DSGVO-Bußgeld bei Mieterdaten: So vermeiden Sie 20-Mio-€-Risiken

TL;DR / Auf den Punkt gebracht

Das DSGVO-Verfahren gegen Deutsche Wohnen zeigt: Aufsichtsbehörden sanktionieren nicht mehr nur illegale Datenerhebung, sondern vor allem fehlende Lösch- und Dokumentationsprozesse. Private Vermieter und Hausverwaltungen sind gleichermaßen betroffen. Drei Sofortmaßnahmen schützen Sie: ein schriftliches Löschkonzept, die Prüfung Ihrer Archive auf veraltete Mieterdaten sowie die Aushändigung eines Informationsblatts nach Art. 13 DSGVO an jeden Bewerber.

Das Bußgeld gegen Deutsche Wohnen war kein Weckruf für die Großen der Branche allein. Es war ein Systemsignal: Die Datenschutzbehörden fokussieren sich nicht mehr allein auf illegale Datenerhebung, sondern auf fehlerhafte Prozesse der Datenverwaltung und -löschung – und genau dort scheitern heute private Vermieter genauso wie professionelle Hausverwaltungen.

Wer den Bewerbungsprozess digital und DSGVO-konform abbilden möchte, kann mit Mieterlink jetzt kostenlos testen → sofort loslegen – ohne Demo, ohne Wartezeit.

Der größte Fehler: Fehlende Löschprozesse – Lehren aus dem Fall Deutsche Wohnen

Was der Fall wirklich bedeutet

Der Fall Deutsche Wohnen SE & Co. KGaA ist deshalb so lehrreich, weil das Vergehen so banal und gleichzeitig so teuer war. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) erließ im November 2019 einen Bußgeldbescheid in Höhe von 14,5 Mio. €. Das Unternehmen legte Einspruch ein. Das Landgericht Berlin stellte das Verfahren im Februar 2021 zunächst ein, da es grundlegende Fragen zur Bußgeldfähigkeit von juristischen Personen nach dem bis dahin geltenden deutschen Recht sah (§ 30 OWiG). Der Bundesgerichtshof (BGH) hob diese Entscheidung im September 2021 auf (BGH, Beschluss vom 23.09.2021 – KRB 99/21) und verwies die Sache zurück. Das Verfahren ist damit ein laufendes Präzedenzfall-Verfahren zur direkten Verbandsgeldbuße nach Art. 83 DSGVO im deutschen Recht. Ein rechtskräftiger Abschluss mit konkret benennbarem Urteil und Bußgeldhöhe lag zum Redaktionsschluss dieses Artikels nicht vor. Verfolgen Sie den Verfahrensstand aktiv.

Ungeachtet des Verfahrensausgangs ist die inhaltliche Beanstandung der BlnBDI eindeutig und höchstrichterlich nicht in Frage gestellt: Die Behörde monierte nicht die Erhebung der Daten an sich – Bonität und Einkommen zu prüfen, ist für Vermieter legitim. Das Problem war die Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e DSGVO: Sobald der Zweck der Datenspeicherung entfällt, müssen die Daten gelöscht werden. Das Archivsystem von Deutsche Wohnen sah diese Möglichkeit technisch schlicht nicht vor. Gehaltsbescheinigungen, Steuerdaten und Kontoauszüge ehemaliger Mieter lagerten unkontrolliert im Archivsystem – nicht weil man die Daten stehlen wollte, sondern weil niemand einen klaren Prozess hatte, wann und wie sie gelöscht werden müssen. Das ist das eigentliche Risiko, das Sie kennen und adressieren müssen.

Die relevanten DSGVO-Grundsätze im Überblick:

• Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Es dürfen nur jene Daten erhoben werden, die für den konkreten Zweck unbedingt erforderlich sind. Ein Kontoauszug ist bei der Bewerbungsprüfung relevant. Bei einem seit drei Jahren laufenden Mietverhältnis ist er es nicht mehr.
• Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Daten müssen gelöscht oder anonymisiert werden, sobald der Zweck, für den sie erhoben wurden, weggefallen ist. „Wir heben alles auf, man weiß ja nie" ist kein rechtfertigender Verarbeitungszweck.
• Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Sie müssen nicht nur datenschutzkonform handeln, sondern dies auch nachweisen können. Ein undokumentiertes Vorgehen ist im Zweifel ein beweisloses Vorgehen.

