Auftragsverarbeitung: Selbstauskunft DSGVO-konform an Makler delegieren

TL;DR / Auf den Punkt gebracht

Die Beauftragung eines Immobilienmaklers überträgt die Arbeit, aber nicht die datenschutzrechtliche Verantwortung des Vermieters. Ohne einen gültigen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO haftet der Vermieter für jeden Datenschutzverstoß des Maklers. Ein phasenorientierter Prozess – kombiniert mit einer digitalen Lösung wie Mieterlink für die konforme Mieterselbstauskunft – schützt alle Beteiligten und ist heute der einzig rechtssichere Weg.

Stand: 2025 | Rechtsgrundlagen: Art. 5, 6, 28 DSGVO

Wohnung frei, Makler beauftragt – und damit alle Sorgen an den Profi abgegeben? Ein gefährlicher Trugschluss, der Sie teuer zu stehen kommen kann. Die "Delegationsfalle" ist real: Die Beauftragung eines Immobilienmaklers überträgt die Arbeit, aber nicht die datenschutzrechtliche Verantwortung. Wer das nicht versteht, haftet für die Fehler seines Dienstleisters.

Für Makler gilt die Kehrseite: DSGVO-Compliance ist keine bürokratische Last, sondern Ihr schärfstes Verkaufsargument. Zeigen Sie Ihren Kunden, dass Sie deren größtes Risiko – die Haftung als Datenverantwortlicher – professionell im Griff haben, und Sie gewinnen Mandate, die Ihre Mitbewerber nicht bekommen.

Die Orientierungshilfe der Datenschutzkonferenz (DSK) zur datenschutzgerechten Anbahnung von Mietverhältnissen (Stand: aktuelle veröffentlichte Fassung der DSK) schärft die Spielregeln für die Datenerhebung im Vermietungsprozess. Die datenschutzrechtlichen Kernpflichten aus der DSGVO bestehen vollständig unabhängig von etwaigen mietrechtlichen Entwicklungen. Das bedeutet: Datenschutzrechtliche Hausaufgaben dulden keinen Aufschub.

Dieser Artikel liefert Ihnen den vollständigen Rahmen – von der Rollenverteilung über den Pflichtinhalt des AV-Vertrags bis zum delegierbaren phasenorientierten Workflow.

Kapitel 1: Die rechtliche Realität – Wer ist wer in der DSGVO?

Die drei Begriffe, auf die alles aufbaut

Bevor der erste Bewerber seine Daten einreicht, müssen die Rollen eindeutig definiert sein – rechtlich, vertraglich, schriftlich.

Der Verantwortliche (Art. 4 Nr. 7 DSGVO) – das ist der Vermieter. Er entscheidet über Zweck und Mittel der Datenverarbeitung. Er bestimmt, warum Daten erhoben werden und wie mit ihnen umgegangen wird. Er ist ultimativ haftbar – gegenüber Bewerbern, gegenüber Aufsichtsbehörden, und im Schadensfall auch zivilrechtlich.

Der Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) – das ist der Makler. Er verarbeitet Daten ausschließlich im Auftrag und auf Weisung des Vermieters. Er handelt nicht eigenverantwortlich. Er ist kein zweiter Verantwortlicher, sondern ein verlängerter Arm des Vermieters – mit eigenem Pflichtenkatalog.

Hinweis zur Rollenqualifikation: Ob ein Makler im datenschutzrechtlichen Sinne tatsächlich als Auftragsverarbeiter oder als eigenständig Verantwortlicher einzustufen ist, hängt von den konkreten Umständen des Einzelfalls ab – insbesondere davon, ob er Zweck und Mittel der Verarbeitung eigenständig bestimmt oder ausschließlich auf Weisung des Vermieters handelt. Handelt der Makler in Bezug auf die Bewerberdaten mit einem eigenen Entscheidungsspielraum (etwa weil er die Daten auch für eigene Zwecke nutzt), kann er selbst als Verantwortlicher anzusehen sein. Die folgende Darstellung geht vom Regelfall aus, dass der Makler weisungsgebunden als Auftragsverarbeiter tätig wird. Dies ist im Einzelfall sorgfältig zu prüfen und vertraglich klar zu fixieren.

