Wie Datenschutzrecht Immobiliendaten tatsächlich berührt

# Wie Datenschutzrecht Immobiliendaten tatsächlich berührt

Ein Property Manager in Austin exportiert einen Rent Roll, um ihn einem Kreditgeber per E-Mail zu schicken. Die Tabelle hat 140 Zeilen: Mieternamen, Sozialversicherungsnummern für Background Checks, Monatsmiete, Zahlungsverzugshistorie und Notizen wie „Behinderungsanpassung, Assistenztier genehmigt“. Diese eine Datei, die in irgendeinem Postausgang liegt, berührt gleichzeitig mindestens drei verschiedene Rechtsregime. Die meisten Vermieter denken darüber nie nach, bis ein Datenleck, eine Klage oder ein Audit die Frage aufwirft.

Diese Lektion geht diesen Rent Roll Feld für Feld durch und zeigt genau, wo das Recht ansetzt.

Der Rent Roll als Datenkarte

Ein Rent Roll (die Masterliste einer Immobilie mit Einheiten, Mietern und Mietstatus) ist in Wahrheit ein verkapptes Verzeichnis personenbezogener Daten. Zerlegt man ihn in Spalten, wird das regulatorische Bild schnell klar:

• Mietername und Kontaktdaten: personenbezogene Daten nach nahezu jedem Datenschutzgesetz weltweit.
• Sozialversicherungsnummer / nationale ID: höchst sensibel; löst in den USA die Meldepflichten der einzelstaatlichen Data-Breach-Gesetze aus.
• Zahlungs- und Mahngebührenhistorie: Finanzdaten, relevant für Fair-Lending- und Credit-Reporting-Regeln.
• Notizen zu Anpassungen (Behinderung, Assistenztiere, Religionsausübung): Informationen über geschützte Merkmale nach Fair-Housing-Recht. Diese Kategorie ist bei Fehlbehandlung die gefährlichste.
• Zutrittsprotokolle auf Einheitenebene (Smart Locks, Keycards): zunehmend von einzelstaatlichen Datenschutzgesetzen als „sensible“ oder biometriknahe Daten erfasst.

Jede Spalte hat einen anderen Regulierer, der sie beobachtet. Die gesamte Datei als eine undifferenzierte „Tabelle“ zu behandeln, ist der erste Governance-Fehler.

GDPR: meist nicht Sie, außererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → Sie haben EU-Mieter oder -Eigentümer

Die GDPR (General Data Protection Regulation, das zentrale Datenschutzgesetz der EU, durchgesetzt von den nationalen Datenschutzbehörden) gilt, wenn Sie personenbezogene Daten von Personen in der EU verarbeiten, oder wenn ein in der EU ansässiger Fonds oder Asset Manager für ein Portfolio der Datenverantwortliche ist.

Wo das in Real Estate tatsächlich greift:

• Ein US-Immobilienfonds mit europäischen Limited Partners (LPs), der Investoren-KYC-Daten (Know Your Customer) verarbeitet.
• Eine Property-Management-Plattform, die über ein EU-eigenes Portfolio in Deutschland oder Spanien genutzt wird.
• Ein PropTech-Anbieter (ein Immobilientechnologie-Unternehmen, z. B. Gebäudezutritts- oder Leasing-Software), der nach Europa verkauft.

Unter der GDPR haben Mieter ein Auskunftsrecht zu ihrer Akte, ein Recht auf Löschung („Recht auf Vergessenwerden“), und Unternehmen brauchen eine Rechtsgrundlage (Vertrag, berechtigtes Interesse oder Einwilligung) für jede Nutzung personenbezogener Daten. Wenn ein Vermieter fünf Jahre Zahlungshistorie eines früheren Mieters „für den Fall der Fälle“ ohne Löschkonzept aufbewahrt, ist das ein GDPR-Verstoß, sofern irgendein EU-Bezug besteht. Volltext: GDPR official text via EUR-Lex.

CCPA/CPRA: die US-Antwort, enger, aber mit wachsenden Zähnen

Der CCPA (California Consumer Privacy Act, geändert durch den CPRA, California Privacy Rights Act, durchgesetzt von der California Privacy Protection Agency) gibt kalifornischen Einwohnern Rechte auf Auskunft, Löschung und Widerspruch gegen den Verkauf oder das Teilen ihrer personenbezogenen Daten.

