Welche rechtlichen Aspekte sind bei der digitalen Speicherung von Mieterdaten zu berücksichtigen?

Vom Personalausweis über Gehaltsnachweise bis zu Zählerständen und Bankverbindungen: Bei der Vermietung fällt eine Menge personenbezogener Daten an. Wer sie digital verwaltet, spart Zeit, übernimmt damit aber auch die Verantwortung dafür, dass diese Daten geschützt sind und nicht länger liegen bleiben als nötig.

Welche Datenschutzpflichten für dich als Vermieter insgesamt gelten, haben wir im Überblick zur DSGVO für private Vermieter beschrieben. Dieser Beitrag nimmt einen Ausschnitt daraus genauer unter die Lupe: die digitale Speicherung.

Die Datenschutz-Grundverordnung (DSGVO) gilt dabei nicht nur für Großkonzerne. Auch private Vermieter und kleine Hausverwaltungen müssen sich an sie halten, sobald sie Mieterdaten verarbeiten. Dieser Beitrag zeigt dir, welche Regeln konkret gelten, welche Fristen es wirklich gibt und worauf du bei einer Cloud-Software achten solltest.

Die Inhalte dieses Artikels stellen allgemeine Informationen dar und ersetzen keine individuelle Rechtsberatung. Für deine konkrete Situation wende dich bitte an eine Anwaltskanzlei oder einen Datenschutzbeauftragten. Rechtsstand: 14.09.2026.

Die zentralen Grundsätze der DSGVO bei Mieterdaten

Für die digitale Mieterakte im Dokumentenmanagement gelten die Grundsätze aus Art. 5 DSGVO. Neben der Zweckbindung bestimmen vor allem zwei davon deinen Alltag: Datenminimierung und Speicherbegrenzung.

Datenminimierung: nur das, was du wirklich brauchst

Du darfst nur die Informationen speichern, die für das Mietverhältnis oder seine Anbahnung erforderlich sind (Art. 5 Abs. 1 lit. c DSGVO). Name, Kontaktdaten, Bankverbindung und die Vertragsunterlagen gehören dazu.

Unzulässig sind Abfragen, die mit dem Mietverhältnis nichts zu tun haben: Religionszugehörigkeit, Familienplanung, Urlaubsgewohnheiten oder vollständige Kontoauszüge über mehrere Jahre.

Beim Personalausweis ist Vorsicht geboten. Nach § 20 Abs. 2 PAuswG darf eine Kopie nur mit Zustimmung des Ausweisinhabers angefertigt werden, sie muss dauerhaft als Kopie erkennbar sein und darf nicht an Dritte weitergegeben werden. Für die reine Identitätsprüfung genügt in aller Regel die Einsichtnahme. Eine dauerhaft gespeicherte Ausweiskopie ist dafür nicht erforderlich und damit auch nicht von der Datenminimierung gedeckt.

Wann du welche Unterlagen verlangen darfst

Bonitätsauskünfte und Gehaltsnachweise sind ein eigenes Thema. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat dazu ein Stufenmodell aufgestellt: Je weiter das Vermietungsverfahren fortgeschritten ist, desto mehr darfst du erfragen.

• Beim Besichtigungstermin: Angaben zu den wirtschaftlichen Verhältnissen darfst du hier grundsätzlich noch nicht verlangen.
• Nach dem erklärten Mietinteresse: Jetzt sind Fragen zulässig, die für die Vertragsanbahnung zählen, etwa nach einem laufenden Insolvenzverfahren.
• Nach der Auswahlentscheidung: Erst jetzt darfst du Bonitätsnachweise verlangen, und auch nur die, die für diesen Vertragsabschluss erforderlich sind. Umfassende Auskunfteien-Berichte mit Zusatzinformationen gehen darüber hinaus.

Für die Praxis heißt das: Unterlagen, die du von allen Interessenten einsammelst, hast du meistens zu früh erhoben.

