Mieterkorrespondenz vor Zinshausverkauf: was in den Datenraum darf und was nicht

Mieterkorrespondenz kann für den Verkauf eines Zinshauses rechtlich wichtig sein. Sie belegt Nachträge, Mängelanzeigen, Rückstände, Betriebskostenfragen oder laufende Auseinandersetzungen. Gleichzeitig enthält sie Namen, Kontaktdaten, Kontoinformationen und mitunter private oder besonders geschützte Angaben, die nicht ungefiltert an jeden Kaufinteressenten weitergegeben werden dürfen.

Der richtige Datenraum folgt deshalb einem Stufenmodell. Zuerst werden die für Bewertung und Risiko notwendigen Informationen strukturiert und soweit möglich anonymisiert. Personenbezug wird erst offengelegt, wenn Zweck, Empfängerkreis und Verfahrensstand dies tragen. Vertraulichkeit ist wichtig, ersetzt aber weder Rechtsgrundlage noch Datenminimierung.

Zweck und Rechtsgrundlage vor dem Upload bestimmen

Art 5 DSGVO verlangt Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und angemessene Sicherheit. Vor dem Upload sollte daher feststehen, welche Transaktionsfrage das Dokument beantwortet. Eine E-Mail kann etwa einen genehmigten Nachtrag oder einen Mangel belegen. Private Anhänge und für diesen Zweck irrelevante Nebeninformationen gehören nicht automatisch dazu.

Die Rechtmäßigkeit richtet sich nach Art 6 DSGVO. Bei Transaktionsdaten kann insbesondere eine Interessenabwägung in Betracht kommen, sie ist aber kein Freibrief. Erforderlichkeit, vernünftige Erwartungen der Mieter und Schutzmaßnahmen müssen dokumentiert werden. Eine Einwilligung ist im laufenden Mietverhältnis nicht automatisch die passende Grundlage und sollte nicht pauschal eingeholt werden.

Mieterkorrespondenz nach Inhalt und Risiko klassifizieren

Vertragsbezogene Schreiben zu Mietzins, Befristung, Wertsicherung oder Kaution sind anders zu behandeln als Beschwerden über Nachbarn, familiäre Situationen, Ausweiskopien oder Gesundheitsangaben. Art 9 DSGVO stellt besondere Kategorien personenbezogener Daten unter einen erhöhten Schutz. Solche Angaben sollten im Transaktionsdatenraum grundsätzlich ausgesondert oder gesondert geprüft werden.

Eine praktikable Matrix unterscheidet Kerndokument, ergänzenden Beleg, interne Notiz und nicht erforderliche Privatinformation. Das Kerndokument wird geschwärzt oder pseudonymisiert, die Notiz bleibt intern und irrelevante Daten werden nicht hochgeladen. Dadurch wird der Datenraum kleiner und zugleich aussagekräftiger.

Schwärzung und Pseudonymisierung richtig einsetzen

In einer frühen Verkaufsphase reichen oft Topnummer, Vertragsart, Betrag, Laufzeit und Risikokategorie. Name, private Telefonnummer, E-Mail-Adresse, Bankverbindung, Unterschrift und Angaben zu Mitbewohnern können geschwärzt werden. Wichtig ist eine technisch wirksame Schwärzung, nicht nur ein schwarzes Rechteck über weiterhin kopierbarem Text.

Pseudonymisierung reduziert den unmittelbaren Personenbezug, beseitigt ihn aber nicht. Der Zuordnungsschlüssel bleibt getrennt und zugriffsbeschränkt. Der Schwerpunkt Mietzinsliste und Bestandverträge zeigt, welche Sachangaben für die Bestandsprüfung benötigt werden. Der Käufer braucht nicht in jeder Phase die Identität des Mieters.

Datenraumzugriff nach Verkaufsphase staffeln

Ein Stufenmodell beginnt mit aggregierten Daten im Teaser, führt über pseudonymisierte Unterlagen im engeren Bieterkreis und öffnet Detailakten erst für einen bevorzugten Bieter, wenn dies erforderlich ist. Jede Stufe hat definierte Nutzergruppen und Dateirechte. Downloads können stärker beschränkt werden als reine Ansicht.

Art 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau. Für den Datenraum bedeutet das insbesondere persönliche Nutzerkonten, starke Authentifizierung, Rollen, Protokollierung und zeitliche Entziehung des Zugriffs. Der Schwerpunkt Due Diligence und Datenraum ordnet die übrigen Dokumentenpakete.

Vertraulichkeit und Datenraumdienst getrennt prüfen

Eine Vertraulichkeitsvereinbarung verpflichtet den Interessenten zum begrenzten Umgang mit Informationen. Sie ersetzt aber nicht die Prüfung, ob der Verkäufer die Daten überhaupt offenlegen darf. Zweckbeschränkung, zulässige Berater, Weitergabe, Rückgabe und Löschung sollten zur gewählten Datenraumstufe passen.

Wird ein externer Datenraumdienst eingesetzt, ist seine Rolle datenschutzrechtlich zu prüfen. Bei Auftragsverarbeitung verlangt Art 28 DSGVO eine passende Vereinbarung. Speicherort, Unterauftragnehmer, Zugriff des Anbieters und Löschmöglichkeiten gehören in die Auswahl. Ein bequemer Link ohne Rollensteuerung ist für Mieterakten regelmäßig ungeeignet.

Transparenz, Protokollierung und Löschung mitplanen

Art 13 und 14 DSGVO regeln Informationspflichten, je nachdem ob Daten bei der betroffenen Person oder aus anderer Quelle erhoben wurden. Für einen Verkauf ist zu prüfen, welche bestehende Datenschutzinformation den Vorgang abdeckt und ob eine ergänzende Information erforderlich ist. Der Zeitpunkt muss die Transaktion schützen, ohne Transparenz dauerhaft auszuschließen.

Nach Ende des Verfahrens werden Zugänge entzogen und Kopien nach den vereinbarten Regeln gelöscht oder zurückgegeben. Der Verkäufer dokumentiert Empfänger, Freigabezeitpunkt und Datenumfang. Der erfolgreiche Käufer übernimmt nur jene Mieterdaten, die für Vermieterstellung, Verwaltung und Übergabe benötigt werden. Nicht erfolgreiche Bieter behalten keine vorsorglichen Archive.

Mieterakten für den Verkauf praktisch aufbereiten

Die Aufbereitung beginnt mit einem Inventar der Korrespondenz. Für jeden Vorgang werden Zweck, Datenklasse, notwendiger Beleg, Schwärzung, Freigabestufe und Löschregel festgehalten. Streitfälle erhalten eine sachliche Zusammenfassung mit Verweis auf die maßgeblichen Dokumente, nicht einen ungefilterten Export des gesamten E-Mail-Postfachs.

Der Datenraum Vollständigkeitscheck unterstützt die Struktur. BRANDAUER Rechtsanwälte verbindet Offenlegung, Vertragsgarantien und Datenschutz. Der Zinshaus Risiko Check hilft bei der ersten Priorisierung, bevor Personenbezug im Verkaufsprozess freigegeben wird.