Datenschutz für Vermieter: Gästedaten, Impressum und die schwarze Liste

Welche Gästedaten darfst du als Vermieter erheben?

Erheben darfst du nur die Gästedaten, die du vom Angebot über den Aufenthalt bis zur Rechnung wirklich brauchst oder die ein Gesetz verlangt (Art. 5 Abs. 1 lit. b und c DSGVO). Juristen nennen das Zweckbindung und Datenminimierung. Für die Praxis genügt eine Testfrage: Kannst du einem Gast in einem Satz erklären, wofür du diese Angabe brauchst? Wenn nicht, fragst du sie nicht ab.

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018. Sie schützt natürliche Personen, also den Monteur, den Disponenten und den Teamleiter. Daten einer GmbH als Firma sind keine personenbezogenen Daten. Name, Durchwahl und Mailadresse des Disponenten aber schon. Beim Einzelunternehmer lässt sich Firma und Person kaum trennen, behandle seine Daten deshalb wie personenbezogene.

Ein Beispiel aus dem Alltag: Ein Disponent bucht vier Betten für drei Wochen. Für das Angebot brauchst du seinen Namen, die Firma, Zeitraum und Bettenzahl. Für den Zugang brauchst du einen Teamleiter mit Handynummer. Geburtsdaten und Wohnanschriften der vier Monteure brauchst du nicht, außer für den Meldeschein ausländischer Gäste.

Brauchst du für jede Buchung eine Einwilligung?

Nein, für die Abwicklung einer Buchung brauchst du keine Einwilligung, denn Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Viele Vermieter setzen trotzdem ein Häkchen „Ich willige in die Datenverarbeitung ein“ ins Formular. Das schadet mehr, als es nützt. Eine Einwilligung ist jederzeit widerrufbar. Stützt du die Buchung darauf, müsstest du nach einem Widerruf auch Rechnungsdaten löschen, die du aufbewahren musst.

Die DSGVO kennt sechs Rechtsgrundlagen. Für Vermieter zählen vier:

• Vertrag oder vorvertragliche Anfrage (lit. b): Angebot, Buchung, Aufenthalt, Verlängerung, Storno.
• Gesetzliche Pflicht (lit. c): Meldeschein nach dem Bundesmeldegesetz (BMG), Aufbewahrung von Rechnungen nach der Abgabenordnung (AO).
• Berechtigtes Interesse (lit. f): etwa eine offene Forderung durchsetzen oder einen Schaden belegen. Das Interesse muss konkret sein und gegen die Interessen des Gastes abgewogen werden. Ein allgemeiner Wunsch nach Schutz vor schwierigen Gästen genügt nicht.
• Einwilligung (lit. a): nur für Freiwilliges, zum Beispiel einen Newsletter oder Fotos von Gästen für Social Media. Sie muss informiert, freiwillig und nachweisbar sein.

Eine Pflicht gilt immer, egal welche Rechtsgrundlage: Du musst informieren. Bei der Erhebung erfährt der Gast, wer verantwortlich ist, wofür die Daten dienen, auf welcher Grundlage, an wen sie gehen, wie lange du sie speicherst und welche Rechte er hat (Art. 13 DSGVO). Am einfachsten setzt du einen Link auf deine Datenschutzhinweise in die Buchungsbestätigung und ins Anfrageformular.

Darfst du den Ausweis des Gastes kopieren?

Den Personalausweis darfst du nur mit Zustimmung des Inhabers kopieren, und die Kopie muss eindeutig und dauerhaft als Kopie erkennbar sein (§ 20 Abs. 2 PAuswG). Die Zustimmung allein macht die Kopie aber noch nicht erforderlich. Du brauchst trotzdem einen Zweck, der ohne Kopie nicht zu erreichen ist.

Das Melderecht verlangt keine Kopie. Bei ausländischen Gästen gleichst du die Angaben auf dem Meldeschein mit Pass oder Personalausweis ab und vermerkst Abweichungen (§ 30 Abs. 2 BMG). Für deutsche Gäste ist der Meldeschein seit Anfang 2025 entfallen. Wie das im Check-in läuft, erklärt der Artikel Meldeschein und Meldepflicht.