Spezifische Auslöser in Real Estate:

• Screening-Daten von Bewerbern (Kreditprüfungen, Strafregisterprüfungen), die beim Leasing erhoben werden.
• Smart-Building-Daten: Keycard-Protokolle, Parksensoren, Paketschränke, alle einer Einheit oder einem Bewohner zugeordnet.
• Marketinglisten, die zwischen Property-Management-Firmen und Maklern verkauft oder geteilt werden.

Der CCPA greift anhand von Schwellenwerten für Unternehmensgröße und Datenvolumen (Stand 2026 etwa: über 25 Millionen Dollar Jahresumsatz, oder Verarbeitung von Daten von 100.000+ Verbrauchern/Haushalten, oder 50 %+ Umsatz aus dem Verkauf personenbezogener Daten; prüfen Sie die aktuellen Schwellen, sie werden inflationsangepasst). Ein Vermieter mit einem einzigen Zweifamilienhaus fällt nicht darunter. Ein landesweiter Multifamily-REIT (Real Estate Investment Trust) mit eigener Leasing-App fällt mit hoher Wahrscheinlichkeit darunter.

Andere US-Bundesstaaten haben inzwischen eigene Gesetze, von denen man wissen sollte, dass sie existieren, auch ohne Details hier: Virginia (VCDPA), Colorado (CPACPACost Per Acquisition: the total cost to generate one customer or conversion, computed by dividing total spend by the number of acquisitions.Vollständige Definition ansehen →), Connecticut (CTDPA). Ein einheitliches Bundesdatenschutzgesetz deckt das bislang nicht alles ab, was selbst ein Governance-Risiko ist: Vermieter in mehreren Staaten müssen einen Flickenteppich verfolgen.

Fair Housing: Datenschutzregeln mit bürgerrechtlichem Biss

Hier weicht Real Estate stark von anderen Sektoren ab. Der Fair Housing Act (US-Bundesgesetz, durchgesetzt von HUD, dem Department of Housing and Urban Development) verbietet Diskriminierung aufgrund von Rasse, Hautfarbe, Religion, Geschlecht, nationaler Herkunft, Familienstatus oder Behinderung und beschränkt vor allem, wie Sie Daten, die diese Merkmale offenlegen, nutzen und speichern dürfen.

Konkreter Fehlerfall: Das CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → (Customer Relationship ManagementCustomer Relationship ManagementCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → Software) eines Leasing-Agenten hat ein Freitextfeld für Notizen. Ein Agent schreibt „Familie mit kleinen Kindern, kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte laut sein“ oder „Rollstuhl, braucht Erdgeschoss“. Diese Notiz ist jetzt eine Information über geschützte Merkmale in einem System ohne Zugriffskontrollen. Klagt ein abgelehnter Bewerber später, wird diese Notiz im Discovery-Verfahren zum Beweis diskriminierender Absicht, unabhängig davon, ob tatsächlich diskriminiert wurde.

Die Data-Governance-Lehre: Informationen über geschützte Merkmale sollten niemals in unstrukturiertem Freitext liegen, auf den Leasing-Mitarbeiter Zugriff haben, die Annahme-/Ablehnungsentscheidungen treffen. Strukturierte, zugriffskontrollierte Anpassungsprotokolle, die nur von Compliance geprüft werden, sind das sicherere Muster.

Was „Ignorieren“ tatsächlich kostet

Keine erfundenen Zahlen hier, aber das Durchsetzungsmuster ist real und gut dokumentiert:

• HUD und das DOJ (Department of Justice) haben Fair-Housing-Verfahren gegen Property Manager geführt, wegen algorithmischer Mieter-Screening-Tools, die Straf- oder Kreditdaten mit einem Disparate Impact auf geschützte Gruppen nutzten. Den MaMaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßstab dazu siehe HUD's guidance on the use of criminal records in housing decisions.
• Generalstaatsanwälte der Bundesstaaten (besonders Kaliforniens) haben CCPA-Durchsetzungsverfahren gegen Unternehmen ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen →öffnet, weil Löschanfragen nicht erfüllt wurden, teils in Sektoren nahe Real Estate wie Background-Check-Anbietern.
• GDPR-Bußgelder sind umsatzabhängig gestaffelt (bis zu 4 % des globalen Jahresumsatzes bei den schwersten Verstößen) und werden von den nationalen DPAs verhängt; mehrere Bußgelder trafen immobiliennahe Unternehmen wegen überlanger Aufbewahrung von Mieter-Screening-Daten.

