Bewerbungsunterlagen an den Eigentümer weitergeben – DSGVO-konform

TL;DR / Auf den Punkt gebracht

Bewerberdaten dürfen nicht pauschal, sondern nur stufenweise entlang des tatsächlichen Erforderlichkeitsprinzips an den Eigentümer weitergegeben werden: Kontaktdaten zur Besichtigung, anonymisierte Übersichten bei konkretem Mietinteresse und vollständige Nachweise erst in der Endrunde. Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b oder f DSGVO – nicht die Einwilligung. Wer diesen Prozess digital abbildet, etwa mit der Mieterselbstauskunft und Bewerberverwaltung von Mieterlink, reduziert Haftungsrisiken und beschleunigt gleichzeitig die Vermietungsentscheidung.

100 Bewerbungen im Postfach, der Eigentümer wird ungeduldig und fordert: "Schicken Sie mir doch einfach alle Unterlagen, ich entscheide selbst." Genau dieser Satz ist der Beginn vieler Datenschutzverstöße in der Vermietungspraxis. Denn die unreflektierte Weitergabe kompletter Bewerberdossiers – inklusive Gehaltsnachweisen, Ausweiskopien und Bonitätsauskünften – an den Eigentümer kann schnell zu Bußgeldern im fünfstelligen Bereich führen.

Die Anforderungen an einen datenschutzkonformen Vermietungsprozess sind in den letzten Jahren spürbar gestiegen: Verschiedene Landesdatenschutzbehörden haben in ihren Orientierungshilfen zur Vermietungspraxis konkretisiert, welche Daten in welcher Phase der Wohnungssuche erhoben und weitergegeben werden dürfen. Es geht längst nicht mehr nur um Datenschutz als Compliance-Pflicht, sondern um professionelle Prozessführung, die Makler und Eigentümer gleichermaßen vor Haftungsrisiken schützt.

Dieser Artikel zeigt den rechtssicheren Weg auf Basis eines in der Aufsichtspraxis etablierten Stufenmodells und beantwortet die entscheidende Frage: Was darf wann an den Eigentümer weitergegeben werden – und auf welcher Rechtsgrundlage?

Kapitel 1: Die Rechtsgrundlage – Warum "Einwilligung" eine Falle ist

Viele Makler und Vermieter greifen reflexartig zur Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), um sich beim Bewerber die Weitergabe seiner Daten an den Eigentümer "absegnen" zu lassen. Das ist in aller Regel der falsche Weg.

Das Problem: Zwischen Wohnungssuchendem und Vermieter besteht ein strukturelles Machtungleichgewicht. Ein Bewerber, der dringend eine Wohnung sucht, kann kaum "freiwillig" widersprechen, wenn die Einwilligung faktisch Voraussetzung für die Chance auf den Mietvertrag ist. Aufsichtsbehörden werten solche Einwilligungen regelmäßig als unwirksam, weil das Freiwilligkeitskriterium der Einwilligungsdefinition in Art. 4 Nr. 11 DSGVO nicht erfüllt ist.

Die korrekte Basis:

• Art. 6 Abs. 1 lit. b DSGVO – Verarbeitung zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person. Diese Grundlage trägt, sobald der Bewerber selbst aktiv wird (z. B. eine Mieterselbstauskunft ausfüllt, um sich zu bewerben).
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse des Vermieters an der Auswahl eines solventen, vertragstreuen Mieters. Diese Grundlage greift insbesondere für die Bonitätsprüfung und die Weitergabe an den Eigentümer als Entscheidungsträger.

Kern-Erkenntnis: Die Datenerhebung und -weitergabe muss für jede Phase des Bewerbungsprozesses erforderlich sein. Nicht alles, was für den Eigentümer "interessant" wäre, ist auch erlaubt. Das Prinzip der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) ist keine Empfehlung, sondern eine Rechtspflicht.

Kapitel 2: Der Goldstandard in der Praxis – Das 3-Stufen-Modell

In der Aufsichtspraxis hat sich ein Stufenmodell durchgesetzt, das sich strikt am Erforderlichkeitsprinzip orientiert: Je konkreter die Vertragsanbahnung, desto mehr Daten dürfen erhoben und weitergegeben werden. Es fasst zusammen, was mehrere Landesdatenschutzbehörden in ihren Orientierungshilfen zur Wohnraumvermietung im Grundsatz übereinstimmend vertreten.

Stufe A – Wohnungsbesichtigung

Erlaubte Daten: Name, Vorname, Kontaktmöglichkeit (E-Mail, Telefonnummer) zur Terminkoordination.

Verboten: Keine Selbstauskunft, keine Bonitätsauskunft, kein Gehaltsnachweis. In dieser Phase besteht schlicht keine Erforderlichkeit für sensible Daten – der Bewerber möchte lediglich die Wohnung besichtigen.

