Die DSGVO wird von Immobilienagenturen zu oft vergessen

Die verschiedenen Akteure im Zusammenhang mit der Immobilienvermietung sind mit der Einhaltung der DSGVO konfrontiert, und es ist leider nicht selten, dass nichts unternommen wird, um Eigentümer oder Mieter zu informieren. Die DSGVO muss jedoch im Rahmen der Immobilienvermietung berücksichtigt werden, und die CNIL hat zu diesem Thema einen Referenzrahmen veröffentlicht. Wir werden hier nicht alle Verpflichtungen auflisten, die die DSGVO den verschiedenen Akteuren auferlegt, sondern nur diejenigen, die speziell die Immobilienvermietung betreffen. Alle professionellen Akteure im Bereich der Immobilienvermietung müssen nämlich die Vorschriften einhalten, was bedeutet, dass sie die ergriffenen Maßnahmen umgesetzt und detailliert dokumentiert haben müssen.

• Mietinteressenten, die informiert werden und einen Vertrag unterzeichnen oder einer Datenschutzrichtlinie zustimmen müssen, BEVOR sie der Agentur irgendwelche Daten anvertrauen
• Der Eigentümer, der für die Verarbeitung verantwortlich ist, unterliegt allen Verpflichtungen der DSGVO, außer wenn es sich um die private Verwaltung von Privatvermögen handelt. Wenn er einen Vertrag mit einer Agentur abschließt, müssen die DSGVO-Aspekte darin enthalten sein.
• Der vom Eigentümer ausgewählte Mieter, der unabhängig von den der Agentur anvertrauten Daten einen Mietvertrag unterschreiben und zusätzliche Daten wie ein Bankkonto anvertrauen muss.
• Die Immobilienagentur, die Daten von potenziellen Mietern sammeln und diese dem Eigentümer vorlegen wird.
• Der Bevollmächtigte oder Angestellte der Agentur, der in seinem Vertrag mit der Agentur über die Einhaltung der DSGVO informiert worden sein muss und eine Vertraulichkeitsklausel unterzeichnet haben muss
• Das mögliche Netzwerk, dem die Agentur angehört, das einen Vertrag mit der lokalen Agentur hat, der die Rollen aller Beteiligten und insbesondere die Modalitäten für die Einhaltung der DSGVO enthalten muss.
• Subunternehmer der Immobilienagentur, wie z. B. der Verwalter und Hoster ihrer Datenbank, der Betreiber ihrer Website, der Zugang zu Online-Anfragen hat, usw.

1. Der Eigentümer möchte seine Immobilie vermieten.
   1. Wenn er dies selbst tut und ein Gewerbetreibender oder eine Immobiliengesellschaft ist, muss er den Mietinteressenten eine Datenschutzrichtlinie vorschlagen, der sie zustimmen müssen, und er muss den Nachweis aufbewahren, dass die Mietinteressenten dieser Richtlinie zugestimmt haben.
   2. Wenn er seine Immobilie einer Agentur anvertraut, muss er mit dieser einen Vertrag unterzeichnen, in dem die Frage der Verarbeitung persönlicher Daten geklärt wird
2. Der potenzielle Mieter muss ein Dossier mit vielen persönlichen Daten, Personalausweis, Gehaltsabrechnungen usw. einreichen. Der Vermieter oder die Agentur müssen ihn dazu bringen, einen Vertrag zu unterschreiben oder zumindest seine Zustimmung zu den Datenschutzrichtlinien bezüglich der Daten, die er der Agentur oder dem Vermieter anvertraut, einholen.
3. Die Agentur oder der Eigentümer werden die Unterlagen der Bewerber analysieren und eventuell einige Bewerber ablehnen. Die Daten dieser müssen dann gemäß den Datenschutzrichtlinien vernichtet werden.
4. Der Bevollmächtigte oder Angestellte der Agentur oder des Eigentümers kommuniziert mit den Bewerbern über Messenger oder Handy, um Besichtigungszeiten festzulegen, und wird daher die Handynummer des Bewerbers sammeln.
5. Der Vermieter wird den erfolgreichen Bewerber auswählen und mit ihm einen Mietvertrag abschließen. Und im Rahmen dieses Vertrags wird die Frage der persönlichen Daten angesprochen werden müssen.
6. Die Subunternehmer des Eigentümers und der Agentur werden die Daten ihrer Kunden sammeln, und der Vertrag zwischen dem für die Verarbeitung Verantwortlichen und dem Subunternehmer muss die Regeln für den Umgang mit personenbezogenen Daten festlegen.
7. Während der Laufzeit des Mietvertrags kann es zu weiteren Datenverarbeitungen kommen, z. B. zu Arbeiten von Handwerkern oder zur Eintreibung von Mietrückständen.

