DSGVO für Vermieter und Makler: Welche Datenschutzpflichten Sie wirklich haben

Ein durchschnittliches Vermietungsverfahren produziert mehr sensible Unterlagen, als vielen Beteiligten bewusst ist: Gehaltsnachweise, Ausweisdaten, Kontoverbindungen, Bonitätsauskünfte, dazu Dutzende E-Mail-Adressen und Telefonnummern von Interessenten, die am Ende leer ausgehen. Wer diese Daten erhebt, speichert oder weitergibt, verarbeitet personenbezogene Daten – und ist damit Verantwortlicher im Sinne der Datenschutz-Grundverordnung.

Warum Datenschutz bei der Vermietung kein Nebenthema ist

Das gilt unabhängig davon, wer vermietet. Der private Eigentümer, der seine Wohnung selbst anbietet, kann sich nicht auf die Ausnahme für persönliche und familiäre Tätigkeiten berufen: Die Vermietung ist eine wirtschaftliche Tätigkeit, auch wenn es nur um eine einzige Wohnung geht (sog. Haushaltsausnahme, Art. 2 Abs. 2 lit. c DSGVO – greift bei Vermietung nicht). Für Hausverwaltungen und Makler gilt die Verordnung ohnehin uneingeschränkt. Die Pflichten treffen also alle drei typischen Konstellationen – den selbst vermietenden Eigentümer, die beauftragte Hausverwaltung und den eingeschalteten Makler –, allerdings in unterschiedlicher Rollenverteilung. Dazu später mehr.

Was sind personenbezogene Daten – und welche fallen bei der Vermietung an?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO). Der Begriff ist bewusst weit gefasst. Er umfasst nicht nur Name und Anschrift, sondern jede Angabe, die sich einer Person zuordnen lässt – auch indirekt.

Im Vermietungsalltag bedeutet das: Die Anfrage über ein Immobilienportal ist bereits ein Datensatz. Ebenso die Selbstauskunft mit Angaben zu Beruf, Einkommen und Haushaltsgröße, der Gehaltsnachweis, der Kontoauszug, die Bonitätsauskunft, das Besichtigungsprotokoll mit Namensliste und selbst die formlose Notiz, die Sie sich nach einem Telefonat machen. Auch Fotos und E-Mail-Verläufe gehören dazu.

Eine Stufe darüber stehen die besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO): Angaben zu Gesundheit, Religion, ethnischer Herkunft, politischer Überzeugung oder sexueller Orientierung. Für diese gilt bei der Vermietung eine einfache Regel: Sie haben in der Datenerhebung nichts verloren. Sie dürfen weder abgefragt noch – wenn ein Bewerber sie unaufgefordert mitteilt – gespeichert oder für die Auswahl verwendet werden. Wer sie dennoch erhebt, riskiert neben dem Datenschutzverstoß auch einen Konflikt mit dem Allgemeinen Gleichbehandlungsgesetz. Welche dieser Merkmale das Gleichbehandlungsgesetz zusätzlich schützt und wie Sie Bewerber auswählen, ohne sich angreifbar zu machen, behandelt unser Beitrag zum AGG bei der Mieterauswahl.

Die fünf Grundprinzipien, die Sie kennen müssen

Die DSGVO ist kein Katalog von Einzelverboten, sondern ein Prinzipiengesetz. Wer die Grundsätze aus Art. 5 DSGVO verinnerlicht, kann die meisten Alltagsfragen selbst beantworten. Fünf davon tragen die Vermietungspraxis.

Rechtmäßigkeit: Jede Verarbeitung braucht eine Rechtsgrundlage. „Ich hätte es gern gewusst“ ist keine. Welche Grundlagen bei der Vermietung tragen, behandelt der nächste Abschnitt.

Zweckbindung: Daten, die Sie für die Vermietung einer konkreten Wohnung erhoben haben, dürfen Sie nicht ohne Weiteres für anderes verwenden – etwa um dem abgelehnten Bewerber Monate später ein anderes Objekt anzubieten oder die Kontakte in einen Newsletter-Verteiler zu übernehmen.

