Viele befristete Mietverträge enden im Spätherbst, deshalb steht für zahlreiche Kleinvermieter jetzt die Suche nach einem neuen Mieter an. Sie schalten die Anzeige, die Anfragen kommen, und schon bald haben Sie einen Ordner voller fremder Lebensgeschichten: Gehaltsabrechnungen, Kontoauszüge, Ausweisfotos, Nachrichten über Kinder und Arbeitsstellen.

Das meiste davon haben Sie nie gebraucht. Nach der DSGVO, die auch dann für Sie gilt, wenn Sie nur eine einzige Wohnung vermieten, ist ein Vermieter, der personenbezogene Daten von Bewerbern erhebt, der Verantwortliche für diese Daten. Das heißt: Sie erheben nur, was Sie für einen klaren Zweck brauchen, bewahren es sicher auf und löschen es, wenn der Zweck entfallen ist. Die gute Nachricht: Wer das richtig macht, hat am Ende weniger Papierkram, nicht mehr.

Dieser Leitfaden geht Phase für Phase vor. Er beruht auf der DSGVO, wie sie in der gesamten EU gilt, mit Hinweisen zu Großbritannien und Irland. Die nationalen Regeln unterscheiden sich; klären Sie Unklares bitte mit Ihrer Datenschutzbehörde oder einem Rechtsanwalt.

Phase 1: Erstanfrage und Besichtigung

Jetzt sprechen Sie mit Menschen, Sie wählen noch nicht zwischen ihnen. Sie müssen nur antworten können und wissen, wer zur Besichtigung kommt.

Was Sie fragen dürfen: Name, Telefonnummer oder E-Mail-Adresse, vielleicht den gewünschten Einzugstermin und die Zahl der Personen, die einziehen würden.

Was Sie noch nicht fragen sollten: Ausweiskopien, Kontoauszüge, Gehaltsabrechnungen, Angaben zum Arbeitgeber, Ausweis- oder Steuernummern.

Die irische Datenschutzbehörde (Data Protection Commission, DPC) hat sich dazu klar geäußert. In ihrer Orientierungshilfe zur Anforderung personenbezogener Daten von Mietinteressenten stellt sie fest, dass Vermieter in der Bewerbungsphase oft viele Angaben von vielen Interessenten sammeln, „von denen die überwältigende Mehrheit am Ende nicht Mieter wird“. Ihre Auffassung: Detaillierte Angaben sind meist erst nötig, wenn Sie sich für einen bevorzugten Mieter entschieden haben. Schon 2014 hatte sie keine Grundlage dafür gesehen, bei der Besichtigung Bankdaten, PPS-Nummern und Nebenkostenabrechnungen zu verlangen, und sie hat erklärt, Vermieter sollten vor Vertragsunterzeichnung weder Fotos noch PPS-Nummern verlangen (Bericht der Irish Times). Diese Hinweise stammen aus Irland, aber der Grundsatz dahinter, die Datenminimierung, steht überall in der DSGVO.

Phase 2: der ernsthafte Interessent

Hat jemand die Wohnung gesehen, will sie haben und kommt für Sie ernsthaft in Frage, dürfen Sie vernünftigerweise zwei Dinge prüfen: Kann die Person die Miete zahlen, und wie lief das letzte Mietverhältnis?

  • Zahlungsfähigkeit. Die DPC hält es für angemessen, Unterlagen zu verlangen, die belegen, dass der Bewerber die Miete zahlen kann. Das kann eine aktuelle Gehaltsabrechnung sein, ein Arbeitsvertrag oder bei Selbstständigen ein aktueller Steuerbescheid. Wenn Sie Kontoauszüge möchten, brauchen Sie nicht jede Buchung: Laut DPC genügte ein Auszug mit den laufenden Kontoständen, aus dem die Einzelbuchungen entfernt waren. Bitten Sie Bewerber, alles zu schwärzen, was Sie nicht brauchen.
  • Auskunft des Vormieters bzw. früheren Vermieters. Ein kurzer Anruf oder eine E-Mail an den früheren Vermieter, mit Wissen des Bewerbers, ist meist die nützlichste Prüfung. Fragen Sie nach pünktlicher Mietzahlung, dem Zustand der Wohnung bei Auszug und ob er an diese Person wieder vermieten würde. Lassen Sie sich den Kontakt vom Bewerber nennen; recherchieren Sie ihn nicht selbst.

