Übergabeprotokoll und DSGVO

Warum das Protokoll ein Datenschutzthema ist

Personenbezogen sind die Daten, weil sie einer identifizierbaren Person zuzuordnen sind, nicht weil sie besonders sensibel wären. Die Wohnadresse verknüpft einen Namen mit einem Ort, ein Zählerstand mit einem Haushalt, ein Foto aus dem Wohnzimmer mit den Menschen, die dort leben. Es gilt damit der komplette Katalog aus Art. 5 DSGVO: Zweckbindung, Datenminimierung, Speicherbegrenzung und ein angemessenes Schutzniveau.

Konkret heißt das: Alles, was für die Feststellung des Zustands nicht gebraucht wird, gehört nicht ins Protokoll. Ein Grundbuchauszug des Eigentümers, die Telefonnummer der Nachbarin oder ein Foto des vollen Briefkastens sind solche Fälle. Sie vergrößern das Haftungsrisiko, ohne den Zustand der Wohnung besser zu dokumentieren.

Welche Rechtsgrundlage trägt was

Für die Aufnahme der Daten ist Art. 6 Abs. 1 lit. b DSGVO die tragende Grundlage: Das Protokoll gehört zur Durchführung und Abwicklung des Mietvertrags. Darauf beruhen Namen der Vertragsparteien, Objektangaben, Zählerstände, die Mängelliste und die Unterschriften, ohne dass irgendjemand ein Formular unterschreiben muss.

Für die Zeit nach dem Auszug kommt Art. 6 Abs. 1 lit. f DSGVO dazu, das berechtigte Interesse. Der Hintergrund ist die Beweislast: Verlangt der Vermieter Ersatz für einen Schaden, muss er die Beschädigung und ihre Verursachung durch den Mieter beweisen. Behauptet umgekehrt der Mieter, der Mangel habe schon bei Einzug bestanden, trägt er nach § 363 BGB die Beweislast dafür, weil er die als Erfüllung erbrachte Leistung beanstandet hat. Ohne Protokoll lässt sich beides nicht führen. Daraus folgt die Aufbewahrung für die Dauer der Verjährung.

Eine Einwilligung ist nur dort erforderlich, wo keine dieser Grundlagen greift, also vor allem bei Fotos mit erkennbar abgebildeten Personen. Sie ist nach Art. 7 Abs. 3 DSGVO jederzeit widerruflich. Wer die gesamte Dokumentation auf eine Einwilligung stützt, muss damit rechnen, dass der Mieter sie zurückzieht und die Beweislage wegbricht.

Fotos: sachbezogen ja, personenbezogen nur mit Einwilligung

Fotos sind der wertvollste Teil des Protokolls und der datenschutzlich anfälligste. Der Maßstab der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO heißt hier: den Mangel fotografieren, nicht die Wohnverhältnisse. Eine Detailaufnahme des Wasserschadens am Fensterrahmen und eine Raumperspektive zur Verortung genügen; das Foto des gesamten Wohnzimmers mit Familienbildern an der Wand bringt keinen zusätzlichen Beweis, aber einen Personenbezug.

Für Bildnisse erkennbar abgebildeter Personen gilt zusätzlich das Kunsturhebergesetz: § 22 KUG verlangt die Einwilligung der abgebildeten Person, die Ausnahmen in § 23 KUG greifen bei einer privaten Wohnungsübergabe praktisch nie. Bei einer geräumten Wohnung stellt sich die Frage nicht; bei einer bewohnten Wohnung kündigt man die Aufnahmen an und fotografiert Bauteile.

Dazu kommt ein zweiter Fall, der selten bedacht wird: Ein Foto kann besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO zeigen, etwa ein Pflegebett, Medikamente oder Unterlagen zu einer Erkrankung. Dafür gilt ein Verbot mit Erlaubnisvorbehalt, den ein Zustandsprotokoll nicht ausfüllt; solche Aufnahmen bleiben weg.