Der Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) – das ist das gesetzlich vorgeschriebene Fundament. Ohne gültigen AVV ist die gesamte Konstruktion rechtswidrig. Ein Maklervertrag regelt Provision und Leistungsumfang – er ersetzt keinen AVV. Diese Verwechslung ist der häufigste und teuerste Fehler in der Praxis.

Der unterschätzte Kern: Die Rechenschaftspflicht

Art. 5 Abs. 2 DSGVO verpflichtet den Vermieter nicht nur zur Einhaltung der Datenschutzprinzipien – er muss deren Einhaltung auch nachweisen können. Das bedeutet konkret: Sie müssen belegen können, dass Ihr Makler datenschutzkonform arbeitet. Ohne gültigen AVV, ohne dokumentierte Prozesse, ohne Nachweis der technisch-organisatorischen Maßnahmen Ihres Dienstleisters ist das schlicht unmöglich.

Die Rechenschaftspflicht ist keine Theorie. Sie ist der Prüfmaßstab der Aufsichtsbehörden.

Genau hier setzt Mieterlink an: Als digitale Plattform für die Mieterselbstauskunft ist Mieterlink so konzipiert, dass Vermieter und Makler den gesamten Bewerbungsprozess DSGVO-konform, nachvollziehbar und phasengerecht abbilden können – inklusive lückenloser Dokumentation für den Nachweis gegenüber Aufsichtsbehörden.

Mieterlink jetzt kostenlos testen →

Kapitel 2: Der AV-Vertrag – Die 7 kritischen Punkte für Vermieter

Ein AV-Vertrag nach Art. 28 Abs. 3 DSGVO ist kein Formular, das man blind unterschreibt. Er ist das Steuerungsinstrument des Vermieters über den Makler als Datenverarbeiter. Jeder der folgenden Punkte muss im Vertrag klar geregelt sein.

1. Gegenstand und Dauer

Konkrete Benennung: "Verarbeitung von Mietinteressentendaten für Objekt [Adresse] für die Dauer des Maklervertrags bis zur Besetzung der Wohneinheit." Keine offenen Zeiträume, keine vagen Beschreibungen.

2. Art und Zweck der Verarbeitung

"Anbahnung eines Mietvertrags durch Erhebung von Kontaktdaten, Einkommensnachweisen und weiteren relevanten Angaben im Rahmen der Mietinteressenten-Qualifizierung." Der Zweck begrenzt den Verarbeitungsumfang – der Makler darf nicht über diesen Zweck hinaus tätig werden.

3. Art der personenbezogenen Daten

Hier muss ausdrücklich auf das phasenorientierte Modell verwiesen werden (dazu ausführlich in Kapitel 3): Welche Daten in welcher Phase erhoben werden dürfen, ist im AVV zu spezifizieren. Pauschalformulierungen wie "alle für die Vermietung relevanten Daten" sind unzureichend.

4. Kategorien betroffener Personen

Mietinteressenten primär, ggf. Miteinziehende, Bürgen. Besonderes Augenmerk: Sobald Bürgen ins Spiel kommen, erweitert sich der Kreis der betroffenen Personen – der AVV muss das abbilden.

5. Weisungsrechte des Vermieters

Der Makler handelt auf Weisung. Das bedeutet: Der Vermieter muss dem Makler verbindlich vorschreiben können, welche Software genutzt wird, in welcher Frist Daten abgelehnter Bewerber zu löschen sind und wie mit Datenpannen umzugehen ist. Ein AVV ohne operationale Weisungsrechte ist zahnlos.

6. Pflichten des Maklers – TOMs und Meldepflichten

Der Makler muss technisch-organisatorische Maßnahmen (TOMs) nachweisen: Verschlüsselung der Daten (Transport und Speicherung), Zugangskontrollen, sichere Löschprozesse. Außerdem muss er verpflichtet werden, den Vermieter unverzüglich über Datenschutzverletzungen zu informieren – damit der Vermieter seiner eigenen Meldepflicht gegenüber der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO (Meldefrist: 72 Stunden nach Bekanntwerden) nachkommen kann.

Praxisfrage, die Sie Ihrem Makler stellen sollten: Wo speichert er die Einkommensnachweise Ihrer Bewerber? In einer ungesicherten privaten Dropbox oder auf einem verschlüsselten Server mit EU-Standort und dokumentierten Zugriffsprotokollen?

