Ist Ihr Mietvertrag für Geschäftsräume DSGVO-konform?

Ein Mietvertrag für Gewerberäume ist DSGVO-konform, sobald Sie transparent dokumentieren, welche personenbezogenen Daten Sie verarbeiten, auf welcher Rechtsgrundlage und wie lange Sie diese speichern. Als Vermieter verarbeiten Sie fast immer personenbezogene Daten: zur Vertragserstellung und -abwicklung, zur Überprüfung potenzieller Mieter und gegebenenfalls zur Zutrittsvergabe per Ausweis. Viele Standardverträge tragen dem nicht ausreichend Rechnung, wodurch Sie dem Risiko von Beschwerden, Reputationsschäden und Maßnahmen der niederländischen Datenschutzbehörde ausgesetzt sind.

Was bedeutet „DSGVO-konform“ für einen Mietvertrag?

DSGVO-Konformität bedeutet, dass die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Mietvertrag den Kernprinzipien der Datenschutz-Grundverordnung (DSGVO) entspricht. Es geht nicht um ein Siegel oder Zertifikat, sondern um nachvollziehbare Entscheidungen: Für jede Verarbeitungstätigkeit müssen Sie erklären können, warum Sie die Daten benötigen, worauf diese basieren und wie Sie sie sichern und speichern.

Personenbezogene Daten sind alle Daten, die sich auf eine identifizierbare Person beziehen: Name, E-Mail-Adresse, Telefonnummer, Foto und in vielen Fällen auch Finanzdaten. Sobald Sie diese Daten erfassen, organisieren oder speichern, erfolgt eine Verarbeitung, und die Bestimmungen der DSGVO finden Anwendung. Bitte beachten Sie: In der Praxis verarbeiten Sie beispielsweise auch bei der Vermietung an ein Unternehmen personenbezogene Daten, etwa die des Geschäftsführers, des Ansprechpartners oder von Mitarbeitern mit Zugangsberechtigung.

Warum verarbeitet ein Vermieter personenbezogene Daten?

Bei der Vermietung von Gewerbeflächen ist die Verwendung personenbezogener Daten unvermeidbar. Sie benötigen Namen, Kontaktdaten und häufig auch Finanzinformationen, um den Mietvertrag zu erstellen und abzuschließen. Darüber hinaus verarbeiten Sie Daten mitunter für folgende Zwecke:

• Überprüfung potenzieller Mieter, zum Beispiel eine Prüfung der Kreditwürdigkeit oder der Zahlungshistorie.
• Zugangskontrolle, beispielsweise durch einen persönlichen Ausweis mit Namen und Foto zum Betreten des Geländes.
• Management und Kommunikation während der Laufzeit des Mietvertrags, wie z. B. Wartungsbenachrichtigungen und Rechnungsstellung.

Jede Datenverarbeitungstätigkeit fällt unter die DSGVO. Das bedeutet, dass Sie für jede Datenverarbeitungstätigkeit erklären können müssen, warum Sie die Daten benötigen und auf welche Rechtsgrundlage Sie sich stützen.

Die drei Kernprinzipien für Vermieter

1. Eine gültige Grundlage

Sie dürfen personenbezogene Daten nur verarbeiten, wenn Sie eine Rechtsgrundlage dafür haben. Für den Abschluss und die Durchführung des Mietvertrags stützen Sie sich in der Regel auf die Rechtsgrundlage „erforderlich zur Vertragserfüllung“. Im Bereich Sicherheit und Zugangskontrolle kann ein berechtigtes Interesse als Rechtsgrundlage dienen, sofern dieses Interesse das Recht auf Privatsphäre der betroffenen Person überwiegt. Eine Einwilligung ist keinesfalls immer erforderlich und zudem umständlich: Der Mieter kann seine Einwilligung jederzeit widerrufen.

2. Datenminimierung

Fragen Sie nur nach, was wirklich nötig ist. Für einen Ausweis sind Name und Foto gerechtfertigt, sensible Daten wie Religion, Gesundheitszustand oder sexuelle Orientierung gehören jedoch nicht dorthin. Die Frage nach der Religion einer Person kann beispielsweise leicht den Anschein von Diskriminierung erwecken. Beschränken Sie sich auf die notwendigen Angaben.

3. Transparenz

Der Mieter muss im Voraus und kostenlos erfahren, was mit seinen Daten geschieht. Führen Sie eine Bonitätsprüfung durch? Dann erläutern Sie klar und deutlich, welche Daten Sie anfordern, warum, wie lange Sie diese speichern und was anschließend damit geschieht. In der Praxis fügen Sie hierfür eine Datenschutzklausel in den Mietvertrag ein und verweisen auf eine Datenschutzerklärung .

