Hauseigentümer oder Eigentümer von Eigentumswohnungen, die ihre Objekte an natürliche Personen vermieten, sind von der DSGVO betroffen, wie alle anderen Personen, die Verarbeitungstätigkeiten als „natürliche Personen“ nicht nur zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten (Art 2 Abs 2 lit c DSGVO) vornehmen.
Haus- und Wohnungseigentümer sind oft natürliche Personen, die jedoch mit der Abwicklung der Tätigkeit nicht viel selbst zu tun haben, weil diese von Hausverwaltungen durchgeführt werden. Dennoch verarbeiten auch die Eigentümer von Zinshäusern oder Wohnungseigentum die personenbezogenen Daten der Mieter regelmäßig entweder in Papierform und strukturiert abgelgt oder automationsunterstützt.
Art 2 Abs 2 lit c DSGVO normiert, dass die DSGVO für bestimmte Tätigkeiten nicht anwendbar ist, nämlich Verarbeitungen personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.
Wenn daher ein Eigentümer eine Gesellschaft ist, dann fällt diese nicht in die Ausnahme des Art 2 Abs 2 lit c DSGVO. Tritt ein Eigentümer als natürliche Person auf, dann kann dieser selten argumentieren, dass er/sie keine personenbezogenen Daten verarbeitet, denn auch die strukturierte Ablage von personenbezogenen Daten in Papierform fällt in den Anwendungsbereich der DSGVO. (siehe Erw 15: Der Schutz natürlicher Personen sollte für die automatisierte Verarbeitung personenbezogener Daten ebenso gelten wie für die manuelle Verarbeitung von personenbezogenen Daten, wenn die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.)
Welche Pflichten aus der DSGVO treffen daher einen Liegenschaftseigentümer?
1. Informationspflicht:
Jeder Verantwortliche (und dazu zählt ein Liegenschaftseigentümer, der personenbezogene Daten von natürlichen Personen verarbeitet), ist verpflichtet die betroffenen Personen über die Verarbeitung gem. Art 13 DSGVO zu informieren. Diese Verpflichtung ist unabhängig von den übrigen Dokumentationspflichten zu erfüllen.
Diese Verpflichtung kann zB durch einen Hinweis im Mietvertrag und die Übergabe eines Informationsblattes erfolgen, da viele Vermieter nicht über eine Website verfügen werden, auf der eine Datenschutzinformation zur Verfügung gestellt werden kann. Nähere Informationen zur Informationspflicht gibt es im Blog.
Der Vermieter verarbeitet personenbezogene Daten im Zusammenhang mit diesem Mietvertrag; ein Informationsblatt dazu hat der Vermieter übergeben.
Ein Muster für ein Informationsblatt gem. Art 13 DSGVO (für die Verarbeitung von Daten, die direkt von der betroffenen Person bekannt gegeben bzw. bereitgestellt werden) finden Sie hier:
2. Verpflichtung zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten
Wenn Verarbeitungsvorgänge nur gelegentlich erfolgen, dann ist der Verantwortliche nicht verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten gem. Art 30 Abs 1 zu führen (siehe dazu: Art 30 Abs 5 DSGVO, der Ausnahmen normiert). Dies ist mE anzunehmen, wenn der Eigentümer nur eine Mietzinsliste führt, und in einem (elektronischen) Ordner die Mietverträge ablegt, und die restlichen Tätigkeiten im Zusammenhang mit dem Mietvertrag von einer Hausverwaltung durchgeführt werden.
3. Rechte der betroffenen Personen
Die Rechte der betroffenen Personen (Auskunft, Berichtigung, Einschränkung, Löschung, Datenübertragbarkeit und Widerspruch) sind durch den Verantwortlichen im Anlassfall zu wahren, und etwaige Anfragen sind unverzüglich, längstens jedoch binnen 30 Tagen zu beantworten.
4. technische & organisatorische Maßnahmen (TOMs)
Auch ein Vermieter hat angemessene technische und organisatorische Maßnahmen zu treffen, insbes. zB eine Zugangs- und Zugriffskontrolle einzurichten, und damit die personenbezogenen Daten vor Verlust, Beschädigung oder Verletzung der Vertraulichkeit zu schützen.
5. braucht der Vermieter die „datenschutzrechtliche Zustimmung oder Einwilligung“?
Nein. Der Mythos, dass die Verarbeitung von personenbezogenen Daten immer einer Zustimmung / Einwilligung bedarf, hält sich hartnäckig. Nähere Information finden Sie im Blog.
Jede Verarbeitung von personenbezogenen Daten natürlicher Personen bedarf einer Rechtsgrundlage, und eine mögliche (aber sehr fragile) Rechtsgrundlage ist die „Einwilligung“. Im Rahmen der Vermietung von Objekten an natürliche Personen, sind es jedoch der Vertrag mit der natürlichen Person (Art 6 Abs 1 lit b DSGVO) und auch das Gesetz (zB Gewährleistung, Schadenersatz, Steuerrecht; Art 6 Abs 1 lit c DSGVO), die die grundlegenden Rechtsgrundlagen für die Verarbeitung der Daten sind.
Eine Einwilligung müsste dem Kopplungsverbot entsprechen, freiwillig erfolgen und könnte jederzeit widerrufen werden, sodass die Verarbeitung von Daten von Mietern im Zusammenhang mit einen Mietvertrag auf dieser Basis (Rechtsgrundlage) nur sehr eingeschränkt möglich sind. Wenn zB ein Mieter die Einwilligung erteilt, vom Vermieter einen Newsletter zu Werbezwecken zu erhalten, dann wäre das ein Beispiel für die Verarbeitung von personenbezogenen Daten (zB Email-Adresse, Name) auf der Rechtsgrundlage der Einwilligung. Diese Einwilligung kann der Mieter jederzeit wiederrufen, und dann darf der Vermieter, dem Mieter keine Werbeinformationen mehr zusenden. Die neue Mietzinsvorschreibung aufgrund einer Indexsteigerung darf der Vermieter dem Mieter jedoch dennoch per Email zukommen lassen. Wenn der Mieter die „Einwilligung“ gibt, dass personenbezogene Daten für die Abwicklung des Mietvertrages verarbeitet werden, dann ist das einerseits sinnwidrig, denn die Einwilligung wird dafür nicht gebraucht, und andererseits auch nicht sinnvoll, denn bei einem Widerruf der Einwilligung müsste dann der Vermieter die weitere Verwendung der Daten für diesen Zweck unterlassen.
Kommentar schreiben