Regulierung4 Min. Lesezeit
DSGVO in der Bewirtschaftung: die Checkliste für Fachleute
Verzeichnis, Datenminimierung, Aufbewahrungsdauer, Betroffenenrechte, Auftragsverarbeiter: die Prüfpunkte für die Verarbeitung von Mietdaten.
Das homePad-Team
Ein Bewerbungsdossier, ein Mietvertrag, ein Übergabeprotokoll mit seinen Fotos, eine Reparaturmeldung: Die Immobilienverwaltung beruht auf personenbezogenen Daten. In der Europäischen Union gilt die Datenschutz-Grundverordnung (DSGVO) für jede Fachperson, die sie verarbeitet. Diese Checkliste schlägt eine Arbeitsreihenfolge vor. Sie ist ein Praxisleitfaden, keine Rechtsberatung: Wenden Sie sich für einen konkreten Fall an Ihre Datenschutzbehörde oder an einen Rechtsbeistand.
Die Verarbeitungen erfassen und das Verzeichnis führen
Beginnen Sie mit der Liste dessen, was Sie mit den Daten tun: Auswahl der Mietinteressenten, Verwaltung der Mietverträge, Übergabeprotokolle, Reparatureinsätze, Buchhaltung, Akquise. Für jede Verarbeitung gibt das Verzeichnis von Verarbeitungstätigkeiten ihren Zweck, die Kategorien der betroffenen Personen und Daten, die Empfänger, die Aufbewahrungsdauer und die Sicherheitsmassnahmen an. Eine Agentur oder eine Immobilienverwaltung verarbeitet diese Daten regelmässig: Das Verzeichnis ist also zu führen, unabhängig von der Grösse der Organisation.
- Jede Verarbeitung hat einen schriftlich festgehaltenen Zweck und eine Rechtsgrundlage, meistens die Vertragserfüllung oder eine rechtliche Verpflichtung, manchmal das berechtigte Interesse, seltener die Einwilligung
- Eine Person ist für das Verzeichnis zuständig und aktualisiert es bei jedem neuen Tool
Weniger erheben, weniger lange aufbewahren
Der Grundsatz der Datenminimierung verbietet es, eine Angabe «für alle Fälle» zu verlangen. In Frankreich legt ein Dekret vom 5. November 2015 die Liste der Belege fest, die ein Vermieter von einem Mietinteressenten und dessen Bürgen verlangen darf: Kein anderes Dokument darf verlangt werden.
Die DSGVO legt keine bezifferte Dauer fest. Sie verlangt, die Daten nicht länger aufzubewahren, als es der Zweck erfordert. Es liegt an Ihnen, für jede Kategorie eine Dauer festzulegen, sie schriftlich festzuhalten und vor allem anzuwenden.
- Die Fotos eines Übergabeprotokolls zeigen die Wohnung und ihre Mängel, nicht die Bewohner, ihre Papiere oder ihre persönlichen Gegenstände
- Die freien Kommentare enthalten weder Urteile über Personen noch Angaben zu deren Gesundheit, Meinungen oder Herkunft
- Die Dossiers der nicht berücksichtigten Mietinteressenten werden gelöscht, sobald die Wohnung vergeben ist
- Die Daten eines Mietvertrags werden während seiner Laufzeit aufbewahrt und danach mit eingeschränktem Zugriff so lange archiviert, wie es ein allfälliger Rechtsstreit oder eine rechtliche Verpflichtung erfordert
- Eine Bereinigung findet zu einem festen Termin statt, einschliesslich der Messaging-Dienste und Telefone
Die Personen informieren und ihre Anträge beantworten
Zum Zeitpunkt der Erhebung muss jede Person wissen, wer ihre Daten verarbeitet, zu welchem Zweck, auf welcher Grundlage, wer sie erhält, wie lange sie aufbewahrt werden und wie sie ihre Rechte ausüben kann. Diese Rechte sind Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit. Sie haben grundsätzlich einen Monat Zeit, um einen Antrag zu beantworten.
- Ein Datenschutzhinweis steht auf den Formularen, den Mietverträgen, den Übergabeprotokollen und der Website
- Eine Kontaktadresse ist diesen Anträgen vorbehalten, und jemand ruft sie ab
- Ein Verfahren legt fest, wer antwortet und wie die Identität der antragstellenden Person geprüft wird
Die Daten sichern und die Auftragsverarbeiter vertraglich binden
Die Sicherheit entscheidet sich auf den Geräten vor Ort ebenso wie auf den Servern: gesperrte Tablets und Telefone, persönliche Konten, Zugriffsrechte, die auf den Bedarf jedes Einzelnen beschränkt sind, Datensicherungen. Jeder Dienstleister, der in Ihrem Auftrag Daten verarbeitet, ob Softwarehersteller, Hosting-Anbieter oder Callcenter, ist ein Auftragsverarbeiter im Sinne der DSGVO. Ein Vertrag muss vorsehen, dass er nur auf Ihre Weisung handelt, und die Sicherheitsmassnahmen, den Einsatz weiterer Auftragsverarbeiter und den Verbleib der Daten bei Vertragsende regeln.
- Mit jedem Dienstleister ist ein Auftragsverarbeitungsvertrag unterzeichnet, und der Ort, an dem die Daten gehostet werden, ist bekannt
- Die Konten der Mitarbeitenden werden am Tag ihres Austritts geschlossen
- Jede Verletzung des Schutzes personenbezogener Daten wird dokumentiert und, wenn sie ein Risiko für die Personen darstellt, der Aufsichtsbehörde spätestens 72 Stunden nach ihrer Entdeckung gemeldet
- Die Mitarbeitenden werden bei ihrem Eintritt und danach regelmässig geschult
Wissen, wann mehr nötig ist
Eine Datenschutz-Folgenabschätzung ist erforderlich, bevor eine Verarbeitung gestartet wird, die voraussichtlich ein hohes Risiko für die Personen zur Folge hat. In Frankreich veröffentlicht die Aufsichtsbehörde CNIL die Liste der Arten von Verarbeitungen, für die sie verlangt wird: Prüfen Sie, ob Ihre darin aufgeführt sind. Die Benennung eines Datenschutzbeauftragten ist nur in bestimmten Fällen Pflicht, namentlich für öffentliche Stellen und für Organisationen, deren Kerntätigkeit in einer umfangreichen regelmässigen und systematischen Überwachung von Personen oder in einer umfangreichen Verarbeitung sensibler Daten besteht. Bestimmen Sie in den übrigen Fällen mindestens eine Ansprechperson.
Die Geldbussen können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.
Die DSGVO gilt in Frankreich, in Belgien und in Luxemburg, wobei jedes dieser Länder seine eigene Aufsichtsbehörde und ergänzende nationale Regeln hat. Die Schweiz hat ihr eigenes Bundesgesetz über den Datenschutz (DSG). Prüfen Sie vor Ort, welcher Rahmen gilt.
Was homePad bringt
homePad hostet die Daten seiner Kunden in Europa. Die Berichte, ihre Fotos mit Zeitstempel und ihre elektronischen Signaturen sind auf einer einzigen Plattform zentralisiert, was verhindert, dass sie sich auf Telefone, Messaging-Dienste und geteilte Ordner verteilen.
- DSGVO
- personenbezogene Daten
- Bewirtschaftung
- Konformität