DSGVO bei Immorium: Pflichten, AVV und Mieter-Rechte für deutsche Vermieter.

Sie sind als Vermieter datenschutzrechtlich Verantwortlicher (Art. 4 Nr. 7 DSGVO) für die personenbezogenen Daten Ihrer Mieter: Adresse, IBAN, Mietzahlungen, Kommunikation. Verarbeitung ist erlaubt, soweit sie zur Vertragserfüllung (Art. 6 Abs. 1 lit. b) oder zur Wahrnehmung berechtigter Interessen (Art. 6 Abs. 1 lit. f) erforderlich ist. Wenn Sie eine Software wie Immorium nutzen, ist Immorium Auftragsverarbeiter: ein AVV nach Art. 28 DSGVO klärt die Pflichten beider Seiten. Sie müssen außerdem die Mieter beim ersten Datenaustausch informieren (Art. 13/14).

Ja. Der AVV (Auftragsverarbeitung nach Art. 28 DSGVO) ist Bestandteil der Nutzungsbedingungen, die Sie bei der Registrierung akzeptieren. Den vollständigen Vertragstext stellen wir Ihnen auf Anfrage an datenschutz@immorium.ch zur Verfügung. Wer einen individuellen AVV-Mustervertrag verwenden möchte (z. B. bei größeren Portfolios), erhält diesen über denselben Kontakt.

Stand Mai 2026 fünf Subprozessoren: (1) Hetzner Online GmbH (Nürnberg, Deutschland) für App-Server und Datenbank auf LUKS-verschlüsseltem Datenträger. (2) Google Ireland Ltd. für Cloud Storage Frankfurt (europe-west3) und Gemini API für OCR-Extraktion. (3) Replicate Inc. (USA, SCC) für die KI-Bildbearbeitung. (4) Stripe Payments Europe Ltd. (EU mit USA-Konzern, SCC) für Zahlungen. (5) Scaleway SAS (Paris, Frankreich, fr-par) für transaktionale E-Mails. Alle sind in der Datenschutzerklärung namentlich aufgeführt. Neue Subprozessoren werden mit 30 Tagen Widerspruchsfrist vorab in der Datenschutzerklärung angekündigt.

Teilweise, jeweils durch EU-Standardvertragsklauseln abgesichert. App-Server, Datenbank, Object-Storage und E-Mail-Versand liegen in der EU (Hetzner Nürnberg, Google Cloud Storage Frankfurt, Scaleway Paris). Zwei Subprozessoren haben USA-Bezug: Stripe Payments Europe Ltd. (EU-Tochter mit USA-Konzern) und Replicate Inc. (USA, KI-Bildbearbeitung). Die Transfers laufen jeweils auf Basis der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Eine Datenschutz-Folgenabschätzung für die KI-Verarbeitung liegt vor und ist auf Anfrage einsehbar.

Sofort. Die Lösch-Anfrage über die App oder per E-Mail an support@immorium.de wird unmittelbar ausgeführt: Konto deaktiviert, Daten aus der Live-Datenbank entfernt. Sicherheits-Backups werden binnen 30 Tagen rotiert; danach sind die Daten endgültig nicht mehr rekonstruierbar. Es gibt keine 90-Tage-Wartezeit, keine zusätzliche Bestätigungsmail. Steuerrechtlich aufbewahrungspflichtige Buchhaltungs-Belege (§ 147 AO: 10 Jahre) werden getrennt archiviert, falls Sie das wünschen.

Ja, jederzeit nach Art. 20 DSGVO (Datenübertragbarkeit). Über die App lösen Sie einen ZIP-Export aus, der alle Mieter-, Vertrags-, Buchungs- und Beleg-Daten in offenen Formaten enthält (CSV, PDF, JSON). Bei größeren Portfolios läuft der Export asynchron; eine E-Mail mit dem Download-Link folgt. Die Daten sind sofort in andere Hausverwaltungs-Software importierbar, sofern diese CSV-Import unterstützt.

Privatvermieter mit unter 20 Wohnungen typischerweise nicht. Nach § 38 BDSG ist ein DSB Pflicht, wenn (a) mindestens 20 Personen ständig mit der Datenverarbeitung beschäftigt sind oder (b) sensible Daten besonders umfangreich verarbeitet werden (Art. 9, 10 DSGVO). Wer eine Hausverwaltung als Unternehmen führt mit Angestellten und größerem Bestand, prüft die DSB-Pflicht individuell. Bei einzelnen Vermietern reicht typischerweise das Selbst-Compliance-Verfahren.

Art. 13 DSGVO: Beim ersten Datenaustausch (z. B. bei Vertragsunterzeichnung) müssen Sie den Mieter informieren: welche Daten Sie verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange gespeichert, welche Rechte er hat. Praktisch: Die Datenschutz-Information ist Teil des Mietvertrags-Anhangs. In Immorium ist sie im Mietvertrag-Generator standardmäßig enthalten. Sie übergeben sie zusammen mit dem Mietvertrag.

Bei einem Datenschutzvorfall greift ein dokumentierter Incident-Response-Plan: Immorium meldet den Vorfall innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde (Art. 33 DSGVO). Sind Mieter- oder Eigentümer-Daten betroffen, informieren wir Sie direkt mit Details: sodass Sie Ihrer Informationspflicht gegenüber Mietern (Art. 34) nachkommen können. Bisher: kein meldepflichtiger Vorfall.

Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO), je nachdem, was höher ist. Bei privaten Vermietern fallen Bußgelder in der Praxis deutlich niedriger aus; Aufsichtsbehörden berücksichtigen die wirtschaftliche Leistungsfähigkeit. Neben dem Bußgeld kommt ein Schadenersatzanspruch des Mieters nach Art. 82 DSGVO in Betracht. Das Reputationsrisiko bei einem öffentlich gewordenen Datenschutzvorfall ist meist erheblich.

Wenn ein Mieter Auskunft (Art. 15), Berichtigung (Art. 16) oder Löschung (Art. 17) verlangt, finden Sie in Immorium alle relevanten Daten an einem Ort. Auskunft: ZIP-Export pro Mieter mit allen über ihn gespeicherten Daten. Berichtigung: direkt in den Stammdaten ändern, Audit-Log dokumentiert die Änderung. Löschung: nach Ende des Mietverhältnisses und Ablauf der 10-Jahres-Frist nach § 147 AO ein Klick. Die 30-Tage-Reaktionsfrist nach Art. 12 Abs. 3 DSGVO ist mit dem Workflow leicht einzuhalten.

Datenschutzfreundliche Voreinstellungen sind Standard, nicht Option. In Immorium konkret: Trackingsysteme sind aktiv deaktiviert; Analytics nur opt-in mit funktionalem Cookie-Consent; Mieter-Daten werden nach Mietverhältnis-Ende automatisch markiert für Löschung; KI-Aufrufe laufen vor Übergabe an Subdienstleister durch Anonymisierungs-Layer; Mehrfaktor-Authentifizierung ist Default. Privacy by Default heißt: Sie müssen nichts aktivieren, um datenschutzkonform zu sein.