August 4, 2026
Fachwissen für professionelle Vermieter
Problem: Mieter-, Bewerber- und Eigentümerdaten liegen in Excel-Tabellen, gemeinsamen E-Mail-Postfächern und lokalen Netzlaufwerken, ohne dass jemand belegen kann, wo welche Daten liegen und wann sie gelöscht werden.
Ursache: Der häufigste Ausgangspunkt für Probleme ist nicht Fahrlässigkeit, sondern fehlende Struktur, denn ohne definierte Abläufe für die Datenhaltung lassen sich Datenschutzpflichten nicht systematisch erfüllen.
These: DSGVO-Compliance in der Hausverwaltung ist kein Einmalprojekt, das man mit einem Datenschutzbeauftragten abhakt, sondern eine permanente Prozessfrage.
EverReal Redaktion, Insights aus der Praxis von 350+ Immobilienunternehmen. Zuletzt aktualisiert: Juli 2026.
Welche DSGVO-Pflichten für Hausverwaltungen gelten
Direkte Antwort: Hausverwaltungen verarbeiten täglich personenbezogene Daten von Mietern, Bewerbern und Eigentümern und sind damit vollständig an die DSGVO gebunden. Pflichten umfassen: Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO), technische und organisatorische Schutzmaßnahmen (Art. 32), Löschkonzept nach Vertragsende sowie schriftliche Auftragsverarbeitungsverträge mit externen Dienstleistern.
Warum DSGVO in der Hausverwaltung oft unterschätzt wird
Eine Excel-Tabelle mit Mietinteressenten, E-Mails mit Gehaltsnachweisen im gemeinsamen Postfach, Besichtigungsprotokolle auf dem lokalen Netzlaufwerk. Diese Situation ist in vielen Verwaltungsbüros normal. Sie ist auch ein DSGVO-Risiko, das regelmäßig übersehen wird.
Das liegt an einem weit verbreiteten Missverständnis: DSGVO wird als Thema der großen Unternehmen wahrgenommen, als etwas für Konzerne mit Datenschutzabteilungen. Tatsächlich gilt sie für jede Organisation, die personenbezogene Daten verarbeitet, und eine Hausverwaltung mit 200 Einheiten verarbeitet täglich Dutzende solcher Datensätze. Mieterdaten, Bewerberdaten, Eigentümerdaten, Handwerkerdaten, Besichtigungsprotokolle: all das fällt unter die DSGVO.
Der häufigste Ausgangspunkt für Probleme ist nicht Fahrlässigkeit, sondern fehlende Struktur. Wer keine definierten Abläufe für die Datenhaltung hat, kann Datenschutzpflichten auch nicht systematisch erfüllen. DSGVO-Compliance in der Hausverwaltung ist kein Einmalprojekt, das man mit einem Datenschutzbeauftragten abhakt, sondern eine permanente Prozessfrage.
Die fünf zentralen DSGVO-Pflichten für Immobilienverwalter
1. Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
Jede Hausverwaltung muss dokumentieren, welche personenbezogenen Daten sie zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange speichert. Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist keine optionale Empfehlung, sondern eine gesetzliche Pflicht nach Art. 30 DSGVO.
Für eine Hausverwaltung umfasst das in der Regel mindestens: Mieterbewerbungen und deren Selektion, laufende Mietverhältnisse inklusive Zahlungsdaten, Eigentümerkommunikation, Interessentenlisten, Handwerker- und Dienstleisteraufträge sowie Besichtigungsunterlagen. Jede dieser Kategorien muss im VVT mit Zweck, Rechtsgrundlage, Empfängern und Löschfrist beschrieben sein.
2. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Art. 32 DSGVO verpflichtet Verantwortliche, dem Stand der Technik entsprechende Sicherheitsmaßnahmen zu treffen. Für Hausverwaltungen bedeutet das konkret: Zugriffsrechte, die auf das jeweils Notwendige beschränkt sind (Mitarbeiter sehen nur Daten ihrer eigenen Objekte), Verschlüsselung bei der Übertragung sensibler Dokumente, Datentrennung bei Systemwechseln sowie Schutz vor unbefugtem Zugriff auf physische Unterlagen.
Ein freigegebenes Netzlaufwerk ohne Zugriffssteuerung, auf das alle Mitarbeitenden zugreifen können, erfüllt diese Anforderungen in der Regel nicht. Das Gleiche gilt für ein gemeinsames E-Mail-Postfach, in dem Mietunterlagen mit Bonitätsnachweisen landen.
