Verarbeitungsverzeichnis nach Art. 30 DSGVO – Pflicht auch für Vermieter?

TL;DR / Auf den Punkt gebracht

Jeder Vermieter, der regelmäßig Wohnraum an Dritte vermietet, ist gesetzlich verpflichtet, ein Verarbeitungsverzeichnis (VVT) nach Art. 30 DSGVO zu führen – die Ausnahme für Organisationen mit weniger als 250 Mitarbeitern greift hier in der Regel nicht. Das VVT muss für jede Verarbeitungstätigkeit Zweck, Rechtsgrundlage, Datenempfänger und konkrete Löschfristen dokumentieren. Ein fehlendes Löschkonzept war der Kern des milliardenschweren Bußgeldverfahrens gegen die Deutsche Wohnen SE – ein Warnsignal, das auch private Vermieter ernst nehmen sollten.

Im September 2020 verhängte das Landgericht Berlin ein Bußgeld von 14,5 Millionen Euro gegen die Deutsche Wohnen SE – und der Kern des Problems war erschreckend banal: Das Unternehmen hatte keine funktionierenden Löschkonzepte für Mieterdaten. Daten wurden gespeichert, ohne dass irgendjemand definiert hatte, wann und warum sie wieder gelöscht werden müssen. Genau das ist der Punkt, an dem das Verarbeitungsverzeichnis nach Art. 30 DSGVO ins Spiel kommt – denn Löschfristen sind kein optionaler Zusatz, sondern eine Pflichtangabe im Verzeichnis. Ein korrekt geführtes VVT hätte das Kernsäumnis, das zu diesem Bußgeld führte, strukturell verhindert.

Hinweis zur Verfahrensgeschichte: Der Fall Deutsche Wohnen hat eine komplexe Rechtsgeschichte. Das ursprüngliche Bußgeld des Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI) wurde vom Kammergericht Berlin im Februar 2021 zunächst aufgehoben (Beschluss vom 18.02.2021, Az. 3 Ws 13/21), weil das Gericht die Bußgeldfähigkeit juristischer Personen nach dem damaligen deutschen Verfahrensrecht bezweifelte. Der Europäische Gerichtshof (EuGH) klärte die zugrundeliegende Frage der unmittelbaren Bebußung von Unternehmen nach Art. 83 DSGVO durch Urteil vom 05.12.2023 (Rs. C-807/21) im Sinne einer weiten Verantwortlichkeit. Das Verfahren verdeutlicht damit sowohl die Ernsthaftigkeit der DSGVO-Durchsetzung als auch die noch im Fluss befindliche Rechtsprechungslandschaft in Deutschland. Die zugrundeliegende materielle Rüge – fehlende Löschkonzepte für Mieterdaten – wurde inhaltlich zu keinem Zeitpunkt in Frage gestellt und bleibt das zentrale Compliance-Signal für Vermieter.

Die DSGVO gilt für jeden Vermieter – ob Sie eine Einliegerwohnung vermieten oder ein Portfolio mit 50 Einheiten verwalten. Die Frage ist nicht ob Sie ein Verarbeitungsverzeichnis führen müssen, sondern wie Sie es praxistauglich umsetzen. Dieser Artikel liefert Ihnen genau das: eine direkte Übersetzung der gesetzlichen Anforderungen in Ihren Vermieter-Alltag.

1. Was ist ein Verarbeitungsverzeichnis – und warum ist es unverändert aktuell?

Das Verarbeitungsverzeichnis (VVT) ist das zentrale Dokumentationsinstrument Ihrer DSGVO-Konformität. Denken Sie es als strukturiertes Tagebuch Ihrer Datenverarbeitung: Es dokumentiert lückenlos, welche personenbezogenen Daten Sie verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage (Art. 6 DSGVO), wer Zugang erhält, an wen Sie Daten weitergeben – und wann Sie sie wieder löschen.