Datenminimierung: Erhoben wird, was für den Zweck erforderlich ist – nicht, was interessant wäre. Die vollständige Bewerbermappe mit Ausweiskopie und drei Gehaltsabrechnungen vor der ersten Besichtigung verstößt gegen dieses Prinzip. Der Maßstab ist streng: Nicht „schadet ja nicht“, sondern „ist es jetzt, in diesem Verfahrensschritt, erforderlich?“.

Speicherbegrenzung: Daten werden gelöscht, wenn der Zweck erfüllt ist. Die Unterlagen abgelehnter Bewerber sind kein Archivgut.

Integrität und Vertraulichkeit: Die Daten sind gegen unbefugten Zugriff zu schützen – technisch wie organisatorisch. Der Ordner im unverschlossenen Regal des Gemeinschaftsbüros erfüllt diesen Anspruch ebenso wenig wie die Bewerberliste im privaten Free-Mail-Postfach.

Auf welcher Rechtsgrundlage dürfen Sie Daten erheben?

Die praktisch wichtigste Grundlage bei der Vermietung ist die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO): Wer eine Wohnung mieten will, tritt in eine Vertragsanbahnung ein, und die dafür erforderlichen Daten dürfen verarbeitet werden. Ergänzend kommt das berechtigte Interesse in Betracht (Art. 6 Abs. 1 lit. f DSGVO) – etwa beim Interesse des Vermieters, sich vor Mietausfällen zu schützen, das gegen die Interessen des Bewerbers abzuwägen ist.

Die Einwilligung spielt dagegen eine kleinere Rolle, als viele Formulare suggerieren. Sie hat zwei strukturelle Schwächen: Sie ist jederzeit widerruflich, und ihre Freiwilligkeit ist zweifelhaft, wenn der Bewerber faktisch keine Wahl hat, weil er sonst die Wohnung nicht bekommt. Der verbreitete Praxisfehler ist, sich Einwilligungen unterschreiben zu lassen für Verarbeitungen, die längst über die Vertragsanbahnung gedeckt sind – das schafft keine zusätzliche Sicherheit, sondern nur eine widerrufliche Grundlage, wo eine stabile existierte. Als Faustregel: Die Einwilligung ist das Instrument für das Zusätzliche, nicht für das Erforderliche.

Der Zeitpunkt entscheidet: Welche Daten Sie wann abfragen dürfen

Die häufigste und teuerste Fehleinschätzung in der Praxis ist nicht, welche Daten erhoben werden dürfen – sondern wann. Die Datenschutzkonferenz der Aufsichtsbehörden hat dafür ein Phasenmodell entwickelt, das die Erhebung an den Stand des Auswahlverfahrens koppelt (DSK-Orientierungshilfe zur Verarbeitung von Mietinteressenten-Daten, Fassung v2.0, Januar 2026). Der Grundgedanke: Je näher der Vertragsschluss rückt, desto mehr darf gefragt werden.

In der ersten Phase, vor und während der Besichtigung, geht es allein um die Organisation des Termins. Zulässig sind Name und Kontaktdaten – mehr nicht. Die verbreitete Praxis, bereits mit der Terminbestätigung eine vollständige Selbstauskunft samt Einkommensnachweisen anzufordern, ist mit der Datenminimierung nicht vereinbar: Zu diesem Zeitpunkt ist offen, ob der Interessent die Wohnung überhaupt will.

Die zweite Phase beginnt, wenn der Interessent nach der Besichtigung sein ernsthaftes Mietinteresse bekundet. Jetzt trägt die Vertragsanbahnung eine Selbstauskunft mit den Angaben, die für die Auswahlentscheidung erforderlich sind: berufliche Tätigkeit, Einkommensverhältnisse in Grundzügen, Zahl der einziehenden Personen, gegebenenfalls Haustiere oder ein laufendes Insolvenzverfahren.