Die datensparsame Reihenfolge sieht so aus:

1. Ansehen und abgleichen reicht fast immer.
2. Notieren nur, was der Meldeschein verlangt.
3. Kopieren oder fotografieren nur mit Zustimmung, klarem Zweck und festem Löschtermin. Schwärzen, was du nicht brauchst, etwa Zugangsnummer und Foto.

Ein Handyfoto vom Pass im privaten WhatsApp-Verlauf ist der häufigste Fehler. Es liegt ungeschützt auf einem Privatgerät, wird oft in die Cloud gesichert und nie gelöscht.

Wie lange darfst du Gästedaten speichern?

Gästedaten speicherst du nur so lange, wie der Zweck es verlangt oder ein Gesetz die Aufbewahrung vorschreibt (Art. 5 Abs. 1 lit. e DSGVO). Eine Pauschalfrist für alles gibt es nicht. Jede Datenart bekommt ihre eigene Frist, deshalb trennst du Meldeschein, Rechnung und Notizen.

Die steuerlichen Fristen laufen nicht ab, solange die Unterlagen für eine noch offene Steuerfestsetzung von Bedeutung sind (§ 147 Abs. 3 AO). Bei einer laufenden Betriebsprüfung löschst du also nichts.

Ein Tipp für die Umsetzung: Setz den Löschtermin beim Check-out, nicht irgendwann. Einmal im Quartal gehst du die Liste durch. Rechnungen verschiebst du in ein getrenntes Archiv. Was nicht mehr gebraucht wird, löschst du oder anonymisierst es. Ersetzt du nur den Namen durch eine Kundennummer, ist das keine Anonymisierung, denn über das System lässt sich die Person wieder zuordnen.

Firmenbuchungen: welche Daten du von jedem Monteur brauchst

Bei Firmenbuchungen brauchst du vom einzelnen Monteur meist nur den Namen und den Zeitraum, die übrigen Angaben betreffen die Firma. Der Arbeitgeber schließt den Vertrag und bekommt die Rechnung. Den Monteur führst du als Gast, nicht als Kunden.

Für eine saubere Firmenbuchung legst du sechs Angaben fest:

• buchende Firma als Vertragspartner, mit vollständiger Rechnungsanschrift,
• Ansprechpartner beim Kunden mit Telefon und Mail,
• Zeitraum und Zahl der Personen,
• Zahlungsweg und Fälligkeit,
• wer verlängern oder stornieren darf,
• ein Teamleiter vor Ort, falls der Disponent nicht erreichbar ist.

Erfahrungswert von KWATERA24, Stand Oktober 2026: In Firmenanfragen kommt Rotation regelmäßig vor. Die Firma und die Rechnung bleiben gleich, die Namen der Monteure wechseln im Wochenrhythmus. Für den Datenschutz heißt das: Lege nicht für jeden Monteur eine eigene Kundenakte an. Die Gästenamen hängen an der Buchung, die Vertragsdaten an der Firma.

Zwei Fehler kommen bei Teams häufig vor. Der erste: Die Gästeliste mit allen Namen geht als Anhang an einen großen Verteiler beim Kunden, in dem Leute stehen, die damit nichts zu tun haben. Der zweite: Eine offene Rechnung der Firma landet als Negativvermerk beim Monteur, der nur dort geschlafen hat. Der Monteur schuldet dir nichts. Bucht er später über einen anderen Arbeitgeber, hat der alte Fall mit ihm nichts zu tun.

Wer darf auf die Gästedaten zugreifen?

Auf Gästedaten greift nur zu, wer sie für seine Aufgabe braucht, und du schützt sie mit angemessenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Bei kleinen Vermietern scheitert das selten an der Technik. Es scheitert an verstreuten Kopien: Fotos auf dem Privathandy, eine Excel-Liste auf dem Laptop, Ausweisbilder im Messenger, Rechnungen im privaten Postfach.