Der gesetzliche Rahmen: Art. 30 DSGVO verpflichtet jeden Verantwortlichen zur Führung dieses Verzeichnisses. Es dient als Nachweisinstrument gegenüber Aufsichtsbehörden im Rahmen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Im Klartext: Wenn eine Behörde anklopft, müssen Sie nachweisen können, dass Sie Datenschutz nicht nur versprechen, sondern tatsächlich praktizieren.

Der Deutsche-Wohnen-Effekt: Was der Fall für Vermieter bedeutet

Die Aufsichtsbehörde rügte im Fall Deutsche Wohnen konkret, dass sensible Mieterdaten – Einkommensnachweise, Bonitätsinformationen, Kontoauszüge – ohne definierten Zweck und ohne Löschkonzept jahrelang gespeichert blieben. Das verletzt gleichzeitig die Grundsätze der Speicherbegrenzung und Datenminimierung aus Art. 5 Abs. 1 lit. e und lit. c DSGVO.

Beide Grundsätze müssen im Verarbeitungsverzeichnis operationalisiert werden: Wann eine Tätigkeit in das VVT aufgenommen wird, muss gleichzeitig festgelegt werden, wann die zugehörigen Daten wieder gelöscht werden. Ein Unternehmen, das diesen Schritt konsequent vollzogen hätte, hätte auch das Problem der ungerechtfertigten Dauerspeicherung nicht gehabt. Das VVT ist damit kein bürokratischer Selbstzweck – es ist das steuernde Rückgrat Ihrer Datenschutz-Compliance.

Genau an diesem Punkt setzt ein moderner Bewerbungsprozess mit Mieterlink jetzt kostenlos testen → an: Die digitale Mieterselbstauskunft über Mieterlink erfasst nur die Daten, die in der jeweiligen Bewerbungsphase tatsächlich erforderlich sind – und macht so das Prinzip der Datenminimierung von Anfang an operational.

2. Der größte Irrtum: Warum die „Unter-250-Mitarbeiter-Ausnahme" für Vermieter nicht gilt

Viele private Vermieter glauben, Art. 30 Abs. 5 DSGVO schütze sie. Die Regelung besagt, dass Organisationen mit weniger als 250 Mitarbeitern von der VVT-Pflicht ausgenommen sind – aber nur unter drei kumulativen Bedingungen:

1. Die Verarbeitung erfolgt nur gelegentlich.
2. Es werden keine Daten besonderer Kategorien im Sinne von Art. 9 DSGVO und keine strafrechtlich relevanten Daten im Sinne von Art. 10 DSGVO verarbeitet.
3. Die Verarbeitung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen.

Alle drei Bedingungen müssen gleichzeitig erfüllt sein. Und schon an der ersten scheitert nahezu jede Vermietungstätigkeit.

Vermietung ist per Definition keine gelegentliche Tätigkeit

Bereits die Vermietung einer einzigen Wohnung erzeugt kontinuierliche, regelmäßige Datenverarbeitung:

• Monatliche Mieteingänge prüfen und verbuchen
• Jährliche Nebenkostenabrechnung mit Verbrauchsdaten erstellen (Frist nach § 556 Abs. 3 BGB: zwölf Monate nach Ende des Abrechnungszeitraums)
• Kommunikation mit Mietern per E-Mail, Brief, Telefon
• Weitergabe an Dienstleister (Schornsteinfeger, Handwerker, Messdienste)
• Verwaltung von Kautionen und dazugehörigen Bankdaten

Das ist nicht gelegentlich – das ist strukturell wiederkehrend. Die Ausnahme greift nicht. Hinzu kommt: Bonitätsprüfungen und Einkommensnachweise im Bewerbungsprozess erzeugen ein erhöhtes Risiko für Betroffene, was die dritte Bedingung ebenfalls kippen kann.