3. Löschkonzept nach Vertragsende (Art. 17 DSGVO)
Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Nach Art. 17 DSGVO besteht ein Recht auf Löschung, sobald der Zweck der Speicherung entfällt. Gleichzeitig bestehen handels- und steuerrechtliche Aufbewahrungsfristen, die eine sofortige Löschung verbieten können.
Für die Praxis einer Hausverwaltung ergeben sich daraus konkrete Fristen:
- Mietvertragsunterlagen: 10 Jahre nach Vertragsende, aufgrund der handelsrechtlichen Aufbewahrungspflicht nach §257 HGB.
- Mietkorrespondenz: 3 Jahre nach Ende des Mietverhältnisses, orientiert an der regelmäßigen Verjährungsfrist nach §195 BGB.
- Bewerberdaten nach Absage: Grundsätzlich sind diese nach Abschluss des Auswahlverfahrens zu löschen. In der Praxis wird eine Frist von drei Monaten nach Absage als angemessen angesehen, um eventuelle Ansprüche nach dem AGG abwehren zu können.
Ein Löschkonzept ist nicht eine Liste von Fristen, sondern ein dokumentierter Prozess, der sicherstellt, dass Daten zum richtigen Zeitpunkt tatsächlich gelöscht werden. Diesen Prozess zu manualisieren, also in Einzelschritten an Personen zu delegieren, ist fehleranfällig. Die revisionssichere Dokumentation in der Hausverwaltung setzt voraus, dass Aufbewahrungsfristen systemseitig abgebildet und nicht aus dem Gedächtnis gemanagt werden.
4. Auftragsverarbeitungsverträge mit externen Dienstleistern (Art. 28 DSGVO)
Wer personenbezogene Daten an externe Dienstleister weitergibt, muss nach Art. 28 DSGVO einen schriftlichen Auftragsverarbeitungsvertrag (AVV) abschließen. Das betrifft Hausverwaltungen breiter als oft angenommen: Mieterkommunikationsportale, Immobilienportale (soweit Bewerberdaten übermittelt werden), externe Buchhaltungsdienstleister, Handwerksunternehmen, die Zutritt zu Wohnungen erhalten und Protokolle erstellen, sowie Anbieter der eingesetzten Verwaltungssoftware.
Fehlt ein AVV, liegt eine Datenschutzverletzung vor, unabhängig davon, ob tatsächlich ein Schaden entstanden ist. Die Aufsichtsbehörden prüfen das Vorhandensein von AVVs regelmäßig.
5. Auskunftsrecht (Art. 15 DSGVO)
Mieter, Bewerber und Eigentümer haben das Recht, Auskunft darüber zu verlangen, welche personenbezogenen Daten über sie gespeichert sind, zu welchem Zweck und an wen sie weitergegeben wurden. Nach Art. 15 DSGVO muss diese Auskunft innerhalb eines Monats erteilt werden.
Ohne dokumentierten Prozess für den Umgang mit Auskunftsanfragen ist diese Frist kaum zuverlässig einzuhalten. Wer erst bei Eingang einer Anfrage beginnt zu suchen, wo welche Daten der betroffenen Person gespeichert sind, verliert schnell Zeit. Ein definierter Ablauf, wer die Anfrage entgegennimmt, welche Datenkategorien abzufragen sind und wer die Antwort freigibt, ist Bestandteil einer DSGVO-konformen Datenhaltung.
Wie gut ist Ihre Verwaltung gegen manuelle Compliance-Risiken aufgestellt? POV-Paper "Warum manuelle Compliance nicht trägt" herunterladen und die eigene Situation einschätzen.
Der häufigste Fehler: Mieterdaten im E-Mail-Postfach statt im System
Der typische Ablauf bei Mieterbewerbungen sieht in vielen Verwaltungen so aus: Interessenten schicken Unterlagen per E-Mail. Die E-Mail landet im gemeinsamen Postfach. Die Sachbearbeiterin druckt die Unterlagen aus oder legt sie in einem lokalen Ordner ab. Nach der Entscheidung wird die Absage ebenfalls per E-Mail verschickt. Die Unterlagen bleiben im Posteingang.