Praktisches Beispiel: Sicherheitskontrollen und Zugangsausweise

Angenommen, Sie vermieten ein Bürogebäude mit mehreren Mietern und möchten die Zahlungshistorie neuer Mieter überprüfen und ihnen einen Fotoausweis ausstellen. Für diese Überprüfung berufen Sie sich auf Ihr berechtigtes Interesse, Zahlungsausfälle zu verhindern. Sie fordern jedoch nur die hierfür notwendigen Daten an und informieren den Bewerber im Voraus über die Überprüfung. Das Foto des Ausweises wird nicht länger aufbewahrt, als der Mieter Zugang hat. Sollten Sie darüber hinaus Gesundheitsdaten oder eine Kopie des Reisepasses mit der Sozialversicherungsnummer anfordern, gehen Sie mit ziemlicher Sicherheit zu weit: Diese Daten sind nicht erforderlich, und als Vermieter dürfen Sie die Sozialversicherungsnummer in der Regel nicht einfach verarbeiten.

Ist immer die Zustimmung des Mieters erforderlich?

Nein. Ein weit verbreiteter Irrtum ist, dass für jede Datenverarbeitung eine Einwilligung eingeholt werden muss. Bei den meisten Datenverarbeitungen im Zusammenhang mit einem Mietvertrag stützen Sie sich tatsächlich auf die Rechtsgrundlagen „Vertragserfüllung“ oder „berechtigtes Interesse“. Dies ist praktischer, da die Einwilligung strengen Anforderungen unterliegt und jederzeit widerrufen werden kann.

Ungeachtet der Rechtsgrundlage gelten jedoch eine Reihe von Pflichten. So müssen Sie als Verantwortlicher für die Datenverarbeitung beispielsweise ein Verarbeitungsverzeichnis , aus dem hervorgeht, welche Daten Sie zu welchem ​​Zweck verarbeiten, welche Aufbewahrungsfristen Sie anwenden und welche Sicherheitsmaßnahmen Sie getroffen haben.

Wo liegen die Schwächen von Standardvertragsmustern?

In der Praxis zeigt sich, dass Mietverträge für Gewerbeimmobilien selten den Anforderungen der DSGVO entsprechen. Viele Vermieter verwenden nach wie vor ältere Standardverträge für Einzelhandels- oder Büroflächen, die vor Inkrafttreten der DSGVO erstellt wurden. Diese Vorlagen enthalten in der Regel keine oder eine veraltete Datenschutzklausel und sind daher in dieser Hinsicht praktisch unbrauchbar.

Nutzen Sie ein älteres Modell? Dann lassen Sie die Datenschutzbestimmungen überprüfen und gegebenenfalls ergänzen. Oftmals ist dies eine kleine Anpassung, die größere Probleme verhindert. Unsere Rechtsexperten prüfen Ihren Gewerbemietvertrag gerne für Sie.

Welche weiteren Pflichten gemäß DSGVO haben Sie als Vermieter?

Neben der Rechtsgrundlage, der Datenminimierung und der Transparenz haben Sie weitere Verpflichtungen:

• Sicherheit. Treffen Sie geeignete technische und organisatorische Maßnahmen. Achten Sie auf eine gute Systemzugriffssicherheit, lassen Sie keine Dateien mit personenbezogenen Daten ungeschützt herumliegen und überprüfen Sie regelmäßig, ob Ihre Sicherheitsvorkehrungen noch ausreichend sind.
• Meldepflicht bei Datenschutzverletzungen. Im Falle einer Datenschutzverletzung, die ein Risiko für betroffene Personen darstellt, müssen Sie dies der niederländischen Datenschutzbehörde melden, grundsätzlich unverzüglich und spätestens 72 Stunden nach Entdeckung der Verletzung. Bereits eine falsch adressierte E-Mail oder ein verlorener Laptop können eine Datenschutzverletzung darstellen.
• Datenverarbeitungsvereinbarung. Beauftragen Sie einen externen Dienstleister mit der Datenverarbeitung in Ihrem Namen (z. B. eine Hausverwaltung oder einen Softwareanbieter)? Dann sollten Sie die Vereinbarungen in einer Datenverarbeitungsvereinbarung.
• Rechte der betroffenen Personen. Mieter können ihre Daten einsehen, korrigieren oder löschen. Stellen Sie sicher, dass Sie solche Anfragen zeitnah bearbeiten können.

Welche Risiken bestehen, wenn Sie es nicht in Ordnung haben?

Die DSGVO räumt der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) weitreichende Befugnisse ein. Neben einer Verwarnung oder einer mit einer Geldbuße verbundenen Anordnung kann die Aufsichtsbehörde Geldbußen . Für einen kleinen oder mittelständischen Vermieter liegt das größte Risiko jedoch selten in einer direkten Geldbuße, sondern vielmehr in der Kombination der Folgen: einer Beschwerde eines (potenziellen) Mieters bei der Behörde, einem nicht bearbeitbaren Antrag auf Auskunft oder Löschung, Reputationsschäden sowie dem Zeit- und Kostenaufwand für deren Behebung. Wer im Vorfeld angemessene Datenschutzvorkehrungen trifft, kann diese Probleme in der Regel mit geringem Aufwand vermeiden.

