6 Abs. 1 lit. f (berechtigtes Interesse) | bis Vertragsschluss oder Ablehnung + 6 Monate |
| Kommunikation Mieterportal | Art. 6 Abs. 1 lit. b | Vertragsdauer + 3 Jahre |
| Marketing / Newsletter | Art. 6 Abs. 1 lit. a (Einwilligung) | bis Widerruf |
AV-Vertrag prüfen: die fünf entscheidenden Punkte
- Gegenstand und Dauer der Verarbeitung: konkret beschrieben, nicht nur pauschal Betrieb der Software.
- Kategorien betroffener Personen: Mieter, Mietinteressenten, Handwerker, Mit-Vermieter.
- Weisungsgebundenheit: Anbieter verarbeitet nur nach dokumentierten Weisungen (Art. 28 Abs. 3 lit. a).
- Unterauftragsverarbeiter: Liste inklusive Ländern (Hosting, KI, E-Mail-Versand, Zahlungsdienstleister).
- TOM-Anlage: konkret, nicht floskelhaft — z. B. AES-256 at rest, TLS 1.2+ in transit, MFA, Backup-Frequenz, Löschverfahren.
Ein AV-Vertrag ohne konkrete TOM ist rechtlich unvollständig. Wenn der Anbieter dir nur die AGB und den Datenschutz-Hinweis reicht, fehlt der AV-Vertrag — dann verarbeitest du Mieterdaten ohne Rechtsgrundlage nach Art. 28 DSGVO.
Häufige Fragen
Gilt die DSGVO auch für Vermieter mit einer Wohnung?
Ja. Sobald du personenbezogene Daten (Name, Adresse, Miete, Kontodaten) verarbeitest, bist du Verantwortlicher nach Art. 4 Nr. 7 DSGVO — unabhängig von der Objektzahl. Nur die Pflicht zur Bestellung eines Datenschutzbeauftragten entfällt unter 20 verarbeitenden Personen (§ 38 BDSG).
Brauche ich einen AV-Vertrag mit dem Steuerberater?
Nein, der Steuerberater ist eigenständiger Verantwortlicher (§ 11 StBerG), kein Auftragsverarbeiter. Du übermittelst Daten nach Art. 6 Abs. 1 lit. c i.V.m. § 22 StBerG. Trotzdem sollte der Zugang zur Software nur auf den Steuer-Export beschränkt sein.
Was ist beim EU-US Data Privacy Framework zu prüfen?
Der US-Anbieter muss unter „DPF” auf der offiziellen Liste des US-Handelsministeriums stehen, für den Datentyp zertifiziert sein und dies im AV-Vertrag benennen. Sonst brauchst du Standardvertragsklauseln (SCC) plus Transfer-Impact-Assessment.
Muss ich ein Verzeichnis von Verarbeitungstätigkeiten führen?
Ab 20 Personen, die ständig verarbeiten (§ 30 Abs. 2 DSGVO), oder bei besonderen Datenkategorien immer. Bei einer einzigen Wohnung faktisch selten — sinnvoll ist es trotzdem, damit du im Streitfall antworten kannst.
Muss ich die Datenschutz-Erklärung meiner Vermietung online veröffentlichen?
Nur wenn du eine Website oder ein Mieter-Kontaktformular betreibst. Bei rein privater Vermietung reicht die schriftliche Information nach Art. 13 DSGVO an den Mieter — meist als Anlage zum Mietvertrag.
Was gilt bei einer Anfrage nach Art. 15 DSGVO?
Der Mieter hat Anspruch auf eine kostenlose Kopie seiner Daten binnen eines Monats (Art. 12 Abs. 3). Gute Software erzeugt den Auskunftsreport per Klick. Bei Nicht-Beantwortung droht Bußgeld nach Art. 83 DSGVO.