DSGVO in der Vermietung: Praxistipps für die Umsetzung

Auf einen Blick

Die Datenschutz-Grundverordnung (DSGVO) stellt Immobilienverwalter vor besondere Herausforderungen: Das Erheben personenbezogener Daten ist ein fester Bestandteil des Kerngeschäfts, von Mietinteressenten über Eigentümer bis hin zu Bestandsmietern.

Seit 2018 wurden EU-weit Bußgelder in Milliardenhöhe verhängt. In der Immobilienbranche bewegen sich Strafen typischerweise im vier- bis fünfstelligen Bereich, hinzu kommen Anwaltskosten und Reputationsschäden. 2024 wurde etwa ein Immobilienmakler mit über 11.000 Euro belangt.

01. Häufige Fallstricke

Diese Verstöße passieren nicht aus böser Absicht, sondern aus Zeitdruck und Unwissenheit.

Ungeschützte E-Mail-Korrespondenz

Unverschlüsselte E-Mails sind für Dritte lesbar wie eine Postkarte. Finanzielle Verhältnisse, Vertragsdetails oder familiäre Situationen gehören nicht in eine normale E-Mail.

Preisgabe von E-Mail-Adressen an Dritte

Beim Weiterleiten von Standard-Antworten an neue Interessenten wird schnell vergessen, den vorherigen Adressaten zu entfernen. Der neue Empfänger erhält so ungewollt Informationen über andere Interessenten, ein klarer Datenschutzverstoß.

Zu viele Informationen anfordern

Ausführliche Online-Formulare und Fragenbögen vor der Besichtigung haben schon oft zu Ärger mit den Aufsichtsbehörden geführt. Die DSGVO verlangt Datenminimierung: Nur so viele Daten wie tatsächlich benötigt.

Erstellen Sie phasenspezifische Formulare. Die Übersicht im nächsten Kapitel dient als Richtschnur.

Ungefragter Newsletter-Versand

E-Mail-Werbung setzt grundsätzlich eine vorherige, ausdrückliche Einwilligung voraus (§ 7 UWG), und Sie müssen diese im Zweifel belegen können. Eine mündliche Zustimmung lässt sich dafür kaum sicher belegen. Üblich ist das Double-Opt-In: Der Klick auf den Bestätigungslink spricht dafür, dass die Anfrage tatsächlich von der angegebenen Adresse stammt. Dokumentieren Sie außerdem jede Einwilligung einzeln: welchen Text die Person gesehen hat, in welcher Version, wann und über welchen Weg.

Non-DSGVO-konformes Archivsystem

Archivsysteme, die keine Löschung vorsehen, widersprechen der DSGVO. Personenbezogene Daten müssen nach Ablauf der Aufbewahrungsfrist vollständig gelöscht werden können.

Erstellen Sie exakte Listen, welche Angaben in welchem Stadium erhoben werden dürfen und wie lange sie zu speichern sind. Nutzen Sie ein System mit automatischer Löschfristenverwaltung.

02. Was in den einzelnen Phasen erlaubt ist

Die Datenschutzkonferenz (DSK) unterscheidet in ihrer Orientierungshilfe zur Einholung von Selbstauskünften bei Mietinteressent:innen (Version 2.0, Januar 2026) bis zu drei Zeitpunkte: Besichtigungstermin, erklärte Mietabsicht, Entscheidung für eine bestimmte Person. Die folgende Übersicht ist eine vereinfachte Praxishilfe und ersetzt die Orientierungshilfe nicht.

Phase 1: Erstkontakt und Besichtigungstermin

Im Erstkontakt besteht noch kein Vertragsverhältnis. Die Datenerhebung dient der Anbahnung und muss sich auf das Nötigste beschränken.

Das ist erlaubt:

• Vorname, Nachname

• Anzahl der einziehenden Personen und Haustiere

• Bei schriftlichen Anfragen: Anschrift, Telefonnummer

• Bei Online-Anfragen: E-Mail-Adresse

Das ist nicht erlaubt:

• Anfertigen einer Ausweiskopie

• Kopie des Wohnberechtigungsscheins

• Auskünfte zu wirtschaftlichen Verhältnissen (Beruf, Immobilienbesitz etc.)