Für alle diese Datenverarbeitungen schreibt die DSGVO eine Rechtsgrundlage vor, ohne die diese Verarbeitungen schlichtweg illegal und strafbar wären. Es ist der für die Verarbeitung Verantwortliche, der bestimmen muss, welche Rechtsgrundlage in diesem Fall anwendbar ist. Es gibt nur drei mögliche Rechtsgrundlagen im Zusammenhang mit der Immobilienvermietung, die in den vorgeschlagenen Datenschutzrichtlinien angegeben werden müssen:

• Die Zustimmung der betroffenen Person: z. B. wenn der Mietinteressent der Agentur seine Daten anvertraut.
• Ein Vertrag: z. B. wenn ein Eigentümer eine Agentur mit der Suche nach einem Mieter beauftragt.
• Berechtigtes Interesse: z. B. der Agentur, ehemalige Kunden für ähnliche Geschäftsvorschläge zu kontaktieren

Und für alle diese Datenverarbeitungen müssen Datenschutzrichtlinien verfasst werden, die VOR jeder Erhebung und Verarbeitung personenbezogener Daten angeboten werden müssen. Und diese Datenschutzrichtlinien müssen viele Einzelheiten enthalten:

• Die Identität und die Kontaktdaten des für die Verarbeitung Verantwortlichen (die Stelle, die die Daten sammelt oder verarbeitet)
• Die Rechtsgrundlage, auf deren Grundlage die Daten erhoben werden, und im Falle einer Einwilligung die Tatsache, dass die betroffene Person ihre Einwilligung jederzeit widerrufen kann.
• Die Art der gesammelten Daten, wobei zu berücksichtigen ist, dass nur unbedingt erforderliche Daten gesammelt werden dürfen und dass bestimmte Arten von Daten nicht angefordert werden dürfen, wie z. B. die Religion eines Mietinteressenten.
• Die Kontaktdaten ihres Datenschutzbeauftragten. Gewerbetreibenden wird empfohlen, einen Datenschutzbeauftragten zu benennen, der z. B. innerhalb eines Agenturnetzes gepoolt werden kann.
• Die Zwecke der Verarbeitung, d. h. die Gründe, aus denen die Daten erhoben oder verarbeitet werden
• Die Kategorien von natürlichen oder juristischen Personen, die Zugang zu den Daten haben: Eigentümer, Bank für die Bankgarantie, Subunternehmer der Agentur, Steuerbehörde, Bauunternehmer bei Bauarbeiten etc.
• Die Tatsache, dass die Daten außerhalb der Europäischen Union übertragen werden (z. B. bei der Nutzung eines US-Hosters für die Datenbank der Agentur)
• Wie lange die Daten aufbewahrt werden müssen. Sie müssen nämlich vernichtet werden, sobald es nicht mehr notwendig ist, sie aufzubewahren, z. B. die Daten eines erfolglosen Mietinteressenten, es sei denn, der Mietinteressent verlangt, über andere Mietmöglichkeiten informiert zu werden. Diese Fristen sind von Fall zu Fall unterschiedlich: Die Daten eines Mietinteressenten werden anders aufbewahrt als die des ausgewählten Mieters.
• Eine Information über die Rechte der betroffenen Personen: Recht auf Zugang, Berichtigung etc.
• Eine Information über die Möglichkeiten, sich bei der zuständigen Behörde (z. B. CNIL) zu beschweren.
• Das Vorhandensein von automatisierten Profiling-Techniken, z. B. zur automatischen Auswahl von Mieterbewerbern

Um die betroffenen Personen angemessen zu informieren, wird empfohlen, dass ihnen die Datenschutzrichtlinie bereits beim ersten Austausch mitgeteilt wird und dass im Falle eines Datentransfers die Richtlinie vor der Übertragung von personenbezogenen Daten genehmigt wird. Ebenso sollte eine vollständige Richtlinie zum Umgang mit personenbezogenen Daten auf der Website der Agentur und des Eigentümers zu finden sein. Ein Link, der auf die Datenschutzrichtlinie verweist, kann auch in der Vermietungsanzeige, in E-Mails an Bewerber sowie auf dem Kontaktformular auf der Website der Immobilienagentur für Interessenten an einer Anzeige eingefügt werden.

Es ist wichtig zu beachten, dass nur solche Daten gesammelt werden dürfen, die für die jeweilige Verarbeitung erforderlich sind. Beispielsweise dürfen Bankdaten und Gehaltsabrechnungen nur dann erhoben werden, wenn der Mietinteressent interessiert ist und einen Mietvertrag unterzeichnen möchte, damit der Vermieter seine Wahl unter den Mietinteressenten treffen kann. Diese Daten dürfen nicht für bloße Besichtigungen erhoben werden, bevor der Mietinteressent einen Vertrag eingeht.

Es liegt in der Verantwortung des für die Verarbeitung Verantwortlichen, die Sicherheitsmaßnahmen zu ergreifen, die zur Wahrung der Vertraulichkeit der gesammelten Daten unerlässlich sind, und insbesondere den Zugriff auf diese Daten nur auf diejenigen Personen zu beschränken, die sie im Rahmen ihrer Funktion benötigen. Es wäre nicht richtig, wenn alle Mitarbeiter aller Agenturen eines Netzwerks Zugang zu allen persönlichen Daten aller Mietinteressenten in allen Agenturen hätten. Ebenso liegt die Auswahl der Auftragsverarbeiter der Agenturen in der Verantwortung des für die Verarbeitung Verantwortlichen, der Organisationen auswählen muss, die nachweisen, dass sie die DSGVO einhalten.

Wir sollten nicht vergessen, dass die Betroffenen ein Recht auf Zugang, Berichtigung und Löschung haben und dass diejenigen, die die Daten gesammelt haben, ihnen innerhalb eines Monats antworten müssen.

Es ist daher von entscheidender Bedeutung, dass Agenturen und Vermieter (wenn sie gewerblich tätig sind) die notwendigen Informationen für die betroffenen Personen, die Verfahren im Zusammenhang mit diesen Informationen und die Rechte der betroffenen Personen und nicht zuletzt die Erstellung eines vollständigen DSGVO-Dossiers einrichten.