7. Unter-Auftragsverarbeiter

Jede Software, die der Makler nutzt – CRM-System, Cloud-Dienst, digitale Selbstauskunfts-Plattform – ist ein potenzieller Unter-Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 und 4 DSGVO. Der AVV muss regeln, ob und welche Sub-Dienstleister genehmigt sind. Eine Klausel zur allgemeinen Genehmigung ist zulässig, verpflichtet den Makler aber gemäß Art. 28 Abs. 2 Satz 2 DSGVO zur Information des Vermieters über beabsichtigte Änderungen, sodass dieser Widerspruch einlegen kann.

Kapitel 3: Der Workflow in der Praxis – Das phasenorientierte Modell der DSK als delegierbarer Prozess

Dies ist das Herzstück rechtssicherer Vermietung. Die DSK hat in ihrer Orientierungshilfe zur datenschutzgerechten Anbahnung von Mietverhältnissen klargestellt, welche Daten zu welchem Zeitpunkt im Vermietungsprozess erhoben werden dürfen. Wer dieses Modell ignoriert, verstößt gegen den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) – unabhängig davon, ob ein AVV vorliegt oder nicht.

Phase 1: Erstkontakt und Besichtigung

Erlaubte Daten: Name, Vorname, E-Mail-Adresse oder Telefonnummer – ausschließlich für die Terminkoordination.

Was der Makler in dieser Phase nicht darf:

• Umfangreiche Selbstauskunftsformulare versenden
• Einkommensangaben oder Nachweise abfragen
• Digitale Formulare mit automatischen Upload-Funktionen für Gehaltsabrechnungen bereitstellen

Workflow-Anweisung für Makler: Kontaktformulare auf Exposé-Seiten und Portalen müssen auf die notwendigen Mindestfelder reduziert werden. Eine Massenabfrage im Stil von "Laden Sie hier direkt Ihre Gehaltsnachweise hoch, um einen Besichtigungstermin zu erhalten" ist ein klarer, bußgeldbewehrter DSGVO-Verstoß – unabhängig davon, wie praktisch das aus Effizienzgründen erscheinen mag.

Phase 2: Konkretes Mietinteresse nach der Besichtigung

Erlaubte Daten: Angaben zur Person (vollständig), Beruf, Arbeitgeber, Einkommenshöhe (ohne Nachweise), Anzahl der einziehenden Personen, Haustiere, Raucher/Nichtraucher soweit mietrelevant.

Ausdrücklich unzulässige Fragen:

• Familienplanung, Schwangerschaft, Kinderwunsch
• Religion oder Weltanschauung
• Ethnische Herkunft
• Parteizugehörigkeit
• Vorstrafen (außer in engen, nachweisbar mietrelevanten Ausnahmefällen)
• Gesundheitszustand

Rechtlicher Hinweis zur Unzulässigkeit dieser Fragen: Die Unzulässigkeit der vorstehend genannten Fragen ergibt sich aus einem Zusammenwirken mehrerer Rechtsnormen: dem datenschutzrechtlichen Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO), dem besonderen Schutz sensibler Datenkategorien (Art. 9 DSGVO), dem allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) sowie dem Diskriminierungsschutz nach dem Allgemeinen Gleichbehandlungsgesetz (AGG). Eine isolierte gesetzliche Verbotsnorm, die sämtliche dieser Fragen in einem einzigen Paragraphen explizit verbietet, existiert nicht; die Unzulässigkeit folgt aus der Gesamtschau der genannten Regelwerke sowie aus gefestigter Rechtsprechung.

Workflow-Anweisung für Makler:

• Ausschließlich eine datenschutzkonforme Selbstauskunfts-Vorlage verwenden, die sich an der DSK-Orientierungshilfe ausrichtet
• Bewerber aktiv darauf hinweisen, dass sie in vorzulegenden Dokumenten nicht erforderliche Daten – insbesondere Angaben zur Religionszugehörigkeit in Gehaltsabrechnungen – schwärzen dürfen und sollen
• Die Selbstauskunft nur an Bewerber versenden, die nach der Besichtigung aktives Interesse bekundet haben – nicht als Voraussetzung für die Besichtigung selbst

Mieterlink bildet diesen phasenorientierten Ablauf digital ab: Die Plattform stellt sicher, dass Selbstauskunftsformulare nur die phasenkonforme Datenabfrage enthalten – und liefert Vermietern wie Maklern die dokumentierte Nachweisgrundlage, die Art. 5 Abs. 2 DSGVO fordert.

