(aktualisiert ) · von Stefan Becker

Digitale Wohnungsübergabe: DSGVO-konform speichern

DSGVO Übergabeprotokoll richtig speichern: Fristen, EU-Server, AVV und Löschkonzept für die digitale Wohnungsübergabe erklärt.

Digitale Wohnungsübergabe: DSGVO-konforme Speicherung von Übergabeprotokollen

Wer eine Wohnung übergibt, erfasst mehr personenbezogene Daten als vielen bewusst ist. Name und Anschrift von ausziehenden und einziehenden Mietern, Telefonnummern, Zählerstände, Schlüsselanzahl, Zustandsbeschreibung jedes Raums, Fotos von Kratzern im Parkett und Unterschriften beider Parteien landen in einem einzigen Dokument. Das DSGVO Übergabeprotokoll bündelt damit Identitäts-, Vertrags- und Verhaltensdaten an einem Ort.

Für Vermieter und Hausverwaltungen beantwortet dieser Artikel die Suchanfrage „DSGVO Übergabeprotokoll speichern“ direkt: Welche Daten als personenbezogen gelten, wie lange Sie sie behalten dürfen, welche Technik Prüfer erwarten und wie Sie Auskunfts- und Löschanfragen in der Frist bearbeiten. Die Verwaltung personenbezogener Daten zählt zu den sensibelsten Aufgaben in jedem Unternehmen.[2] Verstöße kosten nach Darstellung der HANSALOG-Redaktion zur DSGVO-konformen Personalverwaltung bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.[2] Die Lurus-Analyse zu DSGVO-konformer KI für Unternehmen aus 2026 nennt denselben Bußgeldrahmen und betont Zweckbindung und Datenminimierung.[3]

Die Kernaussage vorab: Speichern Sie Protokolle mit klar definiertem Zweck, auf Servern in der EU, mit Auftragsverarbeitungsvertrag, Verschlüsselung, Rollenrechten und automatischem Löschkonzept. Dann sinkt das Bußgeldrisiko und die Suche nach einem drei Jahre alten Protokoll dauert Sekunden statt Stunden.

Warum das DSGVO Übergabeprotokoll über Bußgeld oder Vertrauen entscheidet

Bußgelder treffen nicht nur Konzerne. Jede Hausverwaltung, die Namen, Zählerstände und Fotos ohne Rechtsgrundlage oder ohne Frist speichert, verstößt gegen die Grundsätze der Rechtmäßigkeit und Speicherbegrenzung. Die HANSALOG-Darstellung beziffert den Rahmen mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.[2]

Wie Gerichte diesen Rahmen anwenden, zeigt das Verfahren gegen Spotify vor einem Stockholmer Gericht: Nach Berichterstattung von Investing.com stellte das Gericht einen Verstoß fest, weil Angaben zu Speicherfristen fehlten und Schutzmaßnahmen bei Übermittlung in Drittländer unzureichend waren.[6] Übertragen auf die Wohnungsübergabe heißt das: Fehlende Fristen und US-Server ohne Zusatzgarantien genügen Prüfern nicht.

Sensible Daten bei der Übergabe

Namen, Adressen, Zählerstände für Strom, Gas und Wasser, Zustandsbeschreibungen und Fotodokumentation von Mängeln gelten als personenbezogene Daten, sobald sie einer identifizierbaren Person zugeordnet werden können. Die MUNAS-Darstellung zur DSGVO-konformen Mitgliederverwaltung beschreibt dieselbe Einordnung für Adress- und Kontaktdaten und fordert definierte Regeln für Erhebung, Speicherung und Verarbeitung.[4]

Rechtliche Konsequenzen bei Verstößen

Neben Bußgeldern drohen Schadensersatzforderungen von Mietern, Beanstandungen durch Aufsichtsbehörden und Beweisprobleme im Streit um die Kaution. Wer keine Auskunft geben kann, wo ein Protokoll liegt, wer es geöffnet hat und wann es gelöscht wird, verliert im Konflikt um Schönheitsreparaturen an Glaubwürdigkeit.