Ein Punkt, der viele Vermieter überrascht: Die Einwilligung ist hier meist die falsche Rechtsgrundlage. Die DPC weist darauf hin, dass wegen des Ungleichgewichts zwischen einem Vermieter und jemandem, der eine Wohnung braucht, eine Einwilligung kaum freiwillig erfolgt. Diese Prüfungen stützen sich normalerweise auf vorvertragliche Maßnahmen oder auf Ihr berechtigtes Interesse, und genau deshalb müssen sie verhältnismäßig bleiben.

In manchen Ländern ist es üblich, dass Mieter ein Standarddokument vorlegen, etwa eine Auskunft einer nationalen Kreditauskunftei. Ob und wie Sie danach fragen dürfen, hängt von der örtlichen Praxis ab; informieren Sie sich dazu für Ihr Land.

Phase 3: der Vertragsabschluss

Jetzt brauchen Sie genug Angaben, um die Parteien richtig zu identifizieren und das Mietverhältnis durchzuführen:

  • vollständiger Name und aktuelle Anschrift jedes erwachsenen Mieters,
  • die Identifikationsangaben, die in Ihrem Land in einem Mietvertrag üblich sind (in Ungarn enthalten Verträge beispielsweise üblicherweise Geburtsdatum und -ort sowie den Mädchennamen der Mutter),
  • Kontaktdaten,
  • das Bankkonto, von dem die Miete kommt, falls es für die Zuordnung der Zahlungen nützlich ist,
  • eine Notfallkontaktperson, falls der Mieter eine angeben möchte.

Auch alles, was das Gesetz verlangt, etwa eine Meldung des Mietverhältnisses oder steuerliche Meldepflichten in Ihrem Land, dürfen Sie in dieser Phase erheben, denn dann ist Ihre Rechtsgrundlage eine rechtliche Verpflichtung.

Tabu in jeder Phase

Manche Dinge sollten Sie gar nicht erfragen oder ausforschen:

  • Gesundheit, Religion, ethnische Herkunft, politische Meinung, sexuelle Orientierung. Das sind besondere Kategorien personenbezogener Daten nach Artikel 9 der DSGVO, und in vielen Ländern kann die Frage danach bei der Mieterauswahl zudem eine Diskriminierung sein.
  • Soziale Medien. Wer die Profile eines Bewerbers durchstöbert, erhebt Daten, die er nicht braucht, und stößt genau auf die oben genannten Informationen. Lassen Sie es sein.
  • Strafregister. Nach Artikel 10 der DSGVO dürfen Daten über strafrechtliche Verurteilungen nur unter behördlicher Aufsicht oder dann verarbeitet werden, wenn das nationale Recht dies ausdrücklich erlaubt. In vielen Ländern hat ein privater Vermieter keine solche Erlaubnis. Verlangen Sie daher kein Führungszeugnis, solange Sie nicht geprüft haben, dass das Recht Ihres Landes es zulässt.

Ansehen, nicht kopieren: der Ausweis

Beim Vertragsabschluss möchten Sie vielleicht einen Ausweis sehen, um sicherzugehen, dass die Person vor Ihnen die im Vertrag genannte ist. Sehen Sie ihn an, vergleichen Sie die Angaben mit dem Vertrag und geben Sie ihn zurück. Fotokopieren oder fotografieren Sie ihn nicht.

Das geht auf die allgemeine Position der ungarischen Behörde NAIH zurück. In ihrer Stellungnahme zur Anfertigung von Dokumentenkopien (NAIH/2018/3654) heißt es, dass das Vorzeigen eines Lichtbildausweises der richtige Weg zur Identitätsfeststellung ist, dass eine Kopie nichts über die Gültigkeit des Originals aussagt und dass das Aufbewahren von Kopien gegen die Zweckbindung und die Datenminimierung verstößt. Die NAIH hat entschieden, dass das Kopieren von Ausweisdokumenten ohne besondere Rechtsgrundlage rechtswidrig ist, auch wenn die Person einwilligt, und hat Organisationen, die es dennoch taten, mit Bußgeldern belegt. Über private Vermieter hat die NAIH nicht ausdrücklich entschieden; das ist also unsere Schlussfolgerung, aber es ist schwer ersichtlich, warum ein Vermieter anders behandelt werden sollte als eine Bank oder ein Arbeitgeber. Andere EU-Behörden verfolgen im Allgemeinen einen ähnlich zurückhaltenden Ansatz.