Weitergabe an den Eigentümer? Ja, aber ausschließlich zur reinen Terminkoordination, falls der Eigentümer die Besichtigung selbst durchführt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Organisation des Besichtigungstermins), regelmäßig ergänzt durch Art. 6 Abs. 1 lit. b DSGVO, da der Bewerber die Terminvereinbarung selbst veranlasst hat.

Stufe B – Konkretes Mietinteresse nach der Besichtigung

Hier beginnt die eigentliche Vorauswahl. Wer nach der Besichtigung konkretes Interesse bekundet, darf strukturiert befragt werden.

Erlaubte Daten (über eine digitale Mieterselbstauskunft abgefragt):

• Anzahl der einziehenden Personen
• berufliche Situation (Angestellter, selbstständig, Rentner etc.)
• Nettoeinkommen

Verboten: Details zum Arbeitgeber (Dauer der Anstellung, Position), Vorvermieterzeugnisse, Fragen zu Familienplanung oder Gesundheit.

Weitergabe an den Eigentümer? Hier liegt der praktisch heikelste Punkt des gesamten Prozesses. Der datenschutzkonforme Weg ist eine anonymisierte oder pseudonymisierte Übersicht der engeren Auswahl – etwa "Bewerber A: Nettoeinkommen X €, 2 Personen, unbefristetes Arbeitsverhältnis". Die Weitergabe der vollständigen Selbstauskunft mit Klarnamen ist nur für die absolute Endrunde (2–3 Kandidaten) auf Basis des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) zu rechtfertigen.

Genau an dieser Stelle zeigt sich der Wert eines strukturierten digitalen Vorqualifizierungsprozesses: Wer Bewerberdaten über eine digitale Bewerberverwaltung erfasst und vorqualifiziert, kann dem Eigentümer eine anonymisierte Vergleichsübersicht liefern, ohne vorschnell vollständige Personendaten preiszugeben. Das reduziert nicht nur das Haftungsrisiko, sondern beschleunigt auch die Entscheidung erheblich – ein Vorteil, den insbesondere Mieterlink mit seinem Eigentümerportal strukturell abbildet: Der Eigentümer sieht die freigegebenen Bewerber in einer eigenen Ansicht und vergibt dort 1., 2. und 3. Wahl, während die Datenfreigabe stufenweise und nachvollziehbar dokumentiert erfolgt.

Wer diesen Prozess in der eigenen Vermietungspraxis testen möchte, kann Mieterlink jetzt kostenlos testen → – ganz ohne vorherige Demo.

Stufe C – Vertragsangebot / der Erstplatzierte

Erst wenn sich Eigentümer (oder Makler in Abstimmung mit dem Eigentümer) für einen Kandidaten entschieden haben, dürfen belastbare Nachweise angefordert werden.

Erlaubte Daten:

• Gehaltsnachweise
• Arbeitsvertrag (ggf. geschwärzt hinsichtlich irrelevanter Klauseln)
• Bonitätsnachweis
• Prüfung des Personalausweises zur Identifikation – wichtig: keine Kopie anfertigen. Das Anfertigen von Ausweiskopien ist nach § 20 Abs. 2 PAuswG nur in gesetzlich vorgesehenen Ausnahmefällen zulässig; für die Vermietungspraxis gilt daher grundsätzlich nur die Einsichtnahme mit Vermerk von Namen, Anschrift und Ausweisnummer.

Für den Bonitätsnachweis empfiehlt sich ein Verfahren, das dem Bewerber die Datenhoheit lässt und gleichzeitig belastbare, geprüfte Informationen liefert. Der BonitätsPass von Mieterlink (powered by itsmydata) ermöglicht genau das: Der Bewerber generiert seinen eigenen, verifizierten Bonitätsnachweis und entscheidet selbst über dessen Weitergabe – ein datenschutzkonformer Mittelweg, der die Erforderlichkeit wahrt und gleichzeitig Manipulationsrisiken minimiert, wie sie bei eingescannten oder selbst zusammengestellten Nachweisen bestehen.

Weitergabe an den Eigentümer? Ja – diese finalen Unterlagen dürfen und müssen zur endgültigen Entscheidung an den Eigentümer weitergegeben werden. Der Eigentümer benötigt sie zur Erfüllung des anzubahnenden Vertrags. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Kapitel 3: Sonderfall Makler – Auftragsverarbeiter oder Verantwortlicher?

Für Makler stellt sich eine zusätzliche, oft unterschätzte Frage: In welcher datenschutzrechtlichen Rolle agieren sie gegenüber dem Eigentümer?