Die dritte Phase ist die konkrete Vertragsanbahnung: Der Vermieter hat sich für einen Bewerber entschieden, der Vertragsschluss steht unmittelbar bevor. Erst jetzt dürfen Bonitätsauskünfte eingeholt und Nachweise verlangt werden – Gehaltsabrechnungen, eine Mietschuldenfreiheitsbescheinigung, die Bonitätsauskunft einer Auskunftei. Die verbreitete Praxis, von allen Bewerbern einer Besichtigungsrunde vorsorglich Schufa-Auskünfte einzusammeln, ist unzulässig; Aufsichtsbehörden haben dies wiederholt beanstandet.

Wer dieses Phasenmodell einmal sauber in seinen Ablauf übersetzt hat, erledigt den größten Teil seiner DSGVO-Pflichten nebenbei – die Erhebung ist dann automatisch datensparsam und begründbar. Digitale Vermietungslösungen wie Mikasi bilden diese Phasen strukturell ab, sodass in jedem Verfahrensschritt nur die dort zulässigen Angaben abgefragt werden.

Wer ist verantwortlich? Eigentümer, Hausverwaltung und Makler im Vergleich

Die DSGVO fragt stets: Wer entscheidet über Zwecke und Mittel der Verarbeitung? Diese Person oder Stelle ist Verantwortlicher – mit allen Pflichten. Bei der Vermietung sind drei Konstellationen zu unterscheiden, und die Rollenverteilung fällt jeweils anders aus.

Vermietet der Eigentümer selbst, ist der Fall einfach: Er ist alleiniger Verantwortlicher. Sämtliche Pflichten – Information der Bewerber, sichere Aufbewahrung, fristgerechte Löschung, Beantwortung von Auskunftsersuchen – liegen bei ihm persönlich.

Übernimmt eine Hausverwaltung die Vermietung im Rahmen ihres Verwaltervertrags, hängt die Einordnung vom Zuschnitt des Mandats ab. Handelt sie streng nach Weisung des Eigentümers, spricht viel für eine Auftragsverarbeitung (Art. 28 DSGVO) – dann ist ein Auftragsverarbeitungsvertrag erforderlich. In der Praxis und in den meisten Fällen trifft die Verwaltung die Vorauswahl der Bewerber aber regelmäßig mit eigenem Ermessensspielraum; dann ist sie selbst Verantwortliche, gegebenenfalls gemeinsam mit dem Eigentümer (Abgrenzung Art. 26 / Art. 28 DSGVO). Das betrifft ausdrücklich auch kleine Verwaltungen mit wenigen Einheiten: Die Pflichten knüpfen an die Tätigkeit an, nicht an die Bürogröße.

Der Makler schließlich ist nach herrschender Auffassung eigener Verantwortlicher, denn er entscheidet selbst, wie er Interessenten erfasst, prüft und vorauswählt. Daraus folgt eine in der Praxis oft übersehene Konsequenz für die Datenweitergabe: Der Eigentümer erhält die Unterlagen des Bewerbers, der den Zuschlag erhalten soll – nicht die gesammelte Bewerbermappe aller Interessenten. Die Weitergabe sämtlicher Bewerberdaten an den Eigentümer ist von keiner Rechtsgrundlage gedeckt und gehört zu den häufigsten vermeidbaren Verstößen im Maklergeschäft.

Ihre Informationspflichten gegenüber Bewerbern

Wer Daten erhebt, muss die Betroffenen darüber informieren – unaufgefordert, zum Zeitpunkt der Erhebung (Art. 13 DSGVO). Mitzuteilen sind unter anderem: wer verantwortlich ist, zu welchen Zwecken und auf welcher Rechtsgrundlage die Daten verarbeitet werden, wie lange sie gespeichert bleiben, an wen sie weitergegeben werden und welche Rechte dem Betroffenen zustehen.

Praktisch heißt das: Die Datenschutzinformation gehört an den Anfang des Verfahrens, nicht in den Mietvertrag. Bewährt hat sich ein kompaktes Informationsblatt, das mit der Antwort auf die erste Anfrage verschickt oder bei der Besichtigung ausgehändigt wird; bei Portalanfragen genügt ein Link in der Antwort-E-Mail. Der Aufwand ist einmalig – das Dokument wird erstellt, geprüft und dann in jedem Verfahren wiederverwendet.