Das 3-Stufen-Löschkonzept für die Praxis

Ein gerichtsfestes Löschkonzept muss nicht komplex sein. Es muss schriftlich, eindeutig und konsequent umgesetzt werden.

Stufe 1 – Bewerbungsphase (Abgelehnte Bewerber): Daten abgelehnter Interessenten sind grundsätzlich unmittelbar nach Abschluss des Vermietungsprozesses zu löschen. Eine eng begrenzte Ausnahme gilt zur Verteidigung gegen mögliche Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG): Nach § 21 Abs. 5 AGG beträgt die Verjährungsfrist für Schadensersatzansprüche zwei Monate ab Kenntnis des Betroffenen von der Ablehnung. Um eine Diskriminierungsbehauptung abwehren zu können, ist eine Aufbewahrung von Basisdaten (Name des Bewerbers, Datum der Ablehnung, Ablehnungsgrund in nicht-diskriminierender Form) für diesen Zeitraum durch das berechtigte Interesse des Vermieters nach Art. 6 Abs. 1 lit. f DSGVO vertretbar begründbar. Eine pauschale Empfehlung von „3 bis 6 Monaten" ist angesichts der zweimonatigen AGG-Frist nicht in jedem Fall erforderlich und sollte im Einzelfall rechtlich bewertet werden. Die vollständigen Bewerbungsunterlagen (Kontoauszüge, Gehaltsnachweise, Ausweiskopien) sind davon nicht umfasst und sofort zu löschen.

Stufe 2 – Laufendes Mietverhältnis: Gehaltsnachweise und Kontoauszüge, die zur Bonitätsprüfung vor Vertragsschluss eingeholt wurden, sind nach Vertragsunterzeichnung und abgeschlossener Bonitätsprüfung zu vernichten oder zu löschen. Was bleibt: der Mietvertrag, Korrespondenz mit rechtlicher Relevanz, Übergabe- und Abnahmeprotokolle, Zahlungsbelege sowie Betriebs- und Heizkostenabrechnungen. Alles andere ist ohne laufenden Zweck – und damit nicht mehr zulässig zu speichern.

Stufe 3 – Nach Mietvertragsende: Mietrechtlich relevante Unterlagen unterliegen unterschiedlichen gesetzlichen Aufbewahrungspflichten, die den datenschutzrechtlichen Löschpflichten vorgehen:

• § 147 Abs. 1 AO i. V. m. § 147 Abs. 3 AO: Bücher, Aufzeichnungen, Buchungsbelege und sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind (z. B. Mietzahlungsnachweise, Betriebskostenabrechnungen als Buchungsbelege): 10 Jahre Aufbewahrungspflicht.
• § 257 Abs. 1 HGB i. V. m. § 257 Abs. 4 HGB: Für Kaufleute gelten entsprechende handelsrechtliche Aufbewahrungspflichten von 6 Jahren (Handelsbriefe) bzw. 10 Jahren (Handelsbücher, Bilanzen, Buchungsbelege). Privatvermieter, die keine Kaufleute im Sinne des HGB sind, unterliegen primär der AO.
• Mietvertrag und Schriftverkehr bei Streitigkeiten: Für zivilrechtliche Ansprüche aus dem Mietverhältnis gilt die regelmäßige Verjährungsfrist von 3 Jahren nach § 195 BGB (Beginn: Ende des Jahres, in dem der Anspruch entstanden ist und der Vermieter Kenntnis erlangte). Bei Ansprüchen rund um die Mietsache (z. B. nicht erkannte Schäden) kann nach § 548 BGB eine Verjährungsfrist von 6 Monaten ab Rückgabe der Mietsache gelten – dies spricht dafür, entsprechende Belege (Protokolle, Schriftverkehr zu Mängeln) mindestens für diesen Zeitraum vorzuhalten. Weitergehende zivilrechtliche Ansprüche können längere Aufbewahrung rechtfertigen; dies ist im Einzelfall zu prüfen.

Nach Ablauf der jeweils einschlägigen Frist: endgültige und dokumentierte Löschung bzw. physische Vernichtung.

