DSGVO in der Vermietung: Praxistipps für die Umsetzung

Ungeschützte E-Mail-Korrespondenz

Unverschlüsselte E-Mails sind für Dritte lesbar wie eine Postkarte. Finanzielle Verhältnisse, Vertragsdetails oder familiäre Situationen gehören nicht in eine normale E-Mail.

Preisgabe von E-Mail-Adressen an Dritte

Beim Weiterleiten von Standard-Antworten an neue Interessenten wird schnell vergessen, den vorherigen Adressaten zu entfernen. Der neue Empfänger erhält so ungewollt Informationen über andere Interessenten, ein klarer Datenschutzverstoß.

Zu viele Informationen anfordern

Ausführliche Online-Formulare und Fragenbögen vor der Besichtigung haben schon oft zu Ärger mit den Aufsichtsbehörden geführt. Die DSGVO verlangt Datenminimierung: Nur so viele Daten wie tatsächlich benötigt.

Ungefragter Newsletter-Versand

Eine mündliche Zustimmung ist kein sicherer Nachweis. Arbeiten Sie ausschließlich mit dem Double-Opt-In (DOI): Bestätigungslink per E-Mail, Frist, kein Kontakt ohne Klick.

Non-DSGVO-konformes Archivsystem

Archivsysteme, die keine Löschung vorsehen, widersprechen der DSGVO. Personenbezogene Daten müssen nach Ablauf der Aufbewahrungsfrist vollständig gelöscht werden können.

Phase 1: Erstkontakt und Besichtigungstermin

Im Erstkontakt besteht noch kein Vertragsverhältnis. Die Datenerhebung dient der Anbahnung und muss sich auf das Nötigste beschränken.

Das ist erlaubt:

• Vorname, Nachname
• Anzahl der einziehenden Personen und Haustiere
• Bei schriftlichen Anfragen: Anschrift, Telefonnummer
• Bei Online-Anfragen: E-Mail-Adresse

Das ist nicht erlaubt:

• Anfertigen einer Ausweiskopie
• Kopie des Wohnberechtigungsscheins
• Auskünfte zu wirtschaftlichen Verhältnissen (Beruf, Immobilienbesitz etc.)

Phase 2: Interessenbekundung und Vertragsvorbereitung

Wenn ein Interessent sein Interesse an einem konkreten Objekt bekundet, dürfen im Rahmen „vorvertraglicher Maßnahmen“ weitergehende Auskünfte verlangt werden.

Jetzt zusätzlich erlaubt:

• Selbstauskunft des Interessenten
• Angaben zum Arbeitgeber und Einkommen
• Kopie des Wohnberechtigungsscheins (falls relevant)

Phase 3: Vertragsabschluss

Vor der rechtsverbindlichen Unterzeichnung darf jeder Vertragspartner die Richtigkeit der Angaben prüfen.

Jetzt zusätzlich erlaubt:

• Angaben zur Bankverbindung
• Ausweis zur Identitätsfeststellung
• SCHUFA-Score (nicht die vollständige Auskunft)
• Einkommensnachweis (z.B. Arbeitgeberbestätigung)
• Bürgschaftsverträge

Mit dem zunehmenden Einsatz von KI-gestütztem Matching, automatisierter Interessentenbewertung und Scoring-Algorithmen gewinnt Art. 22 DSGVO massiv an Bedeutung. Dieser Artikel gibt betroffenen Personen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden.

Was das für die Vermietung bedeutet:

• Automatisierte Absagen ohne menschliche Prüfung sind problematisch
• KI-basierte Scoring-Modelle müssen transparent und nachvollziehbar sein
• Betroffene haben ein Recht auf menschliche Überprüfung der Entscheidung
• Die Logik hinter automatisierten Entscheidungen muss dokumentiert werden

Provisionsanspruch des Maklers vs. DSGVO

Ein Makler möchte Kontaktdaten eines Interessenten speichern, um seinen Provisionsanspruch zu sichern. Erlaubt sind: Name, Anschrift bzw. E-Mail-Adresse, Daten, die zur Begründung des Provisionsanspruchs benötigt werden. Eine gute Dokumentation der Korrespondenz ist essenziell.

Effiziente Interessenten-Evaluation vs. DSGVO

Es ist verlockend, bereits vor der Besichtigung Angaben zu wirtschaftlichen Verhältnissen zu erfragen. Doch das ist nicht zulässig. Die Lösung: Stellen Sie im Online-Formular einfache, unverfängliche Fragen, die helfen, unpassende Interessenten vorab auszufiltern, ohne sensible Daten zu erheben.

Datenspeicherung abgelehnter Interessenten

Daten abgelehnter Interessenten dürfen Sie nicht unbegrenzt speichern. Sie müssen die Interessenten aktiv um Einwilligung bitten, ihre Daten für künftige Angebote zu speichern, und bei fehlender Einwilligung löschen.

EverReal, die Plattform für professionelle Vermietungsprozesse bei über 350 Immobilienunternehmen, löst die häufigsten DSGVO-Herausforderungen:

• Automatische Löschung: Daten abgelehnter Interessenten werden nach Ablauf der gesetzlichen Fristen automatisch gelöscht
• Phasenspezifische Datenerhebung: Formulare passen sich automatisch der jeweiligen Phase an
• Sichere Kommunikation: Alle Daten fließen über eine verschlüsselte Plattform, keine ungeschützten E-Mails
• Opt-In-Management: Interessenten entscheiden selbst, welche Daten gespeichert bleiben
• Audit-Trail: Jede Datenerhebung und -löschung wird nachvollziehbar protokolliert
• KI-Transparenz: SmartPool-Matching dokumentiert die Entscheidungslogik und behält den Menschen als finale Instanz

EU AI Act, Hochrisiko-Pflichten ab 2. 8. 2026

Der EU AI Act tritt gestaffelt in Kraft. Ab dem 2. August 2026 greifen die Kernpflichten für Hochrisiko-KI-Systeme. KI-gestütztes Mieter-Scoring oder automatisierte Bonitätsbewertung können unter Umständen als Hochrisiko­system nach Anhang III gelten, mit Pflichten zu Risiko­management, Daten-Governance, Transparenz und menschlicher Aufsicht. Bußgelder reichen bis 15 Mio. € bzw. 3 % des weltweiten Jahres­umsatzes.

Aufsichtspraxis 2025/2026

Die deutschen Datenschutz­aufsichten prüfen Mieter­selbst­auskünfte zunehmend phasenscharf. Pauschale Voraberhebung sensibler Daten (Einkünfte, SCHUFA, Beruf) vor der konkreten Mietabsicht bleibt unzulässig, unabhängig davon, ob der Bewerber sie „freiwillig“ übermittelt.