Löschen, aufbewahren, sichern: der Lebenszyklus der Bewerberdaten

Mit der Vergabe der Wohnung endet der Zweck, für den die Daten der übrigen Bewerber erhoben wurden – und damit beginnt die Löschpflicht (Art. 17 Abs. 1 lit. a DSGVO). So klar das Prinzip ist, so unklar ist vielen die Frist. Denn es gibt ein legitimes Gegeninteresse: Ein abgelehnter Bewerber kann Ansprüche wegen Benachteiligung geltend machen, und dafür sieht das Gleichbehandlungsgesetz eine Frist von zwei Monaten vor (§ 21 Abs. 5 AGG). Solange solche Ansprüche möglich sind, darf der Vermieter die Unterlagen aufbewahren, um sich verteidigen zu können – gestützt auf sein berechtigtes Interesse.

Daraus ergibt sich als vertretbare Praxis: Absage dokumentieren, Unterlagen für die Dauer der Geltendmachungsfrist zuzüglich eines Sicherheitspuffers aufbewahren, danach löschen – und diesen Ablauf einheitlich für alle Verfahren festlegen. Entscheidend ist, dass die Löschung tatsächlich stattfindet und nicht dem Zufall überlassen bleibt: Ein wiederkehrender Kalendereintrag genügt im Zweifel; besser ist ein Ablauf, der die Löschung fest vorsieht.

Bis dahin gilt die Pflicht zur sicheren Aufbewahrung (Art. 32 DSGVO). In Papierform heißt das: verschlossener Schrank, kein Zugriff Unbefugter. Digital heißt es: Zugriffsbeschränkung, aktuelle Systeme und ein Speicherort, der die europäischen Anforderungen erfüllt – bei Cloud-Diensten also vorzugsweise Server in der EU und ein Auftragsverarbeitungsvertrag mit dem Anbieter. Das private E-Mail-Postfach, in dem Bewerbungen jahrelang liegen bleiben, ist der praktische Normalfall und zugleich der klarste Verstoß.

Die Rechte der Betroffenen: Auskunft, Berichtigung, Löschung

Jeder Bewerber kann von Ihnen Auskunft verlangen, welche Daten Sie über ihn verarbeiten (Art. 15 DSGVO) – und Sie müssen innerhalb eines Monats vollständig antworten (Art. 12 Abs. 3 DSGVO). Daneben stehen die Rechte auf Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO) sowie das Recht, sich bei der Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Auskunftsersuchen sind in den letzten Jahren spürbar häufiger geworden, nicht selten im Nachgang gescheiterter Bewerbungen und mitunter als Druckmittel. Umso wichtiger ist, sie nüchtern und fristgerecht zu behandeln: Eingang notieren, Identität des Anfragenden klären, vollständige Auskunft erteilen, Vorgang dokumentieren. Wer seine Datenhaltung im Griff hat – ein Verfahren, ein Speicherort, klare Löschroutine –, beantwortet ein Auskunftsersuchen in einer halben Stunde. Wer Bewerbungen über Jahre in Postfächern und Ordnern verstreut hat, steht vor einem Problem, das nicht das Auskunftsrecht geschaffen hat, sondern die eigene Ablage.

Wenn etwas schiefgeht: Verstöße, Bußgelder, Aufsichtsbehörde

Der Bußgeldrahmen der DSGVO reicht bis 20 Millionen Euro oder vier Prozent des Jahresumsatzes (Art. 83 Abs. 5 DSGVO) – Zahlen, die in der Berichterstattung für Aufmerksamkeit sorgen, die reale Aufsichtspraxis gegenüber Vermietern und kleinen Büros aber nicht abbilden. Dort dominieren anlassbezogene Prüfungen nach Beschwerden einzelner Bewerber, und am Anfang steht in aller Regel ein Auskunftsverlangen der Behörde, kein Bescheid. Dass die Immobilienwirtschaft im Fokus stehen kann, hat der Fall eines großen Wohnungsunternehmens gezeigt, gegen das wegen unzureichender Löschkonzepte ein hohes Bußgeld verhängt wurde (Fall Deutsche Wohnen).