Wie lange gespeichert werden darf

Die DSGVO nennt keine Fristen, sie begrenzt in Art. 5 Abs. 1 lit. e DSGVO die Speicherung auf den Zweck. Die Zahlen liefert das BGB. Ansprüche des Vermieters wegen Veränderungen oder Verschlechterungen der Mietsache verjähren nach § 548 BGB sechs Monate nach Rückgabe der Mietsache, für die Ansprüche des Mieters auf Entfernung einer Veränderung gilt dieselbe Frist. Für alle übrigen Schadensersatzansprüche gilt die regelmäßige Verjährung von drei Jahren nach § 195 BGB, beginnend mit dem Jahresende der Kenntnis nach § 199 BGB.

Hinzu kommt die Kaution: Solange die Sicherheit nach § 551 BGB noch nicht zurückgezahlt ist, muss ein Einbehalt begründet werden können, ohne Protokoll gelingt das nicht. In der Praxis landet man deshalb bei einer Aufbewahrung von drei Jahren nach Ende des Mietverhältnisses, bei laufenden oder absehbaren Streitigkeiten entsprechend länger. Nach Fristablauf wird gelöscht oder anonymisiert.

Für gewerbliche Vermieter gilt eine Ausnahme: Berührt ein Protokoll die Buchführung, etwa weil ein Schadensersatzbetrag über die Nebenkostenabrechnung oder eine Rechnung läuft, kann die Aufbewahrungsfrist nach § 147 AO sechs bis zehn Jahre betragen. Die kürzere mietrechtliche Frist verdrängt die steuerliche nicht.

Wenn der Mieter Auskunft oder Löschung verlangt

Ein Mieter kann Auskunft über die zu seiner Person gespeicherten Daten verlangen (Art. 15 DSGVO), unrichtige Angaben berichtigen lassen und die Löschung nach Art. 17 DSGVO verlangen. Die Antwort ist nach Art. 12 Abs. 3 DSGVO innerhalb eines Monats zu geben; eine Auskunft umfasst dabei auch die Fotos und die Empfänger, an die das Protokoll versendet wurde.

Ein Löschverlangen ist aber kein automatischer Löschungsbefehl. Art. 17 Abs. 3 lit. e DSGVO erlaubt die weitere Speicherung, solange die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden, etwa in einem offenen Kautions- oder Schadensfall. Das muss im Einzelfall begründet werden können.

Wer eine Cloud-App einsetzt, braucht einen AVV

Wer Protokolle mit einer App oder Webanwendung erstellt, lagert die Verarbeitung aus. Art. 28 DSGVO verlangt dafür einen Vertrag über Auftragsverarbeitung, der unter anderem Gegenstand, Dauer und Zweck der Verarbeitung, die Datenkategorien, die Weisungsgebundenheit, die Regelungen zu Unterauftragnehmern sowie die Rückgabe und Löschung der Daten am Ende regelt. Verantwortlich bleibt die Verwaltung oder der Vermieter.

Für gewerbliche Verwaltungen kommen weitere Pflichten hinzu: ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, nachweisbare Sicherheitsmaßnahmen nach Art. 32 DSGVO, ein interner Ablauf für Meldungen innerhalb von 72 Stunden nach Art. 33 DSGVO und, in der Regel ab 20 ständig mit der Verarbeitung beschäftigten Personen, ein Datenschutzbeauftragter nach § 38 BDSG.

Zum Serverstandort: Verarbeitet ein Anbieter außerhalb der EU oder des EWR, ohne dass ein Angemessenheitsbeschluss der Kommission vorliegt, ist der Transfer nur mit zusätzlichen Garantien nach Kapitel V DSGVO zulässig, also Standardvertragsklauseln samt Transferfolgenabschätzung. Ein Anbieter mit Verarbeitung in Deutschland erspart diese Dokumentation.

Und für private Vermieter?

Auch hier gilt die DSGVO. Die Ausnahme für Tätigkeiten im rein persönlichen und familiären Bereich in Art. 2 Abs. 2 lit. c DSGVO greift beim Vermieten nicht, weil ein vertragliches Verhältnis mit anderen Personen besteht und nicht die eigene Familie betroffen ist. Der Aufwand bleibt gering: Wer ein sachliches Protokoll nur an die Beteiligten versendet, ein Löschdatum im Kalender hat und eine Anfrage des Mieters innerhalb eines Monats beantwortet, erfüllt die wesentlichen Pflichten. Verzeichnis von Verarbeitungstätigkeiten, Datenschutzbeauftragter und AVV sind für eine einzelne Wohnung nicht erforderlich.