Phase 3: Auswahlentscheidung und Vertragsabschluss

Erlaubte Daten: Erst in dieser Phase dürfen Nachweise angefordert werden – und zwar ausschließlich vom finalen Kandidaten oder von einer eng begrenzten Auswahl.

Zulässige Nachweise:

• Gehaltsabrechnungen der letzten drei Monate (geschwärzt auf nicht erforderliche Angaben)
• Bonitätsauskunft (z.B. SCHUFA-Eigenauskunft)
• Bestätigung des Arbeitgebers oder Einkommensnachweise bei Selbstständigen

Hinweis zur Bonitätsabfrage: Die pauschale Forderung nach einer SCHUFA-Auskunft als Bedingung für die bloße Teilnahme an einer Besichtigung verstößt gegen den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO). Bonitätsprüfungen sind dem Stadium der konkreten Auswahlentscheidung (Phase 3) vorbehalten. Für die in der Einleitung ursprünglich angeführte gerichtliche Entscheidung (LG Berlin II, Az. 52 O 65/23) konnte keine gesicherte Verifikation vorgenommen werden; die genannte Entscheidung wurde daher entfernt. Das dargestellte Ergebnis entspricht jedoch dem geltenden Stand der DSGVO-Grundsätze und der DSK-Orientierungshilfe.

Workflow-Anweisung für Makler: Der Prozess ist so zu strukturieren, dass Bonitätsauskünfte erst dann angefordert werden, wenn der Vermieter eine eindeutige Vorentscheidung für einen Kandidaten getroffen hat. Alles andere verstößt gegen Datenminimierung und exponiert den Vermieter gegenüber abgelehnten Bewerbern.

Kapitel 4: Die häufigsten Fehler und ihre teuren Folgen

Fehler 1: Die Einwilligungslösung – ein juristisches Luftschloss

Viele Vermieter und Makler glauben, ein angekreuztes "Ich willige in die Verarbeitung meiner Daten ein" löse alle Probleme. Das ist falsch. Die Einwilligung scheitert im Vermietungskontext regelmäßig an ihrer Freiwilligkeit: Wer eine Wohnung sucht, befindet sich in einem strukturellen Machtgefälle gegenüber dem Vermieter. Eine Einwilligung, die Voraussetzung für die Bewerbung ist, erfüllt die Anforderungen des Art. 7 DSGVO i.V.m. ErwGr. 43 DSGVO an eine freiwillig erteilte Einwilligung in der Regel nicht und ist daher unwirksam.

Die korrekte Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Verarbeitung zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person). Diese Rechtsgrundlage trägt den Prozess – die Einwilligung tut es nicht.

Fehler 2: Fehlender oder mangelhafter AVV

Konsequenzen eines fehlenden oder inhaltlich unzureichenden AVV:

• Der Vermieter kann für jeden Datenschutzverstoß des Maklers direkt in Haftung genommen werden
• Aufsichtsbehörden können beide Parteien mit Bußgeldern belegen
• Betroffene Mietinteressenten haben Schadensersatzansprüche nach Art. 82 DSGVO

Die Aufsichtsbehörden handeln zunehmend auch bei mittelständischen Unternehmen und Privatpersonen – der Immobilienbereich gerät dabei verstärkt ins Visier.

Fehler 3: Das Daten-Hamsterrad – Verstoß gegen Datenminimierung und Speicherbegrenzung

Daten abgelehnter Bewerber dürfen nicht dauerhaft gespeichert werden. Eine Kartei oder digitale "Blacklist" abgelehnter Bewerber ist ausnahmslos verboten und erfüllt den Tatbestand eines schwerwiegenden Datenschutzverstoßes.