Phase 2: Interessenbekundung und Vertragsvorbereitung

Wenn ein Interessent sein Interesse an einem konkreten Objekt bekundet, dürfen im Rahmen „vorvertraglicher Maßnahmen“ weitergehende Auskünfte verlangt werden.

Jetzt zusätzlich erlaubt:

• Selbstauskunft des Interessenten

• Angaben zum Arbeitgeber und Einkommen

• Kopie des Wohnberechtigungsscheins (falls relevant)

Phase 3: Vertragsabschluss

Vor der rechtsverbindlichen Unterzeichnung darf jeder Vertragspartner die Richtigkeit der Angaben prüfen.

Jetzt zusätzlich erlaubt:

• Angaben zur Bankverbindung

• Ausweis zur Identitätsfeststellung

• SCHUFA-Score (nicht die vollständige Auskunft)

• Einkommensnachweis (z.B. Arbeitgeberbestätigung)

• Bürgschaftsverträge

Die vollständige SCHUFA-Auskunft enthält viele irrelevante Angaben. Der SCHUFA-Score genügt für den Vertragsabschluss.

03. KI und automatisierte Entscheidungen

Art. 22 DSGVO: Ein Thema, das 2026 relevanter denn je ist.

Mit dem zunehmenden Einsatz automatisierter Interessentenbewertung, Matching- und Scoring-Verfahren gewinnt Art. 22 DSGVO massiv an Bedeutung. Dieser Artikel gibt betroffenen Personen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden.

Was das für die Vermietung bedeutet:

• Automatisierte Absagen ohne menschliche Prüfung sind problematisch

• KI-basierte Scoring-Modelle müssen transparent und nachvollziehbar sein

• Betroffene haben ein Recht auf menschliche Überprüfung der Entscheidung

• Die Logik hinter automatisierten Entscheidungen muss dokumentiert werden

Bei EverReal bleibt die Auswahl beim Menschen. Das Matching bewertet Interessenten nach den Kriterien und Gewichtungen, die Sie festlegen, und zeigt das Ergebnis als Prozentwert. Die Entscheidung, wer die Wohnung bekommt, treffen immer Sie. Optional laden Sie Interessenten ab einem Prozentwert automatisch zur Besichtigung ein.

04. Knifflige Praxisfragen

Dilemmas zwischen eigenen Interessen und Datenschutz.

Provisionsanspruch des Maklers vs. DSGVO

Ein Makler möchte Kontaktdaten eines Interessenten speichern, um seinen Provisionsanspruch zu sichern. Erlaubt sind: Name, Anschrift bzw. E-Mail-Adresse, Daten, die zur Begründung des Provisionsanspruchs benötigt werden. Eine gute Dokumentation der Korrespondenz ist essenziell.

Effiziente Interessenten-Evaluation vs. DSGVO

Es ist verlockend, bereits vor der Besichtigung Angaben zu wirtschaftlichen Verhältnissen zu erfragen. Nach der Orientierungshilfe der DSK ist das vor der Besichtigung in aller Regel nicht erforderlich. Die Lösung: Stellen Sie im Online-Formular einfache, unverfängliche Fragen, die helfen, unpassende Interessenten vorab auszufiltern, ohne sensible Daten zu erheben.

Die Orientierungshilfe sieht die Selbstauskunft für den Zeitpunkt vor, zu dem ein Interessent seine Mietabsicht erklärt hat. Einkommensnachweise und Bonitätsauskünfte folgen erst nach der Entscheidung für eine bestimmte Person.

Datenspeicherung abgelehnter Interessenten

Daten abgelehnter Interessenten dürfen Sie nicht unbegrenzt speichern. Sie müssen die Interessenten aktiv um Einwilligung bitten, ihre Daten für künftige Angebote zu speichern, und bei fehlender Einwilligung löschen.