Meldet sich die Aufsichtsbehörde, gilt: Fristen ernst nehmen, sachlich und vollständig antworten, kooperieren (Mitwirkungspflicht, Art. 31 DSGVO) – und nichts nachträglich verändern.

Checkliste: DSGVO-Grundausstattung für Ihre Vermietungspraxis

• Datenschutzinformation nach Art. 13 DSGVO erstellt und in jeden Erstkontakt eingebunden
• Erhebung nach dem Phasenmodell: Kontaktdaten – Selbstauskunft – Nachweise erst vor Vertragsschluss
• Keine Abfrage besonderer Kategorien (Gesundheit, Religion, Herkunft u. a.)
• Bonitätsauskunft nur vom Bewerber, der den Zuschlag erhalten soll
• Rollen geklärt: Wer ist Verantwortlicher, wer Auftragsverarbeiter, welche Verträge bestehen?
• Makler: Weitergabe an den Eigentümer auf den Zuschlags-Kandidaten beschränkt
• Ein definierter Speicherort mit Zugriffsbeschränkung; keine Bewerbungen in privaten Postfächern
• Feste Löschroutine für abgelehnte Bewerber inkl. dokumentierter Frist
• Ablauf für Auskunftsersuchen festgelegt (Zuständigkeit, Monatsfrist)

Häufige Fragen

Darf ich eine Kopie des Personalausweises verlangen?

Im Regelfall nicht. Zur Identitätsprüfung genügt die Vorlage des Ausweises; notieren Sie lediglich, dass die Identität geprüft wurde. Eine Kopie ist nach § 20 Abs. 2 PAuswG mit Zustimmung des Inhabers zwar erlaubt, für das Mietverhältnis aber nicht erforderlich (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO) – Name, Geburtsdatum und Anschrift ergeben sich bereits aus der Selbstauskunft. Ausnahmen: Vertragsschluss ohne persönliche Begegnung sowie die Identifizierungspflicht des Geldwäschegesetzes für Makler. Dann Kopie auf die benötigten Angaben beschränken und Übriges schwärzen.

Wie lange darf ich die Unterlagen abgelehnter Bewerber aufbewahren?

Nur so lange, wie ein legitimer Zweck besteht. Wegen möglicher Ansprüche nach dem AGG ist eine Aufbewahrung für die Dauer der zweimonatigen Geltendmachungsfrist zuzüglich Puffer vertretbar (§ 21 Abs. 5 AGG); danach ist zu löschen. Als adäquater Puffer gelten allgemeinhin zwei Monate, also insgesamt vier Monate Aufbewahrung.

Brauche ich als privater Vermieter einen Datenschutzbeauftragten?

In aller Regel nein. Die Benennungspflicht knüpft unter anderem an die Zahl der mit der Verarbeitung beschäftigten Personen an (Art. 37 DSGVO i. V. m. § 38 BDSG – Schwelle: i. d. R. 20 Personen), die bei privaten Vermietern und kleinen Büros nicht erreicht wird. Die übrigen Pflichten der DSGVO gelten unabhängig davon.

Darf ich von allen Besichtigungsteilnehmern eine Schufa-Auskunft verlangen?

Nein. Bonitätsauskünfte sind erst zulässig, wenn der Vertragsschluss mit einem konkreten Bewerber unmittelbar bevorsteht – nicht als Vorab-Filter für den gesamten Bewerberkreis.

Gilt das alles auch für eine einzige vermietete Eigentumswohnung?

Ja. Die Vermietung ist eine wirtschaftliche Tätigkeit; die Haushaltsausnahme der DSGVO greift nicht. Der Umfang der Pflichten ist bei einer Wohnung derselbe wie bei zwanzig – nur der Aufwand ist kleiner.