Die Ausnahme in Großbritannien. In England müssen Vermieter Right-to-Rent-Prüfungen durchführen und Kopien der Dokumente oder die Online-Prüfung für die Dauer des Mietverhältnisses und mindestens ein weiteres Jahr aufbewahren. Das ist eine rechtliche Verpflichtung, daher ist das Kopieren dort zulässig. Sie gilt nur für England und nur für die Dokumente und Schritte, die die Prüfung verlangt.

Ein kurzer Datenschutzhinweis

Bewerber sollten bei der Erhebung erfahren, was Sie erheben und warum. Für einen Kleinvermieter genügen ein paar Zeilen in der Anzeige oder eine kurze Nachricht nach der Besichtigung:

Ich verwende Ihre Kontaktdaten, um die Besichtigung zu vereinbaren und mich bei Ihnen zu melden. Wenn wir weitermachen, bitte ich Sie um einen Einkommensnachweis und den Kontakt Ihres bisherigen Vermieters. Falls Sie nicht ausgewählt werden, lösche ich Ihre Angaben innerhalb eines Monats, nachdem die Wohnung vermietet ist. Sie können jederzeit Auskunft darüber verlangen, welche Daten ich über Sie gespeichert habe, oder deren Löschung fordern.

Ergänzen Sie Ihren Namen und Ihre Kontaktdaten und nennen Sie die Datenschutzbehörde als Beschwerdestelle. In Großbritannien prüfen Sie auf der ICO-Website, ob Sie die Datenschutzgebühr zahlen müssen.

Sicher aufbewahren

  • Bewahren Sie alles an einem Ort auf, nicht verteilt auf Handy, zwei Postfächer und eine Küchenschublade.
  • Nutzen Sie ein starkes Passwort und die Zwei-Faktor-Anmeldung für E-Mail und Cloud-Speicher.
  • Schließen Sie Papierunterlagen weg und schreddern Sie sie, wenn Sie sie nicht mehr brauchen.
  • Leiten Sie Unterlagen von Bewerbern nicht an Personen weiter, die sie nicht benötigen.

Haben Sie sich entschieden, kann LeasingTrack für Ordnung sorgen: Sie laden den neuen Mieter per E-Mail ein, und er sieht nur seinen eigenen Mietvertrag, nicht Ihre anderen Immobilien oder andere Bewerber.

Löschen, was Sie nicht mehr brauchen

Abgelehnte Bewerber. Sobald die Wohnung vermietet und der neue Mietvertrag unterschrieben ist, haben Sie keinen Grund mehr, die Gehaltsabrechnungen oder Referenzen der übrigen Bewerber aufzubewahren. Die DPC sagt, diese Daten sollten sicher entsorgt werden. Die DSGVO nennt keine feste Zahl von Tagen; einige Wochen nach der Unterzeichnung sind eine vernünftige und gut vertretbare Gewohnheit. Löschen Sie auch E-Mails samt Anhängen und schauen Sie in Ihren Download-Ordner.

Der gewählte Mieter. Bewahren Sie den Mietvertrag und die Zahlungsnachweise für die Dauer des Mietverhältnisses und so lange auf, wie Sie sie danach für steuerliche oder rechtliche Ansprüche brauchen könnten. Diese Fristen hängen vom jeweiligen Land ab (in Ungarn beträgt beispielsweise die allgemeine Verjährungsfrist für zivilrechtliche Ansprüche fünf Jahre). Gehaltsabrechnungen und Kontoauszüge aus der Bewerbungsphase haben mit der Unterzeichnung des Mietvertrags ihren Zweck erfüllt, daher können Sie sie dann in der Regel löschen.

Kurz zusammengefasst

  1. Besichtigung: Name und Kontaktdaten.
  2. Ernsthafter Interessent: Einkommensnachweis und Auskunft des früheren Vermieters.
  3. Vertragsabschluss: was der Vertrag und das Gesetz verlangen.
  4. Nie: Gesundheit, Religion, sexuelle Orientierung, soziale Medien und in vielen Ländern auch Strafregister.
  5. Ausweis ansehen, nicht kopieren, es sei denn, ein Gesetz wie das englische Right to Rent verlangt es.
  6. Informieren Sie die Leute über Ihr Vorgehen, bewahren Sie die Daten sicher auf und löschen Sie, was Sie nicht mehr brauchen.

Dies ist ein allgemeiner Leitfaden, keine Rechtsberatung. Wenn Ihre Situation ungewöhnlich ist, wenden Sie sich an Ihre Datenschutzbehörde oder an einen Rechtsanwalt.