Klartext: Jeder Vermieter, der eine Immobilie dauerhaft an Dritte vermietet, ist zur Führung eines Verarbeitungsverzeichnisses verpflichtet. Die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO gilt ausschließlich für Verarbeitungen zu rein persönlichen oder familiären Zwecken. Eine entgeltliche Vermietung an außenstehende Dritte fällt nach übereinstimmender Auffassung der Aufsichtsbehörden grundsätzlich nicht darunter, weil sie einen wirtschaftlichen Zweck verfolgt, der über den rein privaten Bereich hinausgeht.

3. Das Verarbeitungsverzeichnis in der Praxis: Muster für private Vermieter

Art. 30 Abs. 1 DSGVO definiert die Pflichtangaben für jeden Eintrag im VVT. Hier ist, was das konkret für Ihren Vermieter-Alltag bedeutet:

Pflichtangaben – übersetzt in Vermieter-Sprache

Pflichtangabe	Erklärung	Vermieter-Beispiel
Name & Kontakt des Verantwortlichen	Ihr vollständiger Name und Ihre Anschrift	Max Mustermann, Musterstraße 1, 10115 Berlin
Zweck der Verarbeitung	Warum verarbeiten Sie die Daten?	„Anbahnung und Durchführung des Mietvertrags"
Rechtsgrundlage	Auf welcher Basis (Art. 6 DSGVO)?	Art. 6 Abs. 1 lit. b (Vertragserfüllung)
Kategorien betroffener Personen	Wessen Daten?	Mietinteressenten, Mieter, Bürgen
Kategorien personenbezogener Daten	Welche Daten genau?	Kontaktdaten, Bonitätsdaten, Verbrauchsdaten
Empfänger der Daten	An wen geben Sie Daten weiter?	Messdienstleister, Schornsteinfeger, Hausverwaltung, Bank
Drittlandübermittlung	Gehen Daten außerhalb des EWR?	I.d.R. „Nein" – dennoch aktiv prüfen und dokumentieren
Löschfristen	Wann werden die Daten gelöscht?	Siehe unten – kritischster Punkt
Technische und organisatorische Maßnahmen (TOMs)	Wie sichern Sie die Daten?	Passwortschutz PC, abschließbarer Aktenschrank

Hinweis zu TOMs: Art. 30 Abs. 1 lit. g DSGVO verlangt lediglich eine „allgemeine Beschreibung" der Sicherheitsmaßnahmen. Die konkrete Ausgestaltung richtet sich nach Art. 32 DSGVO. Beides sollte konsistent dokumentiert sein.

Die Löschfristen: Der entscheidende Punkt

Das ist die Stelle, an der im Fall Deutsche Wohnen ein zentrales Versäumnis lag – und die Stelle, die Ihr VVT zu einem echten Schutzinstrument macht. Definieren Sie für jede Verarbeitungstätigkeit konkrete Fristen. Die nachfolgenden Angaben sind praxiserprobte Orientierungswerte; im Einzelfall kann eine abweichende Bewertung angezeigt sein:

• Mietinteressenten (Absage): Löschung grundsätzlich spätestens nach 6 Monaten nach Abschluss des Auswahlverfahrens. Hintergrund: Die Frist zur Geltendmachung von Ansprüchen nach dem AGG beträgt zwei Monate ab Kenntnis der Ablehnung (§ 15 Abs. 4 AGG). Ein Aufbewahrungszeitraum von bis zu sechs Monaten wird von den Datenschutzaufsichtsbehörden überwiegend als verhältnismäßig anerkannt, um eine etwaige Rechtsverteidigung zu ermöglichen. Danach: vollständige Löschung, sofern kein Rechtsstreit anhängig ist.
• Mietinteressenten (kein Vertragsschluss, keine aktive Kommunikation mehr): Löschung nach 3 Monaten ab letztem Kontakt als Richtgröße.
• Mieter (Stammdaten nach Vertragsende): Aufbewahrung für 3 Jahre nach Ende des Mietverhältnisses, da die regelmäßige zivilrechtliche Verjährungsfrist nach § 195 BGB drei Jahre beträgt und mit dem Schluss des Jahres beginnt, in dem der Anspruch entstanden ist und der Gläubiger Kenntnis erlangt hat (§ 199 Abs. 1 BGB). Beachten Sie, dass einzelne mietrechtliche Ansprüche – etwa Schadensersatzansprüche wegen Beschädigung der Mietsache – längeren Verjährungsfristen unterliegen können; im Zweifel sollte dies für den Einzelfall geprüft werden.
• Buchungsrelevante Unterlagen (Mietzahlungen, Nebenkostenabrechnungen): 10 Jahre gemäß steuerrechtlicher Aufbewahrungspflicht nach § 147 Abs. 1 Nr. 1 und 4, Abs. 3 AO. Diese Frist gilt für Buchungsbelege und steuerlich relevante Unterlagen.
• Kautionsunterlagen: Die zweckbezogene Aufbewahrung endet mit vollständiger Rückzahlung der Kaution und Abschluss der Betriebskostenabrechnung. Anschließend empfiehlt sich eine Aufbewahrung von 3 Jahren für etwaige Streitfälle (vgl. § 195 BGB), soweit keine längere Aufbewahrungspflicht aus anderen Gründen besteht.

Tabellarisches Musterbeispiel: Zwei ausgefüllte Einträge

Eintrag 1: Bewerbermanagement

Feld	Inhalt
Verarbeitungstätigkeit	Bewerbermanagement / Mieterauswahl
Zweck	Auswahl eines geeigneten Mieters für die Wohneinheit
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage der betroffenen Person)
Betroffene Personen	Mietinteressenten
Datenkategorien	Kontaktdaten, Selbstauskunft, Bonitätsauskunft (z.B. Schufa), Einkommensnachweise
Empfänger	Keine (interne Nutzung); bei Vertragsschluss Überführung in Mieterakte
Löschfrist	Spätestens 6 Monate nach Abschluss des Auswahlverfahrens; bei Vertragsschluss: Überführung in Mietakte mit eigenem Aufbewahrungszeitraum
TOMs	Passwortgeschützter Rechner, verschlüsselte E-Mail-Kommunikation, gesicherter Ordner

Eintrag 2: Nebenkostenabrechnung

Feld	Inhalt
Verarbeitungstätigkeit	Erstellung der Nebenkostenabrechnung
Zweck	Abrechnung der Betriebskosten gemäß Mietvertrag und § 556 BGB
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c (rechtliche Verpflichtung)
Betroffene Personen	Mieter
Datenkategorien	Verbrauchsdaten (Wasser, Heizung), ggf. Kontodaten für Nachzahlung/Rückerstattung
Empfänger	Messdienstleister (z.B. Techem, Ista) als Auftragsverarbeiter; Steuerberater
Löschfrist	10 Jahre ab Erstellung als Buchungsbeleg (§ 147 Abs. 1 Nr. 1, Abs. 3 AO)
TOMs	Passwortschutz, abschließbarer Aktenschrank, abgeschlossener AVV mit Messdienstleister

4. Spezifische Anforderungen für Makler und Hausverwaltungen

Für professionelle Marktteilnehmer verschärfen sich die Anforderungen – und die Haftungsfragen werden komplexer.

Verantwortlicher oder Auftragsverarbeiter? Die entscheidende Rollenklärung

Hausverwaltungen und Makler operieren häufig in zwei verschiedenen Rollen:

• Als Verantwortlicher: Für ihre eigenen Geschäftsdaten, Mitarbeiterdaten, interne Kommunikation und Marketingaktivitäten sowie für Datenverarbeitungen, über deren Zwecke und Mittel sie selbst bestimmen.
• Als Auftragsverarbeiter: Wenn sie im Auftrag und nach Weisung des Vermieters (als Verantwortlichem) Mieterdaten verarbeiten.