Was angemessen ist, hängt von deiner Größe ab. Für eine typische Monteurvermietung reicht dieser Rahmen:

• Eine Hauptablage. Alle Gäste- und Buchungsdaten liegen an einem Ort, in einer Software oder einem geschützten Ordner. Nebenablagen räumst du regelmäßig auf.
• Persönliche Zugänge. Jede Person hat ein eigenes Login, kein Sammelpasswort. Wer ausscheidet, wird sofort gesperrt.
• Rechte nach Aufgabe. Die Reinigungskraft sieht Abreisen und Zimmer, keine Geburtsdaten und keine Umsätze.
• Papier unter Verschluss. Meldescheine und Rechnungen gehören in einen abschließbaren Schrank. Nie in die Schublade der Monteurwohnung, wo Gäste und Reinigung herankommen.
• Aktuelle Geräte. Updates einspielen, Bildschirmsperre am Handy, Zwei-Faktor-Anmeldung, wo es geht.

Verarbeitet ein Dienstleister die Daten in deinem Auftrag und nach deiner Weisung, brauchst du einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Das betrifft Buchungssoftware, Cloud-Speicher oder einen Büroservice. Steuerberatung und Bank arbeiten dagegen in eigener Verantwortung, dort ist kein solcher Vertrag nötig. Worauf du bei der Auswahl einer Software sonst achtest, steht im Artikel Software für die Monteurzimmer-Vermietung.

Darfst du eine schwarze Liste über Gäste führen?

Eine schwarze Liste über Gäste ist keine rechtssichere Lösung, erlaubt ist nur eine sachliche Dokumentation konkreter Vorgänge mit Zweck und Prüftermin. Das gilt auch für eine rein interne Liste. Jeder Eintrag braucht einen Zweck, eine Rechtsgrundlage und muss richtig sein (Art. 5 und 6 DSGVO). Die Leitlinien des Europäischen Datenschutzausschusses zum berechtigten Interesse (Leitlinien 1/2024) bestätigen: Ein allgemeines Sicherheitsbedürfnis rechtfertigt keine Negativkartei.

Was du festhalten darfst, ist der Vorgang. Eine offene Rechnung, ein belegter Schaden oder ein laufender Streit rechtfertigen eine Falldokumentation, solange der Fall nicht erledigt ist. Ein Etikett wie „Zechpreller“ oder „Problemgast“ vermischt dagegen Tatsache und Wertung. Es sagt auch einem Kollegen Monate später nichts.

Muster für einen sachlichen Vermerk: „Rechnung RE-2026-0123 über 1.240 € fällig seit 15.09.2026, zwei Mahnungen (01.10., 15.10.), Vertragspartner Firma, nicht der Gast. Angelegt 16.10.2026, nächste Prüfung 16.01.2027.“

Bezahlt die Firma, löschst du den Vermerk oder setzt ihn auf erledigt. Die Rechnung bleibt in der Buchhaltung, der Vermerk muss nicht so lange leben wie der Beleg.

Warnungen in Vermietergruppen auf Facebook oder WhatsApp sind der riskanteste Weg. Beiträge lassen sich kopieren, sie bleiben lange auffindbar und erreichen viele Empfänger. Auch eine geschlossene Gruppe ist keine Rechtsgrundlage. Den Namen wegzulassen hilft wenig, wenn Ort, Zeitraum, Firma und Teamgröße die Person erkennbar machen. Neben dem Datenschutz droht hier auch ein Streit wegen übler Nachrede. Wer nicht zahlt, gehört ins Mahnverfahren, nicht in eine Gruppe. Wie du offene Rechnungen eintreibst, erklärt der Artikel Gast zahlt nicht.

Wirksamer als jede Liste ist ein fester Buchungsablauf: gleiche Prüfkriterien für jede Anfrage, Vertragspartner schriftlich festlegen, Anzahlung oder Vorkasse vor dem Schlüssel. Ein früherer Konflikt darf in deine Entscheidung über eine neue Buchung einfließen. Eine unbegrenzte Akte rechtfertigt er nicht.

Was tun bei einer Datenpanne?

Bei einer Datenpanne stoppst du sofort die Offenlegung, bewertest das Risiko und meldest sie bei einem Risiko binnen 72 Stunden der Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO). Die Frist beginnt, sobald dir die Panne bekannt wird. Typische Pannen bei Vermietern: eine Buchungsbestätigung mit Gästeliste an die falsche Firma, ein offener Mailverteiler, ein verlorenes Handy ohne Sperre, ein Meldeschein, der in der Wohnung liegen bleibt.