Tool-Tipp: Wer als Hausverwaltung noch mit Excel und lokalem Dateiserver arbeitet, setzt sich einem kaum kalkulierbaren Audit-Risiko aus – Löschfristen lassen sich so praktisch nicht nachweisbar einhalten. Mieterlink – die Plattform für die digitale Mieterselbstauskunft – ist auf DSGVO-konforme Datenverarbeitung ausgelegt und unterstützt Vermieter dabei, Bewerberdaten strukturiert und fristgerecht zu verwalten. Mieterlink kostenlos testen →

Neue DSGVO-Relevanz durch laufende Mietrechtsreformen – Sind Sie vorbereitet?

Wichtiger Hinweis: Dieser Abschnitt beschreibt DSGVO-Implikationen, die sich aus diskutierten und in der Fachliteratur antizipierten Reformvorhaben im Mietrecht ergeben können. Da konkrete Gesetzestexte und Drucksachennummern zum Redaktionsschluss nicht abschließend verifiziert werden konnten, werden nachfolgend die datenschutzrechtlichen Grundprinzipien anhand typischer mietrechtlicher Neuregelungsfelder erläutert. Sobald ein Gesetz in Kraft tritt, sind die DSGVO-Implikationen für Ihre konkrete Praxis durch einen Fachberater zu bewerten.

Mietrechtliche Reformen sind primär privatrechtliche Instrumente. Ihre DSGVO-Konsequenzen werden in der Fachdiskussion bisher kaum beleuchtet – dabei entstehen durch neue Nachweis- und Dokumentationspflichten typischerweise völlig neue Verarbeitungstatbestände.

Falle 1: Möblierungszuschläge und wertbezogene Nachweise

Regelungskontext: Reformansätze zur Regulierung von Möblierungszuschlägen sehen typischerweise vor, dass Vermieter den Zuschlag nachvollziehbar am Zeitwert der Möbel orientieren und ausweisen müssen.

DSGVO-Implikation: Um diesen Zuschlag rechtssicher gegenüber dem Mieter und im Streitfall gegenüber einem Gericht nachweisen zu können, müssen Vermieter Daten zu Wert und Zustand der Möbel erheben und über die gesamte Mietdauer vorhalten: Kaufbelege, Fotos, ggf. Wertgutachten. Diese Daten sind direkt mit dem Mietvertrag und damit mit personenbezogenen Daten des Mieters verknüpft. Die entscheidende Frage, die Sie im Zeitpunkt des Inkrafttretens einer solchen Regelung beantworten müssen: Wie lange dürfen und müssen diese Daten gespeichert werden? Welche Zweckbindung gilt? Dies ist ein neuer, expliziter Verarbeitungstatbestand, der in Ihr Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) aufgenommen werden muss.

Falle 2: Indexmiete und Gebietsklassifikationen

Regelungskontext: Ansätze zur Deckelung von Indexmieterhöhungen in Gebieten mit angespannten Wohnungsmärkten erfordern eine nachweisbare Dokumentation der Marktlage.

DSGVO-Implikation: Vermieter müssen dokumentieren, ob eine Immobilie in einem solchen Gebiet liegt. Das klingt harmlos – es verknüpft aber Standortdaten der Immobilie mit den Mietvertragsdaten des Mieters auf eine Art, die bislang nicht erforderlich war. Fehlt diese Dokumentation, drohen nicht nur mietrechtliche, sondern auch datenschutzrechtliche Konsequenzen, wenn Daten ohne klare Rechtsgrundlage verarbeitet oder im Streitfall ohne Befugnis weitergegeben werden.

Falle 3: Kurzzeitvermietung und sensible Nachweisdaten

Regelungskontext: Bestrebungen zur Einschränkung der Ausnahmen vom Mieterschutz bei vorübergehendem Gebrauch (vgl. den geltenden § 549 Abs. 2 Nr. 1 BGB) erfordern einen stärkeren Nachweis des „vorübergehenden Gebrauchs" durch den Vermieter.

DSGVO-Implikation: Der Vermieter muss den „vorübergehenden Gebrauch" nachweisen können – und das kann die Verarbeitung hochsensibler Daten erfordern: Arbeitsverträge für Projektmissionen, Studienbescheinigungen, Aufenthaltsdokumente. Hier ist die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO und die Zweckbindung besonders sorgfältig zu dokumentieren. Daten besonderer Kategorien nach Art. 9 DSGVO (z. B. ethnische Herkunft, Gesundheitsdaten) dürfen dabei keinesfalls als Nebenprodukt erfasst werden; für sie gilt ein erhöhtes Schutzregime mit eigenständigem Erlaubnistatbestand.