Die entscheidende Weiche:

• Handelt der Makler rein weisungsgebunden nach klaren Vorgaben des Eigentümers (z. B. "Sammeln Sie alle Bewerbungen und leiten Sie sie ungefiltert an mich weiter"), ohne eigene Entscheidungsspielräume und ohne eigene Verwendung der Daten? → Dann kommt eine Auftragsverarbeitung in Betracht. Zwingend erforderlich ist dann ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
• Trifft der Makler eigene Entscheidungen über die Vorauswahl, definiert eigenständig Auswahlkriterien oder nutzt die gesammelten Daten auch für eigene Zwecke (z. B. weitere Objektvermittlung)? → Dann liegt regelmäßig eine eigene (oder gemeinsame) Verantwortlichkeit nach Art. 26 DSGVO vor.

Praxis-Hinweis: In der Praxis erfüllen Makler aufgrund ihrer eigenständigen vertraglichen und gesetzlichen Pflichten (z. B. eigene Beratungs- und Prüfpflichten gegenüber Mietinteressenten) häufig nicht die engen Voraussetzungen einer reinen Auftragsverarbeitung, sondern agieren als eigenständig Verantwortliche oder gemeinsam Verantwortliche. Eine pauschale Selbsteinstufung als "nur Auftragsverarbeiter" sollte daher stets im Einzelfall geprüft werden – unabhängig davon empfiehlt sich in jedem Fall eine schriftliche Vereinbarung mit dem Eigentümer, die zumindest folgende Punkte klärt:

• Wer beantwortet Betroffenenanfragen (Auskunft, Löschung)?
• Wer ist im Falle einer Datenpanne meldepflichtig gegenüber der Aufsichtsbehörde?
• Wie lange dürfen Daten beim Makler vorgehalten werden, bevor sie gelöscht oder an den Eigentümer übergeben werden müssen?

Workflow in der Praxis: Bewerber → Makler (Erfassung, Filterung, Vorqualifizierung über eine digitale Mieterselbstauskunft) → Eigentümer (Entscheidung auf Basis der anonymisierten Übersicht bzw. der finalen Unterlagen der Endrunde).

Ein zusätzlicher Hinweis für größere Maklerbüros: Nach aktuell geltendem Recht (§ 38 BDSG) ist ein Datenschutzbeauftragter zu bestellen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Im Rahmen von Bürokratieabbau-Debatten wird gelegentlich über eine Anhebung dieser Schwelle diskutiert – maßgeblich ist jedoch ausschließlich die aktuell gültige Rechtslage. Maklerbüros sollten ihre Organisation nach dem geltenden Schwellenwert von 20 Personen ausrichten und mögliche künftige Änderungen beobachten, ohne sich bereits heute darauf zu verlassen.

Kapitel 4: Nach der Entscheidung – Löschfristen und Aufbewahrungspflichten

Für den neuen Mieter

Die eingereichten Unterlagen werden Teil der Vertragsakte. Hier gelten die üblichen Grundsätze für Vertragsunterlagen: Die Daten dürfen so lange gespeichert werden, wie sie zur Durchführung und Dokumentation des Mietverhältnisses erforderlich sind, sowie darüber hinaus für den Zeitraum, in dem nach Vertragsende noch Ansprüche (z. B. aus der Nebenkostenabrechnung oder der Kaution) geltend gemacht werden können.

Für abgelehnte Bewerber – die strikte Löschpflicht

Hier passieren in der Praxis die meisten Verstöße, weil Unterlagen "vorsichtshalber" oder aus Bequemlichkeit unbegrenzt aufbewahrt werden.

• Regelfrist: Unverzüglich nach Abschluss des Vermietungsprozesses sind die Daten abgelehnter Bewerber zu löschen.
• Sicherheitsfrist: In der Praxis der Datenschutzaufsichtsbehörden hat sich eine Aufbewahrung von bis zu 6 Monaten nach Abschluss des Auswahlverfahrens als angemessener Ausgleich zwischen Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und dem berechtigten Interesse des Vermieters etabliert, sich gegen mögliche Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) zur Wehr setzen zu können. Wichtig zur Einordnung: Nach § 21 Abs. 5 i. V. m. § 15 Abs. 4 AGG muss ein Benachteiligter seinen Anspruch grundsätzlich bereits innerhalb von zwei Monaten ab Kenntnis schriftlich geltend machen. Die 6-Monats-Frist ist damit keine gesetzlich fixierte Aufbewahrungspflicht, sondern eine anerkannte Sicherheitsmarge, um auch verzögert eingehende Geltendmachungen dokumentiert abwehren zu können.
• Danach: Löschung ohne Ausnahme, unabhängig davon, ob die Wohnung erneut frei wird.