Dieser Ablauf erzeugt vier parallele Datenspeicherorte: das E-Mail-Postfach, den lokalen Ordner, den Drucker-Output und das Gedächtnis der Sachbearbeiterin. Keiner dieser Orte ist im VVT erfasst, kein Löschzeitpunkt ist definiert, kein Zugriffsrecht ist gesteuert. Das ist kein Ausnahmezustand, sondern die Regel in Betrieben ohne strukturierte Datenhaltung.
Das Problem ist nicht die E-Mail als Kommunikationsweg, sondern die E-Mail als Ablagesystem. Sobald personenbezogene Daten dauerhaft in E-Mail-Postfächern verbleiben, entsteht ein Datensilo, der weder den Anforderungen aus Art. 30 noch aus Art. 17 DSGVO genügt.
Struktur schlägt Wissen
DSGVO-Compliance ist in der Praxis keine Frage des Wissens, sondern eine Frage der Struktur. Wer weiß, welche Löschfristen gelten, aber keinen Prozess hat, der sie durchsetzt, wird dennoch gegen die DSGVO verstoßen, weil einzelne Mitarbeitende Ausnahmen machen, Unterlagen vergessen oder im Arbeitsalltag andere Prioritäten setzen.
Die Lücke systemseitig schließen
Ein geführtes Workflow-System kann diese Lücke strukturell schließen: Bewerberdaten werden an einem definierten Ort erfasst und nicht per E-Mail verteilt. Löschfristen sind systemseitig hinterlegt. Zugriffsrechte sind nach Rolle definiert. Auskunftsanfragen folgen einem dokumentierten Ablauf.
Strukturelle Grundlage statt Einzelsorgfalt
Das bedeutet nicht, dass jede Compliance-Anforderung automatisch erfüllt ist. Es bedeutet, dass die strukturelle Grundlage für DSGVO-konforme Datenhaltung vorhanden ist, und dass sie nicht allein von der Sorgfalt einzelner Mitarbeitender abhängt. Einen prüffähigen Vermietungsprozess einzurichten, der DSGVO-konform gestaltet ist, setzt diese strukturelle Grundlage voraus.
Verpassen Sie keine News mehr!
Abonnieren Sie unseren EverReal-Newsletter und erhalten Sie einmal im Monat die wichtigsten News rund um die Immobilienbranche und EverReal bequem in Ihr Postfach. Jetzt anmelden!
Vielen Dank für Ihre Anmeldung!
Es ist ein Fehler aufgetreten. Bitte versuchen Sie es später nochmal.
Fazit
DSGVO-Pflichten in der Hausverwaltung sind kein bürokratisches Add-on. Sie sind eine direkte Konsequenz daraus, dass täglich personenbezogene Daten von Mietern, Bewerbern und Eigentümern verarbeitet werden. Das Verzeichnis der Verarbeitungstätigkeiten, Löschkonzepte, Auftragsverarbeitungsverträge und ein dokumentierter Ablauf für Auskunftsanfragen sind keine optionalen Maßnahmen, sondern gesetzliche Anforderungen.
Der erste Schritt ist nicht ein Datenschutzprojekt, sondern eine Bestandsaufnahme: Wo liegen aktuell welche personenbezogenen Daten? Wer hat Zugriff? Welche Löschfristen gelten und wer ist dafür verantwortlich, dass sie eingehalten werden? Diese vier Fragen zu beantworten, ist der Einstieg in eine DSGVO-konforme Datenhaltung.
POV-Paper "Warum manuelle Compliance nicht trägt" herunterladen | Demo anfragen
Ergänzender Hinweis: Bonitätsprüfung und DSK-Orientierungshilfe V2
Ein Spezialfall innerhalb der DSGVO-Anforderungen betrifft die Mieterauswahl: Welche Daten dürfen wann im Bewerbungsprozess angefragt werden? Die Datenschutzkonferenz (DSK) hat im Januar 2026 eine aktualisierte Orientierungshilfe (Version 2) veröffentlicht, die eine Stufenlogik für die Datenerhebung bei Mieterbewerbungen definiert. Daten wie Gehaltsnachweis und Schufa-Auskunft dürfen demnach erst ab einem bestimmten Stadium des Auswahlprozesses angefragt werden.
Für die DSGVO-konforme Archivierung dieser Unterlagen gelten dieselben Grundsätze wie für alle anderen Bewerberdaten: Speicherung nur solange notwendig, Löschung nach Abschluss des Verfahrens, kein Verbleib in E-Mail-Postfächern. Details zur datenschutzkonformen Umsetzung der Bonitätsprüfung nach den Vorgaben der DSK-Orientierungshilfe V2 finden sich im Artikel Bonitätsprüfung bei der Mieterauswahl.