Schritt-für-Schritt-Anleitung: So gestalten Sie Ihren Mietvertrag DSGVO-konform

1. Erstellen Sie eine Übersicht darüber, welche personenbezogenen Daten Sie verarbeiten und zu welchem ​​Zweck.
2. Ermitteln Sie die korrekte Rechtsgrundlage für jede Verarbeitungstätigkeit und löschen Sie Daten, die Sie nicht benötigen.
3. Nehmen Sie eine eindeutige Datenschutzklausel in den Mietvertrag auf und verweisen Sie auf eine Datenschutzerklärung.
4. Aufbewahrungsfristen festlegen und ein Verarbeitungsregister einrichten.
5. Schließen Sie eine Datenverarbeitungsvereinbarung mit denjenigen Parteien ab, die Daten in Ihrem Auftrag verarbeiten.
6. Überprüfen Sie Ihre Sicherheitsmaßnahmen und Ihren Prozess zur Meldung von Datenschutzverletzungen.

Häufig gestellte Fragen zu einem DSGVO-konformen Mietvertrag

Benötige ich als Vermieter eine Datenschutzerklärung?

Ja. Da Sie personenbezogene Daten von (potenziellen) Mietern verarbeiten, müssen Sie diese transparent darüber informieren, wie Sie diese Daten verwenden. Eine Datenschutzerklärung ist hierfür das übliche Mittel, zusätzlich zu einer Datenschutzklausel im Mietvertrag selbst.

Ist die Zustimmung des Mieters immer erforderlich?

Nein. Für die Erstellung und den Abschluss des Mietvertrags sowie für Sicherheiten können Sie sich in der Regel auf die Rechtsgrundlagen „Vertragserfüllung“ oder „berechtigtes Interesse“ berufen. Eine Einwilligung ist dann weder erforderlich noch oft wünschenswert, da sie widerrufen werden kann.

Darf ich die Kreditwürdigkeit potenzieller Mieter prüfen?

Das ist möglich, sofern Sie sich auf das zur Vermeidung von Zahlungsausfällen notwendige Maß beschränken und den Kandidaten vorab über das Screening informieren. Fordern Sie nicht mehr Informationen an als nötig und bewahren Sie das Ergebnis nicht länger als erforderlich auf. Sensible Daten oder ein Bachelor-Abschluss in Krankenpflege (BSN) fallen nicht darunter.

Welche Informationen darf ich auf einem Zutrittsausweis angeben?

Beschränken Sie sich auf das für die Sicherheit Notwendige, wie Name und Foto. Sensible Daten wie Religion oder Gesundheitszustand dürfen nicht auf dem Ausweis angegeben werden.

Was soll ich im Falle einer Datenschutzverletzung tun?

Prüfen Sie, ob die Datenschutzverletzung ein Risiko für die betroffenen Personen darstellt. Ist dies der Fall, müssen Sie dies grundsätzlich innerhalb von 72 Stunden nach Entdeckung der niederländischen Datenschutzbehörde melden und gegebenenfalls auch die betroffenen Personen informieren. Dokumentieren Sie die Datenschutzverletzung und Ihre interne Bewertung.

Wie lange darf ich Mieterdaten aufbewahren?

Die Daten dürfen nicht länger als für den Zweck, für den sie erhoben wurden, erforderlich gespeichert werden. Für bestimmte Daten gelten gesetzliche Aufbewahrungsfristen, beispielsweise aufgrund steuerlicher Pflichten. Legen Sie für jede Kategorie in Ihrem Verarbeitungsverzeichnis eine begründete Aufbewahrungsfrist fest.

Gilt die DSGVO auch, wenn ich an ein Unternehmen vermiete?

Ja. Auch bei der Vermietung an eine juristische Person verarbeiten Sie fast immer personenbezogene Daten von natürlichen Personen, beispielsweise des Geschäftsführers, eines Ansprechpartners oder von Mitarbeitern mit Zugang zum Objekt. Diese Verarbeitungstätigkeiten fallen unter die DSGVO, unabhängig davon, ob der Mieter selbst ein Unternehmen ist.

Lassen Sie Ihren Mietvertrag von MKB Juristen prüfen

Sind Sie unsicher, ob Ihr Gewerbemietvertrag der DSGVO entspricht, oder verwenden Sie noch einen älteren Standardvertrag? Unsere Rechtsexperten helfen Ihnen, Ihre Datenschutzbestimmungen anzupassen und größere Probleme zu vermeiden. Informieren Sie sich über unsere Expertise im Datenschutzrecht oder vereinbaren Sie umgehend einen Rechtsberatungstermin.

Vereinbaren Sie ein unverbindliches Erstgespräch und lassen Sie uns Ihren Vertrag prüfen.