Zur Löschfrist: Eine gesetzlich starr festgelegte Aufbewahrungsfrist für Bewerberdaten im Mietrecht existiert nicht. In der Praxis hat sich eine Orientierung an der zweimonatigen Klagefrist nach § 21 Abs. 5 AGG etabliert, nach der Ansprüche wegen Benachteiligungen schriftlich geltend zu machen sind. Darüber hinaus besteht eine dreimonatige Klagefrist nach § 21 Abs. 5 Satz 2 AGG. Verbreitet – und auch von Datenschutzbehörden als vertretbar angesehen – ist eine Aufbewahrung für bis zu sechs Monate nach Abschluss des Bewerbungsverfahrens, um sich gegen etwaige AGG-Ansprüche verteidigen zu können. Nach Ablauf dieses Zeitraums entfällt in aller Regel jede Rechtfertigung für die weitere Speicherung. Die konkrete Frist ist einzelfallbezogen zu bestimmen und im AVV sowie im Verzeichnis der Verarbeitungstätigkeiten zu dokumentieren.

Der Makler muss im Rahmen des AVV explizit verpflichtet werden, die vereinbarte Löschfrist einzuhalten und die Löschung zu dokumentieren.

Fazit und Checkliste: Was Sie jetzt konkret tun müssen

Für Vermieter

Ihre datenschutzrechtliche Verantwortung endet nicht an der Bürotür des Maklers. Sie endet erst, wenn alle Bewerberdaten ordnungsgemäß gelöscht sind. Zwischen diesen beiden Punkten sind Sie rechenschaftspflichtig – für jeden Schritt, den Ihr Makler in Ihrem Namen unternimmt.

Bestehen Sie auf einem vollständigen AV-Vertrag. Fragen Sie nach den TOMs Ihres Dienstleisters. Überprüfen Sie, ob der Prozess dem phasenorientierten Modell der DSK entspricht. Das sind keine optionalen Extras – das ist Ihre gesetzliche Pflicht.

Für Makler

Ein strukturierter, DSGVO-konformer Vermietungsprozess ist kein Mehraufwand, der Ihre Marge drückt. Er ist Ihr stärkstes Differenzierungsmerkmal gegenüber Wettbewerbern, die noch immer im Grauzonen-Modus operieren. Vermieter, die verstehen, was auf dem Spiel steht, wählen den Makler, der ihr Risiko aktiv managt – nicht denjenigen, der das Thema aussitzt. Mit Mieterlink können Makler ihren Auftraggebern einen nachweislich konformen Prozess übergeben – und damit einen entscheidenden Wettbewerbsvorteil sichern.

Jetzt Preismodelle vergleichen →

Checkliste: DSGVO-konforme Selbstauskunft über den Makler

Nutzen Sie diese Checkliste zur Selbstprüfung – vor jedem neuen Vermietungsauftrag:

• ✅ AV-Vertrag vorhanden: Liegt ein schriftlicher, vollständiger AV-Vertrag nach Art. 28 DSGVO zwischen Vermieter und Makler vor?
• ✅ Rollenqualifikation geprüft: Ist geklärt und vertraglich fixiert, dass der Makler im konkreten Fall als weisungsgebundener Auftragsverarbeiter und nicht als eigenständig Verantwortlicher handelt?
• ✅ Phasenorientierter Prozess implementiert: Ist der Vermietungsprozess klar in die Phasen der DSK-Orientierungshilfe gegliedert?
• ✅ Selbstauskunfts-Vorlage konform: Entspricht das verwendete Selbstauskunftsformular dem Grundsatz der Datenminimierung und enthält es keine unzulässigen Fragen?
• ✅ Bonitätsnachweis in Phase 3: Werden Gehaltsabrechnungen und SCHUFA-Auskunft erst vom finalen Kandidaten in Phase 3 angefordert?
• ✅ Löschprozess definiert und dokumentiert: Gibt es einen dokumentierten Prozess zur Löschung der Daten abgelehnter Bewerber nach Ablauf der einzelfallbezogen bestimmten Aufbewahrungsfrist?
• ✅ Sub-Dienstleister genehmigt: Sind alle vom Makler genutzten Software-Dienste (CRM, Cloud, Plattformen) im AVV als Unter-Auftragsverarbeiter benannt und genehmigt?
• ✅ Rechtsgrundlage korrekt: Stützt sich der Prozess auf Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung), nicht auf eine unwirksame Einwilligungslösung?
• ✅ TOMs dokumentiert: Hat der Makler seine technisch-organisatorischen Maßnahmen schriftlich nachgewiesen?

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Für die Erstellung eines auf Ihren konkreten Fall zugeschnittenen AV-Vertrags empfiehlt sich die Konsultation eines Fachanwalts für IT-Recht oder Datenschutzrecht.

Kostenlose Demo vereinbaren →