Wir geben keine Rechtsberatung. Rechtliche Einzelfragen klären Immobilienverwalter am besten mit einem Fachanwalt oder ihrem Verband (VDIV, IVD).
F: Müssen Hausverwaltungen einen Datenschutzbeauftragten benennen?
A: Die Pflicht zur Benennung eines Datenschutzbeauftragten (DSB) ergibt sich aus Art. 37 DSGVO und richtet sich nach bestimmten Kriterien, nicht nach der Unternehmensgröße allein. Private Unternehmen müssen einen DSB benennen, wenn sie umfangreiche systematische Überwachung von Personen durchführen oder besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten) in großem Umfang verarbeiten. Hausverwaltungen fallen in der Regel nicht automatisch unter diese Pflicht. Ergänzend gilt jedoch das Bundesdatenschutzgesetz (BDSG): Nach §38 BDSG ist ein DSB zu benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unterhalb dieser Schwelle entfällt die gesetzliche Benennungspflicht, die empfohlene Praxis des Datenschutzes bleibt jedoch unverändert. Bei Unsicherheit empfiehlt sich die Rücksprache mit der zuständigen Aufsichtsbehörde des jeweiligen Bundeslandes.
F: Wie lange darf ich Bewerberdaten nach einer Absage speichern?
A: Nach Abschluss des Auswahlverfahrens und Versand der Absage entfällt der ursprüngliche Speicherzweck. Die DSGVO fordert die Löschung der Daten, sobald dieser Zweck nicht mehr besteht (Art. 17 DSGVO). In der Praxis wird eine Aufbewahrungsfrist von bis zu drei Monaten nach der Absage als vertretbar angesehen, da in diesem Zeitraum etwaige Ansprüche der Bewerber nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) geltend gemacht werden könnten und die Unterlagen zur Abwehr solcher Ansprüche benötigt werden. Nach Ablauf dieser Frist sind die Bewerberdaten vollständig zu löschen, auch aus E-Mail-Postfächern und lokalen Ordnern. Einer längeren Aufbewahrung fehlt die Rechtsgrundlage.
F: Was passiert bei einer DSGVO-Prüfung in der Hausverwaltung?
A: Datenschutzaufsichtsbehörden können Prüfungen aus eigener Initiative (anlasslos), auf Beschwerden von Betroffenen hin oder nach einer gemeldeten Datenpanne durchführen. Im Rahmen einer Prüfung verlangen die Behörden typischerweise Einsicht in das Verzeichnis der Verarbeitungstätigkeiten, Nachweise über abgeschlossene Auftragsverarbeitungsverträge, Dokumentation der technischen und organisatorischen Maßnahmen sowie Nachweise, wie mit Auskunftsersuchen umgegangen wurde. Fehlt das Verzeichnis oder können AVVs nicht vorgelegt werden, können Bußgelder verhängt werden. Diese richten sich nach Art. 83 DSGVO und können bei schwerwiegenden Verstößen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen. In der Praxis sind Bußgelder gegen kleine und mittelgroße Hausverwaltungen meist im niedrigen fünfstelligen Bereich angesiedelt, wenn Vorsatz ausgeschlossen und die Kooperationsbereitschaft hoch ist.
F: Brauche ich einen Auftragsverarbeitungsvertrag mit meiner Mietverwaltungssoftware?
A: Ja. Wenn ein Softwareanbieter im Auftrag einer Hausverwaltung personenbezogene Daten verarbeitet, also auf die Daten zugreifen kann, etwa für Wartung, Support oder Datenspeicherung in der Cloud, liegt eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor. In diesem Fall ist ein schriftlicher AVV zwingend erforderlich. Das gilt unabhängig davon, ob der Anbieter in Deutschland, der EU oder außerhalb der EU sitzt. Bei Anbietern außerhalb des EWR sind zusätzlich geeignete Garantien für den Datentransfer erforderlich (z.B. EU-Standardvertragsklauseln). Seriöse Softwareanbieter stellen einen AVV standardmäßig zur Verfügung. Fehlt dieser, sollte er aktiv angefordert werden, denn das Fehlen eines AVV stellt bereits eine eigenständige Datenschutzverletzung dar.