Konkrete Checklisten: Makler und Hausverwaltungen vs. Private Vermieter

Die Schmerzpunkte und Prozesse unterscheiden sich fundamental. Deshalb hier getrennte Handlungsempfehlungen.

Für private Vermieter – Digitale Hygiene als Basisschutz

Private Vermieter unterschätzen regelmäßig die Vermischung von privat und geschäftlich – und genau dort entstehen die typischen „Wohnzimmer-Fehler", die von Aufsichtsbehörden zunehmend geprüft werden.

Checkliste Digitale Hygiene:

• Keine Mieter-Kontaktdaten im privaten Handy-Adressbuch speichern. Die Datentrennung zwischen privater und vermietungsbezogener Nutzung ist eine aus dem Grundsatz der Datensicherheit (Art. 5 Abs. 1 lit. f, Art. 32 DSGVO) ableitbare Anforderung, da private Kontaktbücher typischerweise mit Drittanbieter-Apps synchronisiert werden, was unkontrollierte Datenweitergaben auslösen kann.
• Keine sensiblen Dokumente via WhatsApp oder unverschlüsselte E-Mail übermitteln. Verwenden Sie verschlüsselte Dienste oder Plattformen mit DSGVO-konformer Infrastruktur und – soweit ein Dienstleister eingeschaltet ist – geprüftem AVV nach Art. 28 DSGVO. Mieterlink bietet als digitale Plattform für die Mieterselbstauskunft eine DSGVO-konforme Alternative zum Datenaustausch per E-Mail oder Messenger.
• Separates E-Mail-Postfach ausschließlich für Vermietungskommunikation einrichten. Das erleichtert auch die spätere, dokumentierte Löschung und den Nachweis der Datentrennung.
• Physische Unterlagen (Bewerbermappen, alte Kontoauszüge) fristgerecht mit einem Partikelschnittschredder (Sicherheitsstufe mindestens P-4 nach DIN 66399) vernichten – nicht in die Papiertonne.
• Informationsblatt nach Art. 13 DSGVO jedem Bewerber bei der ersten Datenerhebung aushändigen oder digital übermitteln. Dieses Dokument muss mindestens enthalten: Identität und Kontaktdaten des Verantwortlichen, Zweck und Rechtsgrundlage der Verarbeitung, Speicherdauer, Betroffenenrechte (Auskunft nach Art. 15, Berichtigung nach Art. 16, Löschung nach Art. 17, Widerspruch nach Art. 21 DSGVO) sowie das Beschwerderecht bei der zuständigen Aufsichtsbehörde (Art. 13 Abs. 2 lit. d DSGVO). Zuständige Aufsichtsbehörde ist die Landesdatenschutzbehörde des Bundeslandes, in dem der Vermieter seinen Sitz oder Wohnsitz hat (z. B. der Landesbeauftragte für den Datenschutz Bayern, die BlnBDI für Berlin, etc.).

Praxisbeispiel aus der europäischen Aufsichtspraxis: Die spanische Datenschutzbehörde AEPD verhängte ein Bußgeld gegen einen Privatvermieter, der seiner Informationspflicht gegenüber Mietbewerbern nicht nachgekommen war. Vergleichbare Bußgelder durch deutsche Landesdatenschutzbehörden sind rechtlich möglich und werden bei Beschwerden von Betroffenen geprüft. Der Verwaltungsaufwand einer behördlichen Prüfung übersteigt regelmäßig den Aufwand für ein einmalig erstelltes Informationsblatt.

Für Immobilienmakler und Hausverwaltungen – Professionelle Prozesse sind Pflicht

Checkliste Prozesssicherheit:

• Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO: Besteht mit jedem Vermieter/Auftraggeber, für den Sie Mieterdaten verarbeiten, ein schriftlicher (oder in einem dokumentierten elektronischen Format vorliegender), aktueller AVV? Dies ist keine Kann-Bestimmung, sondern eine zwingende gesetzliche Anforderung nach Art. 28 Abs. 3 DSGVO. Das Fehlen eines AVV kann eigenständig bußgeldbewehrt sein (Art. 83 Abs. 4 lit. a DSGVO) und begründet zudem Haftungsrisiken. Hinweis: Ob der Makler im konkreten Verhältnis zum Auftraggeber als Auftragsverarbeiter oder als eigenverantwortlicher Verantwortlicher handelt, hängt von der Ausgestaltung des Mandats ab und sollte im Einzelfall geprüft werden.
• Software-Audit: Bietet Ihre Makler- oder Verwaltungssoftware automatisierte Löschroutinen für abgelehnte Bewerber? Falls nein: Entweder nachrüsten oder dokumentierte manuelle Prozesse mit klaren Verantwortlichkeiten und Nachweis-Log einführen.
• Datenweitergabe nach dem Need-to-Know-Prinzip: Dem Eigentümer wird ausschließlich die Akte des finalen Kandidaten übergeben. Alle anderen Bewerberdaten verbleiben beim Makler und werden nach den oben beschriebenen Fristen gelöscht. Die Weitergabe auch nur von Basisdaten abgelehnter Bewerber an den Auftraggeber bedarf einer eigenständigen Rechtsgrundlage.
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Ist Ihr VVT aktuell? Bildet es alle bestehenden Verarbeitungsprozesse vollständig ab, inklusive etwaiger neuer Verarbeitungstätigkeiten, die durch gesetzliche Nachweispflichten entstanden sind?
• Datenschutz-Folgenabschätzung (DSFA) prüfen: Bei der systematischen und umfangreichen Verarbeitung von Bewerberdaten – insbesondere unter Einsatz automatisierter Vorauswahlsysteme – ist eine DSFA nach Art. 35 DSGVO möglicherweise verpflichtend. Orientierung gibt die von der zuständigen Aufsichtsbehörde veröffentlichte Muss-Liste gemäß Art. 35 Abs. 4 DSGVO.

Welches Preismodell für Ihre Vermietungspraxis – ob Einzelvermietung oder professionelle Hausverwaltung – am besten passt, zeigt Ihnen ein Blick auf Mieterlinks Preismodelle im Vergleich →.

Fazit und Handlungsempfehlung

Der Fall Deutsche Wohnen markiert – unabhängig von seinem noch offenen Verfahrensausgang – eine klare inhaltliche Botschaft der Aufsichtsbehörden: Sanktioniert wird nicht mehr primär die unrechtmäßige Datenerhebung, sondern der fehlende oder unzureichende Umgang mit Daten nach ihrer Erhebung. Das trifft Privatvermieter mit einer vergessenen Bewerbungsmappe genauso wie Hausverwaltungen mit einem nicht gewarteten Archivsystem.

Drei Sofortmaßnahmen, die Sie heute umsetzen können:

1. Erstellen Sie ein schriftliches Löschkonzept – mindestens eine DIN-A4-Seite, auf der für jeden Datentyp (Bewerbungsunterlagen, Vertragsdaten, Korrespondenz, Buchungsbelege) festgehalten ist: Wann wird was warum gelöscht, und wer ist dafür verantwortlich? Dieses Dokument dient als Nachweis Ihrer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
2. Prüfen Sie Ihre physischen und digitalen Archive auf veraltete Mieterdaten – insbesondere von Mietverhältnissen, bei denen alle gesetzlichen Aufbewahrungsfristen (steuerlich: 10 Jahre nach § 147 AO; zivilrechtlich: nach den einschlägigen Verjährungsvorschriften) abgelaufen sind. Vernichten oder löschen Sie alles, für das kein nachweisbarer gesetzlicher Aufbewahrungsgrund mehr besteht, und dokumentieren Sie den Vorgang.
3. Händigen Sie ab sofort jedem Bewerber ein vollständiges Informationsblatt nach Art. 13 DSGVO aus – das ist der kostengünstigste Schutz gegen niedrigschwellige Bußgelder und signalisiert professionellen Umgang mit Daten.

Datenschutz ist kein bürokratisches Beiwerk. Er ist ein messbarer Haftungsfaktor – und bei konsequenter Umsetzung ein Wettbewerbsvorteil in der Wahrnehmung durch Mieter und Auftraggeber. Wer seinen Bewerbungsprozess von Anfang an DSGVO-konform aufstellen möchte, kann mit Mieterlink – der digitalen Lösung für die Mieterselbstauskunft – direkt starten: Jetzt kostenlos registrieren und Mieterlink testen →

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Er ersetzt nicht die Beratung durch einen auf Datenschutzrecht spezialisierten Rechtsanwalt oder einen zertifizierten Datenschutzbeauftragten. Für Ihren konkreten Einzelfall – insbesondere angesichts sich ändernder Gesetzgebung – empfehlen wir ausdrücklich die individuelle Fachberatung.