So gehst du vor:

1. Stoppen. Den falschen Empfänger anrufen und um Löschung bitten, Gerät sperren lassen, Papier einsammeln.
2. Erfassen. Welche Daten, welche Personen, wie viele, seit wann?
3. Risiko bewerten. Eine Mailadresse im offenen Verteiler wiegt weniger als Passdaten von sechs Monteuren.
4. Dokumentieren. Jede Panne kommt in eine interne Liste, auch wenn du nicht meldest (Art. 33 Abs. 5 DSGVO).
5. Melden. Besteht ein Risiko für die Betroffenen, meldest du bei der Datenschutzaufsicht deines Bundeslands. Ohne Risiko entfällt die Meldung.
6. Benachrichtigen. Bei hohem Risiko informierst du zusätzlich die betroffenen Gäste (Art. 34 DSGVO).

Leg vorher fest, wer im Team für Pannen zuständig ist. Am Freitagabend nach dem richtigen Formular zu suchen, kostet Stunden von den 72.

Impressum für Vermieter: wann Pflicht und was hinein gehört

Ein Impressum brauchst du, sobald du eine eigene Website oder einen anderen geschäftsmäßigen digitalen Dienst betreibst, der in der Regel gegen Entgelt angeboten wird (§ 5 Abs. 1 DDG). Das Digitale-Dienste-Gesetz (DDG) hat im Mai 2024 das Telemediengesetz (TMG) abgelöst. Viele Ratgeber nennen noch § 5 TMG, das ist veraltet. Eine Vermietungs-Website, über die du Buchungen anbahnst, ist geschäftsmäßig, auch wenn du nur zwei Wohnungen hast.

Ins Impressum gehören, soweit sie auf dich zutreffen:

• Name und Anschrift, bei einer GmbH oder UG auch Rechtsform und Vertretungsberechtigte,
• eine Mailadresse und ein weiterer schneller Kontaktweg, meist die Telefonnummer,
• Register und Registernummer, etwa Handelsregister HRB,
• Umsatzsteuer-Identifikationsnummer oder Wirtschafts-Identifikationsnummer, falls vorhanden,
• Aufsichtsbehörde, falls deine Tätigkeit eine behördliche Zulassung braucht.

Die Anschrift muss ladungsfähig sein, ein Postfach reicht nicht. Das Gesetz verlangt, dass Besucher das Impressum sofort finden, mit einem Klick öffnen und jederzeit abrufen können. In der Praxis heißt das: ein Link „Impressum“ im Fußbereich jeder Seite.

Auch geschäftliche Profile bei Facebook, Instagram oder Google brauchen eine Anbieterkennzeichnung, meist als Link auf das Impressum der Website. Bei Inseraten auf Portalen zeigt in der Regel das Portal die Anbieterdaten an. Prüfe trotzdem, ob dein Profil dort vollständig ist. Für gedruckte Flyer gilt nicht das DDG, sondern das Presserecht deines Bundeslands. Ein kurzer Absender mit Name und Anschrift ist dort üblich.

Ein fehlendes oder falsches Impressum ist eine Ordnungswidrigkeit. Die Geldbuße kann bis zu 50.000 € betragen (§ 33 Abs. 2 Nr. 1, Abs. 6 DDG). Häufiger als ein Bußgeld ist die Abmahnung. Ein Mitbewerber kann seit 2020 bei solchen Informationspflichten keine Abmahnkosten mehr ersetzt verlangen (§ 13 Abs. 4 Nr. 1 UWG). Verbände und Kammern sind davon aber nicht erfasst, und Unterlassung kann jeder Berechtigte verlangen.

Was gehört in die Datenschutzerklärung deiner Website?

In die Datenschutzerklärung gehört, wer verantwortlich ist, welche Daten deine Website und deine Formulare verarbeiten, wofür, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange (Art. 13 DSGVO). Ein Satz im Impressum ersetzt sie nicht. Sie ist eine eigene Seite, ebenfalls von jeder Unterseite verlinkt.

Für eine typische Vermieter-Website gliederst du sie nach Vorgängen:

• Aufruf der Website (Server-Logs, Hosting),
• Anfrageformular, Mail, Telefon und WhatsApp,
• Buchung, Rechnung, Meldeschein,
• eingebundene Dienste wie Karten, Videos, Schriftarten, Buchungs-Widgets,
• Statistik und Cookies,
• Rechte der Gäste: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Beschwerde bei der Aufsicht.