Diese Trennung ist nicht akademisch – sie hat direkte rechtliche Konsequenzen. Für die Auftragsverarbeitung ist zwingend ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen. Fehlt dieser Vertrag, kann dies bei beiden Parteien gegenüber Betroffenen und der Aufsichtsbehörde zu Konsequenzen führen. Das AVV-Erfordernis sowie die jeweilige Rolle im Verhältnis zu jedem Dienstleister müssen im eigenen VVT dokumentiert sein.

Abgrenzungshinweis: Ob eine Hausverwaltung im konkreten Fall Verantwortliche oder Auftragsverarbeiterin ist, hängt vom Einzelfall ab – insbesondere davon, ob sie eigene Entscheidungsbefugnisse über Zwecke und Mittel der Verarbeitung ausübt. Bei Zweifeln empfiehlt sich die Konsultation des zuständigen Datenschutzbeauftragten oder eines Fachanwalts.

Das Stufenmodell der Datenerhebung im Bewerbungsprozess

Die Datenschutzkonferenz (DSK) hat in ihrer Orientierungshilfe „Datenschutz bei der Vermietung von Wohnraum" klargestellt, dass die Datenerhebung im Rahmen des Mietbewerbungsverfahrens gestuft nach dem Prinzip der Datenminimierung zu erfolgen hat. Die DSK empfiehlt sinngemäß folgende Abstufung:

• Frühe Phase – Besichtigungsanfrage: Zulässig sind grundsätzlich nur die zur Kontaktaufnahme und Terminvereinbarung notwendigen Daten (Name, Kontaktdaten). Weitergehende Informationen sind zu diesem Zeitpunkt in der Regel nicht erforderlich und damit unverhältnismäßig.
• Mittlere Phase – Konkretisierung des Interesses nach Besichtigung: Eine Selbstauskunft in Textform kann zulässig sein; Angaben zu Haushaltsgröße, Berufstätigkeit und grober Einkommenssituation sind typischerweise vertretbar. Belege sind zu diesem Zeitpunkt regelmäßig noch nicht verhältnismäßig.
• Späte Phase – Vertragsanbahnung mit konkretem Bewerber: Erst wenn ein bestimmter Bewerber konkret für den Vertragsschluss in Betracht gezogen wird, sind Bonitätsnachweise, Gehaltsabrechnungen und vergleichbare Unterlagen grundsätzlich zulässig und verhältnismäßig.

Wichtiger Hinweis: Die DSK-Orientierungshilfe zur Wohnraumvermietung gibt den Rechtsstand zum Zeitpunkt ihrer jeweiligen Veröffentlichung wieder. Prüfen Sie stets die aktuell gültige Fassung auf der Website der Datenschutzkonferenz (datenschutzkonferenz-online.de), da Aktualisierungen möglich sind.

Wie Sie diesen Prozess im VVT abbilden: Legen Sie für jede Phase eine separate oder entsprechend differenzierte Verarbeitungstätigkeit an – mit jeweils passender Rechtsgrundlage, Datenkategorie und Löschfrist. Das belegt nicht nur Datensparsamkeit, sondern macht Ihren Bewerbungsprozess nachweisbar rechtmäßig gegenüber Aufsichtsbehörden.

Wer den phasengestuften Datenerhebungsprozess digital unterstützen möchte, kann die Mieterselbstauskunft über Mieterlink so konfigurieren, dass Bewerber nur die für die jeweilige Phase relevanten Angaben einreichen. Jetzt Preismodelle vergleichen →

CRM-Systeme und automatisierte Löschroutinen

Bei der Verwaltung einer größeren Anzahl von Bewerbern ist manuelle Datenpflege keine realistische Option. Achten Sie bei der Auswahl von CRM- oder Verwaltungssoftware auf integrierte Lösch- und Sperrfunktionen. Die im VVT definierten Fristen müssen technisch abgebildet werden – sonst bleiben sie reine Papierdokumente ohne praktische Wirksamkeit. Und genau eine solche Diskrepanz zwischen dokumentierten Vorgaben und gelebter Praxis war das zentrale Compliance-Versäumnis im Fall Deutsche Wohnen.