Papier und Excel: Wo Prüfer zuerst hinschauen

Papierordner und Tabellen ohne Berechtigungskonzept fallen bei Prüfungen zuerst auf, weil Zugriff, Änderung und Löschung sich nicht nachweisen lassen. Die Neuland-Analyse zur DSGVO-konformen Speicherung beschreibt über Jahre gewachsene Rechteverteilungen und unklare Ablagen als hohes Risiko bei Datenschutzprüfungen.[1]

Excel verschärft das Problem: Kopien kursieren per E-Mail, Versionen überschreiben sich, ein Filter verrutscht und Zählerstände landen in der falschen Zeile. Papier geht verloren, bleicht aus oder liegt offen im Büro.

Unbefugter Zugriff und Datenverlust

Papierakten lassen sich ohne Spuren einsehen. Tabellen kennen oft nur „Lesen für alle“. Die HANSALOG-Darstellung nennt fehlende granulare Berechtigungskonzepte und Verlust physischer Dokumente als typische Schwachstellen manueller Ablagen.[2]

Fehlende Löschkonzepte und Intransparenz

Fristen in Kalendern oder Köpfen funktionieren nicht. Wer 400 Protokolle in Schränken verwaltet, prüft nicht monatlich, welche Verjährung abgelaufen ist. Die Neuland-Analyse empfiehlt deshalb systemgestützte Lösch- und Aufbewahrungsfristen je Datenart mit lückenloser Dokumentation.[1]

Kernanforderungen an die DSGVO-konforme Speicherung

Drei Festlegungen bestimmen, ob Ihre Ablage einer Prüfung standhält: Wie lange Sie speichern, wo Sie speichern und auf welcher Vertragsgrundlage ein Dienstleister beteiligt ist. Die MUNAS-Darstellung fordert genau diese definierten Regeln für Erhebung, Speicherung und Verarbeitung.[4]

Die Lurus-Analyse aus 2026 stellt Zweckbindung und Datenminimierung als zentrale Prinzipien heraus und verlangt Übermittlung in Drittstaaten nur unter strengen Bedingungen.[3] Für die Praxis folgt daraus ein einfacher Maßstab: kein Datum ohne Zweck, kein Server außerhalb der EU ohne Garantien, kein Cloud-Anbieter ohne Vertrag.

Aufbewahrungs- und Löschfristen definieren

Speichern Sie Daten nur, solange der Zweck oder eine gesetzliche Pflicht es verlangt. Die Neuland-Analyse beschreibt automatisierte Fristen je Datenart als Voraussetzung für revisionssichere Dokumentation.[1] Legen Sie für Protokolle, Fotos und Zählerstände getrennte Fristen fest und dokumentieren Sie die Begründung.

Der Speicherort: EU-Server als Pflicht

Der Serverstandort entscheidet über das Risiko bei Drittlandübermittlung. Die Darstellung auf hawug-hdl.de zur digitalen Vermietung nennt Anbieter mit Sitz und Verarbeitung in Deutschland oder der EU als Variante mit höchster Rechtssicherheit.[10] Fragen Sie Anbieter nach Rechenzentrumsstandort, Subunternehmern und Verschlüsselung, bevor Sie unterschreiben.

Auftragsverarbeitungsvertrag (AVV)

Verarbeitet ein App- oder Cloud-Anbieter Protokolle in Ihrem Auftrag, brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ohne AVV ist die Nutzung rechtswidrig, so die Lurus-Analyse.[3] Seriöse Anbieter stellen den AVV standardmäßig bereit, wie die Darstellung zur digitalen Vermietung für die Verwaltung festhält.[10]

Technik und Organisation, die Prüfer sehen wollen

Prüfer verlangen Nachweise statt Versprechen: verschlüsselte Übertragung, verschlüsselte Ablage, begrenzte Rollen und ein Protokoll jeder Änderung. Die Neuland-Analyse listet Verschlüsselung, fein granulierte Zugriffsprotokolle und Audit-Logs als angemessene Maßnahmen.[1]

Setzen Sie diese Maßnahmen vor dem ersten digitalen Termin um. Nachträgliches Härten wirkt auf Aufsichtsbehörden wie ein Eingeständnis lückenhafter Verfahren.

Verschlüsselung und Zugriffskontrolle

Übertragen Sie alle Inhalte per HTTPS und verschlüsseln Sie die Ablage. Die HANSALOG-Darstellung nennt Verschlüsselung bei Übertragung und Speicherung zusammen mit Rollen- und Rechtemanagement als Basis.[2] Vergeben Sie Rechte nach Aufgabe: Hausmeister erfassen, Verwaltung prüft, Geschäftsführung exportiert. Jedes Öffnen sensibler Protokolle bleibt nachvollziehbar.