Das Muster ist über alle drei Regime hinweg dasselbe: der Verstoß liegt selten in der ursprünglichen Datenerhebung, sondern in der Aufbewahrung, der Weiterverwendung und der fehlenden Zugriffskontrolle danach.

Das praktische Audit: was Sie tatsächlich prüfen sollten

Ein einfaches Data-Governance-Audit für ein Immobilienportfolio sollte durchgehen:

1. Datenverzeichnis: welche Felder existieren, in welchen Systemen (Property-Management-Software, CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen →, Background-Check-Anbieter, Smart-Lock-Anbieter)?

2. Löschfristen: wie lange werden Daten früherer Mieter aufbewahrt, und gibt es eine schriftliche Richtlinie? Ein verbreitetes, vertretbares Muster ist das Löschen oder Anonymisieren von Screening-Daten 12 bis 24 Monate nach Mietende, sofern lokales Recht keine längere Aufbewahrung verlangt.

3. Zugriffskontrolle: wer kann SSNs, Anpassungsnotizen und Zahlungshistorie sehen? Leasing-Agenten brauchen selten Zugriff auf SSNs; die Buchhaltung braucht selten Anpassungsnotizen.

4. Verträge mit Anbietern: haben Ihr Background-Check-Anbieter, Ihr Smart-Lock-Anbieter und Ihre Leasing-Software einen Data Processing Agreement (DPA, ein von der GDPR vorgeschriebener Vertrag darüber, wie ein Anbieter Daten in Ihrem Auftrag verarbeitet) oder gleichwertige CCPA-Service-Provider-Klauseln?

5. Freitextfeld-Scan: CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen →- und E-Mail-Systeme nach Stichwörtern zu geschützten Merkmalen durchsuchen (Behinderung, schwanger, Religion, Begriffe zur nationalen Herkunft) in unstrukturierten Notizen.

Eine einfache technische Prüfung, die eine datenkompetente Ops-Person auf einem exportierten Rent Roll laufen lassen kann, in einfachem Pseudocode:

for each record in rent_roll:
    flag if SSN field is populated but not encrypted
    flag if notes field contains protected-class keywords
    flag if last_activity_date is >24 months old and record still retained
    flag if record has no documented lawful basis / consent reference

Das ist keine Compliance-Garantie, sondern ein Triage-Werkzeug, um zu finden, wo das eigentliche Audit ansetzen muss.

Key Takeaways

• Ein Rent Roll ist ein Verzeichnis personenbezogener Daten mit mindestens drei angehängten Rechtsregimen: GDPR (EU-Bezug), CCPA/CPRA (kalifornische Größenschwellen) und der Fair Housing Act (Daten zu geschützten Merkmalen überall in den USA).
• Der Fair Housing Act macht Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen → zu einer Bürgerrechtsfrage, nicht nur zu einer Datenschutzfrage: unstrukturierte Notizen, die geschützte Merkmale offenlegen, sind ein Haftungsrisiko, selbst ohne nachgewiesene diskriminierende Absicht.
• Die meisten Durchsetzungsprobleme kommen aus Aufbewahrung und Weiterverwendung, nicht aus der ursprünglichen Erhebung. Legen Sie eine schriftliche Löschrichtlinie fest und löschen Sie Daten tatsächlich fristgerecht.
• Zugriffskontrolle zählt mehr als Verschlüsselung allein: beschränken Sie, wer SSNs, Anpassungsnotizen und Screening-Daten sehen kann, und halten Sie diese Daten aus Freitextfeldern heraus.
• Führen Sie ein regelmäßiges Audit auf Feldebene durch (Verzeichnis, Aufbewahrung, Zugriff, Anbieterverträge, Stichwort-Scan), statt Datenschutz-Compliance als einmalige juristische Prüfung zu behandeln.