5. Fazit & Checkliste: Ihr sofortiger Handlungsplan

Der Fall Deutsche Wohnen zeigt exemplarisch, wie Datenschutzaufsichtsbehörden systematische Versäumnisse bei der Datenhaltung bewerten – unabhängig von der Unternehmensgröße. Die Führung eines Verarbeitungsverzeichnisses ist gesetzliche Pflicht für jeden Vermieter, der regelmäßig Wohnraum an Dritte vermietet. Ein korrekt geführtes VVT mit durchdachten Löschfristen ist gleichzeitig Ihr wirkungsvollster struktureller Schutz vor DSGVO-Bußgeldern.

Der Aufwand für ein erstes, funktionsfähiges Verzeichnis ist überschaubar – aber er muss einmal ernsthaft betrieben werden. Danach sind es nur noch gezielte Aktualisierungen bei neuen Prozessen oder Dienstleistern.

Ihre Sofort-Checkliste: VVT für Vermieter

• Alle Verarbeitungstätigkeiten identifiziert? Von der ersten Kontaktaufnahme über die Nebenkostenabrechnung (§ 556 BGB) bis zur Kautionsrückzahlung – jeder Prozess mit personenbezogenen Daten gehört ins Verzeichnis.
• Rechtsgrundlage und Zweck für jede Tätigkeit definiert? Prüfen Sie, ob Sie sich auf Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), rechtliche Verpflichtung (lit. c) oder berechtigtes Interesse (lit. f) stützen – und dokumentieren Sie die Abwägung bei lit. f.
• Löschfristen konkret und gesetzeskonform festgelegt? Die drei zentralen gesetzlichen Anker: AGG § 15 Abs. 4 (Klagefrist 2 Monate → Aufbewahrung bis zu 6 Monate), § 195 BGB (regelmäßige Verjährung 3 Jahre), § 147 AO (steuerliche Aufbewahrungspflicht 10 Jahre für Buchungsbelege).
• Alle Datenempfänger dokumentiert? Messdienstleister, Handwerker, Steuerberater, Hausverwaltung – jeder Dritte, dem Sie Mieterdaten übermitteln, gehört in das VVT.
• AVV mit Auftragsverarbeitern abgeschlossen und dokumentiert? Messdienstleister und Verwaltungsgesellschaften sind typische Auftragsverarbeiter – der Vertrag nach Art. 28 DSGVO ist Pflicht.
• Grundlegende Sicherheitsmaßnahmen (TOMs) dokumentiert? Passwortschutz, verschlüsselte E-Mails, abschließbarer Aktenschrank – auch einfache Maßnahmen zählen, wenn sie konsistent dokumentiert und tatsächlich praktiziert werden.
• Das Stufenmodell der DSK in Ihren Bewerbungsprozess integriert? Insbesondere Makler und Verwalter sollten die gestufte Datenerhebung nachweisbar im VVT verankern und die aktuelle Fassung der DSK-Orientierungshilfe als Referenz hinterlegen.

Weiterführende Ressourcen:

• Datenschutzkonferenz (DSK) – Orientierungshilfe und aktuelle Beschlüsse
• Ausführlicher Grundlagen-Artikel: DSGVO für Vermieter – Was Sie wirklich wissen müssen
• Muster: Datenschutzerklärung für Mieter nach Art. 13 DSGVO

Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Angaben zu Fristen, Rechtsgrundlagen und Verfahrenspflichten können sich durch Gesetzesänderungen, neue Rechtsprechung oder aktualisierte Aufsichtsbehörden-Leitlinien ändern. Bei konkreten Rechtsfragen wenden Sie sich an einen auf Datenschutz- oder Mietrecht spezialisierten Rechtsanwalt oder an den zuständigen Landesdatenschutzbeauftragten Ihres Bundeslandes.