Audit-Trails und WORM-Prinzip

Ein Audit-Log hält fest, wer wann was geändert hat. Versionierung belegt die Unveränderbarkeit gegenüber Mietern und Gericht. Die Neuland-Analyse beschreibt das WORM-Prinzip – einmal schreiben, vielfach lesen – als Schutz vor vorzeitigem Löschen oder Verändern bis zum Fristablauf.[1] Die Darstellung zur digitalen Vermietung verknüpft diese Nachvollziehbarkeit mit den GoBD-Anforderungen an elektronische Unterlagen.[10]

Von der Aufnahme bis zum Archiv ohne Medienbruch

Der schnellste Prozess ist der ohne Bruch: Erfassung, Unterschrift und Archivierung laufen in einer Kette, ohne Ausdruck, Scan und erneutes Abtippen. Die Darstellung auf hawug-hdl.de beschreibt die vollständig digitalisierte Vermietung als Beschleunigung durch Wegfall solcher Brüche.[10]

Vor Ort erfassen Sie Räume einzeln, fotografieren Mängel, scannen Zähler per Barcode und unterschreiben auf dem Gerät. Das PDF entsteht automatisch und wandert ins Dokumentenmanagement mit Rechten und Frist.

Ablauf digitale Übergabe bis Archiv
Ablauf digitale Übergabe bis Archiv

Die Übergabe vor Ort

Vorauswahl, Terminabsprache und Mietvertrag laufen in den eigenen Systemen der Verwaltung, das Übergabeprotokoll setzt vor Ort an. Bei der Übergabe dokumentiert die App Mängel per Foto und Spracheingabe, Zähler per Scan. Die Produktbeschreibung im Play Store nennt Offline-Fähigkeit, Foto- und Zählererfassung sowie Zusammenfassung in einem PDF-Bericht.[11]

Signatur und Archivierung mit Siegel

Beide Parteien unterschreiben auf dem Endgerät. Ein kryptografischer Hash, etwa HMAC-SHA256, versiegelt das fertige Dokument gegen nachträgliche Änderung. Danach erhalten alle Beteiligten das PDF, das Original liegt im System mit Zeitstempel und Versionshistorie. Die Darstellung zur digitalen Vermietung beschreibt automatisierten Versand und Speicherung unter DSGVO-Vorgaben als Standard moderner Abläufe.[10]

Fotodokumentation: beweissicher und sparsam

Fotos entscheiden Kautionsstreitigkeiten. Sie zeigen Kratzer, Bohrlöcher und Zählerstände mit Datum. Gleichzeitig zeigen sie oft private Gegenstände, Kinderfotos an Wänden oder Dokumente auf Tischen. Fotografieren Sie deshalb den Mangel formatfüllend und den Raum nur so weit wie nötig.

Die MUNAS-Darstellung fordert Datenminimierung bei Erhebung und Verarbeitung.[4] Übertragen auf Bilder heißt das: zwei scharfe Fotos vom Schaden schlagen zehn Weitwinkel mit Privatem.

Datenminimierung bei Fotos

Legen Sie eine Regel fest: Zustand der Mietsache ja, persönliche Gegenstände nein. Weisen Sie Mitarbeiter an, vor dem Auslösen Spiegel, Bildschirme und Papiere aus dem Ausschnitt zu nehmen. Erklären Sie Mietern zu Beginn, wozu jedes Foto dient.

Sichere Speicherung von Bildern

Bilder erhalten dieselbe Verschlüsselung, dieselben Rollen und dieselbe Frist wie Text. Die Neuland-Analyse bezieht ihre Anforderungen an Verschlüsselung und Zugriffsprotokolle ausdrücklich auf gespeicherte Bilder und Textdaten.[1] Die Produktbeschreibung nennt die Zusammenfassung von Fotos, Notizen, Zählerständen und Signaturen in einem Bericht.[11]

BDSG, GoBD und Fristen in Deutschland

Die DSGVO gilt EU-weit. In Deutschland kommen Bundesdatenschutzgesetz und GoBD hinzu. Das BDSG konkretisiert etwa Beschäftigtendatenschutz und Schwellen für Beauftragte. Die GoBD verlangt Nachvollziehbarkeit, Unveränderbarkeit und zeitnahe Erfassung elektronischer Unterlagen, worauf die Darstellung zur digitalen Vermietung für steuerlich relevante Belege hinweist.[10]

Für Protokolle gelten gestaffelte Fristen aus Zivil- und Steuerrecht. Ansprüche wegen Verschlechterung der Mietsache verjähren nach § 548 BGB in sechs Monaten. Gewährleistungs- und Kautionsstreitigkeiten begründen oft drei Jahre Aufbewahrung nach Vertragsende. Steuerlich relevante Belege wie Nebenkostenabrechnungen verlangen bis zu zehn Jahre.