Transparenz und Informationspflichten (Art. 13 DSGVO)

Du musst Mietinteressenten und Mieter darüber informieren, welche Daten du zu welchem Zweck verarbeitest, wie lange du sie speicherst und welche Rechte ihnen zustehen. In der Praxis erledigt das ein Datenschutzhinweis, den du der Selbstauskunft oder dem Mietvertrag beilegst.

Aufbewahren und Löschen: welche Fristen wirklich gelten

Hier steckt der häufigste Fehler in Ratgebertexten. Eine gesetzliche Löschfrist für Mieterdaten existiert nicht. Es gibt Ansprüche, die verjähren, und es gibt steuerliche Aufbewahrungspflichten. Aus beidem ergibt sich, wie lange du eine Unterlage noch brauchst. Ist dieser Zeitraum abgelaufen, verlangt der Grundsatz der Speicherbegrenzung nach Artikel 5 der DSGVO, dass du sie löschst.

Mieterdaten: wie lange du sie aufbewahren darst

Wichtig: Eine einheitliche gesetzliche Löschfrist für Mieterdaten gibt es nicht. Maßgeblich ist, wie lange du eine Unterlage noch brauchst. Danach verlangt die Speicherbegrenzung, dass du sie löschst.

Abgelehnte Mietinteressenten. Die oft genannte Frist von sechs Monaten steht in keinem Gesetz. Sie ist eine Praxis-Konvention. Der einzige greifbare Anknüpfungspunkt ist § 21 Abs. 5 AGG: Wer sich benachteiligt sieht, muss seinen Anspruch innerhalb von zwei Monaten geltend machen. Ist diese Zeit verstrichen und liegt keine Beschwerde vor, fehlt in der Regel der Grund, die Unterlagen weiter zu speichern.

Beendete Mietverhältnisse. Hier laufen zwei Fristen nebeneinander. Ersatzansprüche wegen Schäden an der Mietsache verjähren sechs Monate nach der Rückgabe der Wohnung (§ 548 Abs. 1 BGB). Für alle übrigen Ansprüche aus dem Mietverhältnis gilt die regelmäßige Verjährung von drei Jahren (§ 195 BGB), und die beginnt erst mit dem Schluss des Jahres, in dem der Anspruch entstanden ist (§ 199 Abs. 1 BGB). Eine Nebenkostennachzahlung aus 2026 verjährt damit Ende 2029, nicht drei Jahre nach der Abrechnung.

Belege zur Nebenkostenabrechnung. Dein Mieter kann der Abrechnung zwölf Monate nach ihrem Zugang widersprechen (§ 556 Abs. 3 BGB) und in dieser Zeit Einsicht in die zugrunde liegenden Belege verlangen (§ 556 Abs. 4 BGB). Solange diese Frist läuft, brauchst du die Rechnungen noch.

Zehn Jahre für Rechnungen? Das gilt nicht pauschal. § 147 AO richtet sich an Buchführungs- und Aufzeichnungspflichtige. Wer als privater Vermieter Einkünfte aus Vermietung und Verpachtung erzielt, gehört in der Regel nicht dazu. Für ihn ist die Festsetzungsfrist maßgeblich: vier Jahre für die Einkommensteuer, fünf Jahre bei leichtfertiger Steuerverkürzung und zehn Jahre bei Steuerhinterziehung (§ 169 Abs. 2 AO). Und selbst dort, wo § 147 AO greift, ist die Zehn-Jahres-Angabe seit dem 1. Januar 2025 überholt: Buchungsbelege und damit auch Rechnungen sind nur noch acht Jahre aufzubewahren, Bücher und Jahresabschlüsse zehn Jahre, sonstige Unterlagen sechs Jahre (§ 147 Abs. 3 AO). Wer umsatzsteuerpflichtig vermietet, bewahrt Rechnungen ebenfalls acht Jahre auf (§ 14b Abs. 1 UStG).