Praxis-Tipp für Privatvermieter:

• Stellen Sie sich eine Kalendererinnerung 6 Monate nach Vertragsabschluss.
• Physische Unterlagen: schreddern statt in den Papierkorb werfen.
• Digitale Daten: sicher löschen, nicht nur in den "Papierkorb"-Ordner verschieben – Backups und Cloud-Kopien mitdenken.
• Ein strukturiertes Löschkonzept, das automatisiert an Fristen erinnert, ist gerade für Vermieter mit mehreren Objekten kein Luxus, sondern Pflichtprogramm.

Rote-Liste: Unzulässige Fragen im Bewerbungsprozess

Unabhängig von der Verarbeitungsstufe gilt: Bestimmte Fragen sind grundsätzlich unzulässig, weil sie gegen das Benachteiligungsverbot des AGG verstoßen oder keinerlei Erforderlichkeit für die Vermietungsentscheidung besitzen:

• Kinderwunsch oder Familienplanung
• Schwangerschaft
• Heiratsabsicht
• Sexuelle Orientierung
• Religionszugehörigkeit
• Herkunft, Nationalität (außer allgemeine Kontaktdaten)
• Krankheiten oder Behinderungen (außer bei baulich relevanten Sonderfällen, die der Bewerber selbst anspricht)

Warnhinweis für Privatvermieter: Eine allgemeine "KMU-Ausnahme" von der DSGVO ist KEIN geltendes Recht

Auf EU-Ebene werden im Rahmen von Bürokratieabbau-Initiativen wiederholt Vorschläge diskutiert, bestimmte Dokumentations- und Nachweispflichten für kleine Unternehmen zu vereinfachen. Eine generelle Ausnahme kleiner Unternehmen, Vermieter oder Privatpersonen von der DSGVO als solcher existiert jedoch nicht und ist auch nicht Gegenstand dieser Vorschläge. Selbst wenn einzelne Erleichterungen künftig beschlossen werden sollten, handelt es sich derzeit ausschließlich um politische Vorschläge – nicht um geltendes Recht. Auch der private Vermieter, der eine einzelne Wohnung vermietet, unterliegt uneingeschränkt der DSGVO. "Ich bin doch klein, für mich gilt das nicht" ist kein rechtlich tragfähiges Argument und schützt vor keinem Bußgeldbescheid.

Fazit & Checkliste für 2026

Die DSGVO ist kein bürokratisches Hindernis, sondern ein Leitfaden für einen fairen, professionellen und nachvollziehbaren Vermietungsprozess. Wer sich am 3-Stufen-Modell orientiert, schützt sich selbst und den Eigentümer vor Haftungsrisiken – und beschleunigt durch klare digitale Prozesse gleichzeitig die Vermietungsentscheidung.

Checkliste für die Praxis:

• ✅ Datenminimierung praktizieren – nur das Nötigste zur richtigen Zeit erheben
• ✅ Das 3-Stufen-Modell (Besichtigung → Mietinteresse → Vertragsangebot) als internen Standard etablieren
• ✅ Auf pauschale Einwilligungen verzichten, stattdessen auf Erforderlichkeit (Art. 6 Abs. 1 lit. b/f DSGVO) stützen
• ✅ Als Makler: die eigene datenschutzrechtliche Rolle (Auftragsverarbeiter vs. eigen-/gemeinsam Verantwortlicher) prüfen und schriftlich mit dem Eigentümer klären
• ✅ An den Eigentümer in der Vorauswahl nur anonymisierte Übersichten weitergeben, vollständige Unterlagen erst in der Endrunde
• ✅ Für Bonitätsnachweise ein Verfahren nutzen, das dem Bewerber Datenhoheit lässt
• ✅ Als Privatvermieter: keine Ausweiskopien, keine verbotenen Fragen aus der Roten Liste
• ✅ Löschfristen für abgelehnte Bewerber aktiv managen (Richtwert: max. 6 Monate)
• ✅ Aktuelle Gesetzesentwicklungen im Miet- und Datenschutzrecht beobachten, aber ausschließlich auf Basis des jeweils gültigen Rechts handeln

Ein strukturierter, digital abgebildeter Vermietungsprozess – von der Mieterselbstauskunft über die Vorqualifizierung bis zum verifizierten Bonitätsnachweis – ist die Grundlage rechtssicherer Vermietung. Wer wissen möchte, welches Preismodell für die eigene Vermietungspraxis passt, kann jetzt Preismodelle vergleichen → oder sich unverbindlich eine kostenlose Demo vereinbaren →.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Für konkrete mietrechtliche oder datenschutzrechtliche Fragen wenden Sie sich bitte an eine zugelassene Rechtsanwältin oder einen zugelassenen Rechtsanwalt oder an die für Sie zuständige Landesdatenschutzbehörde.