BDSG und GoBD in der Praxis

Bilden Sie GoBD-Prinzipien im System ab: festgeschriebener Export, unveränderbares Original, Verfahrensdokumentation. Die MUNAS-Darstellung empfiehlt dokumentierte Regeln für Verarbeitung und Aufbewahrung als Nachweis gegenüber Aufsichtsbehörden.[4]

Speicherfristen aus BGB und Steuerrecht

Trennen Sie Protokoll, Fotos und Abrechnungsbelege. Das Protokoll folgt der Verjährung und dem Beweisinteresse, Abrechnungsbelege folgen dem Steuerrecht. Die Neuland-Analyse verlangt Fristen je Datenart statt einer Einheitsfrist.[1]

Papier oder digital: direkter Vergleich beim DSGVO Übergabeprotokoll

Der Unterschied zeigt sich nicht in der Hülle, sondern in der Nachweisfähigkeit. Papier belegt den Zustand, digital belegt zusätzlich Zeitpunkt, Ort, Urheber und Unverändertheit. Genau diese Metadaten – Zeitstempel und Geo-Kennung – erhöhen die Beweiskraft und erleichtern den Nachweis der Zweckbindung.

Die HANSALOG-Darstellung verknüpft granulare Rechte und automatisierte Fristen mit geringerem Risiko.[2] Die Darstellung zur digitalen Vermietung stellt automatisierte Ablage und Versand als Effizienzgewinn heraus.[10]

KriteriumPapierprotokollDigitale Lösung mit EU-Speicherung
ZugriffskontrolleOrdner für alle mit Schlüssel, keine ProtokollierungRollenrechte je Aufgabe, jeder Zugriff geloggt[1][2]
LöschkonzeptKalender und Handnotiz, fehleranfälligFrist je Datenart, automatisiert mit Nachweis[1]
NachvollziehbarkeitUnterschrift ohne Zeit- und OrtsnachweisZeitstempel, Versionierung und kryptografisches Siegel[10][11]
Auskunft und VersandKopieren, schwärzen, per PostExport per Knopfdruck, Versand als PDF an Beteiligte[10][11]
Aufwand pro VorgangAblage, Suche und Fristprüfung von HandErfassung vor Ort, Archivierung läuft im Hintergrund

Löschkonzept in drei Schritten umsetzen

Ein Löschkonzept gelingt, wenn es klein startet und automatisch läuft. Inventarisieren Sie Bestände, begründen Sie Fristen und schalten Sie Routinen scharf. Die Neuland-Analyse beschreibt Fristen je Datenart mit automatisierter Einhaltung und Dokumentation als Kern.[1]

Vermeiden Sie eine Einheitsfrist für alles. Sie löscht entweder zu früh und vernichtet Beweise oder zu spät und verstößt gegen Speicherbegrenzung.

Schritte zur Umsetzung

Erstellen Sie eine Tabelle mit Datenart, Zweck, Rechtsgrundlage, Frist und Verantwortlichem. Beispiel: Protokoll-PDF drei Jahre nach Vertragsende wegen Beweissicherung, Zählerfotos dieselbe Frist, Abrechnungsbelege zehn Jahre nach Steuerrecht. Hinterlegen Sie die Fristen im System und testen Sie Löschung und Sperrung an Musterfällen. Die HANSALOG-Darstellung nennt automatisierte Fristen als Mittel gegen manuelle Fehler.[2] Die Lurus-Analyse fordert dokumentierte Zwecke als Beleg der Zweckbindung.[3]

Dokumentieren Sie jeden Löschlauf mit Datum, Umfang und Regel. Dieser Nachweis stärkt Ihre Position, wenn Mieter die Vollständigkeit bestreiten.