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Datenschutz endet nicht bei der Frage, was du speichern darfst. Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die zum Risiko passen. Für eine digitale Mieterakte heißt das vor allem:

1. Zugriffsschutz: Niemand außer dir darf in die Akten sehen, auch keine Familienangehörigen. Ein eigenes Benutzerkonto mit starkem Passwort ist das Minimum, Zwei-Faktor-Authentifizierung der bessere Standard.
2. Verschlüsselung: Übertragung und Ablage sollten verschlüsselt erfolgen, im Transit über TLS, im Ruhezustand über eine Verschlüsselung der Datenbank oder der Dateien.
3. Wiederherstellbarkeit: Art. 32 Abs. 1 DSGVO verlangt, dass du die Verfügbarkeit der Daten sicherstellst und sie nach einem technischen Zwischenfall rasch wiederherstellen kannst. Ein Backup schreibt das Gesetz nicht wörtlich vor. Praktisch führt aber kaum ein Weg daran vorbei.

Auftragsverarbeitung beim Einsatz von Cloud-Software (Art. 28 DSGVO)

Verwaltest du deine Objekte mit einer externen Software, verarbeitet der Anbieter die Mieterdaten in deinem Auftrag. Das ist eine Auftragsverarbeitung nach Art. 28 DSGVO. Verantwortlich bleibst du: Die Pflichten gegenüber deinen Mietern gehen nicht auf den Anbieter über.

Zwei Dinge solltest du prüfen:

• Die Vereinbarung zur Auftragsverarbeitung. Zwischen dir und dem Anbieter muss ein Vertrag nach Art. 28 Abs. 3 DSGVO bestehen, der Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Pflichten beider Seiten regelt. Etablierte Anbieter stellen ihn bereit, du musst ihn nicht selbst aufsetzen.
• Die Garantien des Anbieters. Nach Art. 28 Abs. 1 DSGVO darfst du nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Ein Serverstandort in Deutschland oder der EU vereinfacht die Prüfung, weil kein Drittlandtransfer abzusichern ist. Ebenfalls aufschlussreich: Legt der Anbieter offen, welche Unterauftragnehmer er einsetzt?

Was immocloud beim Datenschutz für dich übernimmt

immocloud ist für private Vermieter und kleine Hausverwaltungen gebaut. Die Verantwortung für die Mieterdaten bleibt bei dir. Den technischen Teil musst du aber nicht selbst lösen:

• Speicherort: Deine Daten liegen auf eigenen Servern in einem ISO-27001-zertifizierten Rechenzentrum in Leipzig. Ein Datentransfer ins Ausland findet nicht statt. Die Übertragung läuft über TLS 1.3, die Ablage ist mit AES-256 verschlüsselt.
• Auftragsverarbeitung: immocloud legt seine Auftragsverarbeitungsregelungen offen und benennt alle Auftragsverarbeiter und technischen Dienstleister namentlich, nachzulesen auf der Sicherheitsseite. Für den technischen Betrieb arbeiten wir ausschließlich mit deutschen Unternehmen zusammen.
• Zugriffsrechte im Team: Ab dem Tarif Investor vergibst du Rechte pro Nutzer über sieben Bereiche: Objekte, Kontakte, Finanzen, Banking, Nachrichten, Dokumente und Vorgänge. Je Bereich stehen vier Stufen zur Wahl, von „Kein Zugriff“ über „Lesen“ und „Bearbeiten“ bis „Löschen“.
• Datenexport: Du kannst deine Daten jederzeit selbst exportieren. Das hilft dir, wenn ein Mieter von seinem Auskunftsrecht Gebrauch macht.

Unser Fazit

Die digitale Mieterakte spart Zeit, verlangt aber Klarheit über zwei Fragen: Welche Daten brauchst du überhaupt, und wie lange brauchst du sie noch? Wer beides beantworten kann, hat den größten Teil der DSGVO-Anforderungen im Griff. Was dann noch bleibt, ist Technik. Und die nimmt dir eine Verwaltungssoftware mit deutschem Serverstandort und einer sauberen Vereinbarung zur Auftragsverarbeitung weitgehend ab.