Für Cookies und ähnliche Techniken gilt zusätzlich § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Speicherst du etwas auf dem Gerät des Besuchers oder liest es aus, brauchst du eine Einwilligung. Ausgenommen ist nur, was für den gewünschten Dienst unbedingt erforderlich ist. Eine Website ohne Statistik-Tool und ohne Werbe-Cookies braucht deshalb oft gar kein Cookie-Banner. Generatoren für Impressum und Datenschutzerklärung sind ein guter Start. Prüfe aber, ob jeder Dienst darin wirklich auf deiner Seite läuft, und lösche, was nicht passt.

Gästedaten aus dem WLAN sind ein eigenes Thema. Du speicherst dort keine Surfverläufe und bildest keine Profile. Mehr dazu im Artikel Gäste-WLAN: Haftung und Einrichtung.

Brauchst du einen Datenschutzbeauftragten?

Einen Datenschutzbeauftragten brauchst du erst ab 20 Personen, die bei dir regelmäßig und dauerhaft personenbezogene Daten am Computer oder in Software bearbeiten (§ 38 Abs. 1 BDSG). Kleine und mittlere Vermieter liegen fast immer darunter. Die DSGVO gilt für sie trotzdem in vollem Umfang. Du bist selbst verantwortlich und musst die Einhaltung nachweisen können (Art. 5 Abs. 2 DSGVO).

Ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) solltest du auch als Einzelvermieter führen. Die Ausnahme für Betriebe unter 250 Beschäftigten greift nur, wenn du Daten bloß gelegentlich verarbeitest. Bei laufenden Buchungen ist das nicht der Fall. Das Verzeichnis ist weniger aufwendig, als es klingt: eine Tabelle mit den Vorgängen Anfrage, Buchung, Meldeschein, Rechnung, Website, Newsletter. Je Vorgang trägst du Zweck, Daten, Empfänger, Löschfrist und Schutzmaßnahmen ein. Die Löschtabelle aus diesem Artikel ist schon die halbe Arbeit.

Checkliste: deine Datenwege in 30 Minuten prüfen

Nimm eine echte Buchung aus dem letzten Monat und geh sie vom ersten Anruf bis zum Archiv durch:

• Fragt dein Anfrageformular nur ab, was du für das Angebot brauchst?
• Steht in Formular und Buchungsbestätigung ein Link zu deinen Datenschutzhinweisen?
• Gibt es kein Pflicht-Häkchen „Einwilligung in die Datenverarbeitung“ für die Buchung?
• Liegen Ausweisfotos nur dort, wo sie hingehören, und haben sie einen Löschtermin?
• Liegen Meldescheine verschlossen und wird nach einem Jahr ab Abreise vernichtet?
• Hat jede Person im Team einen eigenen Zugang und nur die Rechte, die sie braucht?
• Hast du mit Buchungssoftware und Cloud-Anbieter einen Vertrag zur Auftragsverarbeitung?
• Sind Gästelisten nur an den Ansprechpartner gegangen, nicht an einen Verteiler?
• Gibt es Vermerke über Personen ohne konkreten Vorgang oder ohne Prüftermin?
• Ist das Impressum auf jeder Seite erreichbar und nennt es § 5 DDG statt TMG?
• Weiß dein Team, wer bei einer Datenpanne innerhalb von 72 Stunden handelt?
• Hast du ein Verzeichnis der Verarbeitungstätigkeiten, auch wenn es nur eine Tabelle ist?

Fazit

Datenschutz als Vermieter ist vor allem eine Frage der Ordnung. Du erhebst nur, was du für die Buchung brauchst, legst es an einem Ort ab, gibst jedem nur die nötigen Rechte und setzt für jede Datenart einen Löschtermin. Rechnungen bleiben acht Jahre, Meldescheine ein Jahr, Anfragen ohne Buchung verschwinden. Statt einer schwarzen Liste dokumentierst du Vorgänge sachlich und verfolgst Forderungen über den Rechtsweg. Ein aktuelles Impressum nach § 5 DDG und eine ehrliche Datenschutzerklärung schließen die Lücke auf der Website.

Den Überblick über alle Themen rund um die Vermietung findest du im Leitfaden Monteurzimmer vermieten.