DSFA und Datenschutzbeauftragter: wann Pflicht?

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO wird fällig, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt. Maßstab sind Umfang, neue Technik und systematische Bewertung. Wer hunderte Protokolle mit Fotos, Zeitstempeln und Standortdaten zentral speichert, prüft die Schwelle ernsthaft.

Die Lurus-Analyse nennt systematische Überwachung und große Mengen sensibler Daten als Auslöser und verlangt Schutzmaßnahmen bei Drittlandbezug.[3] Die HANSALOG-Darstellung beschreibt Beratung und Überwachung durch Beauftragte als Teil DSGVO-konformer Verwaltung.[2]

Wann ist eine DSFA nötig?

Führen Sie eine Schwellwertanalyse durch: Anzahl Betroffene pro Jahr, Foto- und Standortdaten ja oder nein, Cloud mit Subauftragnehmern ja oder nein. Fällt die Antwort zweimal „ja“ aus, erstellen Sie die DSFA mit Beschreibung, Erforderlichkeit, Risiken und Maßnahmen.

Rolle des Datenschutzbeauftragten

Binden Sie den Beauftragten vor der Einführung ein, nicht nach der ersten Beschwerde. Er prüft AVV, TOMs und Fristen, schult Mitarbeiter zur Fotoregel und begleitet Anfragen von Aufsichtsbehörden.

Auskunft und Löschung: Mieteranfragen in 30 Tagen beantworten

Mieter verlangen Auskunft nach Art. 15, Berichtigung nach Art. 16 und Löschung nach Art. 17 DSGVO. Die Frist beträgt einen Monat. Wer Protokolle im DMS mit Volltextsuche und Rechten verwaltet, antwortet in Stunden. Wer Ordner wälzt, reißt die Frist.

Die Lurus-Analyse betont dokumentierte Zwecke und Rechtsgrundlagen als Voraussetzung für korrekte Antworten auf Betroffenenrechte.[3] Die Darstellung zur digitalen Vermietung beschreibt Mieterportale und digitalen Versand als schnelleren Weg als physische Einsicht.[10]

Rechte der Mieter

Geben Sie bei Auskunft Kopie des Protokolls, Zwecke, Empfänger, Speicherdauer und Herkunft der Daten an. Löschen Sie, wenn kein Zweck und keine Pflicht mehr besteht. Sperren Sie, wenn Aufbewahrungspflichten die Löschung hindern und informieren Sie über die Gründe.

Praktische Umsetzung

Richten Sie ein Postfach für Anfragen, eine Vorlage für Antworten und eine Checkliste für Identität, Suche, Schwärzung Dritter und Versand ein. Protokollieren Sie Eingang, Prüfung und Erledigung. So weisen Sie die Frist gegenüber der Aufsicht nach.

Wer Protokolle mit Zeitstempel, Geo-Kennung und kryptografischem Hash versiegelt, belegt Zeitpunkt und Unverändertheit ohne Zusatzaufwand. Protocasa bildet genau diese Art der versiegelten digitalen Übergabe mit DSGVO-konformer Speicherung ab.

Fazit

Starten Sie mit drei Aufgaben für die nächsten 30 Tage: Inventur aller Protokollbestände, AVV und Serverstandort beim Anbieter klären, Fristen je Datenart festschreiben und im System hinterlegen. Schulen Sie danach das Team zur Fotoregel und zum Auskunftsablauf.

Offen bleibt, wie Aufsichtsbehörden Zeitstempel, Standortdaten und KI-gestützte Mängelerkennung in Protokollen bewerten und welche Aufbewahrung Gerichte bei Kautionsstreitigkeiten über die Verjährung hinaus anerkennen. Beobachten Sie hierzu Leitlinien und Rechtsprechung statt fester Jahreszahlen zu folgen. Prüfen Sie vor der nächsten Übergabe, ob Ihre Ablage Auskunft in Tagen erlaubt – dort zeigt sich, ob das Konzept trägt.

Quellen

Protokoll direkt digital erstellen

Statt Papiervorlagen: Erstellen Sie Ihr Übergabeprotokoll direkt auf dem Smartphone — rechtssicher, offline-fähig und kostenlos.

Kostenlos starten

Bereit für digitale Übergabeprotokolle?

Kostenlos registrieren in unter einer Minute.

Kostenlos starten