Der EverReal SmartPool löst genau dieses Problem: Interessenten können aktiv ihr Opt-In geben, um über passende Objekte informiert zu werden, DSGVO-konform und mit automatischer Löschfristenverwaltung.

05. Mit EverReal auf der sicheren Seite

Wie eine digitale Plattform die meisten Datenschutzprobleme löst.

EverReal, die Plattform für professionelle Vermietungsprozesse bei über 450 Immobilienunternehmen, löst die häufigsten DSGVO-Herausforderungen:

• Automatische Löschung: Kontakte, Interessenten und Bewerber werden nach den Fristen automatisch gelöscht, die Sie festlegen, zum Beispiel 48 Wochen für Kontakte, 12 Wochen für Interessenten und 24 Wochen für Bewerber (bei Interessenten und Bewerbern verlängerbar). Mieter- und Eigentümerdaten werden nicht automatisch gelöscht.

• Phasenspezifische Datenerhebung: Sie legen einmal fest, was vor und was nach der Besichtigung abgefragt wird. EverReal fragt in jeder Phase nur das ab, verschickt die Selbstauskunft auf Wunsch automatisch nach der Besichtigung und warnt bei Feldern, die vor der Besichtigung ein Datenschutzrisiko sind.

• Sichere Plattform: Hosting ausschließlich auf AWS Frankfurt (Rechenzentren nach ISO 27001), Verschlüsselung bei Übertragung und Speicherung.

• Opt-In-Management: Interessenten entscheiden selbst, welche Daten gespeichert bleiben

• Protokollierung: Freigaben werden mit Person und Zeitpunkt festgehalten, die Bestätigung zur Mietpreisbremse mit Datum und Uhrzeit im Prüfprotokoll. SCHUFA-Abfragen werden protokolliert, das Protokoll bleibt 12 Monate erhalten. Das Übergabeprotokoll wird digital unterschrieben; das Datum steht im Unterschriftsfeld.

• Entscheidung beim Menschen: Das Matching sortiert Interessenten nach Ihren Kriterien. Die Auswahl treffen Sie, nicht das System.

06. Was 2026 zusätzlich gilt

EU AI Act und verschärfte Aufsichtspraxis.

EU AI Act, Hochrisiko-Pflichten ab 2. 8. 2026

Der EU AI Act tritt gestaffelt in Kraft. Ab dem 2. August 2026 greifen die Kernpflichten für Hochrisiko-KI-Systeme. KI-gestütztes Mieter-Scoring oder automatisierte Bonitätsbewertung können unter Umständen als Hochrisiko­system nach Anhang III gelten, mit Pflichten zu Risiko­management, Daten-Governance, Transparenz und menschlicher Aufsicht. Bußgelder reichen bis 15 Mio. € bzw. 3 % des weltweiten Jahres­umsatzes.

Wer KI im Vermietungs­prozess einsetzt, sollte jetzt klassifizieren: Welche Systeme treffen Entscheidungen? Welche unterstützen nur? Die Antwort entscheidet über Dokumentations­ und Schulungspflichten.

Aufsichtspraxis 2025/2026

Die Orientierungshilfe der Datenschutzkonferenz (DSK) zur Einholung von Selbstauskünften bei Mietinteressent:innen (Version 2.0, Januar 2026) sieht eine gestufte Datenerhebung vor. Danach sind Angaben zu Einkommen und Bonität vor der Besichtigung in aller Regel nicht erforderlich. Die Orientierungshilfe ist rechtlich nicht bindend, gibt aber die Auffassung der Datenschutzaufsichtsbehörden des Bundes und der Länder wieder.

Dieser Leitfaden bietet eine kuratierte Übersicht zum Stand der Veröffentlichung und ersetzt keine Rechts­beratung. DSGVO-Auslegung, Aufsichts­praxis und die Übergangs­fristen des EU AI Act entwickeln sich laufend weiter; einzelne Punkte können unvollständig sein. Bitte verifizieren Sie alle für Ihre Entscheidung relevanten Aussagen über die verlinkten Original­quellen oder eine Fach­anwältin bzw. einen Fach­anwalt für IT-Recht.